根据非洲数据保护法处理生物识别数据
Charles Archibong, 联合创始人
这三项法律均将生物识别数据视为特殊类别。尼日利亚对人脸图像进行命名，并将敏感数据限制在特定情况下；肯尼亚将生物识别处理视为高风险；而《个人信息保护法》（POPIA）则禁止在未获得授权的情况下使用生物识别数据。因此，需要制定合法依据、开展数据保护影响评估（DPIA）并采取最小化措施。
要点
- 尼日利亚、肯尼亚和南非都将生物识别数据置于一个特殊的、更受保护的类别中。
- 尼日利亚《国家数据保护法》对生物识别数据的定义明确包括面部图像。
- 肯尼亚 2021 年通用条例将处理生物识别数据列为高风险事项，因此需要进行数据保护影响评估 (DPIA)。
- POPIA 禁止在未获得授权（例如同意）的情况下处理生物识别信息。
尼日利亚、肯尼亚和南非都将生物识别数据视为特殊类别，需要比普通法律依据更严格的规定。尼日利亚的《数据保护法》将面部图像纳入生物识别数据的定义，并规定只有在特定情况下才能处理敏感数据。肯尼亚将生物识别数据列为敏感数据，并通过法规将其处理视为高风险数据。南非的 POPIA 首先禁止处理生物识别信息，然后规定何时允许处理。
对于自拍和活体检测而言，这意味着在正式上线前需要解决三件事：在每个国家/地区所依据的法律依据、一份书面影响评估报告，以及一个收集和保存的生物识别数据不超过检测所需数量的设计方案。不同司法管辖区的要求各不相同，并且会随时间而变化，本文仅提供一般信息，不构成法律建议。请根据自身情况寻求专业建议。
验证自拍是否包含生物识别数据？
很有可能，一旦经过处理就能识别某人，尽管各国措辞有所不同。
尼日利亚 | 肯尼亚 | 南非 | |
|---|---|---|---|
法律 | 2023年尼日利亚数据保护法 | 2019年数据保护法 | 2013年个人信息保护法 |
定义 | “生物识别数据”：通过对身体、生理或行为特征进行特定技术处理而获得的个人数据，可以或确认唯一身份，“包括但不限于……面部图像”（第 65 条） | “生物识别数据”：指基于物理、生理或行为特征的特定技术处理而产生的个人数据，例如血型、指纹等。 DNA 耳垂几何形状、视网膜扫描和语音识别（第 2 节） | “生物识别技术”：一种基于生理、心理或行为特征的个人身份识别技术，包括血型鉴定、指纹识别等。 DNA 分析、视网膜扫描和语音识别（第1节） |
特殊类别 | “敏感个人数据”包括“用于唯一识别自然人”的生物识别数据（第 65 条）。 | “敏感个人数据”包括生物识别数据（第2条） | “特殊个人信息”包括生物识别信息（第26条） |
在三个国家中，只有尼日利亚的法案明确提及了面部图像。肯尼亚和南非的法案仅列举了示例，而非封闭式列表。肯尼亚2021年《数据保护（通用）条例》 （在新标签页中打开）提及了“生物识别技术，包括语音或面部识别”（第6(1)(e)条）。在每个国家，面部模板或匹配分数是否属于生物识别数据，需要咨询您的律师；谨慎的做法是假定其属于生物识别数据。
尼日利亚需要什么？
2023年尼日利亚数据保护法 （在新标签页中打开）规定，数据控制者不得处理敏感个人数据，除非符合第30(1)条所列情形之一。这些情形包括：获得“为特定目的处理”的同意；为提起法律诉讼而必须进行的处理；以及“出于重大公共利益，并依据法律规定”且采取适当保障措施而必须进行的处理。第30(1)条并未包含许多团队所假定的那种普遍适用的“法律义务”情形，因此，选择处理理由时需要格外谨慎。
第 28 条要求进行数据隐私影响评估（ DPIA 在处理“可能导致高风险”的信息之前，第 37 条赋予人们不受仅基于自动化处理且具有法律效力或类似重大影响的决定约束的权利，但有例外情况，并要求提供保障措施，包括人工干预权和对决定提出异议的权利。
