数字身份系统比较：爱沙尼亚、印度、肯尼亚、欧盟和瑞士

国家数字身份系统是21世纪建成的最具深远影响的国家基础设施之一。它们决定了谁能够在线证明自己的身份、能够使用哪些服务和进入哪些市场，以及国家（及其承包商）能够看到多少信息。本研究比较了五种体现不同设计选择和合法性形成路径的系统：爱沙尼亚强制使用的芯片式身份证、印度的生物识别 Aadhaar 号码、肯尼亚的 Huduma Namba 及其继任者 Maisha Namba、欧盟修订版 eIDAS 法规下的数字身份钱包，以及瑞士由国家签发的电子身份凭证。比较围绕四个问题展开：谁被纳入、谁被排除、系统有多安全，以及谁能够追究其责任。主要发现是，治理比技术架构更重要。先建设、后取得合法性的系统（Aadhaar、Huduma Namba）经法院裁决而调整；先经过立法机关和选民审议的系统（eIDAS 2.0、瑞士电子身份凭证）以自愿使用和数据最小化为设计原则，但推广速度较慢；爱沙尼亚近乎普及的使用率，则建立在一个规模较小、信任度较高的国家，以及数字签名长期以来在法律上被视为等同于手写签名的基础上，这种模式很难输出。

主要发现

• 架构服务于目的。 印度和肯尼亚建立了带有生物识别信息的集中式人口登记系统，以便精准提供福利，并为缺少证件的人确立身份。爱沙尼亚、欧盟和瑞士则建立了凭证，让人们能够进行身份认证和签名；相关数据保存在相互独立的登记系统中，或存储在用户自己的设备上。
• 法院是对集中式系统的主要制衡。 印度最高法院于2018年9月维持 Aadhaar 的合宪性，但废除了第57条下私营部门的身份认证，规定身份认证记录的保存期限不得超过六个月，并撤销了强制关联银行账户和手机号码的规定。肯尼亚法院于2020年和2021年两度限制 Huduma Namba；第二次裁决的理由是未开展数据保护影响评估。
• 选民是瑞士的主要制衡力量。 瑞士选民于2021年3月否决了由私人机构签发的电子身份凭证，并于2025年9月以50.39%对49.61%的结果，批准了一项由国家签发、自愿使用的方案。
• 排斥既是设计问题，也是过渡问题，不仅仅是覆盖率问题。 在印度补贴粮食体系的一项大型实验中，更严格的生物识别认证减少了腐败，但在改革期间，150万至200万名符合资格的受益人曾在某个时点无法获得福利。
• 安全漏洞往往出现在供应链中。 2017年，一个广泛使用的芯片库存在漏洞，导致许多身份证上的 RSA 密钥可以被分解；在本研究比较的系统中，发展最成熟的爱沙尼亚身份证也受到影响。
• 自愿使用如今已成为欧洲规范。 欧盟数字身份钱包和瑞士电子身份凭证均免费且可自愿使用，同时保留线下渠道。自愿使用的系统能否实现普及，以及当服务转为数字优先时“自愿”能否继续维持，尚未经过检验。

研究问题与范围

本研究的问题是：采用不同架构和法律基础的国家数字身份系统，在包容、排斥、安全和监督方面有何异同？这对数字公共基础设施的设计意味着什么？

“数字身份”在此涵盖两个常被混为一谈的层面：基础身份（登记现存人口并为每人分配唯一标识符，如 Aadhaar）和凭证（用于在线证明身份和签名的手段，如爱沙尼亚身份证或钱包应用）。不同系统强调的层面各不相同。选择这五个案例是为了形成对照，而非追求代表性：它们涵盖一个欧洲小国、世界上规模最大的生物识别项目、一个有殖民时期登记历史的非洲国家、一个超国家框架，以及一个直接民主制国家。本研究不评估商业身份服务提供商、特定领域的身份系统（如健康记录）或数字投票，但会涉及它们与国家系统相关之处。

背景

身份登记是国家权力的古老工具。肯尼亚的历史说明了这一点：根据1915年《原住民登记条例》，殖民政府要求成年非洲男性登记并随身携带基潘德（kipande），这是一种带有指纹的登记证书，用于控制劳动力。直到1980年，普遍登记才扩展至女性。在这样的背景下，任何数字身份项目都承袭了将身份视为控制手段的历史记忆。

现代身份系统的发展理由则有所不同。缺乏身份证明，人们就难以开设银行账户、领取转账款项、登记财产或申领福利；而民事登记薄弱，也会使国家无法统计人口。肯尼亚国际特赦组织与斯特拉斯莫尔大学信息政策、创新与治理中心（CIPIT）的一份咨询文件援引《肯尼亚生命统计报告》指出，2021年肯尼亚有14%的出生和45%的死亡未登记。数字身份有望弥补此类缺口、减少欺诈并降低服务成本。

