肩上擔(dān)山知任重，志存云天砥礪行
前言
最近，一種新興的寫(xiě)真形式——“虹膜寫(xiě)真”，也叫“瞳孔攝影”，在市場(chǎng)上悄然興起，成為潮人們競(jìng)相追逐的打卡熱點(diǎn)。攝影師用微距鏡頭捕捉瞳孔周?chē)缒さ募y理，經(jīng)過(guò)后期調(diào)色、特效等藝術(shù)加工處理形成虹膜寫(xiě)真，虹膜寫(xiě)真可以打印出來(lái)用相框裝裱，也可以制作成吊墜、手鏈等周邊產(chǎn)品。然而隨著虹膜寫(xiě)真的爆火也引發(fā)了大眾對(duì)于“虹膜”這類(lèi)個(gè)人信息安全性的擔(dān)憂。本文將針對(duì)虹膜寫(xiě)真引發(fā)的個(gè)人信息安全問(wèn)題進(jìn)行討論，并從商家的合規(guī)義務(wù)和消費(fèi)者的建議兩個(gè)維度進(jìn)行解讀。
“虹膜”的法律特征
虹膜信息
人的眼睛結(jié)構(gòu)由鞏膜、虹膜、瞳孔、晶狀體、視網(wǎng)膜等部分組成。虹膜是位于黑色瞳孔和白色鞏膜之間的圓環(huán)狀部分，其包含有很多相互交錯(cuò)的斑點(diǎn)、細(xì)絲、冠狀、條紋、隱窩等的細(xì)節(jié)特征。而且虹膜在胎兒發(fā)育階段形成后，在整個(gè)生命歷程中將是保持不變的。這些特征決定了虹膜特征的唯一性，同時(shí)也決定了身份識(shí)別的唯一性。因此，可以將眼睛的虹膜特征作為每個(gè)人的身份識(shí)別對(duì)象。
結(jié)合《信息安全技術(shù) 生物特征識(shí)別信息保護(hù)基本要求》（GB/T40660-2021）3.3條對(duì)生物特征識(shí)別信息的定義來(lái)看，虹膜屬于生物特征識(shí)別信息，依據(jù)《個(gè)人信息保護(hù)法》第28條，個(gè)人生物識(shí)別信息屬于敏感個(gè)人信息的范疇。
需要注意的是，是否敏感個(gè)人信息均屬于個(gè)人隱私呢？個(gè)人隱私是指自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動(dòng)、私密信息。可見(jiàn)敏感個(gè)人信息的范疇與個(gè)人隱私的范疇并不完全重合，但虹膜信息作為生物識(shí)別信息具有一定的特殊性，多用于個(gè)人身份驗(yàn)證或個(gè)人私密活動(dòng)?！睹穹ǖ淙烁駲?quán)編理解與適用》中也提到：“敏感信息往往屬于隱私的范疇，可以適用隱私權(quán)的保護(hù)方法”。因此如個(gè)人信息主體將自己的虹膜信息視為不愿為他人知曉的私密信息，則虹膜信息同樣屬于個(gè)人隱私的范疇。但如果虹膜寫(xiě)真照片作為藝術(shù)品是在消費(fèi)者本人同意的情況下拍攝，則并不涉及侵犯隱私的問(wèn)題。
虹膜識(shí)別與虹膜寫(xiě)真
虹膜識(shí)別是通過(guò)對(duì)比虹膜圖像特征之間的相似性來(lái)確定人們的身份，通常包括虹膜圖像獲取、圖像預(yù)處理、特征提取以及特征匹配等步驟。虹膜識(shí)別系統(tǒng)常常用于身份識(shí)別等安全管控方面，比如機(jī)場(chǎng)、校園管理、邊境管理、醫(yī)院保健體系管理等場(chǎng)景下。虹膜寫(xiě)真區(qū)別于虹膜識(shí)別，目前市場(chǎng)上的虹膜寫(xiě)真是在虹膜細(xì)節(jié)照片的基礎(chǔ)上進(jìn)行藝術(shù)渲染和加工而完成，虹膜寫(xiě)真成片經(jīng)過(guò)一定的后期修飾，其用于生物特征識(shí)別的特征點(diǎn)位會(huì)被掩蓋，那么此種情況下，使用寫(xiě)真成片驗(yàn)證個(gè)人身份的可能性也將大大降低。
