隐私法(侵犯他人隐私权)

据官网康涅狄格州议会消息，近日，康涅狄格消费者隐私法(以下简称隐私法)经过康涅狄格立法机关十多天的投票表决，由州长签署后正式通过，并将于明年7月1日生效。

议会官方网站

在隐私法中，“生物特征数据”被定义为通过自动测量个人的生物特征而产生的数据，如指纹、声纹、视网膜、虹膜或其他用于识别特定个人的独特生物特征。但是，数字或物理照片、音频或视频以及它们生成的任何数据都不包括在内，除非这些数据是为了识别特定个人而生成的。

有专家告诉南都记者，这一规定比较特殊，限制了生物特征数据的范围，排除了具有一定公共属性的生物特征，是严格遵循个人数据可识别特征的表现。这种定义方式有利于人工智能的发展，实现了消费者权益和产业发展的平衡。

一个

以《华盛顿隐私法》为原型，拉平各州的隐私保护水平。

继加州、弗吉尼亚州、科罗拉多州和犹他州出台隐私法之后，康涅狄格州(以下简称“康涅狄格州”)成为第五个出台隐私法的大州。

外媒在评价隐私法案时指出，与科罗拉多州隐私法案、弗吉尼亚州消费者数据保护法案和犹他州消费者隐私法案一样，它是基于尚未通过的华盛顿隐私法案。

知乎上一位专注于国际合规的法律受访者“合规极客”也持类似观点。在他看来，这有利于美国进一步构建分权的州法律体系，弥补联邦法律的不足。“虽然每部法律的监管细节有所不同，但在宏观层面上，并没有突出国家现行法律体系下隐私保护标准的提高。”

在北京师范大学互联网发展研究院院长助理、中国研究中心互联网协会副主任吴沈阔看来，每个州都有自己的隐私立法，康涅狄格州隐私法的颁布有利于在当前条件下降低各州隐私保护的“水平线”。而康州的隐私法更注重保护消费者权益，强化消费者对各种隐私场景的知情权、选择权和介入权。

美国Husch Blackwell律师事务所隐私和网络安全实践部门负责人大卫·斯陶斯(David Stauss)公开撰文称，各州根据《华盛顿隐私法》制定相关法律有助于提高互操作性。这种通用立法模式的出现降低了在联邦层面通过隐私法的紧迫性。然而，各州之间也存在明显的差异——犹他州的法律倾向于保护企业，而康涅狄格州和科罗拉多州显然倾向于保护消费者。

2

默认用户不再同意打开个性化广告。

首先，在适用范围上，《隐私法》规定，符合以下条件的主体将受其规制:一是在康州经营业务或向康州居民生产、销售产品或服务的主体，二是控制或处理不少于10万消费者个人数据的主体，但不包括仅为完成支付交易而控制或处理的个人数据；并且控制或者处理不少于2.5万名消费者的个人数据，个人数据出售收入占其总收入的25%以上。

跨国律师事务所Gibson Dunn的一名律师评论说，隐私法是第一部将支付交易数据排除在其适用范围之外的州法律。这种做法有利于减轻餐馆、小型便利店和相关企业的负担——因为这些企业处理大量用户个人数据的唯一目的就是完成交易。

值得注意的是，隐私法还要求个人数据处理者向用户提供一种有效的机制来撤回其同意，并且这种机制应该像它向用户提供的同意机制一样快速便捷地运行。此外，用户申请撤回同意后，数据处理者应在收到请求之日起15日内尽快停止处理相关数据。据了解，科罗拉多州和弗吉尼亚州的隐私法中也有相关内容。

“相比其他地区的立法，包括我国的立法，康州在这方面的规定更具可操作性，细节也更清晰具体。“在吴沈阔看来，《康州隐私法》关于撤回同意权的规定，从规则设计层面为消费者确立了一系列明确的规则，强化了数据处理者的配合义务，并对处理时间和时限做出了明确规定。

大数据的发展，使得投放个性化广告成为可能。去年，苹果和谷歌都大力整治个性化广告。苹果推出了“应用追踪透明功能”，当用户打开应用时，会收到一个弹出提醒，询问他们是否同意应用追踪他们的活动。谷歌也收紧了相关规定。如果Android用户选择退出个性化广告，广告商将不再能够准确地推送广告标识符。

隐私法要求，如果数据处理器将用户的个人数据出售给第三方，或者以投放个性化广告为目的对用户的个人数据进行处理，数据处理器应当以显著、明确的方式告知用户，并在2025年1月1日前为用户提供退出上述处理的渠道，不开启默认同意设置。“用户可以自由、明确地选择退出对此类个人数据的处理。”

