鹏祥律师实乃科技发烧友一枚。《黑客帝国》中尼奥通过脑机接口与矩阵世界相连，在虚拟与现实之间穿梭，精彩的特效和背后的哲理深深震撼到我。《西部世界》架构的娱乐天堂，暗含人工智能觉醒、人类意识操控等深刻命题，故事情节跌宕起伏，更让人遐想连篇。马斯克脑机接口发布会的横空出世，更是让人感受到科幻正在走进现实。到如今，AI迅速发展，具身智能正在期待chatgpt时刻，脑机接口作为梦幻的接力棒也蓄势待发，尤其当下已让一些脑功能受损的患者实现惊人的变化，这一切无不让人心潮澎湃、兴奋不已。
脑机接口的技术发展面临诸多挑战。比如，脑机接口的信号采集、解码和反馈等环节仍然存在许多难题，大脑的电信号和化学信号非常微弱且难以精确解码，植入的设备可能会引发感染、排异反应、时长更换问题等等。同时，脑机接口技术的应用也涉及到个人隐私、意识自主性等伦理问题。
由于脑机接口技术尚处于快速发展与探索阶段，相关的法律法规还处于空白或不完善的状态。本文内容是鹏祥律师基于当下脑机接口的实际发展现状，结合与行业专业人员的交流探讨而撰写。鉴于脑机接口尚处于快速发展与探索阶段，法律法规也正在完善之中，文中观点难免存在偏颇之处，还望各位不吝赐教、多多指正。交流请加文末的微信。
引言
随着脑机接口（Brain-Computer Interface, BCI）技术的快速发展，其在医疗康复、工业控制、消费娱乐等领域的应用日益广泛。BCI系统通过采集、解码人体神经信号（如脑电波、神经元活动电位等）实现人脑与外部设备的交互。然而，神经信号承载着高度个体化的生理与心理特征，一旦被采集和处理，便涉及个人信息保护的法律问题。本文围绕脑机接口采集的神经信号是否构成《中华人民共和国个人信息保护法》（下称《个保法》）中的“生物识别信息”，以及设备厂商告知义务如何履行两大核心问题，结合现行法律法规与司法实践展开分析，并提出合规建议。
一、神经信号的法律定性：构成生物识别信息与敏感个人信息
（一）生物识别信息的判断标准
根据《个保法》第二十八条及《民法典》第一千零三十四条，生物识别信息是指基于人体生物特征（如指纹、虹膜、声纹、面部特征、脑电波等）经技术处理后可单独或结合其他信息识别特定自然人的信息。其核心特征在于：
可识别性：能够直接或间接地指向特定个人；
个体专属性：因人体生理结构或功能差异而具有唯一性；
稳定性与可采集性：可通过技术手段稳定获取并用于身份鉴别。
神经信号（如脑电波EEG、脑磁图MEG、功能性磁共振成像fMRI等）源自大脑结构与功能的个体化差异，不同个体的神经信号在波形、频率、功能连接性等方面呈现显著差异，形成所谓的“脑纹”。学术研究与技术标准（如《信息安全技术 生物特征识别信息保护基本要求》GB/T 40660-2021）已明确脑电信号具备生物识别能力，可在固定测量条件下高精度识别特定个人。因此，具备身份识别功能的神经信号，就如同每个人独一无二的“思想指纹”，应毫无悬念地认定为生物识别信息。
（二）敏感个人信息的适用
《个保法》第二十八条将生物识别信息列为敏感个人信息，因其一旦泄露或非法使用，易导致人格尊严、人身安全受损。神经信号不仅可用于身份识别，还可推断健康状态、心理特征、认知倾向等私密信息，风险等级更高，需适用更严格的保护规则。司法实践亦支持将具备可识别性的生理特征信息纳入敏感个人信息保护（参见苏州中院2022年人脸信息行政处罚案）。
这就好比，如果说普通个人信息是家门钥匙，那神经信号就是保险柜的密码——它不仅能打开你的数字身份之门，更能窥探你内心最深处的秘密。
例外情形：若神经信号经匿名化处理，达到无法识别特定个人的程度，则不再属于《个保法》意义上的个人信息。但神经信号因高度个体化与可推断性，匿名化难度极大，堪称数据合规领域的“珠穆朗玛峰”，实践中需动态评估其可识别风险。
二、设备厂商的告知义务：法定要求与实操要点
作为神经信号的处理者，脑机接口设备厂商须严格履行《个保法》规定的告知与同意义务，尤其在涉及敏感个人信息时，需遵循更严格的规则。
（一）一般告知义务（《个保法》第十七条）
厂商在处理神经信号前，应以显著、清晰的方式向用户告知：
处理者身份信息：厂商名称、联系方式；
处理目的、方式与范围：如用于设备控制、健康评估、身份认证等；
信息种类与保存期限：明确神经信号属于生物识别信息/敏感个人信息，并说明存储周期；
用户权利行使方式：查询、复制、更正、删除、撤回同意等权利的操作路径；
其他法定事项：如数据共享、跨境传输情况。
（二）敏感个人信息的特别告知义务（《个保法》第三十条）
除一般告知内容外，厂商还需额外说明：
处理必要性：为何必须采集神经信号以实现产品核心功能（如医疗诊断、安全认证）；
对个人权益的影响：可能包括隐私泄露风险、歧视风险、精神利益受损等。
鹏祥律师提醒：切忌“王婆卖瓜”，不能只说“我们的技术很酷”，而要坦诚地告诉用户：“我们为什么非得读取您的‘脑纹’不可，以及万一出事，您可能会面临什么”。
