一、引 言

随着社会的发展，日常生活中经常需要验证人的身份，或者去确认某个人是谁，这就涉及到身份识别。传统的识别方式主要包括两类：一是通过实物对个体的身份进行识别，比如身份证、智能卡、护照、钥匙等；二是通过约定相关的口令进行身份识别，比如验证码、暗号、账号和密码等。然而，传统的识别方式存在容易被盗、丢失、遗忘等问题，容易发生个人信息的泄露、身份盗窃、诈骗等，在身份识别方面存在很大的安全隐患。特别是“911恐怖袭击事件”以来，传统的识别方式越来越不能满足人们对安全等级增长的要求，人们迫切需要更加安全便捷的身份识别方式。智能的生物识别技术正是在这一社会背景下迅速发展起来。^[1]

生物识别是一类基于个体独特的生理或行为特征对人的身份进行自动识别或确认的方法。^[2]一个完整的生物识别系统通常由四部分组成：读取器或采集仪、特征提取器、存储生物识别信息（biometric information）的数据库和匹配器。生物识别技术有两个方面的功能：其一是“辨识”（这个人是谁），是“1对多”的比对，即通过比对被测模板与集中式数据库（central database）中存储的多个模板来辨识身份；另外一个是“认证”，是“1对1”的比对，即通过比对被测模板与数据库（集中与否均可）中的特定模板，以确定“该人是否是其所自称的人” ^[3]。

人的任何生理或行为特征只要满足以下条件，原则上就可以用于身份识别：（1）普遍性，即该特征存在于所有人；（2）唯一性，即该特征是独一无二的；（3）永久性，即该特征随着时间的推移不发生变化。^[3]然而，在实际应用中，识别系统还必须考虑：（1）性能，即识别的准确性、速度以及为达到所要求的准确性和速度所需要的资源；（2）可接受性，人们对于一种特定的生物特征识别在日常生活中的接受程度；（3）可欺骗性，用欺诈的方法骗过系统的难易程度。^[4]目前为人们普遍接受的生物识别方法主要包括指纹识别、视网膜和虹膜扫描识别、人脸识别、手形识别、声音识别、签名识别等。未来的生物识别将会包括DNA分析、神经波分析等。多模式的系统整合不同的方法，也会是生物识别未来发展的趋势。

近年来，随着计算机技术的持续发展、价格的降低以及性能的提升，生物识别技术更加具有实用性，社会应用也越来越广泛。目前该技术主要应用于上班打卡、交易支付、签证、边境出入控制以及访问控制等领域。然而，任何的技术革新都需要对其可能带来的伦理问题进行不断的研究，生物识别技术也不例外。^[3]我们很有必要对生物识别技术应用中产生的伦理问题进行梳理、讨论，并探讨应对这些伦理问题的进路。

二、生物识别技术应用的伦理问题

尽管从伦理学角度生物识别技术应用中的一些问题已经被研究了很长时间，但国际上还没有一个整体、详细的有关生物识别伦理问题的分析成果。2007年以前，仅有几个关于生物识别技术伦理问题的报告，比如2001年美国兰德公司的报告《军队生物识别应用中的识别和解决社会文化问题》（Army Biometric Applications: Identifying and Addressing Sociocultural Concerns）^[5]、2003年欧盟委员会工作组织的《生物识别数据保护工作报告（Working Paper of the Data Protection Working Party of the European Commission: Biometrics）^[6]、2004年生物视野报告《从用户和系统积分处理器的角度来看成功部署的线路图》（BIOVISION Report: BIOVISION - Roadmap to Successful Deployments from the User and System Integrator Perspective）^[7]、2004年经济合作与发展组织报告《生物识别技术》（Organisation for Economic Co-operation and Development (OECD) Report: Biometric-based Technologies）^[8]、2005年前瞻性技术研究机构欧盟联合研究中心（European Commission Joint Research Centre）的报告《边疆的生物识别，评价其对社会的影响》（Biometrics at the Frontiers: Assessing the Impact on Society）^[9]、2006年美国国家科学技术委员会的《国家生物识别挑战报告》（National Biometrics Challenge Report (and other Reports) of the National Science and Technology Council of the United States）^[10][11][12]。这些报告主要讨论了如下伦理问题：隐私（如信息隐私、身体隐私等），功能僭变（function creep），间接的医学影响等。

从2007开始，随着欧盟委员会第七框架计划资助的RISE项目（2009—2012年）的开展，数次与生物识别技术应用有关的伦理、法律或政策的国际会议陆续召开。^[13][14]期间欧洲生物识别技术论坛在爱尔兰都柏林建立，论著及权威期刊学术论文不断发表，伦理问题的讨论更加深入，其中不乏一些重要的伦理问题。归结起来，近年所探讨的伦理问题大致如下：

