生物特徵身份識別的隱私關注與社會效益

本文就生物特徵身份識別技術的社會效益與隱私/數據安全關注開展了 比較和探討。

由德國擔任反洗錢金融行動特別工作組織（FATF）主席的2021年7月 至2023年6月期間，其優先關注事項之一是利用科技的潛在能力來推 動實現反洗錢/反恐怖主義融資（AML/CFT）的數字化轉型。

數字身份或生物特徵身份識別顯然是進行這一轉型的可行切實路徑。生 物特徵身份識別可有助實現更有效率及更具效益的客戶盡職調查 （CDD）措施。

生物特徵識別身份應該如何理解？劍橋詞典將生物特徵識別定義為有關 個人身體上的詳細訊息，例如其眼睛的顏色模式。這些訊息可以用來證 明辨識該人是誰。因此，生物特徵識別可以包括面容，視網膜，指紋， 聲紋等。在提及生物特徵識別時，實際上並不需要提及身份，因為身份 就是其固有的定義。

生物特徵識別技術已經改變了我們生活的各個方面–而且變得更好。例 如，當旅客基於其生物特徵識別出入國界邊境時，配合電子護照的使用， 體現了便利和效能，相關的措施快捷而安全，但在現時階段，旅客 通關時仍必須攜帶自己的實體護照。許多智能手機用戶和互聯網／流動 帳戶用戶亦正在使用生物特徵識別技術在線登錄其帳戶。

通過使用生物特徵識別，可以根據“他們是誰”來確認個人的身份，而不 是通過文檔–“他們所擁有的”–或密碼–“他們所知道的”–來進行確認。 這些因素也可以通過組合認證（“多因素認證”）以獲得更高級別的安全性。

以生物特徵識別技術偽造您的身份證件是很困難的事，而且，與密碼不 一樣，您不會真的忘記或遺失您的生物特徵識別身份！在所謂的“黑 網”，人們正在出售密碼、護照和駕駛執照等詳細資料，而不是人們的 生物特徵識別。您可曾留意到有人為回應網絡釣魚電郵而提供密碼和個 人資料，或者有人的密碼被黑客入侵而遭到泄漏了的個案？

但是，出於對隱私和數據安全的考慮，有些遊說團體反對使用生物特徵 識別技術。這些團體辯說因其風險太高，應予以延遲或限制採用。這些 顧慮不容被忽視，而且必須加以解決，以不會妨礙生物特徵識別技術所 帶來的全面社會效益。

有人擔心生物特徵識別可能被濫用及用於不法的用途上。這種風險是真 確的，但這並不是反對使用該技術的有效論據。在沒有生物特徵識別技 術的情況下，人類已有效地濫用了隱私和自由。在這方面，利用外觀、 名稱識別和文化識別都已有許多慣常手段。

關鍵是，問題不應歸咎於技術本身，而是技術的使用者自身。基本上， 重要焦點不應是技術方面，而是應該建立監管和技術框架，以確保將相 關社會效益提升至最高而把不正當使用的影響減至最低。

用於身份驗證的生物特徵與用於識別的生物特徵之間也存在混淆之處。 身份驗證是“在伺服器上匹配”或/和“在設備上匹配”。任何一種方法都允 許用戶自願同意以電子認識你的客戶(eKYC)為理由而可共享生物特 徵。這是一種方便且安全而合規的身份證明方法。

但是上述不能與生物特徵識別相混淆，在生物特徵識別中，您的面容或 指紋資料與伺服器儲存的資料相匹配，而事前沒有得到您的同意。生物 特徵識別的目的是查出某人的身份，例如執法部門檢查個別人士的生物 特徵以確定該位人士是否在犯罪監視名單上。即使在這種情況下，社會 效益也是顯而易見的。

歐盟的《一般資料保護條例》（GDPR）是國際上隱私和保護資料的黃 金標準。它確立了“被遺忘權”（即個人有權要求刪除其個人隱私資料） 和需得到同意的明確要求，以及對未能遵守該條例自2016年5月起生 效後的相關實體作出嚴厲懲罰。該條例適用於5億歐盟公民和長期居留 者，無論他們居於全球何處。

