海外個人生物信息攻防戰(zhàn)

俞飛

（ 圖片來源：圖蟲創(chuàng)意）

“9·11”事件后，各國個人生物信息識別技術(shù)發(fā)展大提速。指紋、人臉、掌紋、虹膜、視網(wǎng)膜、DNA、靜脈、聲音、步態(tài)識別層出不窮，2020年全球生物信息識別產(chǎn)業(yè)規(guī)模將達233億美元。

支持者眼中，個人生物信息技術(shù)大潮若決江河，沛然莫之能御。亞馬遜、蘋果、臉書、谷歌和微軟紛紛申請人臉識別專利。美國海關(guān)和出入境保護局對外國人進行指紋識別和拍照，國土安全部12月初提議將人臉識別擴展至美國公民。反對者警告：生物信息識別技術(shù)一旦泄露，“一失萬無”;敏感信息難以修改，惡意攻擊和騷擾的風險伴隨終生。

美國公民自由聯(lián)盟聲明：“政府堅持大規(guī)模部署這種強大的監(jiān)控技術(shù)，引起了我們對隱私的深切關(guān)注。更重要的是，這項技術(shù)缺乏國會授權(quán)和足夠的保障措施。政府過去的安全失誤，以及該技術(shù)在有效性、偏見性和社會影響等方面尚未解決的問題更加劇了我們的擔憂?！绷钊颂湫苑堑氖牵ツ陙嗰R遜人臉識別系統(tǒng)Rekognition用2.5萬張罪犯照片和535張美國國會議員照片進行比對，結(jié)果系統(tǒng)將多達28名議員識別成罪犯，錯誤百出，讓政客大為光火。

支持者與反對者各執(zhí)一詞，爭議不斷。美國伊利諾伊州率先立法規(guī)制，歐盟出臺《通用數(shù)據(jù)保護指令》保護個人隱私。人臉識別惹禍，臉書面臨350億美元天價索賠。印度公民身份證項目立意良善，實踐中卻教訓慘痛。

美國州立法先行 ？判例出爐

迄今為止，美國聯(lián)邦和大多數(shù)州，并未立法保護個人生物信息?！都~約時報》警示：“由于大多數(shù)州沒有保護個人生物信息的法律，任何人都可以使用人臉識別技術(shù)在公共場所合法地跟蹤你。這太可怕了！”

2008年伊利諾伊州立法機構(gòu)成為第一個頒布個人生物信息保護法的州——《生物特征信息隱私法》（BIPA）。通過“規(guī)范生物特征信息的收集、使用、保護、處理、存儲、保留和銷毀”來保護伊利諾伊州居民的“福利、安全和保障”。

“鑒于生物識別標識的使用越來越多，州議會認識到，與其他獨特標識不同，生物識別是生物學上獨一無二的，即使受到損害也不能改變。”為了消除公民的擔憂，BIPA要求獲得個人生物特征信息的公司首先獲得客戶或客戶代理人的書面許可，告知生物識別信息被收集、存儲和使用的特定用途。 BIPA規(guī)范公司收集生物識別信息，涵蓋指紋、視網(wǎng)膜、虹膜、聲紋以及人臉識別。

值得稱道的是，BIPA賦予個人起訴的權(quán)利，原告律師費用由敗訴公司承擔;公司每次過失違法行為賠償1000美元，每次故意違法行為賠償5000美元。

2015年以來依據(jù)BIPA提出的官司超過兩百余起。2019年1月伊利諾伊州最高法院在羅森巴赫訴六旗公司案中，判決六旗公司敗訴，成為全美個人生物信息保護的經(jīng)典案例。原告史黛西·羅森巴赫的兒子亞歷山大·羅森巴赫14歲。被告六旗娛樂公司是一家在伊利諾伊州古爾尼經(jīng)營游樂園的公司。原告為兒子在線購買了六旗游樂園季票，游樂園在其兒子入園時掃描并儲存了他的指紋。該游樂園在2014年推出指紋掃描政策。母親提起訴訟，認為該公園沒有獲得母親書面同意，掃描了未成年人的指紋，也沒有適當披露公司在收集、使用和保留指紋數(shù)據(jù)方面的商業(yè)行為。被告提交了一份駁回申請的動議，原告并非“受損害的一方”，她也未能提出“實際損害”的證據(jù)。動議被法院否決。被告上訴。上訴法院裁決，推翻一審判決，支持六旗公司。母親不服，在電子隱私信息中心、美國公民自由聯(lián)盟、民主與技術(shù)中心以及電子前沿基金會（EFF）等組織的幫助下，訴至州最高法院。2019年1月伊利諾伊州最高法院經(jīng)過審理，撤銷了上訴法院的裁決，7位法官一致裁定六旗公司違反了BIPA，將案件發(fā)回第九巡回法院進一步審理。