1. 隐私问题

隐私问题可以说是生物识别技术伦理问题中最核心的问题。^[15]尽管我们一直强调隐私的重要性，但不同学者、不同领域对隐私的范围、概念有不同的理解，因此对其做出明确的定义仍然很困难^[16]。但在一般情况下，隐私应包括以下两个基本特点：（1）个人的，而非他人的、公众的或群体的；（2）不愿让他人知晓，或他人不便干涉。美国兰德公司在2001年的报告^[5]中就讨论了生物识别技术应用中的两种隐私问题：信息隐私和身体隐私。在该报告中，信息隐私指的是功能僭变（function creep），即数据的使用超出原有的目的，跟踪以及数据误用。身体隐私包括污名化，直接伤害以及间接伤害。另外，经济合作与发展组织在2004年关于生物识别技术的报告^[8]中，重点讨论了安全与隐私问题，涉及三个领域的隐私问题：功能僭变，监控的风险，同意和透明性。

对生物识别隐私问题讨论最深刻是2006年美国国家科学技术委员会的报告《隐私和生物识别》^[12]。该报告指出，较高层次的隐私应包括四个领域：决定性，即个体对影响自己生活和身体的事情（有时还包括家庭成员的事情，如结束生命的问题）做决定的权利；空间性，即解决有关身体空间（如住房、卧室等）的问题，决定谁可以进入或观察特定空间发生的活动或物体；有意性，即禁止公众可见的亲密活动的再次传播或重复交流；信息性，即解决个人信息使用的问题，主要是指对个人信息如何使用的控制。该报告认为，最切合生物识别技术的隐私概念是指信息隐私，信息隐私又集中探讨一个特殊的信息类型—个人信息。个人信息是指用于识别一个人身份的信息。有些数据可能不以个人信息的形式出现，但通过联合使用，可以用来识别一个人的身份，此时，这些数据也成为了个人信息。^[12]

生物识别信息是通过对个体的观察而收集的，并用于识别个体，如指纹、人脸、手形、DNA等，这些毫无疑问都是个人信息。但对于将生物识别信息存储在生物识别系统中，其是否还是个人信息，是存在争议的。认为存储在生物识别系统中的生物识别信息并非个人信息，主要基于以下两点论证：（1）储存的生物识别信息是无意义的数字，并非个人可识别的信息；（2）生物识别的图像不能从模板中重建。^[15]对于第一点论证，Roderick B. Woo认为，这些存储的生物识别信息数字，是从个体中提取转化出来的，具有唯一性，可以标识个体。^[15]毕竟，收集这些信息并把它们转化成数字的目的就是辨识和/或认证一个人的身份。模板（数字形式或其他）也一样，都是用来识别个体身份的。对于第二点论证，有文献报道，生物识别的图像是可以从模板中重建的。^[17][18]因此，毫无疑问，将生物识别信息存储在生物识别系统中，仍然属于个人信息。由于生物特征具有永久性，难以改变的特性，并且一般可以为其他人所见，因此其一旦泄露或被伪造，就不能重新设置，会带来更大的安全风险，引起的隐私问题更加严重。因此，更应将生物识别信息作为敏感数据加以对待。^[8]

生物识别信息作为敏感数据，更应重点关注其收集、存储和使用。美国国家科学技术委员会2006年的报告的分析更是主要集中在个人信息如何使用，特别是个人信息的使用是否恰当。^[12]这也在其他权威期刊的文献、论著或报告中得到印证。^{[1][5][19][20]}这里，最为突出的两个问题便是功能僭变（function creep）和身体的信息化（the informatization of the body）。

所谓功能僭变是指生物识别信息的使用超出原有的目的。2001年兰德公司的报告认为，在个体知情或不知情的情况下功能僭变都可能发生，不可避免。^[5]之后，功能僭变问题逐渐成为生物识别技术伦理问题中的热点。有学者提出，引起功能僭变通常包括三个要素：政策真空或缺失；不满足于给定的目的或功能；滑坡效应或秘密应用。并且通过分析指出，生物识别系统包含的信息通常是多余的，生物识别系统不能避免多余的信息。^[19]

身体的信息化是另外一个重要的问题，其实也是一种特殊类型的功能僭变。“身体的信息化”一词，最初由Van der Ploeg^[21]提出，是指可以从生物识别系统中挖掘出大量的有关个体的信息。这些挖掘出来的信息非常丰富，其中包括一些敏感数据，如医学信息、交易记录等。^[12]生物视野报告聚焦于医学影响将生物识别技术的医学影响分为两类^[7]：直接的影响，即对身体自己的伤害，如射线对身体的辐射以及疾病的传播等；间接的影响，即存在对医学信息的揭露，包括现在的身心状态及潜在的患病风险等。该报告认为，直接的医学影响不合理（但有些文章认为，直接的医学影响仍然令人担忧^[22]），间接的医学影响值得进一步讨论。间接的医学影响，就是从生物识别系统中挖掘出来医学信息。当这一医学信息（现在身心状况及未来患病风险）泄露给雇主时，存在较大的风险。^[23]

