各國(guó)都有自己的公民身份系統(tǒng)，有的是統(tǒng)一身份證件，有的則是統(tǒng)一編碼。但世界上仍有許多人沒(méi)有“合法”身份，比如因戰(zhàn)亂、災(zāi)害失去家園者、難民、被拐賣的兒童等等。

全球范圍內(nèi)，他們是人道主義機(jī)構(gòu)的援助對(duì)象。但“難以識(shí)別”恰恰成為一大障礙，發(fā)放救援物資或現(xiàn)金時(shí)如何避免冒領(lǐng)、漏領(lǐng)，疫苗接種會(huì)不會(huì)出現(xiàn)打重或漏打……

許多人道主義機(jī)構(gòu)開(kāi)始啟用生物識(shí)別技術(shù)，依靠指紋、虹膜或人臉等信息識(shí)別個(gè)人。紅十字會(huì)國(guó)際委員會(huì)（ICRC）也是其一，這也是他們數(shù)字化轉(zhuǎn)型的一步。ICRC采集服務(wù)對(duì)象的指紋信息，用于身份驗(yàn)證。

但I(xiàn)CRC為自己劃定了一個(gè)“禁區(qū)”，不會(huì)將服務(wù)對(duì)象的原始生物特征信息納入一個(gè)中央數(shù)據(jù)庫(kù)。這是為什么？

本文節(jié)選自紐約大學(xué)AI Now研究中心報(bào)告“Regulating Biometrics: Global Approaches and Urgent Questions”（生物識(shí)別技術(shù)監(jiān)管：全球舉措及關(guān)鍵問(wèn)題）的第五章。為便于理解，我們對(duì)原文進(jìn)行了必要的補(bǔ)充和修改。

一些情況下，國(guó)際紅十字會(huì)需要識(shí)別具體的人，以確保醫(yī)療服務(wù)的連續(xù)有效，比如需要分多次接種的疫苗。圖片來(lái)源：ICRC官網(wǎng)

紅十字國(guó)際委員會(huì)（ICRC）在全球九十多個(gè)國(guó)家開(kāi)展工作，作為全球人道主義網(wǎng)絡(luò)的一部分，服務(wù)人群超過(guò)八千多萬(wàn)。比如，它為羈押人員提供醫(yī)療保健、食物、基本住所、衣物、教育和工作的機(jī)會(huì)以及其他援助。此外，ICRC還會(huì)找尋失蹤人口，幫助失散家庭重聚。

援助中，后勤是一大挑戰(zhàn)，由于許多受助者缺乏有效的身份證件文件，一些人道主義組織使用了生物識(shí)別系統(tǒng)，可以在提供服務(wù)或援助時(shí)驗(yàn)證受助者身份。

人們?cè)诤畏N情況下有被識(shí)別的“必要”？應(yīng)使用哪種識(shí)別技術(shù)？使用生物識(shí)別技術(shù)恰當(dāng)嗎？人道主義組織已就這些問(wèn)題進(jìn)行了激烈辯論。

一些情況下，一些人道主義援助需要識(shí)別具體的人，以保證醫(yī)療服務(wù)的連續(xù)和有效（編者注：比如一些疫苗需要分多次接種，ICRC需要明確具體的人），他們會(huì)要求受助者提供旅行證件或財(cái)務(wù)服務(wù)。聯(lián)合國(guó)難民署（UNHCR）有權(quán)識(shí)別難民和尋求庇護(hù)者，并向他們提供有效的身份證件（盡管它們因使用生物識(shí)別技術(shù)屢遭批評(píng)）。但大多數(shù)人道主義組織并沒(méi)有正式權(quán)限向人們提供身份證明文件，他們主要使用了生物識(shí)別技術(shù)，可以提高效率，并保證一定的準(zhǔn)確性。

相較于傳統(tǒng)的身份證件、社保號(hào)碼和其他文件，生物識(shí)別ID可以更直接關(guān)聯(lián)到單個(gè)人。它還可以避免單個(gè)人重復(fù)認(rèn)領(lǐng)援助金或物資，對(duì)機(jī)構(gòu)而言，這是一大吸引力。

