足球運動員生物識別信息保護：美國經(jīng)驗與中國策略

張 鵬

（1. 南京師范大學 中國法治現(xiàn)代化研究院，江蘇 南京 210023；2. 南京師范大學 法學院，江蘇 南京 210023）

1 問題的提出：生物識別信息立法保護的興起

國際足球聯(lián)合會（FIFA，以下簡稱“國際足聯(lián)”）及其理事會于2015年批準使用可穿戴技術(shù)（wearable technologies）來收集足球運動員生物識別信息，并于2017年創(chuàng)建“全球足球可穿戴技術(shù)”的統(tǒng)一標準?？纱┐骷夹g(shù)應(yīng)用在國際上已成為高增長行業(yè)，而足球運動員生物識別信息的獲取也成為健康、醫(yī)療、保健、游戲甚至網(wǎng)絡(luò)賭博等產(chǎn)業(yè)競相追逐的目標，威脅著足球運動員的隱私權(quán)、知情權(quán)、形象權(quán)（publicity right）以及合同利益。從美國既有實踐看，足球運動員生物識別信息的收集、存儲和使用主要涉及三方主體：足球運動員、其所在俱樂部、第三方（包括信息處理者、其他利益相關(guān)者等）。足球運動員生物識別信息保護所面臨的法律風險主要表現(xiàn)為以下3個方面：①足球俱樂部與運動員之間的權(quán)利沖突。通過可穿戴技術(shù)收集的運動員在訓練和比賽中的生物識別信息，其所有權(quán)歸俱樂部而非運動員[1]，這意味著足球運動員在轉(zhuǎn)會時，上述生物識別信息并不會自動隨之轉(zhuǎn)移至新加盟的俱樂部。除非兩家足球俱樂部在球員轉(zhuǎn)會時達成協(xié)議，否則原足球俱樂部對其所收集的運動員生物識別信息具有獨占權(quán)。②信息處理者與運動員之間的權(quán)利沖突。如生物特征識別設(shè)備的生產(chǎn)商和運營商為獲取商業(yè)利益，可能會轉(zhuǎn)售其收集并存儲至內(nèi)部服務(wù)器的足球運動員生物識別信息，對運動員相關(guān)權(quán)益造成潛在威脅。③利益相關(guān)者與運動員之間的權(quán)利沖突。體育類電子游戲公司在研發(fā)過程中需要收集并應(yīng)用游戲角色所對應(yīng)的足球運動員生物識別信息。如“FIFA”系列足球游戲的開發(fā)商EA Sports公司已連續(xù)多年使用足球運動員生物識別信息[2]，近年來，該公司遭遇了侵犯運動員肖像權(quán)、隱私權(quán)等諸多訴訟[3]。

國際足聯(lián)規(guī)則對于足球運動員生物識別信息保護語焉不詳，中國足球協(xié)會（以下簡稱“中國足協(xié)”）亦缺乏相應(yīng)的制度規(guī)范，但從國外立法看，美國已有4個州通過專門立法保護生物識別信息。在我國，《中華人民共和國民法典》（以下簡稱《民法典》）第1034條、《中華人民共和國網(wǎng)絡(luò)安全法》第76條、《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）第28條等均將個人生物識別信息納入保護范疇。然而，《個人信息保護法》并未明確生物識別信息的內(nèi)涵與外延，配套規(guī)則設(shè)定也需要進一步厘清。為此，有必要借鑒國外立法和司法實踐的有益經(jīng)驗，為系統(tǒng)構(gòu)建足球運動員生物識別信息的保護規(guī)范提出具有前瞻性和針對性的建議。

2 生物識別信息的界定

生物識別信息是指基于個人的生物特征識別標志（biometric identifier）采集而成，可用于分辨不同個體的所有信息[4]。生物特征識別標志包括指紋、虹膜、面容、聲音等[5]。總體而言，個人信息是敏感個人信息（personal sensitive information）的屬概念，生物識別信息則構(gòu)成敏感個人信息的種概念。《個人信息保護法》將個人信息區(qū)分為敏感個人信息和一般個人信息，而敏感個人信息又被區(qū)分為生物識別信息與一般敏感信息。該法第4條將個人信息界定為“以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息”；第28條將敏感個人信息界定為“一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息”，主要包括“生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息”。這一界定延續(xù)了國家質(zhì)量監(jiān)督檢驗檢疫總局、國家標準化管理委員會2012年頒布并于2013年開始實施的《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》對于敏感個人信息的界定①該保護指南將敏感個人信息界定為一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。各行業(yè)敏感個人信息的具體內(nèi)容根據(jù)接受服務(wù)的個人信息主體意愿和各自業(yè)務(wù)特點確定。例如，敏感個人信息可以包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等。。

