身处信息化时代，人们身上的每种特征都可能成为机器识别的线索。而生物信息的过度收集、无感收集也给人们的隐私安全带来隐患。
近日，国家市场监督管理总局、国家标准化管理委员会发布四份针对人脸信息、步态信息、声纹信息和基因信息识别的数据安全要求，2023年5月1日起正式实施。
这四份国标均提出，数据存储过程中，应经过去标识化处理。除此之外，数据处理者不得存储声纹语音样本、步态样本，用于识别自然人的人脸图像在识别自然人身份后应立即被删除。而基因数据处理者在使用基因数据前要通过伦理委员会审查。
使用基因数据 应通过伦理委员会审查
根据《中华人民共和国个人信息保护法》，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，比如生物识别信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。处理敏感个人信息应当取得个人的单独同意。
而《信息安全技术 个人信息安全规范》（下称《安全规范》）规定，个人生物识别信息包括个人基因、指纹、声纹、掌纹、耳郭、虹膜、面部识别特征等。
记者注意到，此次发布的四份国标分别为《信息安全技术 声纹识别数据安全要求》（下称《声纹识别国标》）、《信息安全技术
基因识别数据安全要求》（下称《基因识别国标》）、《信息安全技术 步态识别数据安全要求》（下称《步态识别国标》）和《信息安全技术
人脸识别数据安全要求》（下称《人脸识别国标》）。其中，基因、声纹、人脸信息均属于《安全规范》中列举的个人生物识别信息。
因此，三份相关国标均提出，在收集相关数据时，应向数据主体告知该数据的相关事项，声纹和人脸数据在收集数据样本前应告知数据主体数据处理者的名称、联系方式、处理规则，并征得数据主题的单独同意。
《声纹识别国标》中还提出，收集声纹语音样本时，应提示数据主体不说出完整身份号码、姓名、电话号码、账号口令等个人信息。此外，数据主体在收集过程中明示停止，应立即停止收集，若未明示停止且数据主体持续不发声时长达到10秒，数据处理者应立即自动停止收集。
而针对基因数据，《基因识别国标》提出，数据处理者应根据自身业务特点提出需求，制定知情同意书，告知数据主体遗传物质及所获取数据的种类、用途、安全保护措施、数据应用的潜在风险，生物样本和数据存储时限及剩余生物样本的处理方式。在得到许可后，数据的相关使用需求应通过伦理委员会的审查。
此外，尽管步态识别并未被法规明确列入个人生物识别信息的范畴，但《步态识别国标》同样规定，收集步态识别数据应向数据主体告知数据处理规则，并取得其单独同意。另外，《步态识别国标》中明确指出，数据收集区域应被明示且设置清晰标志，数据处理者应确保只收集相关区域内的识别数据。
基因数据处理者 应建立伦理委员会
目前在生活里，较常出现在人们视野中的是声纹和人脸识别。基因识别和步态识别尚未普遍为大众所知。然而，随着技术的发展，这两项技术也逐渐从科幻电影中走入人们的生活。
由于基因信息所具有的特殊性，《基因识别国标》中规定，数据处理者应设立伦理委员会和数据管理委员会，确保公平、无歧视的原则，并对相关业务中基因识别数据滥采、滥用等活动可能造成的社会危害做出评估。此外，机构组织内也应开展伦理审查培训，保护数据主体的尊严、安全和合法权益。伦理委员会中至少包含内外各一位生物医学数据安全领域专家。
而在《步态识别国标》中，也对数据处理者提出制定数据安全评估制度的要求，规定应定期对步态识别技术识别应用的必要性，安全措施的有效性、数据使用目的的授权情况进行评估。此外，除了取得个人单独同意的情况之外，数据处理者收集的步态识别数据只能用于维护公共安全的目的，且仅在公共安全管理部门有明确要求时，才可将数据与个人身份信息进行关联。
在信息过度收集、或无感收集之外，另一个人们普遍担忧的问题是数据的储存安全。四份国标均提出，在数据安全事件发生后，应及时采取应急补救措施。除了《步态识别国标》外，其他三份国标均规定此类事件发生后，应及时告知数据主体。《人脸识别国标》中还单独列出，应在24小时内以电话、短信、邮件或公告等方式告知数据主体信息安全事件情况和方式、减轻损害的措施。
而当数据主体授权撤回或明示其停止使用数据时，基因、人脸和声纹的数据处理者都应当将数据删除，声纹、人脸数据的处理者应确保相关数据不可恢复，人脸数据处理者应在15日内删除人脸数据。步态识别数据处理者则应当在超过数据授权存储期限、数据主体授权撤回时删除步态识别数据。