生物識(shí)別技術(shù)的應(yīng)用也推動(dòng)了現(xiàn)金轉(zhuǎn)移計(jì)劃（cash-transfer programs）的發(fā)展壯大。金融服務(wù)提供商必須驗(yàn)證賬戶持有人和現(xiàn)金接收者的身份，生物識(shí)別提供了一種簡(jiǎn)單直接的方式，滿足多種運(yùn)營(yíng)和法律需求。

這對(duì)人道主義機(jī)構(gòu)的工作人員至關(guān)重要，他們希望運(yùn)營(yíng)盡可能高效，確保有限的服務(wù)和援助可以精準(zhǔn)投放給受益人。這些機(jī)構(gòu)的捐贈(zèng)者也對(duì)“端到端的可審核性”（end-to-end auditability）提出了更高要求（提高透明度，要求人道主義資金從捐贈(zèng)者到接收者全鏈條可追蹤），基于反欺詐和問(wèn)責(zé)程序使用資金。

這一切都促使人道主義組織使用生物識(shí)別技術(shù)進(jìn)行受益人登記和救援物資分配。如果別人都在這樣做，為什么我們不呢？

風(fēng)險(xiǎn)和擔(dān)憂

人們關(guān)注生物識(shí)別技術(shù)在人道主義工作中的應(yīng)用，但其風(fēng)險(xiǎn)性常被忽視。生物識(shí)別數(shù)據(jù)是獨(dú)特的、不可改變的。對(duì)于那些身處惡劣境遇的人們，它提供了永久性、可識(shí)別的記錄。但或許他們并不想被永久性識(shí)別，如果他們逃離的政權(quán)或武裝力量獲得了這部分?jǐn)?shù)據(jù)（或有權(quán)訪問(wèn)），相關(guān)人員可能遭受傷害。

生物識(shí)別的敏感性在于，它可能被反復(fù)使用、濫用或“功能潛變”（function creep），即數(shù)據(jù)可能背離原始目的，被用于其他目的上，且無(wú)需獲得數(shù)據(jù)主體的知情和同意。

例如，數(shù)據(jù)可能會(huì)與非人道主義組織或政府共享，用于安保和移民控制，這背離了采集數(shù)據(jù)的初衷——服務(wù)于人道主義救援。尤其在危機(jī)或緊急情況下，生物識(shí)別數(shù)據(jù)可能在被援助者不希望、不知情或不同意的情況下被挪用。

此外，出于人道主義目的建立的數(shù)據(jù)庫(kù)有可能與其他數(shù)據(jù)庫(kù)相匹配，比如由政府的合作伙伴開(kāi)發(fā)或運(yùn)行的其他社會(huì)登記系統(tǒng)或者公民身份證系統(tǒng)。技術(shù)在不斷進(jìn)步，未來(lái)，基于生物識(shí)別數(shù)據(jù)生成的用戶檔案還可能包含更多信息，例如健康狀況、種族或基因。

剛果民主共和國(guó)一處難民營(yíng)，人們正進(jìn)行指紋識(shí)別。圖片來(lái)源：聯(lián)合國(guó)移民署

剛果民主共和國(guó)的一個(gè)難民營(yíng)使用了指紋識(shí)別系統(tǒng)。圖片來(lái)源：ICRC官網(wǎng)

各國(guó)對(duì)生物識(shí)別技術(shù)的興趣漸濃，以此監(jiān)測(cè)人口流動(dòng)，識(shí)別安全“威脅”。2017年12月，聯(lián)合國(guó)安理會(huì)呼吁加強(qiáng)生物識(shí)別系統(tǒng)的應(yīng)用，以識(shí)別恐怖分子嫌疑人，要求所有聯(lián)合國(guó)會(huì)員國(guó)“開(kāi)發(fā)和使用系統(tǒng)，收集生物識(shí)別數(shù)據(jù)，包括指紋、照片、面部識(shí)別及其他相關(guān)的生物識(shí)別數(shù)據(jù)，在遵循各國(guó)法律和國(guó)際人權(quán)法的基礎(chǔ)上負(fù)責(zé)任地、適當(dāng)?shù)刈R(shí)別恐怖分子，包括外國(guó)恐怖分子”。