这两段历史在每一项设计决策中交汇：收集哪些数据、登记是否强制、一个号码是否关联所有数据库、谁可以查询系统，以及系统无法识别的人会遭遇什么。

方法与来源

本研究是一项结构化比较，依据包括主要法律文本和法院裁决（印度最高法院2017年的隐私权判决和2018年的 Aadhaar 判决；肯尼亚高等法院裁决；欧盟条例 (EU) 2024/1183；瑞士联邦投票结果）、官方系统介绍（UIDAI、e-Estonia、欧盟委员会的钱包项目、瑞士联邦电子身份网站）、一项大规模随机评估（Muralidharan、Niehaus 和 Sukhtankar）、一项安全研究（Nemec 等人），以及一项民间社会政策分析（肯尼亚国际特赦组织与 CIPIT）。对于仅能获得二手资料的内容（如肯尼亚诉讼的部分情况），本文会明确说明。使用量数据均为运营方自行公布，未经独立审计。

研究发现

五个系统一览

爱沙尼亚：高信任度小国中的高普及率

爱沙尼亚自2002年起签发的身份证载有用于身份验证和数字签名的证书，后者在法律上等同于手写签名。身份证为强制办理；e-Estonia报告称，99%的居民持有身份证。该系统还配有移动凭证（Mobile-ID和Smart-ID，由SK ID Solutions提供），并建立在X-Road之上。X-Road是一种数据交换层，使彼此独立的国家登记册可以相互查询，而不必将它们合并为单一数据库。本图集其他部分记载的爱沙尼亚电子居民计划和互联网投票，也依赖同一套凭证。

该系统的优势在于覆盖面近乎普及，以及去中心化的数据架构：登记册由所属机构保管，公民可以查看其数据何时被访问。其弱点则在于它成功所依赖的条件。爱沙尼亚幅员小，1991年后必须从头建设国家基础设施，而且公众对数字公共服务的信任度异常高。这些条件都无法自动复制到其他地方。

安全。 2017年，马萨里克大学的研究人员报告称，一家大型芯片制造商广泛使用的库存在“RSA密钥生成中素数构造的算法缺陷”，这使实际分解用于身份证、护照和其他设备的密钥成为可能；他们估计受影响设备“至少有数千万台”。爱沙尼亚的身份证也在其中：信息系统管理局（RIA）估计，受影响的身份证约有80万张。自2017年11月3日起，警察和边防局暂停了约76万张证书；持卡人可以通过软件更新远程续期，到12月初约有32.7万人完成续期，而Mobile-ID用户人数增加了2.6万人，达到16万人。这一事件表明，强制使用单一凭证的系统会集中供应链风险，同时也表明，远程修复可以在不更换身份证的情况下限制服务中断。

印度：Aadhaar、规模与最高法院

Aadhaar 分配一个与人口统计数据和生物特征信息（指纹、虹膜扫描和照片）关联的12位数字号码，这些信息由印度唯一身份识别局持有。UIDAI 的仪表板显示，截至2026年10月，登记人数超过14.5亿（14.5亿），e-KYC 交易超过260亿笔。基于 Aadhaar 的认证支撑着福利转账、补贴食品分配，以及通过 e-KYC 开展的大部分金融服务和电信业务开户流程。

该计划于2009年以行政方式启动，直到2016年才获得成文法依据。其合宪地位分两个阶段得到裁定：

• 隐私权（2017年8月24日）。 Justice K.S. Puttaswamy (Retd.) v. Union of India 一案的九名法官合议庭认定，隐私权受宪法保护，并将其描述为“生命权和人身自由权的内在组成部分”，但须符合合法性、正当目的和比例原则的要求。
• Aadhaar（2018年9月26日）。 五名法官组成的合议庭以多数意见维持 Aadhaar 法的效力，钱德拉楚德法官提出异议。由西克里法官代表首席大法官、其本人及汗维尔卡法官撰写的多数意见裁定，“Aadhaar 法第57条中允许法人团体和个人寻求认证的部分”违宪；认证记录的保存期限不得超过六个月；撤销允许以国家安全为由披露信息的第33(2)条；裁定2017年反洗钱规则修正案中强制关联银行账户的规定违宪；并撤销电信部2017年3月23日关于关联手机号码的通告，理由是其“没有任何法律依据”。法院维持了依据第7条强制使用 Aadhaar 获取由统一基金拨款资助的补贴和福利，以及要求将 Aadhaar 与税务识别号（PAN）关联的规定。法院还敦促政府制定“健全的数据保护制度”。