潛在的風(fēng)險(xiǎn)和隱患
圖片由AI生成
原始數(shù)據(jù)的泄漏和濫用風(fēng)險(xiǎn)
盡管虹膜寫(xiě)真成片可能無(wú)法識(shí)別到個(gè)人，但攝影商家在拍攝過(guò)程中會(huì)留原始底片，底片中如含有虹膜細(xì)節(jié)照片，那么原始數(shù)據(jù)的泄漏仍然存在極大的安全隱患，虹膜作為生物識(shí)別信息，屬于重要的身份驗(yàn)證方式，一經(jīng)泄露，也可能對(duì)個(gè)人信息主體的人身和財(cái)產(chǎn)安全帶來(lái)風(fēng)險(xiǎn)。
特定崗位和職業(yè)主體的安全隱患
前述已提及，虹膜識(shí)別系統(tǒng)常常用于特定場(chǎng)景下的安全管控，需要使用虹膜信息進(jìn)行身份識(shí)別的主體往往可能帶有一定的職業(yè)或身份的特殊性，這類(lèi)群體的虹膜信息可能不僅涉及到個(gè)人的信息安全，還涉及到企業(yè)或行業(yè)甚至國(guó)防等領(lǐng)域的安全，因此，如果濫用或泄漏原始數(shù)據(jù)可能帶來(lái)的損失將無(wú)法估量。
現(xiàn)有監(jiān)管標(biāo)準(zhǔn)不清晰帶來(lái)的操作安全風(fēng)險(xiǎn)
虹膜寫(xiě)真和虹膜識(shí)別之間存在一定區(qū)別，那么現(xiàn)有技術(shù)能否利用虹膜寫(xiě)真照片識(shí)別到個(gè)人并完成身份認(rèn)證，對(duì)于安全性的判斷就至關(guān)重要。由于現(xiàn)在并沒(méi)有明確的法律法規(guī)和行業(yè)標(biāo)準(zhǔn)去規(guī)范虹膜寫(xiě)真到底要藝術(shù)加工到什么程度才符合安全性，且各家攝影商家對(duì)藝術(shù)加工的方式并不相同，虹膜原始數(shù)據(jù)的采集以及成片加工的過(guò)程缺乏規(guī)范也會(huì)導(dǎo)致操作過(guò)程安全性缺乏明確的評(píng)價(jià)標(biāo)準(zhǔn)。
個(gè)人信息主體權(quán)利行使的不確定性風(fēng)險(xiǎn)
盡管《個(gè)人信息保護(hù)法》以及相關(guān)國(guó)家標(biāo)準(zhǔn)對(duì)于敏感個(gè)人信息、生物特征識(shí)別信息的處理和安全保障措施均作出了明確規(guī)范，但是大部分虹膜寫(xiě)真的拍攝商家也都個(gè)體工商戶或加盟商，虹膜寫(xiě)真館的開(kāi)業(yè)成本及行業(yè)門(mén)檻較低，其收集和存儲(chǔ)此類(lèi)高風(fēng)險(xiǎn)、高敏感度的數(shù)據(jù)顯然并不具有相匹配的合規(guī)保障能力，以至于如果發(fā)生信息泄漏等安全事故或者個(gè)人信息主體要行使權(quán)利，商家可能也缺乏相應(yīng)的應(yīng)急和響應(yīng)能力，從而導(dǎo)致個(gè)人信息主體權(quán)利的行使成為一紙空話。
商家的合規(guī)義務(wù)