（三）单独同意要求（《个保法》第二十九条）
处理敏感个人信息须取得用户的单独同意，即不得以笼统的隐私政策或服务协议概括授权，而应通过独立勾选、弹窗确认等方式，让用户针对神经信号处理作出明确授权。
（四）告知形式与可理解性
显著方式：文本加粗划线；网络或小程序、app等电子显示，建议采用弹窗、独立页面、视频说明等醒目标识；
清晰易懂：用通俗语言解释技术术语（如“脑纹识别”“神经反馈”），确保非专业用户可理解；
分阶段告知：若涉及多次采集或功能扩展，应在每次处理前重新告知并取得同意。
（五）配套合规措施
事前评估：依据《个保法》第五十五条，在处理前开展个人信息保护影响评估（PIA），记录风险与防控措施；
数据最小化与安全保障：仅采集实现功能所需的最少数据，采用加密、去标识化、本地处理等手段降低泄露风险；
用户权利保障：提供便捷的撤回同意、删除数据渠道，并明确响应时限。
鹏祥律师提醒：对于广大BCI初创公司而言，合规不是成本，而是信任的基石。与其事后花大价钱“灭火”，不如事前花小钱“筑墙”。
（六）实操要点补充：当下的落地技巧
针对上述原则，结合当前行业实践，设备厂商可采取以下具体措施：
“双清单”管理：建立“数据处理活动清单”和“第三方共享清单”，清晰地记录每一项神经信号的用途、存储位置、共享对象及法律依据，并定期更新。
默认本地化处理：优先采用边缘计算架构，将原始神经信号的处理放在用户端设备（如头环、耳机）上完成，仅上传必要的、已脱敏的特征值或指令结果至云端。这不仅能大幅降低数据泄露风险，也是向用户展示诚意的最佳方式。
“一键清空”功能：在用户界面（APP或设备）提供直观的“清除我的所有神经数据”按钮，并确保该操作能彻底删除服务器及本地缓存中的相关数据，响应时间不超过15个工作日。
权限动态管控：借鉴移动应用的权限管理模式，允许用户对不同场景（如健康监测、身份验证）下的神经信号采集进行分别授权和随时关闭。
开源部分算法逻辑：对于非核心的、涉及数据处理逻辑的算法，可考虑有限度开源或提供白皮书，以增强透明度，打消用户疑虑。
三、司法实践与风险提示
司法机关对生物识别信息持严格保护立场，强调公开收集使用规则、取得明确同意是合规底线。若未履行告知义务或超范围使用信息，可能面临行政处罚（如罚款、责令改正）及民事赔偿或刑事责任。
主要风险提示：
法律定性风险：误判神经信号属性（如未识别其生物识别特性）将导致合规标准偏低，引发法律责任；
告知与同意瑕疵：告知不充分、未获单独同意，易被认定为违法处理敏感个人信息；
数据安全风险：神经信号泄露可能造成人格尊严与隐私的严重侵害，并触发顶格处罚；
技术演进风险：当前匿名化数据或因技术进步被重新识别，需动态更新保护措施。
鹏祥律师预测：未来第一个因神经信号泄露被重罚的BCI公司，一定将成为整个行业的“反面教材”。希望看到此文的厂商，千万别让自己成为那个“教材”。
四、合规建议
审慎定性：在无法排除神经信号身份识别可能性时，按“生物识别信息/敏感个人信息”最严标准管理；
完善知情同意机制：注重构建动态知情同意模式，根据技术发展和数据使用情况及时更新告知内容，确保用户持续了解数据采集的目的、范围和风险；
重视告知流程：设计独立、前置的告知同意界面，根据实务操作，定期测试显著性与可理解性，并优化操作流程；
强化技术保护措施：对脑电数据的采集、传输、存储全流程采用高强度加密技术，对数据进行匿名化、去标识化处理。优先本地处理、加密存储，取得原始数据上传与集中存储的动态平衡；
结语
脑机接口神经信号因具备可识别性与个体专属性，应认定为《个保法》下的生物识别信息与敏感个人信息。设备厂商须以显著、清晰的方式履行一般与特别告知义务，并取得单独同意，同时配套数据最小化、安全存储与事前评估等措施，方能在技术创新与人格权益保护之间实现平衡。
同时，鹏祥律师提醒：
脑机接口设备厂商在设备投入使用后，更应该重视数据的合法性。根据企业的规模、业务拓展形式、设备升级和是否跨境等情形，针对数据，还会涉及《中华人民共和国网络安全法》和《中华人民共和国数据安全法》。
合规瑕疵风险：未取得有效知情同意、过度采集数据、未履行数据安全保护义务等行为，可能违反《个人信息保护法》《网络安全法》等法规，面临高额罚款、责令整改等行政处罚。
医疗器械监管风险：若脑机接口设备属于医疗器械但未完成注册/备案，或采集过程不符合质量管理规范，可能面临《医疗器械监督管理条例》规定的行政处罚。
刑事追责风险：若非法获取、出售或提供脑机接口采集的个人信息，情节严重的可能构成《中华人民共和国刑法（2023修正）》第二百五十三条之一规定的侵犯公民个人信息罪。
法律划定的红线，正是创新者最需要敬畏的边界。随着脑机接口商业化进程加快，相关监管细则或将进一步完善，厂商应保持合规前瞻性，以“最有利于用户权益”为原则构建长效保护机制。
【交流请加微信】