21 CFR Part 11 中的签名伪造和生物识别

Question

在 21 CFR 第 11 部分中，第 11.200 节概述了电子签名要求，特别是

(a) 不基于生物特征的电子签名应：

[...]

(3) 进行管理和执行以确保任何人试图使用个人的电子签名，而不是其真实身份 所有者需要两个或更多人的协作。

我们将此解释为需要两个管理员重置用户密码（否则单个管理员可以自行重置用户密码，然后愉快地伪造）

但当使用生物识别技术时，要求似乎要弱得多：

(b) 基于生物特征的电子签名应设计为 确保它们不能被除其正版以外的任何人使用 所有者。

意思是 f.i.在指纹认证的情况下，一个管理员可以单独重置指纹，然后伪造。

您是如何实现该要求的？我们很想忽略 (b)，因为它看起来很弱，并将生物识别技术视为密码。

Answer 1

虽然我不是律师，但我会这样解释：

(a.3) ...“由真正所有者以外的任何人使用个人的电子签名需要两个或多个个人的协作。”

第 (a.3) 部分可以指监护人和证人代表患者对文件进行电子签名。

(b) ...“不能被真正所有者以外的任何人使用”

鉴于 (b) 明确指出，除了患者之外，没有人可以使用他们的生物特征电子签名。

或者，

(a) 其他人可以代表患者使用基于用户 ID/密码的电子签名。

(b) 其他人不得使用基于生物特征的电子签名。

或者，以您为例

(a) 可以重置基于 UserID/Passcode 的电子签名，但至少需要重置者和见证人以确保重置可信。

(b) 基于生物特征的电子签名只能由用户重置。

一般来说，我会将 (b) 解释为比 (a) 具有更严格的使用限制。