某智能穿戴设备厂商“匿名化”的健康数据因心率+步态特征的生物识别唯一性可重新识别用户案（广东省网信办，2024年10月）

【案件背景】
某智能穿戴设备厂商（以下简称“涉案厂商”）是国内销量前三的智能手表品牌，用户数超过3000万。手表内置的光电传感器可采集用户的全天候心率数据，加速度计和陀螺仪可记录用户的步态特征和运动模式。涉案厂商与多家知名医院的慢病管理中心合作，计划将“匿名化处理后的用户健康数据”共享给合作医院用于慢性病早期筛查模型的开发。在数据共享之前，涉案厂商对数据进行了“匿名化处理”——删除了用户ID、手机号和设备序列号，仅保留随机生成的匿名ID。但合作医院的伦理委员会在一次伦理审查中发现，使用该数据集进行的研究可能在特定情况下逆向还原用户身份，遂中止合作并上报广东省网信办。

【违法事实】
经调查查明：
（1）涉案厂商所谓的“匿名化处理”仅删除了直接标识符，但数据集中保留的心率变异性（HRV）数据具有生物识别唯一性。研究表明，每个人的HRV模式如同一枚“心血管指纹”——通过5-10分钟的心电图数据即可实现97%以上的个体识别准确率。Watch采集的PPG心率数据虽然精度低于ECG，但结合步态加速度计数据，个体识别准确率仍可达90%以上。
（2）数据集中的步态加速度计数据构成了另一重生物识别特征。每个人的走路方式（步幅、步频、地面反作用力模式等）是独特的，步态识别已被多国用于法医学和安防领域。涉案厂商未将步态数据纳入生物识别信息的范畴进行特殊保护。
（3）涉案厂商在“匿名化”数据中保留了丰富的元数据：数据采集时的GPS位置（精确到小区级）、Wi-Fi SSID列表（未删除）、蓝牙设备扫描记录。这些元数据结合心率+步态特征，可在大范围数据集上实现极高置信度的个体识别。
（4）涉案厂商与合作医院的数据共享协议中，将数据标注为“匿名化数据”，并据此免除了涉案厂商的数据保护义务（包括数据安全事件通知义务、用户权利响应义务等）。但调查认定该数据并未达到匿名化标准。
（5）涉案厂商在用户首次使用智能手表时，仅通过一个笼统的“数据授权协议”获取了用户对“匿名化处理后的健康数据用于医学研究”的同意，未就心率数据和步态数据的生物识别特性（其本质为敏感个人信息）进行单独告知和获取单独同意。

【处罚决定】
广东省互联网信息办公室依据《个人信息保护法》第六十六条，作出以下行政处罚：
（一）责令改正违法行为；
（二）暂停涉案厂商所有健康数据对外共享计划，直至完成合规整改；
（三）处人民币40万元罚款；
（四）对数据安全官处人民币4万元罚款。
广东省网信办同时向涉案厂商发出了合规指引，明确了心率数据和步态数据的生物识别信息属性及其处理规则。

【典型意义】
本案是穿戴设备健康数据匿名化问题的开创性案例，揭示了一个此前未被充分关注的隐私维度：
第一，生理信号的唯一性构成了“无形”的生物识别特征。与指纹、人脸、虹膜等“有形”生物特征不同，心率变异性、步态等“行为生物特征”的识别能力在隐私法律和实践中长期被低估。本案首次在执法层面确认了此类数据构成生物识别信息，须适用于敏感个人信息的强化保护规则。
第二，本案揭示了去标识化处理在生物特征数据面前的局限性：删除姓名和ID无法改变生物特征本身的唯一性——因为你的心率模式和步态本身就是你的“生理身份证”。
第三，对于可穿戴设备行业，本案将心率数据和步态数据纳入了敏感个人信息保护的范围，这意味数以亿计的智能手表、手环用户的健康数据需要更强的合规保护。
第四，本案中合作医院伦理委员会对科研数据的伦理审查成为了发现隐私风险的关键环节，凸显了科研伦理审查在隐私保护中的“守门人”作用。