生物識別信息具有以下不同于一般個人信息的顯著特征。①個體唯一性和不可變更性[6]。身份證號碼等經(jīng)過二次編碼的個人信息、生物識別信息一旦泄露，極易導致個人深層信息被挖掘和泄露，金融、購物等活動恐將遭遇嚴重威脅，信息主體的名譽、身心健康也難免受損。②程序識別性。傳統(tǒng)個人信息無須計算機算法的輔助、采集與識別，而生物識別信息必須經(jīng)過相關(guān)程序的識別才能得以生成。如人臉識別技術(shù)通過使用局部二值模式（local binary pattern）的影像強度（image intensity）技術(shù)、圖像序列（video sequences）技術(shù)和3D信息技術(shù)，確定代表人臉特定圖像的數(shù)字串，然后在所存儲的用戶人臉模板數(shù)據(jù)庫中查找匹配項，形成數(shù)字身份[7]。③信息關(guān)聯(lián)性。通過生物特征識別系統(tǒng)來鑒別個人，離不開生物識別信息與其他個人信息的綁定，同樣也離不開信息記錄的安全性保障②2019年6月25日，國家質(zhì)量監(jiān)督檢驗檢疫總局、國家標準化管理委員會發(fā)布國家標準《信息技術(shù) 安全技術(shù) 生物特征識別信息的保護要求（征求意見稿）》，規(guī)定了生物特征識別信息的安全保護要求，包括生物特征識別系統(tǒng)的威脅和對策，生物識別信息和身份主體之間綁定的安全要求、應(yīng)用模型以及個人信息保護要求等。。④信息的可復制性。生物識別信息經(jīng)計算機程序識別后具有可復制性，在技術(shù)支持下存在被模仿、復制甚至更改的可能性[8]。⑤傷害不可變更性。生物識別信息若不加以特別保護，會給當事人帶來物質(zhì)和精神上不可預測、不可逆轉(zhuǎn)、難以消除的傷害，也會給社會治理甚至國家安全帶來隱患[9]。

3 足球領(lǐng)域生物識別信息收集處理技術(shù)的發(fā)展

回顧足球領(lǐng)域生物識別信息收集處理技術(shù)的發(fā)展歷史，對于形成足球運動員生物識別信息的有效法律規(guī)制具有基礎(chǔ)性意義。隨著足球運動發(fā)展成為“世界第一運動”，如何提高運動員的競技狀態(tài)以取得更多賽事的勝利成為教練員、俱樂部甚至國際體育組織普遍關(guān)心的問題。足球運動員在訓練、熱身賽、正式比賽中的技術(shù)表現(xiàn)指標（technical performance metrics）包括跑動總距離、沖刺跑次數(shù)、高強度跑占比、最高心率、平均心率、心率負荷、代謝負荷等身體狀態(tài)數(shù)據(jù)，以及控球時間、傳球次數(shù)和成功率、射門效率等技能數(shù)據(jù)，這些數(shù)據(jù)已成為教練員“排兵布陣”的重要參考因素。集全球定位系統(tǒng)、本地位置測量系統(tǒng)（local position measurement system）、心率監(jiān)測器、加速度計（accelerometer）等先進技術(shù)于一體的可穿戴技術(shù)應(yīng)運而生，成為數(shù)據(jù)收集的“利器”[10]?？纱┐髟O(shè)備感應(yīng)器被置于足球運動員的訓練背心、比賽服、鞋襪、手表之中③如在訓練背心中設(shè)置專門的安裝袋，將專業(yè)運動感應(yīng)模塊放置其中，讓其緊貼足球運動員的背部，同時胸前安裝一條心率帶，可以監(jiān)測運動員的跑動總距離等身體、技能數(shù)據(jù)并給出分析，這些運動數(shù)據(jù)會通過場邊的無線基站傳遞到教練員或?qū)I(yè)科研人員的筆記本電腦等設(shè)備上。參見《科技改變足球，可穿戴設(shè)備在綠茵場上的應(yīng)用》， https://www.sohu.com/a/296270352_299921。，全面監(jiān)測足球運動員的心跳、體溫、血壓、血氧水平等生命體征，通過對各項指標的算法整合，綜合展現(xiàn)足球運動員的身體健康和競技狀態(tài)，還可幫助隊醫(yī)發(fā)現(xiàn)運動員的傷病狀況和潛在隱患，從而給出個性化的治療與恢復方案[11]。

國際足聯(lián)及其理事會于2015年3月批準使用可穿戴技術(shù)，但同時設(shè)定了2項前提條件：①在該技術(shù)被證明具有預防性醫(yī)療用途之前，不能使用實時采集的數(shù)據(jù)；②技術(shù)設(shè)備的使用不能對賽場上的任何球員造成傷害[12]。2016年國際足聯(lián)啟動與可穿戴技術(shù)公司的合作[13]，可達沛（Catapult）公司是第一家獲得國際足聯(lián)批準提供符合質(zhì)量標準的可穿戴設(shè)備生產(chǎn)商[14]。在這一過程中，可穿戴設(shè)備與場上攝像設(shè)備等相結(jié)合①場上攝像設(shè)備主要包括動作捕捉、視覺套件兩套系統(tǒng)設(shè)備。如：在足球場上設(shè)置的多角度攝像電腦跟蹤系統(tǒng)可收集足球運動員在競賽過程中的奔跑距離和強度；足球中內(nèi)置的傳感器以力量、旋轉(zhuǎn)、軌跡等數(shù)據(jù)反映足球運動員的生物識別信息。，構(gòu)成電子表現(xiàn)追蹤系統(tǒng)（Electronic Performance and Tracking Systems, EPTS）[15]。2017 年，國際足聯(lián)開始創(chuàng)建“全球足球可穿戴技術(shù)”的統(tǒng)一標準，推出“國際足聯(lián)可穿戴電子表現(xiàn)追蹤系統(tǒng)質(zhì)量標準”（FIFA Quality Programme for Wearable Electronic Performance and Tracking Systems），為市場上不同的可穿戴設(shè)備提供統(tǒng)一的質(zhì)量標準，以提高各項設(shè)備的準確性和安全性，并在不干預市場競爭和科技創(chuàng)新的前提下，探索最適合足球運動的可穿戴電子表現(xiàn)追蹤系統(tǒng)[16]。僅2019年，國際足聯(lián)就與13家可穿戴技術(shù)公司開展合作，共同收集并測試足球運動員場上位置、速度等數(shù)據(jù)，旨在為教練員和俱樂部醫(yī)療人員提供足球比賽的科學分析，同時為足球賽事轉(zhuǎn)播提供更多有益信息[17]。

