美国《2020年国家生物识别信息隐私法案》中译文

编者按：

本公号曾发表的人脸识别系列文章：

今天给大家推送的是美国参议院法案——《2020年国家生物识别信息隐私法案》（S.4400）的中译文。

译者序言

目前，美国的几个州都有这样或那样的保护生物识别信息的法律，其中主要是伊利诺伊州，但在联邦层面仍然缺乏这样一部立法。

以伊利诺伊州的生物识别信息隐私（BIPA）为蓝本，由Sens. Jeff Merkley和Bernie Sanders提出的《国家生物识别信息隐私法》(National Biometric Information Privacy Act)，包含三个关键条款。

1. 要求在收集和披露个人生物识别符和信息之前，必须获得个人的同意。
   

2. 对违反该法保护的实体的私人诉讼权，使受侵害的个人有权追回，除其他外，(i)1,000美元的违约赔偿金或(ii)实际赔偿金，以较大者为准，因为他们疏忽地违反了该法所赋予的保护。

3. 有义务以类似于组织保护其他机密和敏感信息(如社会安全号码)的方式保护生物特征识别器或生物特征信息。
   

该法将适用于"私人实体"，一般包括拥有任何个人的生物识别符或生物识别信息的任何规模的企业。联邦、州和地方政府机构和学术机构不在该法的适用范围内。

根据该法，私人实体必须：

• 制定并向公众提供一份书面政策，确定永久销毁生物识别符和生物识别信息的保留时间表和准则。该时间表不得超过个人与该实体最后一次互动的一年，但可以要求提前销毁。

• 只有在需要向个人提供服务或有其他有效的商业理由时，才收集生物标识符或生物鉴别信息。

• 告知个人正在收集或存储他们的生物识别符或生物识别信息，以及收集、存储或使用的目的和时间长度，并且必须收到个人的书面许可，不得与其他同意，包括就业协议相结合。

• 在披露任何生物特征识别符或生物特征信息之前立即获得一份书面许可，其中包括要披露的数据、披露的原因和数据的接收者；以及

• 以合理的谨慎标准保存信息。
  

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

DPO线下沙龙的实录见：

传染病疫情防控与个人信息保护系列文章

美国电信行业涉及外国参与的安全审查系列文章

中国的网络安全审查系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

供应链安全：

美国方面的个人信息保护立法：

数据跨境流动，本公号曾发表的文章如下：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

域外数据安全和个人信息保护领域的权威文件的全文翻译工作：