對(duì)于提供虹膜寫(xiě)真拍攝服務(wù)的商家，其在開(kāi)展業(yè)務(wù)的過(guò)程中需收集并處理客戶的虹膜信息，屬于個(gè)人信息處理者，對(duì)于虹膜信息這類(lèi)敏感個(gè)人信息，商家還應(yīng)保證其處理行為符合敏感個(gè)人信息以及生物特征識(shí)別信息的相關(guān)合規(guī)標(biāo)準(zhǔn)，以確保其個(gè)人信息處理行為在安全、規(guī)范的前提下進(jìn)行。參考《個(gè)人信息保護(hù)法》以及相關(guān)國(guó)家標(biāo)準(zhǔn)，商家應(yīng)特別關(guān)注以下幾點(diǎn)：
告知及明示同意的義務(wù)
告知同意是《個(gè)人信息保護(hù)法》規(guī)定的個(gè)人信息處理者基本的合規(guī)義務(wù)，對(duì)于虹膜這類(lèi)生物特征識(shí)別信息而言，更要以增強(qiáng)形式像個(gè)人信息告知，并征得生物特征識(shí)別信息主體的明示同意；告知的內(nèi)容包括但不限于收集使用的目的、范圍，存儲(chǔ)時(shí)間、處理方式、生物特征識(shí)別信息控制者的聯(lián)系方式、主體查看、修改、撤回同意的渠道和方式等。
安全存儲(chǔ)及處理的義務(wù)
根據(jù)《信息安全技術(shù) 生物特征識(shí)別信息保護(hù)基本要求》（GB/T40660-2021）相關(guān)規(guī)定，應(yīng)將生物特征識(shí)別信息與生物特征識(shí)與別信息主體的身份相關(guān)信息采用技術(shù)隔離手段存儲(chǔ)；原則上不應(yīng)直接存儲(chǔ)生物特征識(shí)別原始信息；充分考慮數(shù)據(jù)泄漏風(fēng)險(xiǎn)、進(jìn)行安全處置，如采取加密操作等方式；
保障生物特征識(shí)別信息主體的權(quán)利
應(yīng)向主體提供信息的查詢(xún)方法；及時(shí)應(yīng)對(duì)生物特征識(shí)別信息主體的請(qǐng)求，比如信息主體要求修改、撤回其生物特征識(shí)別信息的授權(quán)；滿足一定條件（如寫(xiě)真產(chǎn)品已經(jīng)完成交付）應(yīng)及時(shí)主動(dòng)刪除或匿名化生物特征識(shí)別信息；生物識(shí)別特征信息控制者原則上不應(yīng)共享轉(zhuǎn)讓該信息。
實(shí)踐中，很多個(gè)人信息處理者僅關(guān)注告知同意義務(wù)的履行，認(rèn)為只要消費(fèi)者簽署合同并且同意其收集和處理敏感個(gè)人信息就不存在合規(guī)問(wèn)題了，但實(shí)際上，告知同意只是第一步，個(gè)人信息處理者對(duì)于敏感個(gè)人信息的管理、控制和安全保障更需要嚴(yán)格履行法定義務(wù)落地執(zhí)行。對(duì)于虹膜寫(xiě)真的拍攝商家而言，即便經(jīng)營(yíng)者規(guī)模不大，但鑒于其處理如此敏感的數(shù)據(jù)，也應(yīng)當(dāng)為此支付一定的合規(guī)成本，按照法律要求履行相關(guān)合規(guī)義務(wù)，降低可能存在的安全風(fēng)險(xiǎn)，否則，如因商家未能履行對(duì)于個(gè)人信息的安全保障責(zé)任而導(dǎo)致的損害結(jié)果，商家也可能被追究法律責(zé)任。
消費(fèi)者的警示
盡管虹膜寫(xiě)真作為一種潮流，對(duì)年輕的消費(fèi)者而言顯得十分炫酷，但消費(fèi)者應(yīng)也了解其中存在的安全隱患，無(wú)論是信息安全方面還是對(duì)消費(fèi)者衛(wèi)生健康方面，都存在一定影響。
對(duì)消費(fèi)者而言：