可穿戴技術(shù)已經(jīng)進入中國，被中國國家足球隊、足球俱樂部、中國足球協(xié)會超級聯(lián)賽等所采用，應(yīng)用于訓練、比賽、青少年培養(yǎng)等領(lǐng)域②一線隊更關(guān)注球隊的臨場比賽，而青訓隊則更需要關(guān)注球員的長期發(fā)展，也正因這種差異，可穿戴技術(shù)所需反饋、分析的數(shù)據(jù)類型并不相同。，如作為中國足協(xié)中國之隊③中國足協(xié)中國之隊包括中國國家男子足球隊、中國國家女子足球隊、中國國家U-23男子足球隊、中國國家U-21男子足球隊、中國國家青少年足球隊等。參見 http://www.thecfa.cn/zgzd/index.html。2017—2020年技術(shù)數(shù)據(jù)服務(wù)合作伙伴的威維體育是英國可穿戴設(shè)備公司斯戴特體育（STATSports）在中國的代理商[18]。在中國足協(xié)官方網(wǎng)站教練員項下，專門載有“可穿戴設(shè)備在足球負荷監(jiān)控中的作用”的講解視頻[19]。在青少年運動員培養(yǎng)方面，教練員通過可穿戴技術(shù)所收集的數(shù)據(jù)了解其真正的足球能力，有針對性地創(chuàng)造訓練場景，實現(xiàn)因材施教；進而把不同年齡段中能力相同或接近的球員集合在一起，使每個年齡段的球員訓練都能得到正確的評估與促進，實現(xiàn)從啟蒙到提高繼而到強化的目標，為青少年球員的快速成長保駕護航[20]。

4 美國足球運動員生物識別信息的法律保障

截至2020年底，美國已有4個州正式出臺了生物識別信息立法。其中：伊利諾伊州在2008年專門制定并開始實施《生物識別信息隱私法案》（Biometric Information Privacy Act），先后于2017年開始實施的《學生網(wǎng)絡(luò)個人保護法》（Student Online Personal Protection Act）、2019年開始實施的《體育博彩法》（Sports Wagering Act）等立法中規(guī)定了個人生物識別信息的保護條款；得克薩斯州2009年開始實施的《商業(yè)和貿(mào)易法》、華盛頓州2017年開始實施的《商業(yè)規(guī)制法》、加利福尼亞州2020年開始實施的《消費者隱私法》也有專門規(guī)定。另外，亞利桑那州、佛羅里達州和馬薩諸塞州等多個州的生物識別信息法案已開始進入立法程序[21]。除立法之外，美國普通法也為足球運動員生物識別信息保護提供了有效支撐。從美國立法和司法實踐看，足球運動員生物識別信息保護主要涉及隱私權(quán)、形象權(quán)、合同利益和同意（consent）規(guī)則，其中同意規(guī)則構(gòu)成生物識別信息處理的關(guān)鍵環(huán)節(jié)。

4.1 隱私權(quán)

由于生物識別信息屬于個人獨有的敏感信息，在美國法律體系中屬于隱私權(quán)的保護范疇。如：伊利諾伊州《生物識別信息隱私法案》第5條第3款和第4款明確指出，生物識別信息與財務(wù)等個人隱私信息密切相關(guān)；加利福尼亞州《消費者隱私法》也在第2條第5款中強調(diào)，生物識別信息已成為個人隱私保護的新種類。足球運動員生物識別信息的不當使用對其個人隱私權(quán)的侵害主要體現(xiàn)在以下4個方面：①對足球運動員私人事務(wù)的不合理干涉[22]，如相關(guān)主體將所收集的足球運動員健康信息不當泄露。按照伊利諾伊州《生物識別信息隱私法案》第20條的規(guī)定，故意泄露上述信息的行為人將承擔實際損失與5 000美元之中較高數(shù)額的罰款，而過失泄露上述信息的行為人需承擔實際損失與1 000美元之中較高數(shù)額的罰款。②在未經(jīng)許可的前提下，使用足球運動員生物識別信息，如在商業(yè)廣告中非法使用足球運動員的肖像、賽事表現(xiàn)數(shù)據(jù)等。③未經(jīng)同意曝光足球運動員生物識別信息，如故意披露對運動員不利的健康指標，誤導公眾認為該運動員職業(yè)生涯行將結(jié)束，從而對其造成負面影響。④濫用足球運動員生物識別信息，如操縱運動員生物識別信息的使用，對運動員身體健康、競技狀態(tài)等給出誤導性結(jié)論[1]。

4.2 形象權(quán)