《隐私法》还规定，数据处理者不得要求对上述提款申请人进行认证。但是，数据处理人员在合理、合法、有证据的前提下认定申请人的请求具有欺诈性的，可以驳回相关撤回请求，并向申请人说明认定的理由。

相比之下，其他四个州的隐私法虽然赋予了用户“选择退出”的权利，但隐私法显然更加详细。比如科罗拉多州隐私法并没有规定用户可以不经过认证就行使这一权利，加州CCPA规定数据处理者可以选择性地处理用户的提现申请。

吴沈阔表示，对于用户来说，隐私法的这一规定为其撤销权提供了制度保障，有助于消费者更快捷、更方便地行使这一权利。对于数据处理者，既规定了其及时响应的配合义务，又限定了拒绝的范围。它还明确了数据处理者在拒绝时的通知义务。“这一规定可能会对他们的数据资产管理产生深远影响。”

三

照片和视频不是生物特征数据。

随着人工智能的快速发展，生物识别技术如人脸识别、指纹解锁、虹膜识别等。被广泛应用，技术的种类也在不断增加，相关的产业也在不断扩大。然而，生物识别技术在带来诸多便利的同时，也带来了诸多隐忧。

隐私法规定，“生物特征数据”是指通过自动测量个人的生物特征而产生的数据，如指纹、声纹、视网膜、虹膜或其他用于识别特定个人的独特生物模式或特征。但是，该定义不包括数字或物理照片、音频或视频，以及由数字或物理照片、音频或视频生成的任何数据——除非生成上述数据是为了识别特定个人。

吴沈括直言，这个定义很特别。它从实际效果上显著缩小了生物特征数据的范围，将具有一定公共属性的生物特征排除在外，是严格遵循个人数据可识别特征的表现。“人工智能的发展需要使用大量的图像、音频、视频数据等。这种做法实际上‘开了一个口子’，实现了消费者权益和产业发展的平衡。”

“合规极客”表示，美国各州法律对“生物识别数据”的相关定义存在明显差异，主要是因为各地对生物识别数据的处理场景差异很大。在他看来，对这类数据限制太多，会影响科技产业的发展，康州的定义属于“中间宽中间窄”。

事实上，隐私法的定义主要借鉴了弗吉尼亚州消费者数据保护法(VCDPA)和欧盟一般数据保护条例(GDPR)。

美国佛罗里达州VCDPA给出的定义是“通过自动测量个人生物特征产生的数据”，包括指纹、声纹、视网膜、虹膜或其他用于识别特定个体的独特生物模式或特征；同时，很明显，物理或数字照片、视频或音频记录以及由此产生的数据不构成生物特征信息。在此基础上，隐私法增加了以“识别特定个人”为目的的例外。

GDPR规定，“生物特征数据”是指基于特殊技术对自然人的相关身体、生理或行为特征进行处理而获得的个人数据。这些个人数据可以识别或确定自然人的唯一标识，例如面部图像或指纹数据。此外，还强调“处理照片并不像处理个人敏感数据一样理所当然。只有当照片经过特定的技术方法处理，使其能够识别或认证特定的自然人时，照片才被认为是生物特征数据。”

关于对未成年人的保护，《隐私法》规定，数据处理者收集13岁以下儿童的个人数据时，必须征得其监护人的同意，对指定儿童敏感数据的处理不得绕过《儿童隐私保护法》的相关标准。同时，数据处理者不得以推送个性化广告为目的处理用户的个人数据，或者在明知用户年龄在13周岁至16周岁之间的情况下，未经用户同意出售个人数据。

“在美国各州法律体系下，对未成年儿童的数据保护已经相对完善。”“合规极客”认为，康涅狄格州的上述规定是其他州保护未成年人规定的延续。与隐私法类似，对13至16岁未成年人的数据保护也有专门规定，包括2020年生效的加州CCPA。数据处理者在明知用户处于该年龄段的情况下，未经同意不得出售或分享其个人数据。

在执法方面，隐私法规定执法权属于康涅狄格州总检察长。这部法律实施后，直到2024年12月31日，违反隐私法的数据处理者可以在总检察长进行执法前进行自我检查和纠正。如果总检察长未能在60天内完成纠正，总检察长有权对他们提起诉讼。2025年1月1日后，总检察长可根据违法行为的性质和后果，决定是否给予数据处理者改正的机会。

采写:南都记者范文洋