首先，如果消費(fèi)者本身是從事某些特定行業(yè)和工作并可能存在利用虹膜作為身份識(shí)別方式的，建議不要拍攝該類(lèi)寫(xiě)真，以保護(hù)自己的生物特征識(shí)別信息；
第二，消費(fèi)者應(yīng)與寫(xiě)真機(jī)構(gòu)簽署相關(guān)協(xié)議：如寫(xiě)真機(jī)構(gòu)通過(guò)書(shū)面協(xié)議或隱私政策等向消費(fèi)者履行個(gè)人信息處理的告知義務(wù)的，消費(fèi)者應(yīng)當(dāng)審慎閱讀與個(gè)人信息保護(hù)及安全措施的相關(guān)條款，了解清楚相關(guān)條款的含義以及個(gè)人信息處理行為對(duì)自身權(quán)益的影響，并在協(xié)議中約定清楚違約責(zé)任，簽署并保留好協(xié)議文件；
第三，要求寫(xiě)真機(jī)構(gòu)說(shuō)明其個(gè)人信息權(quán)益行使響應(yīng)機(jī)制，消費(fèi)者可行使個(gè)人信息刪除權(quán)，要求寫(xiě)真機(jī)構(gòu)及時(shí)刪除原始的虹膜信息和底片；
第四，拍攝后妥善保存虹膜寫(xiě)真，盡量不要在公開(kāi)場(chǎng)合或公開(kāi)社交媒體中發(fā)布寫(xiě)真照片，避免個(gè)人虹膜信息被不法分子利用。
作者介紹
樊思琪律師
京師深圳律所高級(jí)合伙人、數(shù)字經(jīng)濟(jì)法律事務(wù)中心副主任、青工委副主任、金融科技法律事務(wù)部副主任。深圳市大數(shù)據(jù)產(chǎn)業(yè)協(xié)會(huì)、深圳市大數(shù)據(jù)研究與應(yīng)用協(xié)會(huì)專(zhuān)家顧問(wèn)、數(shù)據(jù)合規(guī)研究院高級(jí)研究員。
業(yè)務(wù)領(lǐng)域：
企業(yè)合規(guī)、數(shù)字經(jīng)濟(jì)產(chǎn)業(yè)、數(shù)據(jù)合規(guī)及信息安全、資產(chǎn)管理、投融資并購(gòu)、資產(chǎn)證券化等。
教育背景：
中南財(cái)經(jīng)政法大學(xué)法學(xué)院
武漢大學(xué)法學(xué)院經(jīng)濟(jì)法系
專(zhuān)業(yè)資質(zhì)：
國(guó)際認(rèn)證德國(guó)萊茵TüV DPO（數(shù)據(jù)保護(hù)官）/ISO37301
深圳數(shù)據(jù)交易所DEXCO（數(shù)據(jù)交易合規(guī)師）
ESG合規(guī)管理分析師
證券及基金從業(yè)資格
專(zhuān)業(yè)著作：
《金融消費(fèi)者權(quán)益保護(hù)的法律實(shí)踐及合規(guī)體系構(gòu)建》法律出版社，2023年；
行業(yè)白皮書(shū)：
《網(wǎng)絡(luò)安全與數(shù)據(jù)合規(guī)法律風(fēng)險(xiǎn)白皮書(shū)》，2020年
《中國(guó)個(gè)人金融信息保護(hù)執(zhí)法白皮書(shū)2020》，2020年
《中國(guó)金融機(jī)構(gòu)反洗錢(qián)合規(guī)實(shí)踐白皮書(shū)2021》，2022年
《跨境數(shù)據(jù)流通合規(guī)與技術(shù)應(yīng)用白皮書(shū)（2023）》，2023年
《跨境數(shù)據(jù)流通合規(guī)與技術(shù)應(yīng)用白皮書(shū)（2023）》，2024年
