胡海明，翟曉梅**

(1 中國醫(yī)學(xué)科學(xué)院/北京協(xié)和醫(yī)學(xué)院生命倫理學(xué)研究中心，北京 100730，hhm0501@163.com；2 中國醫(yī)學(xué)科學(xué)院/北京協(xié)和醫(yī)學(xué)院人文和社會科學(xué)學(xué)院，北京 100730)

生物識別技術(shù)(biometric identification technology)是一類基于個體獨特的生理或行為特征對個體身份進行自動辨識或認證的技術(shù)[1]。主要包括指紋識別、人臉識別和虹膜識別等技術(shù)。相比傳統(tǒng)的密碼形式的識別方式，生物識別具有更加準確、方便快捷和不易遺忘等優(yōu)點。尤其是“9·11”事件后，人們對身份認證的要求越來越嚴格，傳統(tǒng)的識別方式已經(jīng)不能滿足人們對于更高安全等級的需要，新興的智能的生物識別技術(shù)正是在這種社會背景下迅速發(fā)展起來[2]。

早在2008年，我國研制的人臉識別技術(shù)成功用于北京奧運會；2013年，蘋果公司推出指紋手機；2015年，生物識別技術(shù)開始入駐我國社?？I(lǐng)域；2015年3月，全國首家人臉識別醫(yī)保支付系統(tǒng)在武漢市中心醫(yī)院上線；2016年底，北京西站啟用人臉識別系統(tǒng)，旅客可刷臉進站；2017年，澳大利亞當(dāng)?shù)匾泼窦斑吘潮Ｗo局計劃于機場設(shè)立電子掃描站，利用生物識別技術(shù)辨認入境游客的面孔、眼睛虹膜及指紋。可以說，隨著計算機技術(shù)的不斷發(fā)展、成本的持續(xù)降低以及性能的穩(wěn)步提高，生物識別技術(shù)變得更加具有實用性，應(yīng)用范圍也更加廣泛。

然而，在生物識別技術(shù)取得廣泛社會應(yīng)用，給人們帶來巨大受益的同時，也引起了人們對隱私保護(privacy protection)問題的擔(dān)憂。本文將著重探討生物識別技術(shù)應(yīng)用中所涉及的隱私保護問題。

1 生物識別情境下隱私的新特征

1.1 生物識別信息的永久性

生物識別是基于個體獨特的生理或行為的特征對人的身份進行自動識別的一種方法?？梢哉f，用于識別個體身份的這些生物特征(生理的或行為的)是與生俱來的，并且不會或很難隨著時間的推移而發(fā)生變化[3]。例如，傳統(tǒng)的識別方式，如手機號、用戶名和密碼、鑰匙、智能卡等，一旦被盜、丟失或遺忘，個體可以重新申請一個號碼、重新設(shè)置密碼或更換一個新鑰匙等。而生物識別信息與之不同，其一旦泄露或被盜，將很難或不能重新設(shè)置。每個人總共有十個手指，一旦其中一個指紋信息被盜，可以換別的手指，但這樣的更換最多也就9次。而面孔每個人只有一張，一旦面部特征被盜，除非換臉或使用傳統(tǒng)的識別方式，沒有其他很好地補救辦法。因此，生物識別信息的永久性帶來的影響將會是深遠的、不可逆的。

1.2 生物識別信息侵犯的隱蔽性

跟密碼、口令之類的個人信息不同，指紋和面部特征都在人體的表面，很容易被竊?。簝H僅在物體的表面按壓，就可以留下個人的指紋圖像；僅僅通過面部的高清照片，就可以獲得個人的面部特征。甚至將朋友圈、微博中的個人照片，經(jīng)過一定的技術(shù)處理，就可能騙過人臉識別系統(tǒng)。一般來說，這些指紋圖像或面部照片都很容易獲得，并且通常是在不知情或不留意的情況下被獲得的，個體很難察覺。加之目前互聯(lián)網(wǎng)技術(shù)的開放發(fā)展、高清圖像處理技術(shù)的提升以及3D打印等技術(shù)的不斷進步，個體很難知道什么人在哪些情況下可以獲取他們的生物識別信息以及使用這些信息的目的是什么，因而個體也幾乎意識不到他們的隱私可能正在被侵犯。正是由于生物識別信息易丟失、易侵犯，目前，市場上出現(xiàn)了偽造的指紋或者稱之為假指紋[4]。