形象權(quán)又被稱為公開權(quán)、人格權(quán)（personality rights），指運動員對其身份符號、與運動項目密切相關(guān)的形象要素所產(chǎn)生商業(yè)價值利益享有的權(quán)利[23]。包括出于以下目的而開展的活動：電視（直播或錄制）、廣播（直播或錄制）、攝影、音頻錄制；電影、視頻或電子圖片（包括但不限于電腦合成圖像的制作）；靜態(tài)照片；個人儀表；所有媒體上的產(chǎn)品代言和廣告；出于宣傳或商業(yè)目的對人物名稱、肖像、簽名、故事和成就的使用權(quán)（包括版權(quán)和其他知識產(chǎn)權(quán)），包括但不限于人物的實際或模擬肖像、聲音、照片、表演、個人特質(zhì)或其他個人身份識別標志；等等[24]。如《密西西比州校際田徑補償權(quán)利法》第2條第1款第7項將形象權(quán)的保護范圍明確為個人姓名和圖像等身份識別標志。美國法律上的形象權(quán)是由隱私權(quán)演化而成的一項財產(chǎn)權(quán)，本質(zhì)上是個人對其人格屬性的商業(yè)價值享有的支配權(quán)[25]。兩者的區(qū)別在于：隱私權(quán)被用于保護人身權(quán)利，而形象權(quán)被用于保護財產(chǎn)權(quán)利。足球運動員的訓練和競賽表現(xiàn)等個人生物識別信息構(gòu)成形象權(quán)的重要內(nèi)容[22]，一旦未獲授權(quán)即被用于廣播、廣告、電子游戲等商業(yè)用途，行為人將承擔相應(yīng)的民事責任。如伊利諾伊州《形象權(quán)法》第40條規(guī)定，故意侵害他人形象權(quán)的行為人將承擔懲罰性賠償責任。

4.3 合同利益

在職業(yè)合同的談判和簽訂過程中，足球俱樂部可能會濫用其以往所掌握的足球運動員生物識別信息，影響后者的談判能力，操控合同薪酬，從而實現(xiàn)盤剝運動員的非法目的。如足球俱樂部依據(jù)其所收集的運動員表現(xiàn)數(shù)據(jù)，指責其相較于其他運動員更易疲倦，或相對于同齡人會更早出現(xiàn)運動能力衰退現(xiàn)象，從而向該運動員施加壓力，借機壓低其薪酬[1]。在足球運動員轉(zhuǎn)會過程中，生物識別信息也可能成為兩家俱樂部談判的籌碼，影響是否引進該運動員的最終決定、轉(zhuǎn)會合同的價款以及運動員的個人薪酬等。上述情況可能違背美國普通法中的誠信原則和公平交易原則，構(gòu)成合同法中的惡意磋商行為。在“艾利斯-查默斯公司訴呂克案”（Allis-Chalmers Corp. v. Lueck）[26]中，美國最高法院強調(diào)誠信原則和公平交易原則是合同簽訂的默示義務(wù)，足球俱樂部應(yīng)對因此給足球運動員、對方俱樂部所造成的損失承擔責任。

4.4 同意規(guī)則

前述美國各州生物識別信息立法均將同意作為核心概念。立法要求收集和使用生物識別信息的公司或其他組織必須明確書面告知被收集者，并取得被收集者的同意。同意是指適格主體自愿為特定行為、目的訂立協(xié)議或給予批準、許可[27]。同意主要分為明示同意和默示同意，前者指行為人通過語言清楚無誤地加以表達，后者則借由主體行為、環(huán)境結(jié)果推導得知。得克薩斯州《商業(yè)和貿(mào)易法》第503條和華盛頓州《商業(yè)規(guī)制法》第115條均采用概括意義上的同意規(guī)定，即究竟采取明示同意還是默示同意的方式取決于個案的具體情勢。與此不同，伊利諾伊州《生物識別信息隱私法案》第14條采用醫(yī)療領(lǐng)域知情同意（informed consent）的概念，指行為人在知道即將發(fā)生的情況事實、內(nèi)在危險和替代方案的基礎(chǔ)上做出的同意決策[27]。

此外，以下3種情形被加利福尼亞州《消費者隱私法》明確排除在同意范疇之外：①當事人概括接受包含生物識別信息與其他信息在內(nèi)的一般規(guī)定或合同條款，不構(gòu)成同意；②當事人對特定內(nèi)容的猶豫、沉默、停頓等表示，不構(gòu)成同意；③通過“黑暗模式”（dark pattern）簽訂的協(xié)議，不構(gòu)成同意。所謂“黑暗模式”，指利用網(wǎng)頁、App等媒介，通過用戶界面（User Interface，UI）設(shè)計引誘用戶做出原本不會做的行為，如注冊會員、點擊廣告等。上述立法存在的現(xiàn)實問題是，在足球運動員與俱樂部簽訂合同時，運動員可能會放棄特定個人權(quán)利，而個人生物識別信息是否包含在這一讓渡權(quán)利范圍之內(nèi)，尚未有明確規(guī)定。

5 完善我國足球運動員生物識別信息保護的策略

在前述足球運動員生物識別信息保護的三方主體關(guān)系中，足球俱樂部、第三方無疑較為強勢，而足球運動員個人則處于弱勢地位。為矯正這一失衡的狀況，建議發(fā)揮立法和行業(yè)規(guī)范的引領(lǐng)和推動作用，從以下5個方面系統(tǒng)完善足球運動員生物識別信息的法律保護。

