企业如何应对生物识别信息合规问题？

简单地说，生物识别(Bio-metrics)是一种基于特定个体的生理或行为特征，将其与他人区分和识别的技术。现已成为当今世界上最方便、安全、可靠的识别方法之一。

在处理生物识别信息方面，中国《个人信息保护法》作出了明确规定，并根据保护登记对个人信息进行了详细分类。2020年3月6日，《信息安全技术个人信息安全规范》(GB/T35273-2020)也正式发布，明确详细地列出了个人信息的类别。从同年10月1日开始实施，这是中国个人信息保护的关键一步。然而，与其他国家不同，中国在《个人信息保护法》中并没有明确公民可以起诉侵犯公民个人信息的行为。

此后，事件进一步发酵，越来越多的当地用户发起了类似的控告，用户还表示，一个跳动利用生物识别数据和其他数据生成用户画像，以帮助定向推广广告和盈利行为。如果原告证明成功，很大程度上，一家跳动公司手机的生物识别信息被认定为“占有”数据行为，需要在BIPA法案中履行一系列合规义务。为了防止事情朝着不可预测的方向发展，一家跳动公司最终与原告达成了9000多万美元的天价和解。

生物识别信息作为个人信息的一种，是一种需要更高敏感度和更严格保护的特殊信息。但从美国司法实践来看，保护生物识别信息作为公民的具体权利，赋予其在受到侵害时要求法院保护、要求侵权人赔偿的法律制度，大大增加了公司和企业的违法成本。在这种侵权纠纷下，只有巨头公司才能“花钱消灾”。对于中小企业来说，这往往是一场“灾难”。此外，以消费者权利保护为名，通过诉讼获利的人，如果不加以保护，就会被判决。