2023年8月，智利最高法院做出了一项史无前例的判决：裁定一家消费级神经科技公司未能妥善保护用户的脑数据（neurodata），从而侵犯了用户的宪法权利。这一裁决的达成逻辑，理应改变神经科学家看待当前正在起草的各项脑数据法律的方式。
原告、医生兼前参议员圭多·吉拉尔迪（Guido Girardi）购买了总部位于旧金山的Emotiv公司的无线脑电图（EEG）头戴设备。按照该公司的规定，用户只有购买“Pro”许可证才能访问自己的脑电记录，否则数据将保留在公司云端，即便用户注销账户也不例外。在吉拉尔迪选择的免费许可证下，他无法获取自己的脑数据，而他接受的隐私政策却允许公司保留这些数据，并出于他从未明确批准的目的将其分享给第三方。吉拉尔迪随后对该公司提起诉讼，法院最终支持了他的诉求。本文作者作为代表其进行法律辩论的法庭之友（amicus curiae）贡献者之一，对这起案件的细节有着深入的了解。
许多学者将此视为“神经权（neurorights）”发展的一个里程碑式裁决。然而，大多数人忽略的一个细节是法院得出这一结论的具体依据。虽然智利在2021年修改了宪法，加入了明确的神经权条款——成为全球首个这样做的国家——但法院在审理此案时并未直接引用该条款。相反，判决的根基是1980年《智利宪法》第19条中已有的法律条款，即保障身心完整性与隐私权。法院判定：为了某种特定目的而记录数据的同意，并不等于将其用于其他目的同意。换句话说，真正保护吉拉尔迪的，与其说是数据来自他的大脑这一事实，不如说是这些数据是如何被使用的。
该法院的裁决暗示，总体而言，脑数据的监管应当更多地取决于对其实施的操作，而不是它来源于哪个器官。这对于基础研究具有直接的影响。在实验室中记录的数据用于科学研究，而不是用于对消费者进行画像或定向广告，因此其风险通常较低。因此，相关的监管应更为宽松，研究数据应当能够以较少的限制，从记录它们的实验室流向能够在其基础上开展工作的同行及数据存储库（包括跨国流动）。而通过在线销售的头戴设备所捕获并反复转卖的相同信号，则完全是另一回事。
作为一名科学家，你可能会合理地发问：为消费级小工具编写的法律凭什么会是你的问题？答案在于：这些法律正在确定的定义很容易渗透到管理你工作的机构中，并最终塑造你可以收集、分享和重复使用的数据范围。
为什么脑数据监管突然变得如此紧迫？简而言之，记录大脑活动的成本已经大幅下降。过去需要临床诊室或专用实验室的操作，现在仅凭在线销售的头戴设备就能完成。消费级脑电图（EEG）、可穿戴设备和研究级设备正在以现有规则从未预料到的规模和环境产生脑数据。曾经留在医院里的信号，如今正在穿梭于公司云端并跨越国界。
神经技术的这种转变助长了一种强烈的直觉，即脑数据与普通数据不同。正如马尔切洛·延卡（Marcello Ienca）及其同事所论证的那样，它是我们精神状态的最直接相关指标之一，有时会脱离我们的意识控制，而且它既可以被读取也可以被写入，从而开辟了直接干预思维的途径。基于这种逻辑，脑数据似乎需要一套特殊的保护类别。这种可以理解的直觉正在塑造目前正在形成的许多立法。
让我们考虑一个具体案例：从几十名执行工作记忆任务的参与者那里记录下来的EEG数据集。你可能希望与国外的合作者分享这些数据，将其与合作实验室的记录合并，或者让研究生在三年后将其重新用于新的研究课题。这本该是一件很简单的事情，但不同州之间神经数据监管的差异可能会带来一些挑战。例如，加利福尼亚州和科罗拉多州已修改其消费者隐私法，根据大脑数据的来源——神经系统——对其进行定义，并将其列入敏感数据名录。康涅狄格州已将脑数据纳入其隐私法涵盖的敏感数据中，蒙大拿州则将“神经技术数据”并入了其《基因信息隐私法》。表面上看，这些法律似乎与你无关，因为它们是为处理消费者数据的公司而非实验室而编写的。
然而，它们的定义可能会通过另一条途径波及到你。试想一下，这会给机构审查委员会（IRB）带来怎样的困境。它被要求审查一项其从未见过的技术，而其手头唯一可用的脑数据法律定义却是围绕消费品编写的。一个恪尽职守的审查委员会如果试图寻找最佳可用定义，最终可能会采用一个针对完全不同问题制定的定义。大学法律办公室在起草数据使用协议或资助机构修订数据共享政策时，情况也是如此。笔者目前尚未听说有哪个审查委员会已经这样做了，但关键在于这种情况发生的可能性有多大。这一切并不需要法律直接适用于你，仅仅是它的“定义”就足够了。
此外，关于什么算作脑数据的定义本身并不一致。加利福尼亚州将任何从非神经信息中推断出的内容排除在外，而科罗拉多州则没有这样做；蒙大拿州将瞳孔扩张和呼吸频率排除在神经活动之外，视其为下游效应，而科罗拉多州的定义则没有此类排除项；康涅狄格州仅涵盖中枢神经系统。同一个瞳孔测量通道在丹佛可能被视为脑数据，而在海伦娜则不然。因此，如果审查委员会或法律办公室借用了其中某项定义，其选择哪一个将决定你的记录将受到何种对待。如果你的预实验使用的是作为消费品销售的EEG头戴设备，法律就会适用于其制造商，这意味着你的记录在成为你的数据集之前，就已经受到该公司的条款约束。
在美国联邦层面，局势仍在形成之中。2025年9月在参议院提出、目前正等待委员会审议的《MIND法案》（MIND Act）并未直接施加规则，而是指示联邦贸易委员会（FTC）研究应如何监管脑数据。然而，其文本本身却透露出一个有启发性的信号：它要求委员会考虑按敏感性对脑数据进行分类，对高风险用途实施更严格的监管，并权衡利弊。这正是基于用途的监管框架的雏形。
我们可以想象同一份EEG记录在不同使用场景下的区别：如果一家公司将其作为消费品来推断购物者的情绪，那么对用户的风险很高，而社会效益却很低甚至不存在，因此保护措施应当严格；但在临床研究和基础研究中，风险较低，研究人员利用数据开发知识，这些知识最终将回馈给科学界乃至公众。
基于来源的规则将神经科学家的记录视同为广告科技数据集；而基于用途的规则则是根据基础研究所带来的实际风险进行监管，不多不少。
基于用途的治理能够在不冻结科学发展的前提下，保护基础研究人员以及数据被使用者的权益。然而，这一框架不会凭空出现，它需要跨国研究项目、运行机制以及能够将“监管用途”转化为日常标准的制度化工具。支持这种框架的科学家需要积极推动其实现：与起草立场声明的科学社团、修订数据共享政策的资助机构以及听取专家证词的立法委员会进行沟通。这些会议室里很少坐着亲自记录过脑电图的人，你需要走到他们中间去。
Author: Governing neurodata policy contributions.