前言
最近，一種新興的寫(xiě)真形式——“虹膜寫(xiě)真”，也叫“瞳孔攝影”，在市場(chǎng)上悄然興起，成為潮人們競(jìng)相追逐的打卡熱點(diǎn)。攝影師用微距鏡頭捕捉瞳孔周?chē)缒さ募y理，經(jīng)過(guò)后期調(diào)色、特效等藝術(shù)加工處理形成虹膜寫(xiě)真，虹膜寫(xiě)真可以打印出來(lái)用相框裝裱，也可以制作成吊墜、手鏈等周邊產(chǎn)品。然而隨著虹膜寫(xiě)真的爆火也引發(fā)了大眾對(duì)于“虹膜”這類(lèi)個(gè)人信息安全性的擔(dān)憂。本文將針對(duì)虹膜寫(xiě)真引發(fā)的個(gè)人信息安全問(wèn)題進(jìn)行討論，并從商家的合規(guī)義務(wù)和消費(fèi)者的建議兩個(gè)維度進(jìn)行解讀。
“虹膜”的法律特征
虹膜信息
人的眼睛結(jié)構(gòu)由鞏膜、虹膜、瞳孔、晶狀體、視網(wǎng)膜等部分組成。虹膜是位于黑色瞳孔和白色鞏膜之間的圓環(huán)狀部分，其包含有很多相互交錯(cuò)的斑點(diǎn)、細(xì)絲、冠狀、條紋、隱窩等的細(xì)節(jié)特征。而且虹膜在胎兒發(fā)育階段形成后，在整個(gè)生命歷程中將是保持不變的。這些特征決定了虹膜特征的唯一性，同時(shí)也決定了身份識(shí)別的唯一性。因此，可以將眼睛的虹膜特征作為每個(gè)人的身份識(shí)別對(duì)象。
結(jié)合《信息安全技術(shù) 生物特征識(shí)別信息保護(hù)基本要求》（GB/T40660-2021）3.3條對(duì)生物特征識(shí)別信息的定義來(lái)看，虹膜屬于生物特征識(shí)別信息，依據(jù)《個(gè)人信息保護(hù)法》第28條，個(gè)人生物識(shí)別信息屬于敏感個(gè)人信息的范疇。
需要注意的是，是否敏感個(gè)人信息均屬于個(gè)人隱私呢？個(gè)人隱私是指自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動(dòng)、私密信息?？梢?jiàn)敏感個(gè)人信息的范疇與個(gè)人隱私的范疇并不完全重合，但虹膜信息作為生物識(shí)別信息具有一定的特殊性，多用于個(gè)人身份驗(yàn)證或個(gè)人私密活動(dòng)?！睹穹ǖ淙烁駲?quán)編理解與適用》中也提到：“敏感信息往往屬于隱私的范疇，可以適用隱私權(quán)的保護(hù)方法”。因此如個(gè)人信息主體將自己的虹膜信息視為不愿為他人知曉的私密信息，則虹膜信息同樣屬于個(gè)人隱私的范疇。但如果虹膜寫(xiě)真照片作為藝術(shù)品是在消費(fèi)者本人同意的情況下拍攝，則并不涉及侵犯隱私的問(wèn)題。
虹膜識(shí)別與虹膜寫(xiě)真
虹膜識(shí)別是通過(guò)對(duì)比虹膜圖像特征之間的相似性來(lái)確定人們的身份，通常包括虹膜圖像獲取、圖像預(yù)處理、特征提取以及特征匹配等步驟。虹膜識(shí)別系統(tǒng)常常用于身份識(shí)別等安全管控方面，比如機(jī)場(chǎng)、校園管理、邊境管理、醫(yī)院保健體系管理等場(chǎng)景下。虹膜寫(xiě)真區(qū)別于虹膜識(shí)別，目前市場(chǎng)上的虹膜寫(xiě)真是在虹膜細(xì)節(jié)照片的基礎(chǔ)上進(jìn)行藝術(shù)渲染和加工而完成，虹膜寫(xiě)真成片經(jīng)過(guò)一定的后期修飾，其用于生物特征識(shí)別的特征點(diǎn)位會(huì)被掩蓋，那么此種情況下，使用寫(xiě)真成片驗(yàn)證個(gè)人身份的可能性也將大大降低。