法官認為，“在得出相反的結(jié)論時，上訴法院單獨將違法行為定性為僅僅是技術(shù)性的。然而，這種定性誤解了本州立法機構(gòu)力圖通過這項立法與之斗爭的損害的性質(zhì)。該法案賦予個人和客戶控制其生物特征信息的權(quán)利，要求他們在收集之前發(fā)出通知，并給予他們拒絕同意的權(quán)利。這些程序性保護在我們的數(shù)字世界中尤為重要，因為現(xiàn)在的技術(shù)允許大規(guī)模收集和存儲個人獨特的生物識別標識——如果被破壞或濫用，這些標識是不能改變的。”“當一個私人實體未能遵守法定程序時，就像被告在這里所做的那樣，個人維護（他或她的）生物特征隱私的權(quán)利就會消失得無影無蹤。州立法機關(guān)想要阻止的確切的傷害就在那時實現(xiàn)了。這不僅僅是技術(shù)上的。這種傷害是真實而重要的?！?/p>

“如果生物識別標識和信息沒有得到適當?shù)谋Ｗo，企業(yè)為滿足法律要求而可能產(chǎn)生的任何費用與可能造成的實質(zhì)性和不可逆轉(zhuǎn)的損害相比可能是微不足道的。公共福利、安全和保障將得到改善。這才是法律的目的。被告若等到個人所遭受的損害超出其法定權(quán)利的范圍時，才可以尋求補救，這將與該法案預防和威懾的目的完全背道而馳?！狈ü僬Z重心長地說。

判決一出，電子前沿基金會稱這是一場事關(guān)隱私的重大勝利，“隨著生物識別技術(shù)的收集、使用和共享變得越來越普遍、越來越具有侵入性，普通公民根據(jù)BIPA等法律提起訴訟以保護自己的隱私變得越來越重要”。

美國公民自由聯(lián)盟強調(diào)：“今天的裁決保護了伊利諾伊州人民控制自己指紋、虹膜掃描和其他有關(guān)身體的重要信息的權(quán)利。這正是議會在制定BIPA時所考慮的。您的生物特征信息屬于您，不應該留給那些希望收集您的詳細信息用于廣告和其他商業(yè)目的的公司。在BIPA頒布十多年后，我們不斷聽到新的公司收集、共享和濫用數(shù)百萬人的個人信息的例子，這些人在不知情或未經(jīng)同意的情況下被共享。伊利諾伊州法律的有力保護比以往任何時候都更為重要。”

伊利諾伊州商會表達不滿：“我們擔心，今天的決定將為未來的訴訟打開閘門，損害本州的營商環(huán)境?！?？一語成讖，大企業(yè)如臉書果然面臨更大的挑戰(zhàn)。

10月23日，涉嫌濫用人臉信息的集團訴訟案Patel v. Facebook有了新進展。多名臉書用戶根據(jù)BIPA提起訴訟，認為臉書未經(jīng)通知或同意收集其面部信息。美國北加州地方法院駁回了臉書提出的駁回和即決判決的動議，將多起案件合并為集團訴訟。臉書強調(diào)，原告除了指控臉書違反BIPA，卻未列舉出具體傷害，原告缺乏訴訟資格。原告辯稱，他們指控臉書違反BIPA，具有訴訟資格。此案涉及700萬用戶，臉書面臨故意違法，每個用戶賠償5000美元，總賠償金額最高將達350億美元。

？舊金山第九巡回法院表態(tài)：“臉書收集的人臉圖像和相關(guān)技術(shù)，存在應用于視頻監(jiān)控的人臉比對甚至解鎖手機的可能性。”伊利諾伊州的法律“保護原告的具體隱私利益”，違反法律“對這些隱私利益構(gòu)成了實質(zhì)性的損害風險”。法院引用了隱私權(quán)的普通法根源，并指出“最高法院已經(jīng)認識到，技術(shù)進步可能會增加對個人隱私的不合理侵犯”。