5.1 厘清生物識別信息的概念和范疇

《個人信息保護法》并未給出生物識別信息的專門界定，建議出臺生物識別信息保護的專門化、可操作的規(guī)定給予細化落實。美國加利福尼亞州《消費者隱私法》區(qū)別于其他3個州的立法界定，采用更為廣泛的規(guī)制范疇：生物識別信息除包括前述指紋、虹膜、面容、聲音等狹義內(nèi)容外，還包括個人的關(guān)鍵行為模式、行走步態(tài)、睡眠、健康、運動等。而伊利諾伊州《生物識別信息隱私法案》將以下數(shù)據(jù)排除在生物識別信息之外：書寫字體、手寫簽名、照片、用于科學實驗或檢測的生物樣本、人口統(tǒng)計數(shù)據(jù)、紋身、身高、體質(zhì)量、頭發(fā)顏色、眼睛顏色、基因、捐贈的人體器官或組織、為器官移植所儲存的血液或血清、為醫(yī)療診斷所采集的X射線和MRI、PET掃描影像等。

此外，歐盟2016年制定并于2018年開始實施的《通用數(shù)據(jù)保護條例》（General Data Protection Regulation）即在《關(guān)于在個人數(shù)據(jù)處理方面對自然人保護和此類數(shù)據(jù)自由流動的第2016/679號條例》第9條中，將人體基因區(qū)別于生物識別信息。盡管兩者同屬敏感個人信息，但也有清晰的邊界：基因信息是自然人先天繼承和后天獲得的有關(guān)基因特征的信息，屬于個人信息的深層次內(nèi)容，不僅能顯示個人獨特的生理、健康、疾病、缺陷等信息，更具有種族、家族相關(guān)性，基因信息的泄露還可能導致對個人乃至其家族的歧視；生物識別信息是通過對自然人的身體、生理、行為進行特定技術(shù)處理而得到的個人信息，可基于該信息識別個人身份，并據(jù)此開展愈發(fā)廣泛的個性化信息服務(wù)，如利用指紋、面容開啟手機、轉(zhuǎn)賬付款等[28]。

由此，建議明確生物識別信息的范疇，以定義和列舉的方式給出詳細的外延清單，厘清例外情形，并將指紋、虹膜、面容、聲音、行為模式、行走步態(tài)、睡眠、健康、運動等納入保護范疇。此外，應(yīng)注重《個人信息保護法》與《民法典》中隱私權(quán)保障的銜接。個人生物識別信息屬于《民法典》第1032條第2款中規(guī)定的“私密信息”的范疇。因此，在明確個人信息保護立法出發(fā)點并非絕對禁止收集個人生物識別信息[29]的同時，應(yīng)強化個人生物識別信息的隱私權(quán)保障①侵犯個人隱私權(quán)在法律構(gòu)成要件上仍存在爭議。根據(jù)《民法典》第1165條的規(guī)定，行為人因過錯侵害他人民事權(quán)益造成損害的，應(yīng)當承擔侵權(quán)責任。但《民法典》中并未明確損害后果是侵犯隱私權(quán)的構(gòu)成要件。在司法實踐中，法院采取了截然相反的做法。因此，隱私權(quán)的法律保障還需要進一步在理論和實踐中加以探討。參見：張璐. 何為私密信息？—基于《民法典》隱私權(quán)與個人信息保護交叉部分的探討[J]. 甘肅政法大學學報，2021（1）：86-100。。

5.2 明確同意規(guī)則的界限與形式

盡管我國《個人信息保護法》明確了敏感個人信息的同意規(guī)則有別于一般個人信息，但相對于醫(yī)療衛(wèi)生健康領(lǐng)域立法的保護力度仍顯不足，建議在立法實施過程中明確同意規(guī)則的界限范疇和表達形式。如前所述，有別于一般個人信息，生物識別信息具有個體唯一性和不可更改性，一旦泄露或遭非法使用后不可能再恢復到保密狀態(tài)，所造成的損失也是災難性、不可挽回的[30]。因此，足球運動員生物識別信息的處理②個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等，參見《個人信息保護法》第4條第2款。，必須采用相較于一般個人信息更為嚴格的同意規(guī)則。從學理上而言，根據(jù)同意的對象范圍劃分，同意可分為概括同意與特別同意[31]。概括同意又稱一般同意，指個人在數(shù)據(jù)采集協(xié)議中做出的明示同意[32]，并不一定針對一個具體的事項，可以是針對將來信息處理行為概括的、一攬子的同意。特別同意又稱嚴格同意、具體同意，指在一般同意的數(shù)據(jù)采集協(xié)議外，另需單獨做出的明示書面同意，或在同一合同中設(shè)置的特別提示同意條款[33]。

從我國現(xiàn)有立法看，對于一般個人信息的處理，民事立法采用概括式的告知同意規(guī)則③對于一般個人信息，《民法典》第1035條第1款第1項規(guī)定，處理個人信息的，應(yīng)當征得該自然人或者其監(jiān)護人同意，但是法律、行政法規(guī)另有規(guī)定的除外。《中華人民共和國網(wǎng)絡(luò)安全法》第41條第1款規(guī)定，網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。，即統(tǒng)一要求征得當事人或其監(jiān)護人的同意④對于個人信息保護的告知同意規(guī)則，之前在學界有不同稱謂，有學者將其稱為“告知同意原則”，但鑒于《民法典》第1035條已經(jīng)將該原則具體化，并將告知同意作為處理個人信息的必要“條件”，故學理上的抽象原則已經(jīng)轉(zhuǎn)化為立法中的具體規(guī)則，據(jù)此應(yīng)將其界定為同意規(guī)則。參見：呂炳斌.個人信息保護的“同意”困境及其出路 [J]. 法商研究，2021，38（2）：87-101。?！秱€人信息保護法》第13條第1項同樣規(guī)定處理個人信息必須“取得個人的同意”；第14條第1款明確了同意的前提，即“由個人在充分知情的前提下自愿、明確作出。法律、行政法規(guī)規(guī)定處理個人信息應(yīng)當取得個人單獨同意或者書面同意的，從其規(guī)定”①有學者指出，我國現(xiàn)有同意規(guī)則在個人信息保護領(lǐng)域必然面臨諸多困境，如“隱私政策”無人讀、不可讀、讀不懂，信息主體被“脅迫同意”以致難以行使拒絕權(quán)，大數(shù)據(jù)處理時難以取得有效的同意，問責機制難以發(fā)揮功效等。參見：韓旭至.個人信息保護中告知同意的困境與出路—兼論《個人信息保護法（草案）》相關(guān)條款 [J]. 經(jīng)貿(mào)法律評論，2021（1）：47-59。。對于敏感個人信息，《個人信息保護法》則在第29條做出特殊規(guī)定，明確了包含單獨同意、書面同意在內(nèi)的特別同意規(guī)則：“處理敏感個人信息應(yīng)當取得個人的單獨同意；法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當取得書面同意的，從其規(guī)定。 ”

