欧盟赴美免签谈判，正把生物识别数据库推上桌面

一名欧洲旅客还没走到美国边检，他的指纹、人脸匹配结果和风险标签，就可能已经先过了一遍机器。

据欧洲数字权利组织 EDRi 披露的协议草案，欧盟正在与美国磋商“增强边境安全伙伴关系”（EBSP）。美国拿出的筹码很直接：想继续享受赴美免签，就要开放更深的数据查询与交换能力。

这不是金钱意义上的“出售数据”，也不能写成欧盟已经把数据库交了出去。协议仍在谈判，泄露草案也不是最终文本。但欧盟正在讨论用高度敏感的数据访问权换取免签便利，这一点已经足够严肃。

美国要的是自动查询入口

美国自 2022 年起要求免签计划参与国开放生物识别数据库访问。EDRi 所述时间线显示，欧盟理事会在 2025 年 12 月授权欧盟委员会与美方谈判统一框架。

拟交换的信息大致包括：

• 指纹、人脸等生物识别数据；
• 身份是否匹配、证件是否可信等核验结果；
• 与安全、移民或边境审查有关的风险指标。

最后一类最麻烦。

指纹是否匹配，至少还能讨论算法误差和数据质量。“存在风险”却可能混入人工判断、情报标记和模糊标签。一个错误匹配还能复核，一个来历不明的风险结论，往往连当事人都不知道该向谁申诉。

受影响者也不只持欧盟护照的人。只要信息被录入欧洲国家数据库，第三国公民也可能进入查询范围。他们未必能享受赴美免签，却可能承担数据被跨境调用的后果。

“开放数据库访问”也不一定意味着把整库复制给美国。技术上，它可能是自动发起查询，再返回命中与否；也可能返回更多身份和风险信息。两者的侵入程度相差很大。

现有材料仍没说清几个决定性问题：美国可以查哪些数据库、一次查询会返回多少信息、数据保留多久、能否转交其他机构、查询日志由谁审计。标题可以很吓人，真正决定权力边界的却是这些技术字段。

泄露草案卡在授权和欧盟法底线上

EDRi 认为，草案可能偏离欧盟成员国给出的谈判授权，也可能无法满足欧盟跨境数据传输所要求的等同保护水平。

这是数字权利组织的法律判断，不是法院结论。最终是否违法，要看正式协议、成员国后续安排，以及欧盟法院可能作出的审查。

框架协议即便签署，也不代表数据立即开放。成员国之后仍需分别签署或调整双边安排。它们在法律上并非毫无选择，只是拒绝的政治成本很高：美国可以重新评估其免签资格，但拒绝是否必然导致免签取消，目前并不清楚。

美方也有现实理由。生物识别匹配可以帮助识别假身份、证件欺诈和已知安全威胁；欧洲旅客则希望保住方便的免签入境。跨境旅行本就离不开一定程度的信息交换，完全拒绝数据合作并不现实。

问题出在比例。

为了核验一个准备入境的旅客，是否有必要建立常态化、自动化的数据库查询入口？风险标签一旦出错，欧洲居民能否获知、纠正并要求删除？美国机构继续分享这些数据时，欧盟的目的限制和保存期限还能否有效约束？

欧盟在跨大西洋数据问题上已经吃过两次亏。欧盟法院先后推翻“安全港”和“隐私盾”，核心争议都绕不开美国监控范围与欧洲居民救济不足。今天的 EBSP 不完全等同于商业数据传输，但旧问题又回来了：欧洲可以写出很严的数据法，出了欧洲边境之后，谁来保证它还算数？

免签是短期利益，查询权会留下更久

普通欧洲旅客眼下不需要因此改变赴美计划。谈判中的框架不会立刻影响现有免签安排。真正需要留意的是欧盟最终文本，以及自己所在成员国是否签署配套协议。

一旦机制落地，变化可能发生在旅客看不见的地方：登机前或入境审查阶段出现自动匹配，随后被要求补材料、接受二次检查，甚至遭遇入境决定。届时应保留通知、编号和书面决定，并尝试依据适用法律申请查阅或更正记录。难点在于，跨境风险标签的来源和申诉渠道目前仍不透明。

关注隐私和欧盟数字监管的读者，则应盯住六个具体条款：数据库类别、查询触发条件、返回字段、保留期限、继续转交范围、独立申诉机制。少一个，所谓“严格保障”都可能只停留在声明里。

我更在意的，是这场谈判产生的先例。

免签资格可以每隔几年重新评估，自动查询接口一旦接通，通常很难再收回。政府会投入系统、预算和人员，执法机构也会逐渐依赖它。技术连接会反过来制造政策惯性。

“天下熙熙，皆为利来。”美国用庞大的旅行市场换取更多数据能力，算的是一笔清楚账。欧盟若接受，也该把代价公开写清，而不是把关键边界留给成员国在压力下逐一让步。

本文依据 EDRi 于 2026 年 7 月披露的泄露草案信息。该日期之后是否出现新文本、协议是否正式达成，仍需以欧盟理事会、欧盟委员会和各成员国公开文件为准。若最终文本拿不出明确的查询限制、审计和有效救济，那么欧盟保住的只是免签便利，折损的却是它最常拿来要求别人的数据法治。