潛在的風(fēng)險(xiǎn)和隱患
圖片由AI生成
原始數(shù)據(jù)的泄漏和濫用風(fēng)險(xiǎn)
盡管虹膜寫(xiě)真成片可能無(wú)法識(shí)別到個(gè)人，但攝影商家在拍攝過(guò)程中會(huì)留原始底片，底片中如含有虹膜細(xì)節(jié)照片，那么原始數(shù)據(jù)的泄漏仍然存在極大的安全隱患，虹膜作為生物識(shí)別信息，屬于重要的身份驗(yàn)證方式，一經(jīng)泄露，也可能對(duì)個(gè)人信息主體的人身和財(cái)產(chǎn)安全帶來(lái)風(fēng)險(xiǎn)。
特定崗位和職業(yè)主體的安全隱患
前述已提及，虹膜識(shí)別系統(tǒng)常常用于特定場(chǎng)景下的安全管控，需要使用虹膜信息進(jìn)行身份識(shí)別的主體往往可能帶有一定的職業(yè)或身份的特殊性，這類(lèi)群體的虹膜信息可能不僅涉及到個(gè)人的信息安全，還涉及到企業(yè)或行業(yè)甚至國(guó)防等領(lǐng)域的安全，因此，如果濫用或泄漏原始數(shù)據(jù)可能帶來(lái)的損失將無(wú)法估量。
現(xiàn)有監(jiān)管標(biāo)準(zhǔn)不清晰帶來(lái)的操作安全風(fēng)險(xiǎn)
虹膜寫(xiě)真和虹膜識(shí)別之間存在一定區(qū)別，那么現(xiàn)有技術(shù)能否利用虹膜寫(xiě)真照片識(shí)別到個(gè)人并完成身份認(rèn)證，對(duì)于安全性的判斷就至關(guān)重要。由于現(xiàn)在并沒(méi)有明確的法律法規(guī)和行業(yè)標(biāo)準(zhǔn)去規(guī)范虹膜寫(xiě)真到底要藝術(shù)加工到什么程度才符合安全性，且各家攝影商家對(duì)藝術(shù)加工的方式并不相同，虹膜原始數(shù)據(jù)的采集以及成片加工的過(guò)程缺乏規(guī)范也會(huì)導(dǎo)致操作過(guò)程安全性缺乏明確的評(píng)價(jià)標(biāo)準(zhǔn)。
個(gè)人信息主體權(quán)利行使的不確定性風(fēng)險(xiǎn)
盡管《個(gè)人信息保護(hù)法》以及相關(guān)國(guó)家標(biāo)準(zhǔn)對(duì)于敏感個(gè)人信息、生物特征識(shí)別信息的處理和安全保障措施均作出了明確規(guī)范，但是大部分虹膜寫(xiě)真的拍攝商家也都個(gè)體工商戶或加盟商，虹膜寫(xiě)真館的開(kāi)業(yè)成本及行業(yè)門(mén)檻較低，其收集和存儲(chǔ)此類(lèi)高風(fēng)險(xiǎn)、高敏感度的數(shù)據(jù)顯然并不具有相匹配的合規(guī)保障能力，以至于如果發(fā)生信息泄漏等安全事故或者個(gè)人信息主體要行使權(quán)利，商家可能也缺乏相應(yīng)的應(yīng)急和響應(yīng)能力，從而導(dǎo)致個(gè)人信息主體權(quán)利的行使成為一紙空話。
商家的合規(guī)義務(wù)