無論是概括同意還是特別同意，同意規(guī)則在個人數(shù)據(jù)處理的現(xiàn)實運行中遭遇了三重困境：①個人信息處理者與個人之間的信息不對稱妨礙個人同意的前提和基礎(chǔ)。同意之所以被認定為當事人行使對其個人數(shù)據(jù)的法律處分權(quán)，前提是當事人已充分了解哪些個人數(shù)據(jù)被收集、用途為何。但在現(xiàn)實生活中，理性人對于利益得失的衡量與現(xiàn)實理解之間往往存在差距。即使個人信息處理者提供了詳細的說明，對于當事人而言，冗長、復雜、難以理解、不愿意花費時間去理解等都可能引發(fā)事實上的信息鴻溝[34]。此時，同意不僅無法起到對個人的保護作用，反而會成為個人信息處理者的責任轉(zhuǎn)移工具[35]。②信息過載引發(fā)的決策非理性。即便能夠平衡個人與個人信息處理者之間的信息鴻溝，也未必能成功地將同意帶出非理性決策的困局。當可用的信息超越人腦的短期記憶能力時，可能引發(fā)認識上的信息過載現(xiàn)象，同樣會對相對人的理性決策過程施加負面影響[34]。③疲于應(yīng)對所造成的失控現(xiàn)象。隨著個人接受同意次數(shù)的增加，個人信息的管理難度加大，甚至處于失控狀態(tài)，導致同意規(guī)則實施的整體效力大打折扣[36]。

因此，對于生物識別信息，美國地方立法采用了特殊規(guī)制模式，即當事人必須被告知并表達同意。我國《個人信息保護法》第30條也引入了知情同意的特殊要求：“個人信息處理者處理敏感個人信息的，除本法第十七條第一款規(guī)定的事項外，還應(yīng)當向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響；依照本法規(guī)定可以不向個人告知的除外。 ”相比之下，此前我國醫(yī)療衛(wèi)生健康領(lǐng)域立法（如《中華人民共和國基本醫(yī)療衛(wèi)生與健康促進法》《中華人民共和國藥品管理法》《中華人民共和國疫苗管理法》《中華人民共和國中醫(yī)藥法》）對知情同意規(guī)則的規(guī)定更為詳盡。如《中華人民共和國基本醫(yī)療衛(wèi)生與健康促進法》第32條規(guī)定：“公民接受醫(yī)療衛(wèi)生服務(wù)，對病情、診療方案、醫(yī)療風險、醫(yī)療費用等事項依法享有知情同意的權(quán)利。需要實施手術(shù)、特殊檢查、特殊治療的，醫(yī)療衛(wèi)生人員應(yīng)當及時向患者說明醫(yī)療風險、替代醫(yī)療方案等情況，并取得其同意；不能或者不宜向患者說明的，應(yīng)當向患者的近親屬說明，并取得其同意。法律另有規(guī)定的，依照其規(guī)定。開展藥物、醫(yī)療器械臨床試驗和其他醫(yī)學研究應(yīng)當遵守醫(yī)學倫理規(guī)范，依法通過倫理審查，取得知情同意。 ”

我國醫(yī)療衛(wèi)生健康領(lǐng)域立法與美國伊利諾伊州《生物識別信息隱私法案》知情同意規(guī)則均將內(nèi)在風險、替代方案等加以細化。尤其對于足球運動員而言，通過可穿戴技術(shù)收集的生物識別信息已然涵蓋個人健康、身體機能等內(nèi)容。因此，建議明確“處理敏感個人信息的必要性以及個人權(quán)益的影響”的范圍涵蓋處理敏感個人信息的內(nèi)在風險、權(quán)益影響和可行的替代方案。此外，建議借鑒美國加利福尼亞州《消費者隱私法》中個人表達同意的形式，即要求生物識別信息的同意針對個別條款單獨做出，而不能對于合同全部條款加以概括同意；明確排除“黑暗模式”的同意規(guī)則；嚴格禁止足球俱樂部在與運動員簽訂合同時讓渡個人的生物識別信息權(quán)利。

