论运动员生物识别数据的保护

李亚南

(中共江苏省委党校 法政教研部，南京 210009)

1 问题的提出

自2003年迈克尔·刘易斯(Michael Lewis)《魔球：如何赢得不公平竞争的艺术》出版以来，数据分析对体育领域的重要性渐成共识。随着科学技术和“数字体育”的快速发展，运动员数据被收集、储存、转移和使用已成为不可逆转的趋势，并逐步形成一个庞大的体育大数据产业链，而运动员数据中最有价值的就是运动员生物识别数据(Athelete’s Biometrics Data，ABD)，通过各式各样的智能可穿戴设备及其他智能传感设备收集的数据通常为运动员的生物体征数据和医疗健康信息，ABD正广泛应用于运动员选材和伤病预防、体育博彩、体育内容制作中，成为现代体育发展中不可或缺的重要部分。

在体育领域之外，随着我国《民法典》和《数据安全法》的颁布，以及《个人信息保护法》的制定，关于普通公民的个人生物识别数据保护体系正在逐渐完善，但在体育领域，由于运动员生物识别数据具有主体特殊性和客体特殊性，相关立法和政策仍然处于滞后阶段，缺乏对运动员生物识别数据的保护。ABD兼具人格权属性和财产权属性，关乎运动员个人的隐私权、数据自决权、劳动权等基本权利，对运动员个人而言具有高度敏感性，但是对于ABD的保护却并未受到应有的重视，ABD的不当收集、无序使用、非法披露在职业体育领域屡有发生[1]。运动员作为数据的主体，不但未享受到数据利用所带来的财产收益，隐私权、劳动权、健康权侵害风险反而大大增加了，因而亟需加强对ABD的保护。

2 运动员生物识别数据概述

2.1 个人生物识别数据概念的界定

学界关于“个人生物识别数据”的概念尚未有统一的定义。在欧盟《通用数据保护条例》(GeneralDataProtectionRegulation)中，“生物识别数据”是指由与自然人的身体、生理或行为特征有关的特定技术处理产生的个人数据，例如面部图像或指纹数据，这些数据是识别特定自然人的唯一标识；美国伊利诺伊州《生物识别数据隐私法》(BiometricIdentifierPrivacyAct)中，“生物识别数据”被定义为自然人的一系列生物特征，如视网膜、虹膜、指纹、声纹、手部或面部的几何扫描；我国2020年由国家市场监督管理总局、国家标准化管理委员会发布的《信息安全技术个人信息安全规范》中，个人生物识别数据包括个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等[2]。生物识别数据并不等同于我们通常所说的个人数据，尽管各国立法中个人数据的表述略有不同，但核心都在已识别或可识别到特定自然人[3]。生物识别数据可能并不能直接识别出特定自然人，但经过特定技术，即现代生物识别技术的处理，也能对应其人。

2.2 运动员生物识别数据的特殊性

运动员生物识别数据并非是生物识别数据和运动员两个词语的简单相加，而是需要放置在体育语境中去理解。

2.2.1 主体的特殊性

ABD主体的特殊性，是指运动员具有一般自然人所不具有的身份特殊性和行业特殊性。ABD研究正是伴随着智能可穿戴设备在体育领域的广泛应用产生的。目前，美国的职业体育广泛采用了基于智能可穿戴设备的生物识别技术，美国国家橄榄球联盟(NFL)、美国职业篮球联赛(NBA)、美国冰上曲棍球联盟(NHL)、美国职业棒球大联盟(MLB)和美国职业足球大联盟(MLS)都将智能可穿戴设备纳入了运动员的日常训练和比赛，以此来收集运动员的生物识别数据[4]。不仅如此，有学者预测，在未来的几年内，智能可穿戴设备还将大规模运用到青少年和高校的体育赛事中[5]，这无疑会将运动员生物识别数据的主体范围从职业运动员拓展到业余运动员。