1.3 對醫(yī)學(xué)信息的可揭露性

生物識別與傳統(tǒng)的識別方式不同之處還在于：生物識別信息能夠揭示個體的醫(yī)學(xué)信息。目前，已經(jīng)有證據(jù)表明，某些疾病與某些特殊類型的生物特征有關(guān)，可以從這些特殊的生物特征了解個體是否患有某些疾病或?qū)砘疾〉母怕驶蜈厔荩耗承┨厥忸愋偷闹讣y跟某些染色體異常(如唐氏綜合征、特納綜合征、克氏綜合征)有關(guān)[5]；視網(wǎng)膜微血管的變化可能與Ⅱ型糖尿病和高血壓有關(guān)，也與腦中風(fēng)和心血管病死亡有關(guān)[6]；用于生成生物識別模板的紅外線照相機，也能夠監(jiān)測出身體某些外科手術(shù)的修飾[7]……這些信息一方面可用于監(jiān)控、預(yù)測或輔助診斷疾病，但如果使用不當(dāng)，將其泄露給第三方(如雇主、保險公司等)，個體可能會招致歧視，甚至污名化。

2 隱私保護面臨的挑戰(zhàn)

智能的新興的生物識別技術(shù)已經(jīng)取得了廣泛的社會應(yīng)用，但同時也對隱私保護提出了新的挑戰(zhàn)。相對于傳統(tǒng)的身份識別方式，生物識別技術(shù)應(yīng)用面臨的隱私保護更加困難復(fù)雜，這在數(shù)據(jù)庫安全、功能僭變、身體信息化等方面均有體現(xiàn)。

3．孵化器內(nèi)生孵化企業(yè)占五成，外地來創(chuàng)業(yè)發(fā)展的以深圳最多。在所有的孵化器企業(yè)中，外來企業(yè)數(shù)一共有1242家，其中從深圳前來發(fā)展的企業(yè)有181家，從廣州前來發(fā)展的企業(yè)有47家，從長三角遷來的有38家，本市其它鎮(zhèn)區(qū)遷來的企業(yè)有333家；在孵化器開始創(chuàng)業(yè)的企業(yè)數(shù)最多，有643家。由此可見，在孵化器創(chuàng)業(yè)發(fā)展的企業(yè)主要是由孵化器自己招商孵化的，孵化效果明顯。

2.1 數(shù)據(jù)庫安全(database security)

一般而言，個人的很多信息，如手機號、銀行卡號、微信或微博用戶名和密碼等，都存儲在一個相應(yīng)的數(shù)據(jù)庫中。個人生物識別信息也是如此，有指紋數(shù)據(jù)庫、DNA數(shù)據(jù)庫、面部特征數(shù)據(jù)庫等。尤其是當(dāng)前大數(shù)據(jù)、人工智能和信息通信技術(shù)的飛速發(fā)展，更引起了人們對個人信息存儲(或控制)的擔(dān)憂。把個人生物識別信息集中存儲在數(shù)據(jù)庫中，和/或不同數(shù)據(jù)庫(如姓名、聯(lián)系方式、住址等)進行關(guān)聯(lián)，存在很大的風(fēng)險：一旦被黑客攻陷，或者其內(nèi)容被泄露，容易引起個人信息的買賣，從而引發(fā)嚴重的后果。

電子化的生物識別信息傳播速度更快、影響范圍更廣，一旦泄露便很難控制。2014年，黑客入侵美國聯(lián)邦人事管理局的計算機系統(tǒng)，導(dǎo)致超過2200萬美國人的敏感個人信息被盜，其中包括560萬人的指紋信息。如果這些信息被泄露或買賣，很容易傷害那些被竊取了信息的個體。