5.3 細化足球運動員知情權(quán)、決定權(quán)、可攜帶權(quán)與刪除權(quán)的實施規(guī)則

如何界定運動員對生物識別信息的權(quán)利具有關(guān)鍵意義。個人信息權(quán)是決定權(quán)、請求權(quán)、抗辯權(quán)、形成權(quán)等權(quán)利的集合體。信息決定權(quán)指信息主體對其擁有所有權(quán)的信息進行支配和控制、有權(quán)限制或拒絕他人對其個人信息進行處理的權(quán)利；請求權(quán)則表現(xiàn)為知情權(quán)、可攜帶權(quán)，指信息主體對其個人信息進行查詢、復制、獲得知情并要求轉(zhuǎn)移的權(quán)利；抗辯權(quán)體現(xiàn)為信息反對權(quán)，指信息主體在面對他人提出的信息收集處理等請求時，有拒絕提供的權(quán)利；而形成權(quán)則體現(xiàn)為信息刪除權(quán)②刪除權(quán)又稱被遺忘權(quán)，被規(guī)定于歐盟《通用數(shù)據(jù)保護條例》第17條，這一條款別具一格地采用了雙命名模式。，指信息主體對其個人信息在法定或約定事由消失后，請求信息控制者刪除其個人信息的權(quán)利[37]?！秱€人信息保護法》第44條至第50條明確規(guī)定了主體對其個人信息處理所享有的知情權(quán)、決定權(quán)、可攜帶權(quán)、刪除權(quán)等，對于防范個人生物識別信息被濫用具有重要意義[38]。

建議在足球領(lǐng)域進一步明確足球運動員享有和行使知情權(quán)、決定權(quán)、可攜帶權(quán)、刪除權(quán)的實施細則：①明確誰處理誰披露規(guī)則，俱樂部在收集和處理足球運動員生物識別信息之前，必須向足球運動員告知向第三方提供生物識別信息的詳細情況，包括第三方的主體信息、生物識別信息的處理目的與方式，并取得足球運動員的單獨同意。②第三方不得擅自變更前述處理目的與方式，否則須向個人重新告知，并重新取得其單獨同意。未經(jīng)告知并取得同意的，應(yīng)當承擔賠償責任。③明確足球運動員對于生物識別信息可攜帶權(quán)和刪除權(quán)的實現(xiàn)方式。個人信息可攜帶權(quán)規(guī)定于《個人信息保護法》第45條第3款：“個人請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應(yīng)當提供轉(zhuǎn)移的途徑。 ”數(shù)據(jù)主體有權(quán)從數(shù)據(jù)控制者處獲取個人信息副本，并請求數(shù)據(jù)控制者直接將其個人信息傳輸給另一實體。刪除權(quán)則規(guī)定于《個人信息保護法》第47條第1款，個人有權(quán)要求信息處理者刪除個人信息①《個人信息保護法》第47條第1款規(guī)定：“有下列情形之一的，個人信息處理者應(yīng)當主動刪除個人信息；個人信息處理者未刪除的，個人有權(quán)請求刪除：（一）處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要；（二）個人信息處理者停止提供產(chǎn)品或者服務(wù)，或者保存期限已屆滿；（三）個人撤回同意；（四）個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人信息；（五）法律、行政法規(guī)規(guī)定的其他情形。”。

據(jù)此，足球運動員在轉(zhuǎn)會時，有權(quán)請求原俱樂部、可穿戴技術(shù)供應(yīng)商將此前收集的個人生物識別信息予以刪除，并可要求原俱樂部將上述信息轉(zhuǎn)由足球運動員個人存儲或交由新加盟俱樂部及其可穿戴技術(shù)供應(yīng)商加以處理。一方面，為訓練、比賽等收集的個人生物識別信息屬于《個人信息保護法》第47條第1款第1項規(guī)定的“處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要”，即歐盟《通用數(shù)據(jù)保護條例》規(guī)定的數(shù)據(jù)留存意義已消失②根據(jù)歐盟《通用數(shù)據(jù)保護條例》，刪除權(quán)限于適用以下范圍：一是數(shù)據(jù)留存意義消失，即個人數(shù)據(jù)與其被收集或處理的初衷已經(jīng)沒有必然關(guān)聯(lián)，從而使得數(shù)據(jù)沒有保留的必要；二是數(shù)據(jù)傳播的許可被撤回，個人信息處理者有義務(wù)終止該信息的傳播；三是信息存儲期屆滿且信息處理無其他合法理由時，信息主體反對信息存儲或處理；四是當信息被鏈接復制后的第三方處理時，信息控制者基于信息主體的請求，應(yīng)通知該第三方停止信息處理。參見：余筱蘭. 民法典編纂視角下信息刪除權(quán)建構(gòu)[J]. 政治與法律，2018（4）：26-37。，因此，個人信息處理者應(yīng)主動或根據(jù)個人的請求刪除其個人信息。另一方面，可穿戴技術(shù)供應(yīng)商、足球俱樂部等應(yīng)構(gòu)建足球運動員行使可攜帶權(quán)的申請受理和處理機制，為足球運動員提供便捷的生物識別信息轉(zhuǎn)移途徑。