2.2.2 客体的特殊性

一般来说，个人生物识别数据仅包括可从人体生物特征中获取的用于识别或确定个人身份的数据，然而由于ABD主体的特殊性，其客体的范围也具有特殊性，除基于人体生物特征获取的数据外，还包括基于运动员行为和动作技术获得的数据。职业运动队收集ABD的原因很多，其程度和目的各有不同，通过智能可穿戴设备收集ABD主要用于评估运动表现、优化训练并对运动员进行健康监测及预防伤病。起初，通过智能可穿戴设备收集的数据通常为运动员的生物体征数据和医疗健康信息，主要包括：运动员心脏和呼吸系统相关数据(如心率、呼吸频率、血压等)以及血液样本、尿液样本、骨密度、身体成分等信息。后来，随着生物识别技术的快速发展，智能可穿戴设备分析数据的能力越来越强，各运动队收集的ABD也慢慢不局限于生物体征数据和医疗健康信息，而是扩展到了生物力学数据。先进的智能可穿戴设备，能够收集运动员的跳跃能力、平衡能力、加速度、反应能力、负荷能力等，有的甚至还包括睡眠质量监测。通过对这些生物识别数据进行分析，教练可以对运动员进行针对性训练，对提高运动员表现和增强运动队获胜概率具有十分重要的作用。除了从可穿戴设备中获取ABD外，还有大量其他获取途径。比如，在NBA联赛中，不仅可以通过多个摄像机位形成3D视频对运动员的技术动作进行分析，还能通过“运动员追踪系统”和内置于地板的“压力感应系统”获取球员的每一个运动数据，球员的每一次运球、跑动、投篮，都会形成详细的数据分析，并进行可视化还原[6]。综上，可以将ABD定义为通过生物识别技术(主要是可穿戴设备)获取的包括生理特征数据(如心率、体温、血样、新陈代谢等)和生物力学数据(如平衡性、弹跳力、加速度等)等在内的运动员个人事实和信息。

3 运动员生物识别数据保护的必要性

3.1 运动员生物识别数据具有高度敏感性

较之于普通的个人数据，ABD的获取及使用都存在明显的特殊性，一是ABD具有唯一性，唯一性具有两方面含义：一方面ABD可且仅可识别出该特定运动员，例如，在运动员选才中经常运用的基因数据，该基因数据能也只能对应到该运动员；另一方面，特定运动员也可且仅可匹配自己的生物识别数据[7]。二是ABD具有“不可更改性”。传统的个人数据，如姓名、住址、电话号码、身份证件号码等，都是容易更改的，而ABD是不会发生改变的。三是ABD的易获取性。相比于传统的个人数据，ABD获取难度更低、更容易获取。如美国职业棒球大联盟(MLB)在2020赛季开始在每个赛场部署“鹰眼系统”，能追踪球员身体上的19个点，并转化出运动员的整体骨骼结构和球与球棒的运动轨迹，从而采集到肢体动作、旋转扭力等生物力学数据。这些特征共同导致了ABD的高度敏感性，一旦泄露或者被非法使用，可能导致运动员受到人身、财产损失。

3.2 运动员生物识别数据兼具人格权和财产权属性

3.2.1 运动员生物识别数据具有人格权属性

对于个人信息属于隐私权还是个人信息权，我国《民法典》目前采用“二元论”，将“隐私权”和“个人信息保护”并列于“人格权编”中，但并未承认个人信息权已经上升为人格权中的基本民事权利，也不认为个人信息完全属于隐私，而是只有个人信息中的私密信息属于隐私，适用隐私权的规定。而生物识别信息属于个人信息还是个人数据呢？从《民法典》来看，第1034条明确规定了生物识别信息属于个人信息，但同时第127条也规定了对数据的保护。在大数据时代，信息与数据无法抽象分离进行讨论，信息和数据是基于同一事物的不同描述，数据是信息的载体，而信息是数据所蕴含的内容，数据侧重形式而信息侧重内容，但二者本质上都是相同的[8]。基于上述分析，笔者认为，ABD属于人格权中的个人信息，其表现形式为通过可穿戴设备等收集到的生物识别数据。

从范围上讲，ABD从属于个人数据，而个人数据指向特定自然人，通过对获取的个人数据进行分析研究，可以得到特定自然人的性格、生物特征等人格标识，因而个人数据被认为具有高度的人格属性。只有消除个人对“数据化人格”被他人窃取和操控的顾虑和恐慌，保持其数据化人格与其自身的一致性而不被扭曲，才能保证个人的人格独立和人格尊严。特别是在欧洲国家看来，赋予自然人对个人数据以民事权利，保护的是隐私权等基本人权和自由，关涉人性的尊严与人格的自由发展。欧盟《一般数据保护条例》开篇就指出“自然人在个人数据处理方面获得保护是一项基本权利。”《欧盟基本权利宪章》第8条第1款和《欧盟运行条约》第16条第1款规定每个人享有就其个人数据获得保护的权利。倘若自然人不能基于自己意思自主地决定个人数据能否被他人收集、储存和利用，无权禁止他人在违背自己意志的情形下获得并利用个人数据，则个人之人格自由发展与人格尊严就无从谈起。