GDPR規定，在收集數據之前必須明確地獲得當事人的同意，且當事人 有權隨時撤回其同意。除了“被遺忘權”外，這些原則均沒有抵觸 AML/CFT的標準，但“被遺忘權”必須與AML/CFT相關的記錄保存要求 相互平衡。

全球已經有許多國家採用生物特徵識別技術而應用於身份識別。例如， 印度的單一身份識別機構（Unique ID Authority）的Aadhaar計劃為該 國的13.4億公民提供了唯一的識別號碼。目的是將該計劃用作政府的 各項措施的識別框架，並為社會上的弱勢公民提供普惠金融服務。此 外，Aadhaar亦允許被監管實體和服務供應商使用，以在AML/CFT方 面以進行電子認識你的客戶(E-KYC)。

它的鄰國巴基斯坦則設立國家數據庫和註冊局（NADRA）。通過在後 端進行數據輸入和作出報告，將基於紙張的身份管理程序轉變為最先進 的身份識別系統。從紙張到電腦化卡，再到具有先進安全功能的芯片 卡，NADRA涵蓋了居住在國內外的巴基斯坦公民。

NADRA是該國的個人電子認識你的客戶系統的基石– 涵蓋了不論作為 直接客戶、公司的授權代表、自然人受託人、公司或全權信託的實益擁 有人等的客戶。

在非洲，ID4Africa Movement的願景是為所有當地公民提供身份識別服 務。這不僅是一項法律權利，而且是在非洲實現廣泛的連接各項服務的 實際必要條件。ID4Africa認為，建於尊重隱私和人權的基礎上、服務 至上的身份生態系統對於數字經濟的增長至關重要，而隨著非洲各國執 行《非洲大陸自由貿易協定》（AfCTA）的規定，這一生態系統將變得 更加關鍵。

實踐證明，採用生物特徵識別技術可以簡化客戶的准入流程。迄今為 止，生物特徵識別和文件身份掃描方式被視為傳統的用紙張進行的客戶 盡職調查（CDD）工序的最有保證的替代方案，在客戶及金融機構當中 很受歡迎。

越來越多的證據顯示，生物特徵識別技術有利於普惠金融。據世界銀行 於2018年公佈的ID4D全球資料庫(Identification for Development Global Dataset)的數據，全球有13%的人口欠缺身份證明文件。生物 特徵識別技術為把他們納入正規的金融體系提供了一個平台，因為這可 以令邊緣化的和弱勢的社群更容易並更用低成本實現客戶准入。效益不 僅限於普惠金融，還包括各式各項的社會和衛生援助計劃。

最後，正如先前的文章所述，生物特徵識別技術非常適合用於新冠疫情 後的世界，因為疫情帶來了的前所未見的環球性挑戰、困難和經濟危 機。非接觸式的生物特徵識別技術的需求和好處可說顯而易見。

生物特徵識別技術並非意味著它是數字或非數字身份的唯一選擇。人們 可能由於宗教或其他原因而拒絕提供自己的生物特徵資料。他們有權選 擇置生物特徵識別技術帶來的便利和效能於不顧–就像有些人士，即使 無須考慮費用，都會選擇不乘飛機而選擇陸路或海路運輸。

總而言之，生物特徵識別技術並不是沒有存在隱私和數據保護問題，但 這並不高於或低於基於紙張的身份識別系統所帶來的問題。可以說，只 要是採用了正如《一般資料保護條例》（GDPR）之類的最佳實踐原則, 在基於不違反其他法律的前題下，例如根據AML/CFT相關法律和標準 進行記錄保存，並包括當事人明確的同意和保留其可刪除生物特徵識別 記錄的權利下，生物特徵身份識別帶來的社會效益將超過於其風險，而 對我們的社會帶來實質性的好處。

金融安全發展聯盟

2021年8月