5.4 增設(shè)足球行業(yè)專門規(guī)范

建議在中國足協(xié)章程和相關(guān)文件中明確足球運動員生物識別信息的保護規(guī)定。國際足聯(lián)尚未就足球運動員生物識別信息的保護做出特別規(guī)定。2020年版《國際足聯(lián)章程》（FIFA Statutes）僅明確了國際足聯(lián)及其理事會等所享有的權(quán)利范疇，但并未明確生物識別信息是否歸屬前述主體所有。如《國際足聯(lián)章程》第6條規(guī)定，國際足聯(lián)理事會應(yīng)當規(guī)范運動員地位、轉(zhuǎn)會等事宜，包括俱樂部鼓勵運動員訓練等[39]。第67條規(guī)定：“國際足聯(lián)、其會員協(xié)會以及各洲際足聯(lián)為由其管轄的各項比賽和賽事的所有權(quán)利的原始所有者，且不受任何內(nèi)容、時間、地點和法律的限制。這些權(quán)利包括各種財務(wù)權(quán)利，視聽廣播錄制、復制和播放權(quán)，多媒體版權(quán)，市場開發(fā)和推廣權(quán)以及無形資產(chǎn)權(quán)，如會徽及其他版權(quán)法規(guī)定的權(quán)利。執(zhí)委會應(yīng)決定如何使用這些權(quán)利以及將其使用到何種程度并做出特別規(guī)定。執(zhí)委會還應(yīng)自行決定是否獨自使用此權(quán)利或同第三方合作或完全通過第三方行使這些權(quán)利。 ”上述條款并未明確生物識別信息是否屬于國際足聯(lián)等主體的權(quán)利范疇，但從生物識別信息的收集過程看，作為賽事組成部分的屬性可能會導致其被納入其中。再從《國際足聯(lián)章程》第68條第1款的授權(quán)條款看，國際足聯(lián)、其會員協(xié)會以及各洲際足聯(lián)各自負責對其管轄范圍內(nèi)的足球比賽和賽事的圖像、聲音和其他方式的資料的分配給予授權(quán)，且不受內(nèi)容、時間、地點、技術(shù)和法律的限制。

由此，一旦明確生物識別信息屬于國際足聯(lián)等所有，足球運動員將喪失對此類個人信息的支配權(quán)，這對足球運動員而言有失公允，且與前述中美立法相沖突。值得注意的是，借由立法保障，美國足球大聯(lián)盟已經(jīng)對足球運動員的生物識別信息給予特殊保障。美國足球大聯(lián)盟《隱私聲明》規(guī)定：除非有明文特殊規(guī)定，否則不能收集足球運動員的“特殊類別”個人數(shù)據(jù)，包括有關(guān)身體狀況、精神健康的個人信息以及基因和生物識別數(shù)據(jù)等[40]。因此，建議中國足協(xié)落實《個人信息保護法》的相關(guān)要求，適時修訂《中國足球協(xié)會章程》及相關(guān)文件，并積極推動國際足聯(lián)修改章程有關(guān)規(guī)定，明確足球運動員對其生物識別信息的知情權(quán)、決定權(quán)、可攜帶權(quán)、刪除權(quán)，并設(shè)定單獨條款規(guī)定足球運動員生物識別信息的保護措施。

5.5 開展專項國際合作

除前述美國立法外，歐盟《通用數(shù)據(jù)保護條例》、日本2015年《個人信息保護法》等均對個人生物識別信息做出專門規(guī)制。如歐盟《通用數(shù)據(jù)保護條例》將生物識別信息納入保護范疇：第9條將生物識別數(shù)據(jù)界定為通過對自然人的物理、生物或行為特征進行特定的技術(shù)處理所得到的個人數(shù)據(jù)，同時明確該類數(shù)據(jù)是自然人的唯一標識；并要求除非經(jīng)過個人給出明確、具體、不含糊的個人同意，或在法定情形、工作范疇、社會保障、公共利益、預防醫(yī)學、職業(yè)醫(yī)學等例外情形下，不得處理個人生物識別信息；各歐盟成員國可在生物識別信息的處理方面進一步引入其他限制條件等。第14條規(guī)定，數(shù)據(jù)控制者在收集與數(shù)據(jù)主體相關(guān)的個人數(shù)據(jù)時，應(yīng)當告知數(shù)據(jù)主體，包括數(shù)據(jù)控制者的身份與詳細聯(lián)系方式、數(shù)據(jù)保護局的詳細聯(lián)系方式、數(shù)據(jù)處理將涉及的個人數(shù)據(jù)的使用目的，以及處理個人數(shù)據(jù)的法律依據(jù)等。

總體比較而言，歐盟側(cè)重將生物識別信息納入個人數(shù)據(jù)權(quán)利體系的法律規(guī)制，通過憲法性文件將數(shù)據(jù)權(quán)利作為公民基本權(quán)利加以明確，與隱私權(quán)相互分離；前述美國各州立法則傾向于歸屬隱私權(quán)保障，同時兼顧個人數(shù)據(jù)安全制度。由此反映出歐盟和美國對于生物識別技術(shù)應(yīng)用的認可度差異和不同的權(quán)利保障定位[6]。值得注意的是，歐盟《通用數(shù)據(jù)保護條例》適用于所有歐盟境內(nèi)組織和非歐盟組織處理歐盟境內(nèi)個人數(shù)據(jù)的行為，因而在歐盟境內(nèi)舉辦國際體育賽事或主辦方需要采集歐盟境內(nèi)運動員個人數(shù)據(jù)時，受到該條例的長臂管轄[41]。

鑒于世界各國和地區(qū)對于生物識別信息的保護立法所設(shè)定的標準和程度不盡相同，為落實《個人信息保護法》第12條的規(guī)定，建議強化足球運動員生物識別信息處理的國際交流與合作機制，在完善我國足球法律規(guī)制[42]的同時，積極參與生物識別信息國際規(guī)則的制定，推動國際足聯(lián)出臺專門規(guī)定，妥善處理國際賽事、國際轉(zhuǎn)會等領(lǐng)域中的足球運動員生物識別信息相關(guān)法律問題，提升中國在國際體育法治中的話語權(quán)和影響力。