各國(guó)紛紛對(duì)人道主義機(jī)構(gòu)施壓，要求其開(kāi)放生物識(shí)別數(shù)據(jù)，用于人道主義救援以外的目的。人道主義組織也容易受到來(lái)自國(guó)家和非國(guó)家實(shí)體網(wǎng)絡(luò)活動(dòng)的攻擊，后者想要不經(jīng)授權(quán)進(jìn)行數(shù)據(jù)訪問(wèn)。

2019年12月舉行的第33屆“紅十字會(huì)與紅新月國(guó)際聯(lián)合會(huì)”，生物識(shí)別數(shù)據(jù)的應(yīng)用就成為一個(gè)中心議題。為維護(hù)人道主義組織的獨(dú)立性、中立性和信譽(yù)度，大會(huì)通過(guò)了一項(xiàng)具有里程碑意義的決議，“在尊重隱私的同時(shí)幫助家庭恢復(fù)聯(lián)系”。該決議基于目的限制性（purpose limitation）原則，“敦促各國(guó)與此項(xiàng)運(yùn)動(dòng)合作，確保個(gè)人數(shù)據(jù)不被用于與人道主義精神不符的其他用途”。

ICRC版生物識(shí)別信息政策

2019年8月，ICRC推出了一套專門針對(duì)生物識(shí)別技術(shù)的政策。而在此之前，紅十字國(guó)際委員會(huì)已對(duì)生物識(shí)別技術(shù)的應(yīng)用提出了限制，例如，他們會(huì)在其簽發(fā)的旅行證件上加入指紋（但指紋信息未被存儲(chǔ)在任何數(shù)據(jù)庫(kù)中）。除了使用DNA譜圖分析來(lái)鑒定遺體，以確定失蹤者身份外，ICRC也在探索人臉識(shí)別技術(shù)，幫助離散家庭重聚。

生物識(shí)別技術(shù)是ICRC轉(zhuǎn)型戰(zhàn)略的一部分，試圖抓住新技術(shù)的契機(jī)，提高運(yùn)營(yíng)效率，進(jìn)而轉(zhuǎn)變并調(diào)整其人道主義的應(yīng)對(duì)措施。但隨之而來(lái)的問(wèn)題是如何管理風(fēng)險(xiǎn)。

早在2018年初，隨著人們對(duì)生物識(shí)別技術(shù)應(yīng)用的興趣漸濃，ICRC理事會(huì)要求評(píng)估相關(guān)的運(yùn)營(yíng)、倫理和聲譽(yù)風(fēng)險(xiǎn)，同時(shí)研究政策，如何在引入創(chuàng)新的同時(shí)保護(hù)數(shù)據(jù)。

ICRC在18個(gè)月內(nèi)制定了該政策，前后歷經(jīng)研究、分析、咨詢和反思。ICRC審查了自身生物識(shí)別技術(shù)使用的所有場(chǎng)景，評(píng)估了“合法性依據(jù)”和具體處理目的，并確定了組織、技術(shù)和法律層面的保障措施。盡管ICRC不受國(guó)家或地區(qū)數(shù)據(jù)保護(hù)法的約束，但它采用了類似規(guī)則，要求所有數(shù)據(jù)處理和應(yīng)用需滿足合法性依據(jù)。

“合法性依據(jù)”包括，某些任務(wù)中必須使用生物識(shí)別，否則將無(wú)法識(shí)別特定目標(biāo)。例如，使用DNA確定失蹤者身份或下落，使用人臉識(shí)別來(lái)匹配和尋找失蹤者。ICRC將這些使用目的定義為“公共利益”。

另一些情況中，合法性依據(jù)更難界定。例如，當(dāng)生物識(shí)別技術(shù)應(yīng)用于受益人管理和援助物資發(fā)放，應(yīng)用的目的在于提高效率，并且此前，發(fā)放援助物資無(wú)需生物識(shí)別就可以完成。ICRC認(rèn)定，生物識(shí)別用于身份管理系統(tǒng)，其“合法性”不得損害人們的權(quán)利和自由。在目的和手段之間平衡，這也是數(shù)據(jù)保護(hù)法的基本準(zhǔn)則（比如GDPR）。