尼日利亚数据保护委员会的一般应用和实施指令（ GAID 2025 年版《欧盟基本权利宪章》 （在新标签页中打开）于 2025 年 3 月 20 日发布，并根据欧盟委员会2025 年年度报告 （在新标签页中打开），于 2025 年 9 月 19 日生效。其中两项规定至关重要：
第 18(1)(b) 条规定，“处理敏感个人数据”需要获得同意。
第28(3)条规定 DPIA 在列明的情况下，包括“涉及敏感或高度个人数据”和“涉及通过数字设备处理个人数据的金融服务”，必须向委员会提交此类文件。
在尼日利亚开展自拍验证的金融科技公司很可能满足这两个条件。 DPIA 触发器。
肯尼亚需要什么？
根据2019年《数据保护法》 （在新标签页中打开），敏感个人数据的处理必须符合第25条规定的原则（第44条），第45条规定了允许的处理理由。这些理由包括为提起法律诉讼所必需的处理，以及“为履行控制者或数据主体的义务和行使特定权利所必需的处理”。与尼日利亚和南非不同，肯尼亚第45条并未将同意列为处理敏感数据的理由，因此在肯尼亚进行自拍核查时需要格外谨慎。第31条要求在进行可能导致高风险的处理之前进行数据保护影响评估，而第35条则限制了仅基于自动化处理的决策。
2021年通用条例消除了任何关于以下方面的疑虑： DPIA 第 49(1)(c) 条规定将“处理生物特征或基因数据”列为第 31 条所认定的高风险操作之一。
南非需要什么？
POPIA （在新标签页中打开）第26条规定，除第27条另有规定外，责任方不得处理生物识别信息。第27条第(1)款在特定情况下解除该禁令，包括经数据主体同意的处理以及“为确立、行使或捍卫法律规定的权利或义务所必需”的处理。第33条第(1)款新增了一项授权，允许“依法取得该信息”的责任方处理生物识别信息。
还有两项规定会影响核查方案：
第 57(1)(d) 条规定，在将特殊个人信息转移给外国的第三方之前，必须事先获得信息监管机构的授权，而该外国的第三方无法提供足够的保护水平。
第 71 条限制仅基于自动化处理而作出的具有法律效力或实质性影响的决定，但与合同或法律相关的例外情况除外。
验证程序应该做什么？
这三个国家的实际工作内容类似。
每个国家/地区选择并记录一个合法依据。同意条款已列入尼日利亚（此处原文似乎有误，无法翻译）。 GAID 第 18(1)(b) 条也要求对敏感数据进行处理，南非亦是如此。肯尼亚第 45 条未列出同意条款，因此请确定您在肯尼亚所依据的第 45 条中的哪项理由。并说明每项理由适用的原因。
明确告知同意书和通知内容。说明将使用自拍照和短视频来核实本人是否与身份证件相符以及本人是否在场，并说明由谁处理这些信息，以及这些信息将保存多长时间。
完成 DPIA 在发布之前，并将其提交给尼日利亚。 GAID 第28条有此规定。
仅收集核查所需的信息。单独决定是否需要持续进行人脸重新认证和重复人脸检查，并在通知中分别说明。 DPIA 。
为自拍照片、活体视频和任何存储的人脸数据设置保留期限，并按计划删除。
对于不利的决定，要让相关人员参与决策，以便客户可以对人脸匹配失败的结果提出异议。
绘制跨境转账路线图，包括您的验证提供商处理数据的位置。
在哪里 Toden 适合
身份验证会采集一张具有实时功能的自拍照，并录制一段简短的实时视频供服务器端审核（ SDK 文档 （在新标签页中打开））。对回访用户进行生物识别重新认证需要注册。人脸重用搜索仅将新自拍照与您组织已验证的客户进行比对，绝不会与其他组织的客户进行比对；将匹配结果发送审核的规则由您在工作流程中启用。工作流程允许您设置同意书副本，并将不良结果发送至人工审核。我们的安全和数据处理方法在安全页面上有详细说明；您的 DPIA 应该介绍如何使用这些功能以及数据在哪里进行处理。
检查清单
已记录尼日利亚、肯尼亚和南非的生物特征处理合法依据。
同意屏幕会显示自拍、视频、用途和保存期限。
DPIA 已完成并提交至 NDPC 必要时。
为每项生物特征数据设定保留和删除计划。
对于失败或有争议的比赛，可提供人工审核。
跨境转账情况已绘制完毕， POPIA 第 57 条已评估。
参考来源