9月，臉書宣布將提供可開啟或關(guān)閉人臉識別功能的切換按鈕。如果用戶禁用人臉識別，公司就會停止在圖像上自動標記該用戶，同時停止建議其他人在圖像上標記。BIPA初露鋒芒，華盛頓州、得克薩斯州紛紛效仿，制定個人生物信息保護法案。

2020年1月生效的《加州消費者隱私法》（CCPA），參考歐盟GDPR，明確保護：“包括個體的DNA、虹膜、視網(wǎng)膜、靜脈圖案成像、錄音圖像、人臉、聲紋，以及包含識別信息的擊鍵模式、節(jié)奏、步態(tài)模式或節(jié)奏”等。2019年3月以來，美國兩院有四部新法案限制個人生物信息識別技術(shù)。參院新法案《2019年商業(yè)面部識別隱私法》，禁止在未獲得用戶同意的情況下使用人臉識別技術(shù)和數(shù)據(jù)。新法案沒有規(guī)定私人訴權(quán)，聯(lián)邦貿(mào)易委員會或州檢察長負責法律實施。即使新法案通過，也不會取代規(guī)范人臉識別技術(shù)更嚴格的州法（BIPA和CCPA）。

歐盟GDPR個人敏感數(shù)據(jù)嚴格保護

比起美國，歐盟對個人生物信息的保護更為嚴格細致。2018年5月史上最嚴的《通用數(shù)據(jù)保護法規(guī)》（GDPR）生效。

根據(jù)GDPR第4（14）條的定義，生物識別數(shù)據(jù)明確包括面部圖像。第9條規(guī)定，生物特征數(shù)據(jù)屬于個人數(shù)據(jù)的“特殊類別”，除某些特殊情況外，不得處理該等數(shù)據(jù)。人臉識別技術(shù)的商業(yè)應用可適用的唯一例外是“數(shù)據(jù)主體已明確表示同意”，同意須“自由給予、明確、具體、不含混”，數(shù)據(jù)主體任何形式的被動同意均不符合GDPR的規(guī)定。

依據(jù)第14條的規(guī)定，數(shù)據(jù)控制者在收集與數(shù)據(jù)主體相關(guān)的個人數(shù)據(jù)時，應當告知數(shù)據(jù)主體，包括數(shù)據(jù)控制者的身份與詳細聯(lián)系方式、數(shù)據(jù)保護官的詳細聯(lián)系方式、數(shù)據(jù)處理將涉及的個人數(shù)據(jù)的使用目的，以及處理個人數(shù)據(jù)的法律依據(jù)等。

整體上看， GDPR突出數(shù)據(jù)私權(quán)至上的原則， 極大地擴充數(shù)據(jù)主體的數(shù)據(jù)權(quán)利范圍和保護機制， 對數(shù)據(jù)控制者和處理者使用個人數(shù)據(jù)進行了嚴格的限制， 加大了數(shù)據(jù)控制者和處理者對個人數(shù)據(jù)管理的法律責任，并對違反GDPR的行為，尤其是違反監(jiān)管機構(gòu)發(fā)布的命令，處罰嚴厲：違法者處以最高2000萬歐元的罰款，或者最高前一年全球總營業(yè)額4%的罰款，兩者取其高。

10月17日，針對尼斯和馬賽兩所高中運用人臉識別技術(shù)監(jiān)控學校入口，法國國家信息技術(shù)與自由委員會（CNIL）明確表達反對?！按舜胧┻`背了歐盟GDPR提倡的獲取個人數(shù)據(jù)的比例性原則以及數(shù)據(jù)獲取量的最小化原則?！?/p>

日前，法國內(nèi)務部正式推行一款使用人臉識別技術(shù)的手機應用軟件，成為第一個官方采用人臉識別技術(shù)的歐盟國家。11月15日CNIL發(fā)布報告，呼吁就人臉識別的話題進行積極的、前瞻性的全國大辯論?！叭绻四樧R別技術(shù)在法國使用的場合逐步累積，在公民日常生活中的擴散又悄無聲息，法國民眾有朝一日可能會忽然發(fā)現(xiàn)，他們生活的社會已經(jīng)改變，而此改變并未預先經(jīng)過他們的辯論?！?/p>

8月，英國《金融時報》報道：歐盟正在考慮對人臉識別進行嚴格限制。如果政府或者商業(yè)公司想要使用人臉識別技術(shù)，那么歐盟公民就有權(quán)知曉他（她）的人臉數(shù)據(jù)何時被使用。