經(jīng)過(guò)綜合考慮，ICRC認(rèn)為，可以利用生物識(shí)別技術(shù)的效率和有效性，在援助物資分配中完善“端到端”的問(wèn)責(zé)制，同時(shí)還需要最大程度地降低受益人風(fēng)險(xiǎn)。這種平衡性體現(xiàn)在生物識(shí)別數(shù)據(jù)的采集、使用和存儲(chǔ)，ICRC設(shè)計(jì)了一套基于存儲(chǔ)卡的系統(tǒng)（token-based system）。

實(shí)踐中，ICRC援助對(duì)象的生物識(shí)別數(shù)據(jù)被存儲(chǔ)在一張卡中，由其本人持有，只有在需要時(shí)，ICRC才會(huì)使用這張卡片進(jìn)行身份驗(yàn)證，而不會(huì)收集、保留或進(jìn)一步處理這部分?jǐn)?shù)據(jù)，也不會(huì)建立生物識(shí)別數(shù)據(jù)庫(kù)。

ICRC使用這種卡片，除了在發(fā)放援助物資時(shí)進(jìn)行身份驗(yàn)證，不會(huì)被用于其他用途。如果受益人要撤回或刪除其生物識(shí)別數(shù)據(jù)，他們可以要求ICRC退還或銷毀卡片。如前所述，其他力量（比如國(guó)家政府或軍事力量）可能會(huì)強(qiáng)迫人道主義機(jī)構(gòu)交出生物識(shí)別數(shù)據(jù)，ICRC就不存在類似壓力，因?yàn)樗鼔焊鶝](méi)有存儲(chǔ)這些數(shù)據(jù)。

紅十字會(huì)生物識(shí)別信息政策的主要特點(diǎn)

ICRC生物識(shí)別政策由紅十字國(guó)際委員會(huì)大會(huì)于2019年8月通過(guò)，其中規(guī)定了工作人員、項(xiàng)目角色和職責(zé)、ICRC處理生物識(shí)別數(shù)據(jù)的合法性依據(jù)、特定使用目的和場(chǎng)景，以及ICRC可處理的生物識(shí)別數(shù)據(jù)的類型。

具體包括如下：

?    ICRC為缺失有效身份證件者出具旅行證件，其中附有證件持有者的指紋新聞，幫助他們返回其祖國(guó)、常居地或那些愿意接收他們的國(guó)家；

?    使用生物識(shí)別系統(tǒng)設(shè)置訪問(wèn)權(quán)限，針對(duì)機(jī)密信息和/或關(guān)鍵任務(wù)資源，例如ICRC的服務(wù)器和控制室

?    使用指紋、面部掃描和DNA識(shí)別遺體身份，常用于災(zāi)區(qū)、沖突地區(qū)或其他暴裝沖突地區(qū)；

?    使用數(shù)碼照片以追蹤、查明失散或失蹤人員；

?    一些針對(duì)ICRC工作人員的綁架或襲擊案中，調(diào)查中需使用生物識(shí)別數(shù)據(jù)確定特定人員的身份或命運(yùn)；

?    具體案例中，可使用DNA圖譜分析，幫助失散家庭團(tuán)聚或確定失蹤者命運(yùn)；

?    向受益人提供存儲(chǔ)其生物識(shí)別數(shù)據(jù)的卡片，可用于驗(yàn)證身份，卡片僅由受益人本人持有。

還有其他警告：

?    旅行證件上的指紋仍僅限于紙質(zhì)文件的油墨手印（不允許ICRC開(kāi)展進(jìn)一步的生物識(shí)別處理）。

?    不得濫用生物識(shí)別技術(shù)對(duì)常規(guī)工作場(chǎng)所設(shè)置門禁（需要高級(jí)別安防地區(qū)、經(jīng)授權(quán)者才能進(jìn)出的特定場(chǎng)所除外）。

?    使用DNA圖譜確認(rèn)家屬關(guān)系，ICRC對(duì)其使用有著嚴(yán)格限制，需基于某個(gè)國(guó)家法律或政策，證明兩人確有實(shí)際親屬關(guān)系。

