text: “生物识别信息”是什么、如何认定
  3点区分中欧相关规制差异
  生物识别数据是与自然人的身体、生理或行为特征有关的特定技术处理操作所产生的个人数据，它允许或确认对该自然人的明确识别。
  比较典型的身体或生理生物识别技术的例子包括:面部识别、指纹验证、虹膜扫描、视网膜分析、语音识别以及耳廓识别。
  这大概是中欧两地的共识。
  欧洲GDPR的规制
  1. 如何认定“生物识别数据”
  欧洲《一般数据保护条例》的第4条第14款对生物识别数据做了如下定义:
  上述第4条的定义强调了两点。
  举个例子，如果你处理个人的数码照片，这并不自动成为生物识别数据，即使你将其用于识别个人的目的。
  2. 处理生物识别数据的法律基础
  《一般数据保护条例》第9(2)条要求处理特殊类别的个人数据需要满足以下一个或多个条件:
  (h)处理对于预防性医学或临床医学目的是必要的，或者对于评估雇员的工作能力、医疗诊断、提供--基于欧盟或成员国法律，或遵循和健康职业机构签订的契约并遵循第3段所规定的情形与保障措施--健康或社会保健或治疗或管理健康或社会保健体系是必要的;
  (i)在公共健康领域，处理是为了实现公共利益所必要的，例如，在欧盟或成员国内已经为保障数据主体的权利与自由而采取合适与特定措施的法律基础上，处理对于预防严重的跨境健康威胁是必要的，或者为了保障医疗质量和安全、医疗产品或医疗设备的高质量和安全是必要的;或者
  如果不被认定为生物识别数据，一般个人数据的处理的法律基础则遵从《一般数据保护条例》第6(1)条:
  (e)处理是数据控制者为了公共利益或基于官方权威而履行某项任务而进行的;
  是否被认定为生物识别数据，其处理的法律基础也有非常大的区别。
  《一般数据保护条例》的第9(1)条将“biometric data”认定为“special categories of personal data“(特殊种类的个人数据)的一种，并且与 “for the purpose of uniquely identifying a natural person”相互连接，意在强调biometric data的目的是识别个人。
  对于这其中的差别，我们来举一个例子，如果一家公司设计的APP可以语音交互，那么交互过程的录音是否属于生物识别数据
  可是如果声音录音不是用来识别个人，则不应当认定为具有biometric purpose 的biometric data，那么GDPR第9(2)条就不再适用，从而适用更加便捷的GDPR第6(1)条。
  中国个人信息保护法的规制
  1. 如何认定“生物识别信息”
  《个人信息保护法》并没有定义“生物识别信息”，只在《GB/T 35273-2020信息安全技术 个人信息安全规范》对”个人生物识别信息“做了举例:“个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等”。
  《GB/T 40660-2021 信息安全技术 生物特征识别信息保护基本要求》将生物特征识别信息(biometric information)定位为“对自然人的物理、生物或者行为特征进行技术处理得到的、能够单独或者与其他信息结合识别该自然人身份的个人信息。
  这个定义显然借鉴了欧盟GDPR的立法。
  2. 处理生物识别信息的法律基础
  我们仍然以上面的案列在中国法下做分析，就会发现有意思的差别了。
  很可惜我们的法律对于如何判断声音是否属于生物识别信息仍然有很多空白有待于填补。
  在上面提到的另外一个案例中，企业的APP夜间监测咳嗽而录下的声音算不算生物识别信息呢
  但是中国的个人信息保护法于欧洲GDPR的最大不同在于我们在第28条的“个人敏感信息”定义时，并不要求生物识别信息的目的限制于识别个人。
  两地法律的区别总结
  3. 作为跨国企业在不同法域处理“生物识别信息”时，应当注意以上的区别，在两地可以就同一类型的数据处理行为，做不同的处理。
  1. 生物识别信息是一个非常重要的概念。
  2. 中国法律下对“生别信息”的处理只规定了“单独同意”的额外要求。
  这会使得对“生物识别信息”的特殊处理和额外保护形存实亡。
  特别是处理“生物识别信息”或“敏感个人信息”的法律基础需要进一步扩展。