考勤用的指纹终端，入口闸机上的人脸识别摄像头：采购时像买一台打卡钟，法律上却完全不是一回事。生物识别系统若在「通用数据保护条例」（GDPR）下定位错误，并非小小的不合规：那是在一般性禁止之下处理特殊类别个人数据，每天发生，涉及全体员工。而作出安装决定的人，往往从未听说过第9条。
好消息是，法院已经把地图画得很清楚。参照的裁定是 AAP Barcelona 72/2021（2021年2月15日），其核心区分正是贵公司首先要问自己的问题。
决定性的问题：贵公司的系统是在识别，还是仅仅在验证？
并非所有生物识别的分量都一样。区分两种制度的标准是技术性的，但一句话就能说明。如果系统把到场者的生物识别数据与一个模板库进行比对，以查明此人是谁（一对多），那就是身份识别。如果系统把该数据与已经关联到此人的唯一模板比对，以确认其确为本人（一对一），那就是验证或认证。
依上述区分可以理解，按照「通用数据保护条例」（GDPR）第4条，生物识别数据的概念应涵盖两种情形，既包括身份识别，也包括验证／认证。但一般而言，只有在为生物识别身份识别（一对多）之目的而进行技术处理的情形下，生物识别数据才被视为特殊类别个人数据；生物识别验证／认证（一对一）的情形则不然。「译文」
实务后果非常大：一对多的身份识别启动第9条的强化制度；一对一的验证一般而言则不会。许多考勤终端之所以运行在识别模式，只是因为更方便——员工无需输入任何代码，系统自己到库里去找。这几秒钟的便利，改变了整个处理活动的法律制度。在所审理的案件中，法院对涉案的人脸识别毫不犹豫地认定：「我们面对的并非简单的认证，而是身份识别，因此需要双重合法性依据」。
法律出发点：一般性禁止
如果贵公司的系统进行的是身份识别，其数据即落入「通用数据保护条例」（GDPR）第9条第1款的特殊类别，与健康、政治立场或工会成员身份并列。而该条款的出发点并不是附条件的许可，而是禁止。AAP Granada 346/2019（2019年5月20日）与 SAP Madrid 566/2019（2019年7月17日）以完全相同的措辞重申了这一点。
……第9条第1款指出，敏感数据因其性质，或因其与人的基本权利和自由相关，应受到特别保护。据此，除特定例外情形外，禁止对其进行处理。此类个人数据包括：显示族裔或种族出身、政治观点、宗教或哲学信仰或工会成员身份的数据，以及基因数据、为唯一识别自然人而处理的生物识别数据、与健康有关的数据，或与自然人性生活或性取向有关的数据。「译文」
为什么对一枚指纹如此严格？因为风险的性质不同。密码泄露了可以更换；指纹或面孔不能。SAP Las Palmas 247/2020（2020年11月6日）把它与条例本身的鉴于条款联系起来：「条例在鉴于条款第(51)条及其后各条中论及这些〔敏感数据〕，并因其处理情境可能对基本权利与自由构成重大风险而赋予其特别保护」。
双重合法性依据：仅有第6条的一项依据并不够
大多数落地实施都在这里出错。企业的推理是：「我有登记工时的法定义务，所以这项处理是正当的」。这个推理只走了一半路。要处理特殊类别个人数据，需要同时具备两把钥匙：第6条的一项合法性依据，另外还要有第9条第2款的一项例外，用以解除那项一般性禁止。
公共利益的存在并不能使任何类型的个人数据处理均告合法；首先应当遵循立法者可能设定的各项条件，正如「通用数据保护条例」（GDPR）第6条第2款与第3款自身所规定的（……）。而在拟处理的数据属于该条例第9条第1款所称特殊类别个人数据之一种或数种时，还须具备该条第2款所列情形之一，以解除其第1款一般性设定的处理禁止。「译文」
而当选择的途径是同意时，法院要求该同意必须是明示的，而不是员工把手指按在读取器上这种默示同意：「对于需要使用特殊类别数据的处理，例如生物识别数据，应当取得数据主体的明示同意，作为对其信息拟开展之各项用途与操作的合法性依据」。此外在劳动关系场景中值得提醒：同意只有在存在真实替代方案时才成立；没有替代方案，就很难说是自由作出的。
最后一道关卡：比例原则的审查
即便两把钥匙齐备，系统还必须通过比例原则的审查：对全体员工处理生物识别数据所造成的侵入，必须与所追求的目的以及已落实的保障措施相称。用 AAP Barcelona 72/2021（2021年2月15日）的话说，此类处理必须在「其所造成的侵入与为消除可能的不利影响而配套的保障措施之间，保持最低限度的比例」。如果同样的目标——知道谁在何时进入——用工卡、代码或一对一验证即可实现，那么对所有人强制施加生物识别身份识别，就很难站得住脚。
明智的决定并不总是拆掉终端：有时只需将其重新配置为验证模式，把比例原则的审查形成书面，并把合法性依据理顺。但这个决定必须基于文件，而不是基于习惯。贵公司或许也会关心，在另一个企业频频输掉本可避免的官司的领域，法院如何适用同一套举证逻辑：将客户登记入失信人员登记系统而被判败诉的五大错误。