3.2.2 运动员生物识别数据具有财产权属性

近年来，随着大数据、数字化经济的发展，数据的重要性逐渐凸显，不仅直接影响到个人权益，更是上升为国家战略资源，被称为“数字时代的石油”[9]。不同于普通人的数据，ABD的财产权属性十分突出，由智能可穿戴设备获取ABD并加以分析利用，已经形成了一条完整的产业链[10]。ABD财产权属性主要体现在以下几个方面：一是在运动员个人合同谈判中的应用。一般来说，职业运动队在与运动员签订合同之前，都会在试训阶段收集ABD，以评估运动员的运动水平及身体健康状况，决定是否与之签订合同。运动员合同通常高达几百万甚至几千万，在这种情况下，ABD的财产权属性就显得尤为突出，ABD能够得到保护，直接关系到运动员合同能否成功签订。甚至有运动员说：“你告诉你的训练师越少越好，因为你不知道这些信息是否会影响到你的第二份、第三份合同。”[11]除此之外，当运动员签订合同之后，其生物识别数据就会成为商业秘密。二是在体育博彩行业中，ABD的财产属性更加明显。在足球、篮球、赛马等赛事中，职业运动队一般会将ABD出售给博彩公司，博彩公司通过分析这些数据，可以推测出特定运动员在某一场赛事中的运动表现，从而影响到该场比赛的赔率。以美国职业足球大联盟(MLS)为例，联盟在与博彩公司MGM Gaming的合作中，通过可穿戴设备获取球员的ABD，这些ABD会实时上传到博彩公司的App中，允许投注者读取，这些数据直接影响投注行为[12]。三是在电子游戏行业，FIFA与NBA 2K是国内玩家比较熟知的电子体育类游戏，也是在全球范围内畅销的电子游戏。一直以来，这2款游戏使用的都是真实的运动员数据，通过收集特定运动员的ABD并通过现代技术的处理，达到了在游戏中“真实还原”的效果，除了面部特征、身体特征对现实中特定运动员的高度还原外，技术动作也相差无几。综上所述，运动员生物识别数据除了具有人格权属性外，还具有突出的财产权属性，这也是生物识别数据的特殊性所在。可穿戴设备和生物识别数据产业的快速发展，必然要求我们加强对ABD的保护。

3.3 运动员生物识别数据关乎运动员基本权利的实现

3.3.1 运动员生物识别数据关乎运动员的隐私权

自1890年沃伦和布兰迪斯在《哈佛法律评论》上发表《论隐私权》一文，首次提出隐私权的概念后，隐私权逐渐为各国立法和各国际条约所重视[13]。根据美国《侵权法重述》的介绍，一般认为有4种方式可以视为侵犯个人的隐私权：不合理地侵入他人的私密空间；盗用他人的姓名或肖像；不合理地公开他人的私生活；不合理地在公众面前对另一方进行虚假宣传[14]。如前所述，运动员生物识别技术除基于人体生物特征获取的数据外，还包括基于运动员行为和动作技术获得的数据，因此，运动员生物识别技术有可能影响到上述4种类别中的一种或几种。不合理地侵入他人的私密空间，是指故意干涉他人的独处或私密空间，无论是对于他人的人身还是私人事务而言，都是极大的冒犯[12]。运动员医疗健康信息就是一个很好的例子，通过可穿戴设备收集到的运动员生物识别数据，包含运动员大量的敏感医疗健康信息。《健康保险携带和责任法案》(HealthInsurancePortabilityandAccountabilityAct，HIPAA)规定，个人的医疗生物识别信息受到保护，自然人对自己的医疗信息享有控制权，他们可以决定谁可以浏览，谁不可以浏览。但HIPAA中另有一个条款写道，当雇员的身体健康需要达到一定标准才能完成工作时，雇主有权把“将医疗记录公开”当做一个雇佣条件。因此，根据这个例外条款，职业运动队或联盟通过运动员雇佣合同中的格式条款，迫使球员公开个人的医疗健康信息[15]。盗用他人的姓名或肖像，是指将他人的姓名或肖像据为己有或者从中受益，最常见的形式是未经授权使用运动员的姓名或肖像为侵权者的产品进行广告代言，或者用于其他类似的商业目的。比如，职业运动联盟将其收集的著名运动员的面部识别特征出售给游戏公司，用以制作游戏角色。不合理地公开他人的私生活，是指对涉及他人私生活的事项进行不合理地公开，或者可推测为不合理。运动员不论在比赛中还是在比赛外，处于全天候的监控之中，仿佛一个透明人暴露在俱乐部、职业体育联盟的视野下。在部分赛事中，为了采集到更广泛的数据，运动员的更衣室、健身房、宿舍，也被安装了各种监控设备，这严重扰乱了运动员的私人生活。不合理地在公众面前对另一方进行虚假宣传，指通过获取他人的个人隐私信息，捏造虚假信息，进行虚假宣传。如2017年温网期间，IBM公司采集和分析了450万个数据点，通过IBM的性格洞察(Personality Insights)服务，以及根据球员的身体语言、此前的采访和社交媒体动向等一系列信息，创建球员的性格档案，揭露“球员特点与行为”，凸显“未被发现的见解，以激发专家、体育评论员和球迷之间在网络上的交互”。