該政策還明確，ICRC不得建立生物識(shí)別數(shù)據(jù)庫(kù)。

如果ICRC項(xiàng)目組或代表希望使用生物識(shí)別數(shù)據(jù)，他們必須先進(jìn)行數(shù)據(jù)保護(hù)影響評(píng)估，并確保，在系統(tǒng)開(kāi)發(fā)或流程啟動(dòng)的最初，數(shù)據(jù)保護(hù)就已生效，無(wú)論是通過(guò)特別設(shè)計(jì)的數(shù)據(jù)保護(hù)條例，還是先有政策法規(guī)所框定的保護(hù)辦法。

ICRC的生物識(shí)別技術(shù)政策還解決了一些數(shù)據(jù)保護(hù)法案的常見(jiàn)問(wèn)題，比如數(shù)據(jù)的采集和處理需要征得數(shù)據(jù)主體的“同意”。獲得同意是人道主義組織歷來(lái)的傳統(tǒng)，一些情況下，人們需簽署“同意書(shū)”或提供指紋，以證明其愿意接受援助或服務(wù)（比如，沒(méi)有書(shū)寫能力者可以使用指紋代替，但未避免生物識(shí)別數(shù)據(jù)的泄露和挪用，ICRC也不再使用指紋）。

ICRC對(duì)生物識(shí)別數(shù)據(jù)處理中的“知情同意”提出了更高標(biāo)準(zhǔn)：《ICRC個(gè)人數(shù)據(jù)保護(hù)規(guī)則》（ICRC Rules on Personal Data Protection）要求“對(duì)于個(gè)人數(shù)據(jù)的使用，數(shù)據(jù)主體自愿、明確且知情，并簽署同意”。

但I(xiàn)CRC認(rèn)為，“知情同意”并不等于生物識(shí)別數(shù)據(jù)的使用就擁有了絕對(duì)的合理性，即便在一些緊急狀況下。如果個(gè)人沒(méi)有真正的選擇，這種“同意”就是無(wú)效的。例如，只有在提供個(gè)人信息的前提下才發(fā)放援助（編者注：即個(gè)人一旦拒絕，就無(wú)法獲得援助或服務(wù)），“同意”不可能是出于“自愿”的。

此外，權(quán)力失衡可能意味著人們沒(méi)有真正的“選擇”，個(gè)人會(huì)被“誘導(dǎo)”，全盤接受人道主義組織的建議。

就生物識(shí)別而言，要確保真正“知情”極為困難，人們可能無(wú)法完全理解生物識(shí)別技術(shù)本身，也難以理解數(shù)據(jù)處理全過(guò)程中的數(shù)據(jù)流、風(fēng)險(xiǎn)或收益。

“生物識(shí)別政策”要求ICRC向受益人解釋數(shù)據(jù)處理的基礎(chǔ)和目的，包括任何涉及數(shù)據(jù)共享的部分。ICRC還鼓勵(lì)受益人有機(jī)會(huì)提出問(wèn)題或反對(duì)意見(jiàn)，特別是涉及第三方共享數(shù)據(jù)的方面。如果人們不想提供自己的生物識(shí)別數(shù)據(jù)或其他個(gè)人數(shù)據(jù)，或不愿與ICRC的合作伙伴共享數(shù)據(jù)，ICRC將尊重其意愿。

最后，任何情況下ICRC都不會(huì)出于人道主義以外的目的與第三方機(jī)構(gòu)（包括各國(guó)政府）共享生物識(shí)別數(shù)據(jù)。即使是明確出于完全人道主義目的，共享生物識(shí)別數(shù)據(jù)前ICRC也必須滿足嚴(yán)格限制條件。

ICRC將至少每三年審查一次“生物識(shí)別政策”，包括不能建立用于身份管理的生物識(shí)別數(shù)據(jù)庫(kù)的決策。ICRC將審查生物識(shí)別技術(shù)的實(shí)用性、安全性、成本、有效性和影響，并可能修訂該政策以擴(kuò)大使用生物識(shí)別技術(shù)的范圍或者引入新的保障措施。

（本文作者Ben Hayes為紅十字國(guó)際委員會(huì)法律咨詢顧問(wèn)，Massimo Marelli為紅十字國(guó)際委員會(huì)數(shù)據(jù)保護(hù)辦公室的負(fù)責(zé)人。本系列經(jīng)紐約大學(xué)AI Now研究中心授權(quán)翻譯發(fā)布，更多內(nèi)容可閱讀官網(wǎng)的報(bào)告全文。）

制圖：白浪