數(shù)據(jù)庫不但面臨黑客入侵的威脅，而且也面臨內(nèi)部人員的威脅，主要包括未授權(quán)的數(shù)據(jù)查看、不正確的數(shù)據(jù)修改以及數(shù)據(jù)的不可用性[8]。當(dāng)個體意識到存儲其生物識別信息的數(shù)據(jù)庫存在潛在的較高的隱私風(fēng)險時，對信息收集者的信任度也將大大降低，往往還會抱有抵制態(tài)度，比如在生物識別系統(tǒng)中只提供有限的信息，而這樣做反而會妨礙服務(wù)個體的便捷性和有效性。

2.2 功能僭變(function creep)

當(dāng)個人信息被泄露或超出原有目的而進行使用時，稱為功能僭變。在個體知情或不知情的情況下，功能僭變都可發(fā)生，不可避免。引起功能僭變通常包括三個要素：政策真空或缺失；不滿足于給定的目的或功能；滑坡效應(yīng)或秘密應(yīng)用[7]。秘密的收集個人生物識別信息和/或進行跟蹤就是典型的功能僭變的實例。

由于監(jiān)控技術(shù)的進步和某些生物識別技術(shù)遠距離感知的可能，在個體不知情的情況下，對個人信息(包括生物識別信息)進行秘密的收集，最常見的就是監(jiān)控探頭的使用。很可能在人們不知情的情況下，記錄個體的影像和行蹤[9]。

美國聯(lián)邦調(diào)查局(FBI)在沒有事先告知或獲得允許的情況下，將大約一半美國成年人的照片錄入其面部識別數(shù)據(jù)庫。該數(shù)據(jù)庫中的80%的照片來自非犯罪記錄，包括駕駛執(zhí)照和護照照片。

2.3 身體信息化(the informatization of the body)

生物識別系統(tǒng)在采集生物識別信息進行身份識別時，為了防止虛假身份的欺騙，不只是單純采集指紋、面部等圖像，同時還可能會采集用戶更多的信息(如體表溫度、脈搏、血壓、生物電、活體檢測等)，以便更加準確無誤的確定用戶的身份。因此可以說，采集的信息越多越豐富，從這些信息中進一步挖掘的其他的個人信息也就越多越深。

身體信息化，是特殊類型的功能僭變，是指可以從生物識別系統(tǒng)中能夠進一步挖掘出大量的有關(guān)個體的信息[10]。一般來說，這些挖掘出來的信息非常豐富，其中也不乏一些敏感數(shù)據(jù)，如醫(yī)學(xué)信息。已經(jīng)有證據(jù)表明，某些疾病與某些特殊類型的生物特征有關(guān)。當(dāng)這些醫(yī)學(xué)信息(現(xiàn)在身心狀況及未來患病風(fēng)險)披露給第三方(如雇主、保險公司等)時，可能會使個體招致歧視與污名化。

3 隱私保護的倫理學(xué)視角

如前所述，大數(shù)據(jù)背景下，智能的生物識別技術(shù)的廣泛應(yīng)用使隱私保護面臨諸多挑戰(zhàn)，這也引發(fā)了社會公眾和學(xué)術(shù)界對隱私保護問題的廣泛討論。其中一種極端的觀點認為，“隱私破壞技術(shù)，如信息的收集與處理技術(shù)、照相技術(shù)、監(jiān)控技術(shù)、掃描技術(shù)和網(wǎng)絡(luò)信息技術(shù)等，使我們正在走向一個零隱私時代(an era of zero informational privacy)”“我們根本沒有隱私”“隱私已經(jīng)死亡”[11]。