3.3.2 运动员生物识别数据关乎运动员的数据自决权

数据自决权是指自然人知悉个人数据被收集、出于何种目的而加以收集及使用的目的、方式、范围并基于此加以同意的权益，知悉个人数据被转让并在未经同意情况下拒绝转让的权益。在职业体育联盟雇佣合同的“同意”条款中，运动员丧失了允许体育组织或职业联盟获取个人ABD的自决权。在HIPAA的例外规定下，虽然体育组织或职业联盟等在处理ABD的时候也通过参赛报名表或者告知书等协议形式获得了运动员的同意，但这种同意并非是运动员真实有效的同意。欧盟《通用数据保护条例》特别强调“同意”条款中“自由”的要素，即数据主体必须在无任何胁迫、欺诈或威胁的状态下做出同意决定[16]。但由于运动员与体育组织或职业联盟不平等的关系，运动员的同意更多的带有强制色彩，为了参加赛事，特别是奥运会、世界杯等大型国际赛事，运动员除了同意之外别无选择。在一些俱乐部中，运动员如果在训练中不佩戴可穿戴设备，甚至很有可能会被俱乐部罚款[11]。

3.3.3 运动员生物识别数据关乎运动员的劳动权

劳动权或称就业权，是人权的重要组成部分[17]。随着ABD在职业体育中的重要性越来越凸显，其对运动员雇佣合同及薪资水平也产生了重要影响。一方面，正如上文所述，在运动员选拔和评估方面，当前很多职业联盟和俱乐部，例如NBA与NFL均采用对运动员生物识别数据进行分析的方法来寻找有潜力以及适合球队打法的运动员，相比于传统依赖经验的选人办法，数据分析的方法允许在运动员评估过程中暂时跨越复杂的因果关系，直接建立从数据到结论的关联，使得人们更有机会发现一些可能超出常规理解的关系，更大可能寻找到合适的运动员。但是对因果关系的跨越也意味着数据分析可能存在算法黑箱和可解释性不足的问题，如果过于依赖数据分析的结果进行决策，很可能对运动员的劳动权益造成损害。另一方面，ABD也成为运动员合同谈判及薪资水平的重要考虑因素。如NFL已经使用了一个数据分析系统，该系统能够根据运动员的ABD判断俱乐部是否为一名球员支付了过高的费用，俱乐部可能以此作为降低运动员薪酬的借口，同时当一名运动员的表现不符合系统的预测时，俱乐部可能依据这些信息来终止合同[18]。

4 运动员生物识别数据保护的原则与对策

4.1 运动员生物识别数据保护的原则

目前实践中，体育博彩、媒体机构和数据服务商经常借各种理由，如“ABD处于公共领域”“ABD属于言论自由/新闻自由的对象”等来反对ABD保护[19]。在个人数据保护领域，很多学者也提出要弱化个人数据保护，强化个人数据利用，使数据成为驱动大数据产业发展的源泉。如高富平提出个人数据保护应从个人控制到社会控制，他认为个人数据不仅仅是个人的也是社会的，也当作为一种公共产品。范为博士借鉴了欧美改革法案中“场景”与“风险”导向的路径，认为数据控制者可以在具体场景中进行动态的风险控制，合理地收集、使用和流转个人数据[20]。此外，还有环境标准说，认为对于特定的个人数据，他人是否有权收集、储存和使用，应当根据当时的环境，从规范的角度进行判断[13]。但是ABD有其特殊性，对ABD的保护不能从个人控制到社会控制，ABD属于敏感度强、识别度高的个人信息，一旦脱离主体将不可避免地损害人格权与人格尊严，必须站在严格保护数据主体的立场上，把权利理论作为数据保护的基础。这意味着，对于ABD保护的原则需要回到个人控制中来，其保护的逻辑是：ABD是运动员的延伸，运动员独立自治，ABD亦应当由运动员主体掌控，体现运动员的意志，建立在运动员的尊严基础上[21]。保障运动员对ABD收集利用过程中的自主、自治、自决，应是体育大数据时代的应有之义。