對(duì)于提供虹膜寫(xiě)真拍攝服務(wù)的商家，其在開(kāi)展業(yè)務(wù)的過(guò)程中需收集并處理客戶的虹膜信息，屬于個(gè)人信息處理者，對(duì)于虹膜信息這類(lèi)敏感個(gè)人信息，商家還應(yīng)保證其處理行為符合敏感個(gè)人信息以及生物特征識(shí)別信息的相關(guān)合規(guī)標(biāo)準(zhǔn)，以確保其個(gè)人信息處理行為在安全、規(guī)范的前提下進(jìn)行。參考《個(gè)人信息保護(hù)法》以及相關(guān)國(guó)家標(biāo)準(zhǔn)，商家應(yīng)特別關(guān)注以下幾點(diǎn)：
告知及明示同意的義務(wù)
告知同意是《個(gè)人信息保護(hù)法》規(guī)定的個(gè)人信息處理者基本的合規(guī)義務(wù)，對(duì)于虹膜這類(lèi)生物特征識(shí)別信息而言，更要以增強(qiáng)形式像個(gè)人信息告知，并征得生物特征識(shí)別信息主體的明示同意；告知的內(nèi)容包括但不限于收集使用的目的、范圍，存儲(chǔ)時(shí)間、處理方式、生物特征識(shí)別信息控制者的聯(lián)系方式、主體查看、修改、撤回同意的渠道和方式等。
安全存儲(chǔ)及處理的義務(wù)
根據(jù)《信息安全技術(shù) 生物特征識(shí)別信息保護(hù)基本要求》（GB/T40660-2021）相關(guān)規(guī)定，應(yīng)將生物特征識(shí)別信息與生物特征識(shí)與別信息主體的身份相關(guān)信息采用技術(shù)隔離手段存儲(chǔ)；原則上不應(yīng)直接存儲(chǔ)生物特征識(shí)別原始信息；充分考慮數(shù)據(jù)泄漏風(fēng)險(xiǎn)、進(jìn)行安全處置，如采取加密操作等方式；
保障生物特征識(shí)別信息主體的權(quán)利
應(yīng)向主體提供信息的查詢(xún)方法；及時(shí)應(yīng)對(duì)生物特征識(shí)別信息主體的請(qǐng)求，比如信息主體要求修改、撤回其生物特征識(shí)別信息的授權(quán)；滿足一定條件（如寫(xiě)真產(chǎn)品已經(jīng)完成交付）應(yīng)及時(shí)主動(dòng)刪除或匿名化生物特征識(shí)別信息；生物識(shí)別特征信息控制者原則上不應(yīng)共享轉(zhuǎn)讓該信息。
實(shí)踐中，很多個(gè)人信息處理者僅關(guān)注告知同意義務(wù)的履行，認(rèn)為只要消費(fèi)者簽署合同并且同意其收集和處理敏感個(gè)人信息就不存在合規(guī)問(wèn)題了，但實(shí)際上，告知同意只是第一步，個(gè)人信息處理者對(duì)于敏感個(gè)人信息的管理、控制和安全保障更需要嚴(yán)格履行法定義務(wù)落地執(zhí)行。對(duì)于虹膜寫(xiě)真的拍攝商家而言，即便經(jīng)營(yíng)者規(guī)模不大，但鑒于其處理如此敏感的數(shù)據(jù)，也應(yīng)當(dāng)為此支付一定的合規(guī)成本，按照法律要求履行相關(guān)合規(guī)義務(wù)，降低可能存在的安全風(fēng)險(xiǎn)，否則，如因商家未能履行對(duì)于個(gè)人信息的安全保障責(zé)任而導(dǎo)致的損害結(jié)果，商家也可能被追究法律責(zé)任。
消費(fèi)者的警示
盡管虹膜寫(xiě)真作為一種潮流，對(duì)年輕的消費(fèi)者而言顯得十分炫酷，但消費(fèi)者應(yīng)也了解其中存在的安全隱患，無(wú)論是信息安全方面還是對(duì)消費(fèi)者衛(wèi)生健康方面，都存在一定影響。
對(duì)消費(fèi)者而言：