不可否認，新興技術(shù)的應(yīng)用的確使隱私保護變得更加復(fù)雜困難，但這并不能成為我們放棄隱私保護的充分理由。因為人的尊嚴要求我們保護用戶隱私、為個人信息保密，要求我們不僅不能侵犯個人的隱私/保密權(quán)，而且要盡力防止不合適地和非法地泄露私人信息。[12]同時，保護個體的隱私，是為了尊重個體的自我決定權(quán)，即決定自己的哪些信息在什么情況下以及如何被使用和共享的權(quán)力。

因此，我們不應(yīng)該放棄對隱私的保護，亦不應(yīng)該停止新技術(shù)的發(fā)展應(yīng)用，合理的做法應(yīng)該是對生物識別技術(shù)研發(fā)和應(yīng)用加以規(guī)范，防止誤用和濫用?？梢詮膫惱怼⒄吆头煞ㄒ?guī)等不同的維度對生物識別技術(shù)加以規(guī)范。其中，倫理學(xué)視角的論證是制定政策和法律法規(guī)的有力支撐。因此，我們認為，在法律和政策缺位或不足的情況下，倫理學(xué)論證尤為重要，而隱私保護也不是一個靜態(tài)的概念，應(yīng)貫穿于生物識別技術(shù)研發(fā)和應(yīng)用(包括生物識別信息的收集、存儲和使用)的整個過程。

3.1 生物識別技術(shù)的研發(fā)應(yīng)該保持高標準的負責(zé)研究

高標準的負責(zé)研究應(yīng)該至少有以下兩個方面的體現(xiàn)：第一，生物識別技術(shù)研發(fā)的團隊組成應(yīng)多元化。目前，生物識別技術(shù)的研發(fā)還是依賴計算機專業(yè)人員，很少有其他學(xué)科專家的參與。僅僅依靠計算機專業(yè)人員是不夠的，還需要有醫(yī)學(xué)家、倫理學(xué)家、隱私保護專家甚至社會公眾的廣泛參與。因為，生物識別技術(shù)產(chǎn)生的醫(yī)學(xué)影響(medical implication)需要跨學(xué)科的交流，值得進一步討論和研究[13-14]。第二，隱私設(shè)計應(yīng)該在一開始研發(fā)創(chuàng)新階段就整合進來，并不是在部署之后才考慮。因為技術(shù)研發(fā)在應(yīng)用的上游，唯有在研發(fā)階段就開始考慮隱私增強的問題，才能更好地維護和保護個人的權(quán)利和利益，保護個體隱私和數(shù)據(jù)庫安全，不能僅僅為了追逐經(jīng)濟增長和效益，而無視或避開隱私保護問題。

3.2 生物識別信息的存儲應(yīng)采取安保措施以及進行風(fēng)險評估

生物識別信息的存儲應(yīng)該采取一定的數(shù)據(jù)安保措施，防止未經(jīng)授權(quán)的訪問、使用、傳輸或共享，這對于保護個體隱私、獲得公眾信任是很有必要的。生物識別信息應(yīng)該盡可能的存儲在個人可控制的智能卡，也就是“一對一”的存儲模式[15]。如果不能，應(yīng)該讓生物識別信息與姓名、年齡、住址、電話號碼等個人信息分別存儲在不同的數(shù)據(jù)庫(decentralize)中[16]。相比目前的集中式數(shù)據(jù)庫(centralized database)存儲模式，這些措施都可大大降低隱私泄露的風(fēng)險。

風(fēng)險評估，建議引入“隱私保護度”，通過泄露信息的風(fēng)險來反映，泄露信息的風(fēng)險越小，隱私保護度越高。如加拿大隱私高級代表辦公室曾在2009年對Facebook隱私功能進行評估，要求Facebook對其隱私政策進行升級。Facebook增加了向用戶提供有關(guān)其隱私功能的信息以及采取技術(shù)調(diào)整措施，以加強隱私保護力度。

