一、何为“个人生物识别信息”
《个保法》第二十八条规定，“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”该条规定虽提及了“生物识别”，但并未列明“生物识别信息”的具体范畴。以下相关国家标准则或明确、或指向地列出了部分“生物识别信息”的含义/范围：

根据上述文件，个人生物识别信息的定义和范围在“GB/T 40660-2021”中界定得最为准确和全面，可也以此为基础进行讨论。

前述规定明确了用人单位作为个人信息处理者在处理员工个人生物识别信息时，应于事前进行个人信息保护影响评估，且明确了评估所需包含的内容，但未规定评估原理、考虑因素、必要性、评估标准、实施方法等具体要求。参考“GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》”的相关规定，个人信息安全影响评估有一系列流程、要点的要求，且相应的附录包含示例、工具表、参考方法等具体措施，用人单位可按此进行评估并形成相应的评估报读和处理情况记录。

(二) 遵循最小且必要原则
根据GB/T 35273-2020《信息安全技术 个人信息安全规范》规定，“个人信息安全基本原则”包含“最小必要”原则——只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量；目的达成后，应及时删除个人信息。

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号，下称“《人脸识别司法解释》”）第四条规定，“有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。”

同时，《个保法》第16条要求，“个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。”

值得留意的是，前述《人脸识别司法解释》和《个保法》并未对相关条款规定的“提供产品或者服务所必需”作出进一步说明/阐释。

GB/T 40660-2021《信息安全技术 生物特征识别信息保护基本要求》在第5“生物特征识别信息的收集”明确，“对生物特征识别信息控制者的要求如下：a)除法律法规规定场景、保护公共利益和个人重大利益场景外，不应限定收集生物特征识别信息作为唯一实现业务目标的方式。……”并在第6 h)中明确，生物特征识别信息控制者“应只存储满足生物特征识别信息主体授权同意的目的所需最少的生物特征识别信息。”

就人脸识别而言，GB/T 41819-2022《信息安全技术 人脸识别数据安全要求》中“5 安全通用要求”[3]明确，“数据处理者处理人脸识别数据的安全通用要求如下：a)实现相同目的或达到同等安全要求可采用非人脸识别方式 的，应优先选择使用非人脸识别方式。b)应仅在人脸识别方式比非人脸识别方式更具安全性或便捷性时，采用人脸识别方式进行身份识别；应同时提供人脸识别方式和非人脸识别方式，并由自然人选择使用。示例：机场、火车站进行人证比对时，使用非人脸识别方式会导致相关服务便捷性的明显下降。”

《个保法》第二十九条明确，“处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。” 第三十条规定，“个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。”就作为个人信息处理者的用人单位而言，前述第十七条第一项规定的事项，是用人单位在处理员工个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向员工个人告知的事项，包括：用人单位的名称或者姓名和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；个人行使本法规定权利的方式和程序；法律、行政法规规定应当告知的其他事项。

GB/T 35273-2020《信息安全技术 个人信息安全规范》第5.4 b)项明确，“收集个人敏感信息前，应征得个人信息主体的明示同意，并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示”；第5.4 c)项进一步明确，“收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意”。

GB/T 40660-2021《信息安全技术 生物特征识别信息保护基本要求》在第5“生物特征识别信息的收集”明确，“对生物特征识别信息控制者的要求如下：……b)收集生物特征识别信息前，应向生物特征识别信息主体告知以下信息，并征得生物特征识别信息主体的明示同意：1）收集、使用生物特征识别信息的目的、方式和范围，以及授权存储时间等；2）收集的生物特征识别信息处理方式的描述；3）生物特征识别信息控制者的联系信息，包括组织机构信息、联系方式等；4）生物特征识别信息主体实现查看、修改、撤回其授权同意的方式。”

GB/T 35273-2020《信息安全技术 个人信息安全规范》第6.3“个人敏感信息的传输和存储”明确，“对个人信息控制者的要求包括：……b)个人生物识别信息应与个人身份信息分开存储；c)原则上不应存储原始个人生物识别信息（如样本、图像等），可采取的措施包括但不限于：1）仅存储个人生物识别信息的摘要信息；2）在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能；3）在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。（注2：摘要信息通常具有不可逆特点，无法回溯到原始信息。注3：个人信息控制者履行法律法规规定的义务相关的情形除外。）”

GB/T 40660-2021《信息安全技术 生物特征识别信息保护基本要求》第6“生物特征识别信息的存储”明确，“对生物特征识别信息控制者的要求如下：

a)应将生物特征识别信息与生物特征识别信息主体的身份相关信息采用技术隔离手段存储。（注1：隔离方式包括逻辑隔离、物理隔离等。）

b)存储生物特征识别信息时，应确保其具备不可逆性。

c)原则上不应直接存储生物特征识别原始信息，可采取的措施包括但不限于：1)仅存储生物特征识别信息的摘要信息；2)在采集终端中直接使用生物特征识别信息实现身份识别、认证等功能；3)在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除生物特征识别原始信息。（注2：摘要信息通常具有不可逆性。注3：生物特征识别信息控制者履行法律法规规定的义务相关的情形除外。）

d)应使用多样化过程以支持生成可更新、可撤销的生物特征识别比对信息；……

e)存储生物特征识别比对信息时，应充分考虑数据泄露风险、进行安全处理，可使用的机制包括但不限于……

f)应保持生物特征识别比对信息在应用程序或数据库间的不可链接性，以防止生物特征识别比对信息可能被用于链接同一数据库中不同应用程序或不同数据库中的同一信息主体；不可链接性可通过以下机制的组合获得：……

g) 生物特征识别信息的复制信息，如备份信息、归档信息等，存储时应具备与被复制信息相同的保护措施。

h)应只存储满足生物特征识别信息主体授权同意的目的所需最少的生物特征识别信息。

i)应只在生物特征识别信息主体授权的存储时弊内存储生物特征识别信息，超出存储期限后，应及时对生物特征识别信息进行删除或匿名化处理。”

三、对用人单位的建议
根据前述相关规定，用人单位作为个人信息处理者/生物特征识别信息控制者，在处理员工的个人生物识别信息时，应严格按照法律法规、国家标准等的要求，采取一系列措施作出全流程合规的处理行为，包括但不限于事前进行个人信息保护影响评估、以最小且必要的原则收集相关生物识别信息、采取严格的保护措施、履行相应的告知义务、取得员工个人单独且明示的同意等等。

此外，用人单位还需要留意，基于现时人脸识别的广泛应用及特殊性，有关人脸识别数据这一生物识别信息的相关内容，除应满足前述一般性要求外，还需符合有关人脸识别数据安全的相关规定（如《人脸保护司法解释》、“GB/T 41819-2022《信息安全技术 人脸识别数据安全要求》”）。

[1]在相关规定中存在“个人生物识别信息”、“个人生物特征信息”、“生物特征识别信息”的不同表述，但其内涵并无实质差别。本文统一使用“个人生物识别信息”的表述。

[2]注2：生物特征识别信息包含生物特征识别原始信息以及生物特征识别比对信息。

生物特征识别原始信息：通过采集、预处理等方式获得的自然人物理、生物或行为特征的模拟或数字表示。（注：如样本、图像等）

生物特征识别比对信息：对生物特征识别原始信息进行技术处理得到的、在识别过程中用于比对的信息。

[3]除“安全通用要求”外，“GB/T 41819-2022《信息安全技术 人脸识别数据安全要求》”另外详细列明了人脸识别数据的“收集要求”、“存储要求”、“使用要求”、“传输要求”、“提供、公开要求”、“删除要求”。