4.2 运动员生物识别数据保护的具体对策

收集运动员ABD的风险是显而易见的，然而目前各国在此领域的立法普遍不足，在此现实背景下，可尝试通过以下手段保护运动员生物识别数据的相关权益。

4.2.1 集体谈判协议

美国职业体育联盟开始尝试在集体谈判协议中增加个人数据保护条款，集体谈判协议(Collective Bargaining Agreement，CBA)，是指劳动者一方通过工会，与雇佣者一方谈判雇佣条件，双方谈判结果具有法律约束力，其目的是希望双方在较平等的情况下订立雇佣条件，以保障劳动者应有的权益。就体育领域而言，集体谈判协议除包括运动员权益、工资标准、纪律规则和职业联盟的一般规定外，更重要的是，它是目前能够有效管理和保护运动员生物识别数据的关键因素。因此，对于每个运动员和职业联盟来说，理解收集运动员生物识别数据的风险和对其加以保护的必要性，并在集体谈判协议中采取相应的保护措施，是至关重要的[4]。目前，在美国众多体育职业联盟中，NBA、MLB是2个主要使用可穿戴设备并通过集体谈判协议对运动员生物识别数据加以保护的职业联盟，笔者将在此进行简要介绍。在可穿戴设备普遍应用后，职业联盟和运动员协会均希望制定一套管理可穿戴设备和运动员生物识别数据的规则。NBA的集体谈判协议在2016年进行了讨论，并在2017年7月生效。在NBA的集体谈判协议中，球队必须向每个球员提供一封书面的保密信，解释测量和收集的内容及意义。最重要的是，集体谈判协议规定禁止在合同谈判中使用这些数据，如果数据被使用，将被处以25万美元的罚款，并建立了一个可穿戴设备委员会，来批准球员使用的可穿戴设备，并制定网络安全标准。MLB的集体谈判协议也建立了一个类似的可穿戴设备委员会，并且每半年召开1次会议，讨论有关球员安全、数据管理、隐私、保密及其他相关议题的潜在问题。这项规定对于保护球员数据至关重要，因为该委员会负有监督职能，并有能力定期处理潜在的问题，而不是在问题发生时被动应对。此外，集体谈判协议明确规定，所有收集的数据将被视为高度机密，不会成为球员医疗记录的一部分。在法律缺失的情况下，集体谈判协议作为行业规制路径无疑对保护ABD发挥了作用。

4.2.2 运动员工会及标准合同

对于我国来说，我国学者一直在呼吁借鉴域外经验，发展运动员工会，并累积了一定的理论基础[22]。如果能够建立运动员工会，通过类似美国职业体育联盟集体谈判协议的保护当然是最好的，在尚未建立运动员工会的情况下，我国运动员可以通过与联盟、球队的合同来保护自己的ABD。具体而言，可以创建ABD使用的标准合同，概述与ABD有关的原则，明确保护运动员的以下权利：①控制、收集、使用ABD的方式；②与ABD有关的安全保护信息；③以授权的方式在专业范围内有限使用ABD；④ABD管理者的义务与责任；⑤确保ABD的准确性并保护其免受不利后果；⑥合理限制ABD的收集和保存；⑦保证ABD由遵守信息安全惯例的数据控制者处理[23]。

5 结语

生物识别技术开启了职业体育发展的新时代，但仍有许多不可忽视的问题亟待解决，对其进行合理利用需要有充分、统一的保护措施为前提。美国职业体育联盟的集体谈判协议为ABD保护提供了有益借鉴，可以在运动员合同中约定ABD范围、所有权、使用权、管理者、访问权限、安全措施、商业化使用、惩罚机制等问题，加强对ABD的保护，促进体育行业发展。