首先，如果消費(fèi)者本身是從事某些特定行業(yè)和工作并可能存在利用虹膜作為身份識(shí)別方式的，建議不要拍攝該類(lèi)寫(xiě)真，以保護(hù)自己的生物特征識(shí)別信息；
第二，消費(fèi)者應(yīng)與寫(xiě)真機(jī)構(gòu)簽署相關(guān)協(xié)議：如寫(xiě)真機(jī)構(gòu)通過(guò)書(shū)面協(xié)議或隱私政策等向消費(fèi)者履行個(gè)人信息處理的告知義務(wù)的，消費(fèi)者應(yīng)當(dāng)審慎閱讀與個(gè)人信息保護(hù)及安全措施的相關(guān)條款，了解清楚相關(guān)條款的含義以及個(gè)人信息處理行為對(duì)自身權(quán)益的影響，并在協(xié)議中約定清楚違約責(zé)任，簽署并保留好協(xié)議文件；
第三，要求寫(xiě)真機(jī)構(gòu)說(shuō)明其個(gè)人信息權(quán)益行使響應(yīng)機(jī)制，消費(fèi)者可行使個(gè)人信息刪除權(quán)，要求寫(xiě)真機(jī)構(gòu)及時(shí)刪除原始的虹膜信息和底片；
第四，拍攝后妥善保存虹膜寫(xiě)真，盡量不要在公開(kāi)場(chǎng)合或公開(kāi)社交媒體中發(fā)布寫(xiě)真照片，避免個(gè)人虹膜信息被不法分子利用。
作者介紹
樊思琪律師
京師深圳律所高級(jí)合伙人、數(shù)字經(jīng)濟(jì)法律事務(wù)中心副主任、青工委副主任、金融科技法律事務(wù)部副主任。深圳市大數(shù)據(jù)產(chǎn)業(yè)協(xié)會(huì)、深圳市大數(shù)據(jù)研究與應(yīng)用協(xié)會(huì)專(zhuān)家顧問(wèn)、數(shù)據(jù)合規(guī)研究院高級(jí)研究員。
業(yè)務(wù)領(lǐng)域：
企業(yè)合規(guī)、數(shù)字經(jīng)濟(jì)產(chǎn)業(yè)、數(shù)據(jù)合規(guī)及信息安全、資產(chǎn)管理、投融資并購(gòu)、資產(chǎn)證券化等。
教育背景：
中南財(cái)經(jīng)政法大學(xué)法學(xué)院
武漢大學(xué)法學(xué)院經(jīng)濟(jì)法系
專(zhuān)業(yè)資質(zhì)：
國(guó)際認(rèn)證德國(guó)萊茵TüV DPO（數(shù)據(jù)保護(hù)官）/ISO37301
深圳數(shù)據(jù)交易所DEXCO（數(shù)據(jù)交易合規(guī)師）
ESG合規(guī)管理分析師
證券及基金從業(yè)資格
專(zhuān)業(yè)著作：
《金融消費(fèi)者權(quán)益保護(hù)的法律實(shí)踐及合規(guī)體系構(gòu)建》法律出版社，2023年；
行業(yè)白皮書(shū)：
《網(wǎng)絡(luò)安全與數(shù)據(jù)合規(guī)法律風(fēng)險(xiǎn)白皮書(shū)》，2020年
《中國(guó)個(gè)人金融信息保護(hù)執(zhí)法白皮書(shū)2020》，2020年
《中國(guó)金融機(jī)構(gòu)反洗錢(qián)合規(guī)實(shí)踐白皮書(shū)2021》，2022年
《跨境數(shù)據(jù)流通合規(guī)與技術(shù)應(yīng)用白皮書(shū)（2023）》，2023年
《跨境數(shù)據(jù)流通合規(guī)與技術(shù)應(yīng)用白皮書(shū)（2023）》，2024年