3.3 生物識別信息的收集使用應(yīng)符合自主性、收集限制和目的明確、透明原則

生物識別信息是個人的敏感信息，關(guān)系到個人的人格和尊嚴，更應(yīng)關(guān)注其收集使用，尤其是個人生物識別信息如何使用，使用是否恰當(dāng)?shù)膯栴}。因為一旦泄露就可能使生物識別信息變成被市場利用的商品，進而可能造成個體最基本的人格尊嚴受到侵犯。

自主性原則的核心是對人權(quán)的尊重，對個體自由和自主的尊重。個體自主性的一個重要體現(xiàn)就是知情同意。當(dāng)生物識別信息的收集使用出于公共安全目的時，需要個體的知情，例如，公共場所的視頻監(jiān)控，需要有“圖像采集區(qū)域”等標識；出于商業(yè)目的時，需要告知個體并獲得其同意，例如，指紋支付App，要告知個體自己的生物識別信息以何種方式收集、由誰收集和處理，是否及如何與他人共享，使用和/或共享的目的是什么以及個人是否有權(quán)利獲取、修改或刪除自己的生物識別信息，其中的受益和風(fēng)險是什么等信息并獲得個體的同意。收集個人信息、將個人信息再使用于另一目的時，必須獲得同意。根據(jù)不同的情境，可以采用“廣同意”(例如同意將個人信息用于一類，而不是某一情況下)的辦法，同意也可采取opt-in(選擇同意)或opt-out(選擇拒絕)兩種方式[14]。自主性原則是對個人的自主和自由的尊重，應(yīng)該得到維護。如果沒有自主性，個體將很難控制、選擇自己的何種信息正被收集使用。尤其是大數(shù)據(jù)和人工智能背景下，這些個人信息在傳播、存儲、挖掘等方面很可能成為技術(shù)暗箱，個體不可能詳細地知道誰在分享、使用自己的信息，自己的信息在哪些終端被復(fù)制，使用、分享和挖掘的目的是什么等，個體幾乎沒有自決權(quán)，經(jīng)常出現(xiàn)在沒有經(jīng)過當(dāng)事人同意的情況下，有可能被第三方使用的情況。自主性原則如果難以貫徹，將進一步對隱私保護產(chǎn)生威脅。

收集限制原則要求收集的信息要足夠、相關(guān)，但不過量[17]。應(yīng)該降低不必要信息的獲取，如姓名、性別、地址、手機號、身份證號等。例如，為了指紋支付的需要，個體提供必要的個人信息(如指紋、銀行卡號、姓名等)是正當(dāng)?shù)?，否則，支付無法完成。在這種情境中，可能存在侵犯個人隱私的問題，支付平臺可能因其他目的，要求個體提供超出必要范圍的信息。超出這個必要范圍收集個人信息，就屬于違反了收集限制原則，屬于侵犯隱私的行為。目的明確原則要求收集個人信息時要有明確的合理的目的[17]。個人信息一旦成為買賣的商品，便不可控制，危害極大，人們的生活因此會受到很大的騷擾，人們對信息收集者的信任度也將大大降低。如產(chǎn)婦會收到各種育兒產(chǎn)品的廣告，剛買完車便會收到各種保險的推銷信息等，提供個人信息的目的應(yīng)該是獲得服務(wù)和便利，而不應(yīng)當(dāng)在個體不知情的情況下用于其他目的或買賣。

透明原則要求有關(guān)生物識別信息收集、存儲、使用和共享的政策或措施對社會公眾(納稅人)是透明的[12，18]，這是獲得公眾理解和信任的必要條件，基于此，才能更好地發(fā)展、部署生物識別系統(tǒng)。當(dāng)公權(quán)機關(guān)利用職權(quán)優(yōu)勢合法請求個體配合監(jiān)控、共享指紋或面部特征等信息以及利用隱私政策秘密挖掘個體隱私時，容易導(dǎo)致個體對隱私保護的焦慮，這種焦慮主要來自秘密挖掘帶來的不安全感與單方無限制濫用存儲信息并由此帶來的不公平感[19]。而實施生物識別信息收集使用的透明原則，有利于提高生物識別信息收集者/使用者的責(zé)任感，有利于保障個體生物識別信息的自主權(quán)利，防止生物識別信息的濫用。