2. 自主性问题

采集生物识别信息时，应该收集哪些个人信息（除了生物识别信息，还应包括其他个人信息吗？），是否应该告知被采集者潜在的风险，应该如何告知，被采集者是否应该知道信息如何存储，这些信息用于什么目的，谁可以得到这些信息，存储多久，再次使用生物识别信息时是否应该再次取得被采集者的同意？这一系列的问题，不仅仅是隐私问题，更多的是涉及自主性问题。行使自主性的一个重要部分就是知情同意。^[20]Anton Alterman提出生物识别技术在应用中要有知情同意，建议自愿提交生物识别信息的个体应该：（1）充分被告知潜在的风险；（2）有能力理解他们行为可能产生的影响；（3）在不受到任何威胁的情况下，做出此类行为。^[24]因此，为了确保个体的知情同意，很重要的一点就是，个体能够理解生物识别系统的目的和含义。^[9]一般来说，成人被认为具有足够的理解信息的能力，问题主要是学校使用生物识别技术时儿童的知情同意问题。^[25]类似的知情同意问题，也来自一些脆弱人群，如老年人、精神病患者、理解能力低下者等。^[10][26]

对儿童知情同意的保护需要征得其父母或监护人的知情同意，但问题就在于，儿童多大年龄时，不再需要父母或监护人的额外的同意。以爱尔兰为例，数据保护委员会要求，在学校使用生物识别技术，18岁及以上的学生自己作出是否同意的决定，12至17岁的学生需要同时征得学生和父母或监护人的同意，12岁以下的学生只需征得父母或监护人的同意。^[25]而在英国学校使用生物识别技术的情况，则是有必要告知学生和父母或监护人，但是不一定要取得父母或监护人的同意。^[27][28]只有在学生被认为不能够理解涉及的信息的情况下，才需要取得父母或监护人的同意。^[28]

目前，由于监控技术的进步和某些生物识别技术远距离感知的可能，在个体不知情的情况下，对个人信息（包括生物识别信息）进行秘密收集。最常见的例子就是监控探头的使用。监控探头很可能在个体不知情的情况下，记录个体的影像和行踪。虽然有些是出于安全、犯罪预防和调查的考虑，但爱尔兰生命伦理委员会认为，对于生物识别信息的秘密收集，需要在几个前提条件下才可以得到辩护。这些条件包括：（1）有效性，即秘密收集生物识别信息可以达到保护社会安全、预防/减少犯罪的作用；（2）相称性，即秘密收集生物识别信息的监控程度、措施要与个人自由的限制程度相称；（3）必要性，即秘密收集生物识别信息的监控措施对于确保公众安全、实现国民安康目标，是必要的；（4）侵犯最少，即力求秘密收集生物识别信息对个人权利和利益的侵犯最小化；（5）透明性，即有关保障社会安全的政策、措施和行动，应该让社会公众（纳税人）知晓；（6）赔偿性，即如果发现监控出现错误（冤枉好人）应及时平反纠错，给与赔偿。满足以上条件的秘密收集生物识别信息，在伦理学上可得到辩护，否则就得不到辩护。^[20]

3. 社会排斥问题

目前，很多生物识别技术还处在发展、创新中，还没有达到可以大规模部署的地步，识别系统还需要特定的场景。在实际应用中，尚不能保证百分之百的准确，存在不能注册（Failure to Enroll, FTE）、错误非匹配或错误拒绝（False Non-Match or False Reject, FNM）的可能。^[29]英国的一项研究发现约0.62%的人不能注册到任何生物识别系统。这一数据看起来很小，但是乘以英国的总人口，这一数据（6.2万）会很庞大。至少目前，生物识别采集仪不能够处理正常值以外的个体，总有些个体不能够被识别，从而被排斥在外。尤其是当这些系统与社会福利挂钩时，这些不能被识别的个体，很可能被排斥在社会福利之外，导致不公正问题。^[26]这些人群包括：残疾或理解能力低下的人、精神疾病患者、老人、某些种族的人、无家可归的人。Wickins认为，为了公共利益，牺牲少数人的利益，不能得到辩护，我们应该有同样的道德责任确保这些个体不招致不成比例的伤害。^[26]