异议意见认为，以《货币法案》的形式通过该法、绕过上院，“构成对宪法的欺诈”。多数意见不予认同。议会随后于2019年修订法律，允许部分私营实体提供自愿认证；印度则于2023年颁布《数字个人数据保护法》。

排斥。 关于 Aadhaar 分配影响的最有力证据来自 Muralidharan、Niehaus 和 Sukhtankar。他们采用大规模随机实验和自然实验，研究在贾坎德邦引入更严格的生物特征核验后，对印度最大社会保障计划——补贴粮食公共分配系统——造成的影响。他们发现，“腐败有所减少，但合法受益人付出了重大代价，其中150万至200万人在改革期间某个时点失去了获取福利的渠道”，而伤害主要由转型管理方式所致。实地报告和更广泛的公共讨论指出，指纹识别失败、配给店的网络连接问题，以及将符合条件的家庭从名单中移除，都是造成这种情况的机制；研究本身则将伤害主要归因于转型管理方式。该研究的教训具有普遍意义：根据兜底程序、推广速度以及认证失败的成本由谁承担，同一项技术既可能减少排斥，也可能加剧排斥。

肯尼亚：Huduma Namba、法院与 Maisha Namba

肯尼亚于 2019 年启动了国家综合身份管理系统（NIIMS），俗称“Huduma Namba”，旨在建立一个与唯一号码关联的单一人口登记册。根据国际特赦组织肯尼亚分部和 CIPIT 的论文，该计划旨在登记 4,000 万肯尼亚人，最终登记了约 3,600 万人。登记被宣传为获取服务的必要条件，因此在实践中对许多人具有强制性。

该计划几乎立即受到法院挑战。请愿人包括 Nubian Rights Forum（努比亚人权论坛），该组织代表一个长期以来在获得身份证前面临歧视性审查的社群，这提醒人们，身份系统可能将群体排除在外，也可能排斥个人。这场诉讼产生了两项裁决：

• 2020 年 1 月，在 Nubian Rights Forum and others v. Attorney General and others 一案中，高等法院裁定，只有在具备充分的数据保护法律框架的情况下，NIIMS 才能继续实施；法院还认定，拟议收集 DNA 和 GPS 位置数据缺乏正当理由。
• 2021 年 10 月，在 Katiba Institute 提起的司法审查程序中，高等法院撤销了推出 Huduma Namba 卡的决定，因为未按照《2019 年数据保护法》第 31 条的要求开展数据保护影响评估。

两项判决均由 Kenya Law 发布；该网站在本图集查阅判决时阻止了自动化访问。摘要依据 Kenya Law 的案件清单，以及 2020 年判决的 Columbia Global Freedom of Expression 摘要编写；后者引用了判决段落（只有在具备“适当且全面的监管框架”的条件下，NIIMS 才可实施，第 1047 段）。

2022 年政府更迭后，肯尼亚转向一套名为 Maisha Namba 的新系统，其核心是在出生时分配唯一个人识别码（“maisha”意为“生命”），并配有数字身份和新卡。原定于 2023 年 10 月 2 日举行的发布会被推迟；面向首次申请者以及补办遗失或损毁卡片者的试点推广于 2023 年 11 月 1 日启动。国际特赦组织和 CIPIT 于 2024 年 1 月发表的论文呼吁在推广前进行数据保护影响评估，制定具体的数据保护规则，开展实施后评估，并采取措施防止少数群体、移民和识字水平较低者遭到排斥。论文还指出了肯尼亚国家实践中的不足：机构间缺少数据共享规范，未开展影响评估，也缺少让人们行使数据权利的机制。肯尼亚的这一历程体现了一种模式：系统在法律框架出台前推出时，法院便成为最终确定其设计的场所。

欧盟：钱包，而非登记册

原《eIDAS 条例》（EU）910/2014 要求成员国相互承认彼此通报的国家电子身份识别方案，但实际采用情况参差不齐，许多公民没有可用的跨境身份凭证。于 2024 年 5 月 20 日生效的《条例》（EU）2024/1183 改变了这一模式。每个成员国都必须在 2026 年底前至少提供一个按照共同规范构建的欧洲数字身份钱包。用户可在自己的设备上保存个人身份数据和属性电子证明（如文凭、驾驶执照、年龄证明），并仅披露服务所需的信息，例如证明自己年满 18 岁，而不透露出生日期。自然人可自愿免费使用该钱包；欧盟委员会的计划强调提供隐私控制面板，向用户显示哪些主体已收到其数据。