最后，需要特別指出的一點是：對生物識別信息隱私的保護亦不能絕對化。因為有時我們需要在安全和隱私之間作出權(quán)衡——安全和隱私在什么情況下，何者更重要。可設(shè)想如下情形：出于公共安全的考慮，指紋識別、人臉識別被政府用于監(jiān)控目的時，如果該監(jiān)控被證明是必要的、相稱的、有效的，并且沒有其他可供選擇的手段，同時履行告知的義務(wù)，那么使用和共享個體數(shù)據(jù)是能夠得到倫理學(xué)辯護的。

[1] Association for Biometrics(AfB), International Computer Security Association(ICSA). 1998 Glossary of biometric terms[J]. Information Security Technical Report, 1998, 3(1):98-108.

[2] CSSS Policy Brief NO1.Biometric Identification Technology Ethics[EB/OL].(2003-11-03)[2017-09-17].https://danishbiometrics.files.wordpress.com/2009/08/news_2.pdf.

[3] Mordini E, Petrini C. Ethical and social implications of biometric identification technology[J]. Ann Ist Super Sanita, 2007,43(1):5-11.

[4] 賈曉飛,臧亞麗.指紋識別系統(tǒng)面臨指紋被仿造的挑戰(zhàn)[J].保密科學(xué)技術(shù),2014(9):18-21.

[5] Hunter H. Finger and palm prints in chromatin-positive males[J]. Journal of medical genetics,1968,5(2):112-117.

[6] Nguyen T T, Wong T Y. Retinal vascular manifestations of metabolic disorders[J]. Trends Endocrinol Metab, 2006,17(7):262-268.

[7] Mordini E, Massari S. Body, biometrics and identity[J]. Bioethics, 2008,22(9):488-498.

[8] Bertino E, Sandhu R. Database security-concepts, approaches, and challenges[J]. IEEE Transactions on Dependable and secure computing, 2005,2(1):2-19.

[9] Irish Council for Bioethics. Biometrics, Enhancing Security, or Invading Privacy[M]. Dublin: Irish Council for Bioethics,2009.

[10] Van Der Ploeg I. Genetics, biometrics and the informatization of the body[J]. Ann Ist Super Sanita, 2007,43(1):44-50.

[11] Froomkin A M. The death of privacy?[J]. Stanford Law Review, 2000,52(5):1461-1543.

[12] 邱仁宗,黃雯,翟曉梅.大數(shù)據(jù)技術(shù)的倫理問題[J].科學(xué)與社會,2014(1):36-48.

[13] BIOVISION. Roadmap to successful deployments from the user and system integrator perspective[R]. Amsterdam: BIOVISION, 2004.

[14] Kourkoumelis N, Tzaphlidou M. Medical Safety Issues Concerning the Use of Incoherent Infrared Light in Biometrics[C]// In Kumar Ajay, Zhang David(eds.). Ethics and Policy of Biometrics: Third International Conference on Ethics and Policy of Biometrics and International Data Sharing. Berlin: Springer Berlin Heidelberg, 2010:121-126.

[15] Woodward J D. Biometrics: privacy’s foe or privacy’s friend?[J]. Proceedings of the IEEE, 1997,85(9):1480-1492.

[16] OECD. Biometric-based technologies[R]. Paris: OECD,2004.

[17] EC. Working Paper of the data protection working party of the European Commission: biometrics[R]. Brussels: EC,2003.

[18] Zhai X, Renzong Q. The Status Quo and Ethical Governance in Biometric in Mainland China[C]// In Kumar Ajay, Zhang David(eds.). Ethics and Policy of Biometrics: Third International Conference on Ethics and Policy of Biometrics and International Data Sharing. Berlin: Springer Berlin Heidelberg, 2010:127-137.

[19] 楊詠婕.個人信息的私法保護研究[D].長春：吉林大學(xué),2013.