印度Aadhaar隱患不斷

2009 年印度政府推出面向所有國民的生物識別數(shù)據(jù)庫項目Aadhaar（印度語“基礎(chǔ)”），旨在將每個印度公民的指紋、照片和虹膜等生物信息納入一系列政府服務的數(shù)據(jù)庫，從上學、看病到銀行金融服務都要和12位的ID綁定。

印度政府的初衷是希望通過建立一個基于生物識別數(shù)據(jù)的社會信用體系，讓更多印度民眾更好地享受社會福利，同時減少騙取福利的行為以及政府官員的貪污腐敗。批評者抨擊，Aadhaar威脅個人隱私。數(shù)以百萬計的印度窮人指紋早已磨平，無法識別。2017 年印度民眾抗議政府將公立學校為兒童提供的免費午餐與 Aadhaar 綁定。

個人隱私信息遭濫用，在印度屢見不鮮。210家政府機構(gòu)公開福利受益人的全名、地址和Aadhaar號碼;1.1億用戶的Aadhaar信息從電信公司外泄;超過1億人的銀行賬戶和Aadhaar細節(jié)信息通過特定的公開政府門戶泄露;政府的電子醫(yī)院數(shù)據(jù)庫被入侵，Aadhaar機密信息遭訪問。

律師古普塔擔心，Aadhaar會讓賤民和農(nóng)民工永遠蒙受恥辱，因為它可讓未來的雇主、學校、銀行查看其數(shù)據(jù)庫信息，根據(jù)他們的社會經(jīng)濟地位來評判他們。印度的社會流動會變得更加困難。隱瞞懷孕、變性手術(shù)史、八年級考試沒及格等個人隱私保護也會變得更加困難。

一紙訴狀，他們將印度政府告上法院，印度政府則辯稱印度憲法中并未明文規(guī)定公民隱私權(quán)。

“隱私確保人類能夠保護自己的內(nèi)心不受外界的有害侵擾，過上有尊嚴的生活。”2017年，印度最高法院作出判決：隱私權(quán)是公民的基本權(quán)利，印度政府大跌面子。2018年9月，最高法院對此案再次作出判決：Aadhaar項目并不違反憲法，但對如何使用超過10億公民的個人信息應加以限制。

“Aadhaar利益遠遠超過任何風險。任何依靠政府服務的人，從提交納稅申報表到獲得退休金或福利，都將依法要求提供Aadhaar號碼?！狈ü僖诲N定音。

萬萬沒想到，Aadhaar運行失誤卻讓眾多印度人無法正常地在社會生活，甚至會因此死亡。

推出 10 年，Aadhaar技術(shù)問題頻發(fā)，如機器不夠穩(wěn)定，更重要的是印度互聯(lián)網(wǎng)覆蓋率不到 40%，生物識別的機器不支持離線工作，這讓很多本來符合資格的民眾抱怨領(lǐng)不到社會福利。“我們通常要將機器運到一兩公里外的地方才有信號。”

2019年 5 月，印度男子馬吉餓死在自己家的家門口。長期缺乏食物導致他營養(yǎng)不良，他和妻子本來是有權(quán)利領(lǐng)取養(yǎng)老金的，但Aadhaar 的機器無法識別夫妻二人的指紋。這樣的事在印度每天都在發(fā)生。僅在賈坎德邦，至少有 13 起Aadhaar 故障無法領(lǐng)取補助致民眾餓死的案例。不只是領(lǐng)取養(yǎng)老金和食物補助，在托兒所工作的德維因為驗證問題 8 個月沒拿到工資，甚至還有人無法識別指紋不能取出銀行存款……

Aadhaar 推出后，賈坎德邦取消了100萬張偽造的補助卡。非政府組織抽樣調(diào)查了其中 135 張，發(fā)現(xiàn)只有 2 張是偽造的，3 張為身份重復。更多的人則是在不知情的情況下從補助名單中被剔除，據(jù)悉印度有 300 萬人因此無法領(lǐng)取糧食配給。

諷刺的是 ，Aadhaar 一開始最希望幫助的弱勢群體，最后卻成了這項計劃最大的受害者。經(jīng)濟學家蕾蒂卡痛斥：“這是一種令人難以置信的監(jiān)控工具。 它沒有帶來什么好處，對福利體系也是毀滅性的?！?/p>

生物識別技術(shù)真的百分之百安全嗎？是否會被濫用？印度公民身份證的教訓，再一次敲響警鐘，切勿墜入“技術(shù)萬能論”的陷阱！