该系统的实施程序相当严格。欧盟委员会没有采购单一系统，而是发布了《架构与参考框架》（2025 年 5 月发布 2.0 版），并于 2025 年分批通过实施条例，涉及认证、依赖方登记、信任服务和证明。由政府和企业组成的联盟开展了大规模试点，测试支付、旅行和教育等使用场景。

主要争议涉及钱包可能促成什么，而非它目前做了什么：持久的唯一标识符是否会让服务能够关联某个人的活动；对依赖方可请求的信息种类是否施加了足够严格的限制；以及在立法过程中，有关合格网站身份验证证书的一项规定，安全研究人员和浏览器制造商认为该规定可能削弱网络安全。钱包是否真正自愿使用也尚未得到检验：如果服务转向优先通过钱包访问，那么即使法律保障退出权，实践中的退出也可能代价高昂。

瑞士：两次公投

瑞士的路径由选民决定。2021 年 3 月 7 日，选民以 64.4% 对 35.6% 的票数（1,778,196 票对 984,574 票）否决了一项联邦电子身份法；反对者最主要的异议是身份将由私营企业签发和运营。此后，议会通过了一部新的《电子身份法》，规定由联邦政府签发电子身份并运营相关基础设施。随后再次发起公投；2025 年 9 月 28 日，该法以 1,384,586 票对 1,363,362 票（50.39%）获通过，投票率为 49.58%。

联邦电子身份计划将该系统描述为实体身份证的可选补充，免费使用，基于去中心化和开源基础设施，并将身份凭证存放在 swiyu 钱包应用中。公共服务仍可在线下办理。到 2026 年 10 月，该系统仍在推行过程中，测试沙盒已经启用，面向全国的宣传活动也正在招标，计划于 2027 年开始实施。

瑞士案例表明，直接民主可以迫使制度重新设计：2021 年遭否决的模式与 2025 年获批准的模式，最主要的区别在于由谁签发身份。该案例也显示了这种合法性的局限：约 21,000 票的差距意味着近半数选民不赞成哪怕是由国家运营的版本。

比较分析

包容性

在强制登记（爱沙尼亚）或登记与福利挂钩（印度）的情况下，覆盖率最高。但这两种路径都并非没有代价：强制系统剥夺选择权，而与福利挂钩的系统会使身份识别失败转化为食物或收入的损失。自愿系统（欧盟、瑞士）保障选择权，但其推广取决于实用性，因此可能先覆盖数字素养较高的人群，而最需要公共服务的人群反而最后才能覆盖。

排斥

排斥至少有三种形式：无法登记的人（缺少证件、受到歧视性审查，肯尼亚努比亚人就曾遭遇这种情况）；已经登记却无法通过身份验证的人（指纹磨损、网络连接不佳，恰尔肯德邦的情况即属此类）；以及因设计选择而被排斥的人（没有离线渠道、无法获得协助）。印度的证据表明，即便第一种情况规模较小，第二种情况也可能影响数百万人；而备用程序（如人工覆盖、替代证件和宽限期）是决定性的保障措施。

安全

集中式生物识别登记库形成单一的高价值攻击目标，并带来不可逆风险：指纹一旦泄露，便无法重新签发。基于凭证的系统分散风险，但风险会集中在芯片、应用程序和供应商上，2017年的密钥生成漏洞便说明了这一点。钱包系统将部分安全责任转移给用户的手机以及仍在建设中的认证制度。

监督

证据未能说明什么

• 某一种架构在所有地方都最优。 五种系统在不同国家承担不同用途。凭证钱包无法解决缺乏基础身份凭证的人群所面临的问题；而在民事登记已经可靠的地方，生物识别登记库并无必要。
• Aadhaar 的净福利影响。 恰尔肯德邦研究衡量的是一项计划和一次过渡。它并未估算 Aadhaar 对印度整体腐败、包容性或福利的总体影响。
• 自愿系统的使用情况。 欧盟钱包和瑞士电子身份系统推出时间尚短，因此尚无证据表明哪些人会使用、哪些人不会使用，以及选择退出是否会付出代价。
• 独立安全审计。 五种系统在渗透测试、泄露记录和供应商风险方面的公开信息都有限；运营方的声明不等同于审计。
• 肯尼亚的结果。 Maisha Namba 对登记缺口和排斥的影响尚未得到评估。