三、总结与讨论

现在看来，生物识别技术的应用带来了一系列的伦理问题，特别是有关隐私保护、身体信息化、自主性、社会排斥等伦理问题。国外对以上伦理问题的讨论主要源于10年前在意大利召开、得到欧盟支持的非政府学术会议—生物识别伦理和法律问题国际研讨会。与其他技术一样，生物识别技术应用所带来的伦理问题是由它所使用的方式决定的，即技术如何被使用，以及所产生的数据/信息如何处理。当我们考虑生物识别技术应用所带来的伦理问题时，应当与其他有关技术的革新发展联系起来，比如监控技术、大数据技术、网络信息通讯技术、数据库安全等技术。

在生物识别技术的相关伦理问题中，隐私保护处于核心位置。在生物识别情境下，隐私更多的是信息隐私，一般等同于生物识别信息。与一般的个人信息不同，生物识别信息具有永久性、侵犯的隐蔽性以及对医学信息的可揭露性等新的特征。^[30]因此，在进行收集、存储和使用/分享生物识别信息时，应当将其作为敏感的个人信息加以处理。如果处理不当，可能会产生身份盗窃以及欺诈生物识别系统等诸多风险，并且由于生物识别信息是不可重设的，这些影响将会是不可逆的。这是对生物识别信息保护的意义所在。

身体信息化是生物识别技术应用所特有的伦理问题。如果数据挖掘使用得当，根据某些特殊类型的生物特征与某些疾病之间的关系，可以将其应用在疾病的辅助诊断和预防上。但由于使用生物识别技术的个人、单位或机构组织各自的价值理念和取向不同，因此身体信息化还可能会带来歧视与污名化、不安与恐惧、分类与社会排斥等风险。

对自主性的讨论侧重于知情同意。不可否认，为了国家/社会/公共安全，秘密或强制收集个人生物识别信息，免除或强制个体同意的情况确实存在，但这不能成为一种默认的状态。只有在满足有效性、相称性、必要性、侵犯最少和透明性等前提条件下，这样的秘密或强制收集个人生物识别信息才能得到伦理学辩护。

生物识别情境下的社会排斥是指某些特殊群体因不能被任何生物识别系统所识别而不能享受相应的权利或福利所带来的社会处境和伦理困境。社会排斥问题实则是公正问题，个人利益与公共利益应恰当权衡。合理的做法是应当采取一定的措施尽可能多的纳入个体，同时应当为那些不能被纳入的个体提供其他可供选择的权利或服务，尽力避免社会排斥对这些弱势群体的伤害，确保他们不招致不成比例的伤害。

相比而言，我国对生物识别所带来的以上伦理问题的讨论很少，公众对此的关注远远不够。并且我国乃至世界对生物识别技术研发和应用的管理规范滞后于其发展。现在，技术发展速度倒逼制度法规的出台，而这其中的时间差是最容易出现问题的时段，在此期间，不管是监管当局还是技术研发创新应用的各方都应提高认识，尽可能保证生物识别市场的健康发展，保证公众的基本权益。

对生物识别技术的监管或治理，除了出台政策（如激励或大力支持技术的革新和成熟、隐私保护系统建立的政策）之外，还应该有伦理治理（ethical governance）和法规治理（rule governance）。在伦理治理方面，应当制定评价在生物识别方面采取行动的伦理学框架，评价的结果包括：某个行动是应该做的或有义务做的；或者这个行动是不应该做的或应该禁止做的；或者这个行动是允许做的（也允许不做）。该伦理学框架由一组伦理原则构成。其中的每一条原则都是一项我们应尽的“初始”（prima facie）义务，如条件不变我们必须履行这些义务。如果条件有改变，初始义务之间发生了冲突，有另一条初始义务更为重要，那么该初始义务就不能成为实际义务，而那个更为重要的初始义务就成为实际义务。目前讨论的伦理原则有效用、尊重、相称和公正等^[31]，但仍有待我们进一步探讨。

伦理治理对限制和减少生物识别技术应用带来的负面效应具有极其重要的作用，但也存在刚性不足的缺陷。而法规治理可为有效应对、控制和处理生物识别技术负面效应提供强有力的手段。目前，虽然我国对个体隐私权和自主权的保护可散见于若干法律法规，但这样的问题依然令人担忧，可能以各种名义无条件地牺牲个人的隐私权和自主权等合法权益。从2003年我国政府将个人信息保护法列入立法计划至今，相关法律尚未出台。

值得关注的是，目前学术界已有两部建议稿^[32][33]。我们期待个人信息保护法尽快制定，同时应将生物识别信息作为个人敏感信息进行特殊规定。近年来，随着生物识别技术的革新，第二代生物识别技术也逐渐出现，包括神经波分析、皮肤光泽分析、远距离虹膜扫描、高级人脸识别等，也应加紧对其伦理问题和治理的研究。^[34]