现行基准： 个人信息保护法（2021）+ 个保条例（2025）+ 信息安全技术个人信息安全规范（2020）
生物识别信息保护
最后更新：2026-04-06 | 由 LLM 基于知识库原始资料编译
关联概念：个人信息保护 | 敏感个人信息处理规则 | 数据处理者义务与责任
核心法条
- 《个人信息保护法》第 28—32 条——敏感个人信息的特别保护规则 [现行有效]
- 第 28 条：生物识别信息属于敏感个人信息，一旦泄露或非法使用容易导致人格尊严受到侵害或人身、财产安全受到危害
- 第 29 条：处理敏感个人信息应当取得个人的单独同意
- 第 30 条：处理敏感个人信息还应告知处理该信息的必要性以及对个人权益的影响
- 第 31 条：不满十四周岁未成年人的个人信息属于敏感个人信息
- 第 32 条：处理不满十四周岁未成年人个人信息的，应取得其父母或其他监护人的同意
- 《个人信息保护法》第 55 条：处理敏感个人信息应当事前进行个人信息保护影响评估（PIA） [现行有效]
- 《网络数据安全管理条例》（国务院令第 795 号，2025 年 1 月 1 日施行）——细化生物识别信息处理场景的合规要求 [现行有效]
- 《信息安全技术 个人信息安全规范》（GB/T 35273-2020）——推荐性国标中生物识别信息的具体保护要求 [现行有效]
规则沿革
| 时间节点 |
变化内容 |
依据 |
| 2021-11-01 |
《个人信息保护法》将生物识别信息明确列为敏感个人信息 |
现行有效 |
| 2025-01-01 |
个保条例进一步细化人脸、指纹等生物识别信息的处理规范 |
现行有效 |
一、生物识别信息的范围与特殊性
法定定义
《个人信息保护法》第 28 条将生物识别信息定义为敏感个人信息的类型之一。结合 GB/T 35273-2020 的技术规范，具体包括：
| 类别 |
具体类型 |
应用场景 |
| 面部特征 |
人脸图像、3D 面部模型、面部特征向量 |
门禁、支付、安防、打卡 |
| 指纹信息 |
指纹图像、指纹特征数据 |
解锁、身份验证、考勤 |
| 虹膜信息 |
虹膜图像、虹膜特征编码 |
安防、边境管控 |
| 声音特征 |
声纹数据 |
语音识别、身份验证 |
| 基因信息 |
DNA 测序数据 |
基因检测、医疗诊断 |
| 行为特征 |
步态、按键模式、鼠标使用模式 |
连续身份验证、行为分析 |
特殊保护理由
生物识别信息具有以下不可变更特征：
| 特性 |
含义 |
合规影响 |
| 唯一性 |
能够唯一标识自然人身份 |
泄露后可能导致身份被冒用 |
| 不可变更性 |
一旦泄露无法像密码一样更换 |
泄露后果不可逆 |
| 无感知性 |
可在不知情情况下被采集（如人脸摄像头） |
增加了隐蔽采集的风险 |
| 关联性 |
可与其他数据关联分析 |
可能导致全面的个人画像 |
二、处理生物识别信息的合法性基础
单独同意要求（PIPL 第 29 条）
| 要求 |
内容 |
| 单独同意 |
不能与其他授权捆绑，应单独就生物识别信息的处理征得同意 |
| 明示同意 |
应明确表示同意处理其生物识别信息，默示同意无效 |
| 事先告知 |
应告知必要性及对权益的影响 |
其他合法性基础（PIPL 第 13 条）
除同意外，以下情形可作为处理依据：
| 基础 |
适用场景 |
说明 |
| 履行法定义务 |
法律法规要求采集（如出入境生物特征登记） |
无需取得同意 |
| 公共利益 |
公共卫生、公共安全等情形 |
适用范围严格限制 |
| 紧急情况下保护生命/财产安全 |
紧急搜救等 |
适用条件严格 |
强制采集的合法性边界
| 场景 |
合规判断 |
| 住宅安装人脸识别门禁 |
应提供非生物识别替代方案，不得强制要求 |
| 工作场所指纹打卡 |
应提供替代验证方式，不得强制 |
| APP 强制采集人脸验证 |
如非服务必需，属于违法处理 |
| 学校/教育场景采集 |
涉及未成年人的，需监护人单独同意，且有更严格要求 |
三、生物识别信息的特别保护要求
技术安全措施（GB/T 35273-2020）
| 措施类别 |
要求 |
| 加密存储 |
生物识别特征数据应加密存储，不保存原始图像 |
| 本地处理 |
优先在本地设备上进行匹配，避免传输到云端 |
| 特征值存储 |
不应存储原始生物识别数据，应存储提取后的特征值 |
| 访问控制 |
实行严格的访问权限控制，仅授权人员可访问 |
| 安全传输 |
传输过程中使用加密通道 |
| 删除机制 |
目的实现后应及时删除，撤回同意时同步删除 |
管理安全措施
| 要求 |
说明 |
| PIA 评估 |
处理敏感个人信息前必须完成个人信息保护影响评估 |
| 内部审批 |
生物识别信息采集和处理方案应经过内部合规审批 |
| 告知说明 |
以显著方式告知，说明使用场景、必要性、存储期限 |
| 单独同意记录 |
保存同意记录的完整日志，以备合规审查 |
四、典型场景与合规风险
高风险场景
| 场景 |
主要风险 |
合规建议 |
| 人脸支付 |
生物信息和金融信息双重风险 |
加密存储、单独同意、提供替代支付方式 |
| 小区门禁人脸识别 |
强制采集、隐私侵犯 |
提供密码/门禁卡等替代方案 |
| 工地/工厂人脸考勤 |
劳动者权益保护 |
告知必要性、提供替代验证方式 |
| 学校人脸识别 |
涉及未成年人 |
监护人同意、严格限制使用范围 |
| 手机指纹解锁 |
本地处理风险较低 |
本地比对、不上传云端 |
| 基因检测 |
遗传信息的永久性 |
单独同意、加密存储、严格删除机制 |
执法实践与典型处罚
| 案例 |
处罚 |
认定理由 |
| 某售楼处"无感"采集人脸信息 |
没收违法所得、罚款 |
未经同意收集消费者个人信息 |
| 某 APP 强制收集人脸信息 |
责令整改、下架 |
超范围收集、未提供单独同意 |
| 某物业强制人脸识别进出小区 |
责令整改 |
未提供替代验证方式 |
五、跨境传输特别限制
生物识别信息作为敏感个人信息，跨境传输除遵守数据出境的三路径规则外，还有额外要求：
- 向个人告知境外接收方的名称、联系方式、处理目的和方式
- 取得个人的单独同意
- 开展个人信息保护影响评估
- 满足数据出境安全评估/标准合同/认证的要求
六、合规实务清单
- 必要性评估——仅在确实必要时才处理生物识别信息
- 替代方案——提供非生物识别的替代验证方式
- 单独同意——以显著方式告知并取得个人单独同意
- PIA 评估——处理前完成个人信息保护影响评估
- 本地优先——优先在本地设备上进行匹配处理
- 加密存储——使用加密存储，不保存原始生物识别数据
- 定期审计——定期检查生物识别信息处理活动的合规状态
- 建立删除机制——目的实现或同意撤回时及时删除
知识库原始资料索引
法律法规
标准规范