制度设计的启示

1. 先立法，再登记。 本文所述系统中，所有在法律框架建立之前就已建成的系统，后来都经法院审查而被改写。应在大规模登记之前制定法规，明确用途限制、数据保护规则和影响评估要求。
2. 将身份与数据分开。 将登记库彼此分离，并允许人们仅披露服务所需属性的架构（爱沙尼亚的 X-Road、欧盟的选择性披露），能够限制数据泄露造成的损害，并减少监控诱因。
3. 将备用途径确立为权利。 身份验证是获取福利的门槛时，验证失败绝不能意味着挨饿。人工替代方式、协助渠道和宽限期应成为法定权利，并通过公布错误率接受监督。
4. 保留离线渠道。 只有在非数字渠道仍可使用的情况下，自愿性才有实际意义；瑞士已将这一点写入其制度。
5. 为供应链故障做好规划。 撤销、重新生成密钥和沟通计划应在真正需要之前接受测试。
6. 赋予监督机构诉讼资格。 数据保护机构、监察专员和法院需要查阅系统文档，并有权责令作出变更，而不只是事后判给救济。

未决问题

• 自愿钱包能否覆盖最需要公共服务的人群，还是会扩大数字素养较高者与受排斥群体之间的差距？
• 选择性披露能否抵御依赖方（包括国家）施加的压力，避免其索取超出所需范围的数据？
• 国家应如何应对已经收集的生物识别数据所带来的不可逆风险？
• 如瑞士的情况所示，范围狭窄的公投授权是否足以让一个系统在遭遇首次重大故障后仍保有合法性？
• 钱包系统之间的相互承认（欧盟与瑞士、欧盟与第三国）对国家身份控制意味着什么？

来源

1. e-Estonia. 身份证（爱沙尼亚身份证的官方说明）。
2. e-Estonia. X-Road（数据交换层）。
3. Nemec, M., Sýs, M., Švenda, P., Klinec, D. and Matyáš, V. (2017). The Return of Coppersmith's Attack: Practical Factorization of Widely Used RSA Moduli. 载于 Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security，第 1631-1648 页。
4. 印度最高法院（2017）。Justice K.S. Puttaswamy (Retd.) and Anr. v. Union of India and Ors.，2017 年 8 月 24 日判决（隐私权）。
5. 印度最高法院（2018）。Justice K.S. Puttaswamy (Retd.) and Anr. v. Union of India and Ors.，2012 年第 494 号民事令状申请，2018 年 9 月 26 日判决（Aadhaar）。
6. 印度唯一身份识别管理局。UIDAI 主页和 Aadhaar 数据面板（数据截至 2026 年 10 月查阅时）。
7. Muralidharan, K., Niehaus, P. and Sukhtankar, S. (2025). Identity Verification Standards in Welfare Programs: Experimental Evidence from India. The Review of Economics and Statistics 107(2), 372-392。
8. 国际特赦组织肯尼亚分部与斯特拉斯莫尔大学 CIPIT（2024）。Advisory Policy Paper on Implementing a Rights-Respecting Digital ID in Kenya，2024 年 1 月 31 日。
9. 肯尼亚高等法院（2020）。Nubian Rights Forum and 2 others v. Attorney General and 6 others; Child Welfare Society and 8 others (Interested Parties)，2019 年第 56、58 和 59 号请愿案（合并审理），[2020] KEHC 8772 (KLR)，2020 年 1 月 30 日判决。
10. 肯尼亚高等法院（2021）。Republic v. Mucheru, Cabinet Secretary, Ministry of Information, Communication and Technology and 2 others; Katiba Institute and another (Ex parte)，2020 年第 E1138 号司法审查申请，[2021] KEHC 122 (KLR)，2021 年 10 月 14 日判决。
11. Regulation (EU) 2024/1183 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework。《欧盟官方公报》，2024 年 4 月 30 日。
12. 欧盟委员会。欧盟数字身份钱包（项目主页，2026 年 1 月更新）。
13. 瑞士联邦总理府。2021 年 3 月 7 日全民投票（《联邦电子身份识别服务法》）。
14. 瑞士联邦统计局／联邦总理府（2025）。2025 年 9 月 28 日全民投票：电子身份法案，最终结果。
15. 瑞士联邦。电子身份（e-ID）（联邦电子身份及 swiyu 项目网站）。
16. 信息系统管理局（2017）。Estonia resolves its ID-card crisis，2017 年 12 月 8 日。
17. 哥伦比亚大学“全球言论自由”项目。Nubian Rights Forum v. Attorney General（案件分析）。
18. Citizen Digital（2023）。Gov't postpones Maisha Namba launch due to 'unavoidable circumstances'，2023 年 9 月 29 日；Kenyans.co.ke（2023）。Govt Begins Maisha Namba Rollout to 3 Categories of Kenyans，2023 年 11 月 1 日。