2026年11月10日，美国伊利诺伊州北区联邦地区法院John J. Tharp Jr.法官在Hogan v. Amazon.com, Inc.（案号No. 1:21-cv-03169）一案中裁定认证集团诉讼：2016年10月18日至2023年1月31日期间，在伊利诺伊州向本人Amazon Photos账户上传照片、且开启"图像识别"功能的伊利诺伊州居民，可以就亚马逊未依《生物识别信息隐私法》（BIPA，740 ILCS 14）履行告知与书面同意义务一事集体主张权利。据报道，亚马逊确认在此期间曾开启该功能、账单地址位于伊利诺伊州的账户达339,847个。
这份裁定的意义不只在于金额。法院明确表示，"知情同意"不是逐个用户的主观问题，而取决于企业实际提供了什么告知、设置了什么同意流程。对于在美国提供拍照、相册、美颜、试妆、门禁或考勤等功能的中资企业，这是一则值得认真对照自查的案例。
一、案件背景：一个"按人分组"的相册功能
原告Angela Hogan及其未成年儿子于2021年在伊利诺伊州库克县起诉，案件随后移送联邦法院。原告主张，Amazon Photos的图像识别功能会检测用户上传照片中的人脸，生成数值化的"人脸嵌入"（face embeddings），再据此把同一人的照片自动归组；亚马逊既未以书面形式告知收集生物识别信息的具体目的和保存期限，也未取得书面同意。
2022年3月30日，时任承办法官Harry D. Leinenweber对亚马逊的驳回动议作出裁定：依BIPA第15(b)条（告知与书面同意）提出的请求得以保留；第15(a)条（公开保存与销毁政策）和第15(c)条（禁止出售、出租或以其他方式从生物识别信息中获利）的请求，因原告在联邦法院缺乏第三条诉讼资格而发回州法院；不当得利请求被驳回。法院同时拒绝执行亚马逊使用条款中的华盛顿州法律选择条款，理由是华盛顿州生物识别法律不提供私人诉权，适用该条款将违背伊利诺伊州的基本公共政策。亚马逊已于2023年1月对伊利诺伊州居民停用该功能。
二、法院如何认证集团：三个共同问题
根据《联邦民事诉讼规则》第23(b)(3)条，集团认证要求共同问题"占主导地位"。亚马逊的主要抗辩是：每位用户是否阅读了条款和通知、是否"知情"，只能逐一判断。法院没有接受这一观点，认定以下三个问题可以用共同证据一并解决：
第一，人脸数据是否构成BIPA意义上的"生物识别标识符"或"生物识别信息"。这取决于亚马逊系统如何处理人脸，与具体用户无关。
第二，亚马逊是否提供了法定告知。法院指出，伊利诺伊州用户可以在没有看到BIPA专项通知的情况下开启图像识别功能；亚马逊的使用条款也没有出现"生物识别标识符""生物识别信息"或"人脸识别"等措辞。
第三，亚马逊是否取得了书面授权。法院将其界定为：用户是否通过亚马逊设计的登录流程或开关设置作出了书面同意。换言之，审查对象是产品流程本身。
法院也承认，每张照片是否"在伊利诺伊州上传"需要逐人证明，但援引第七巡回上诉法院2026年一则同样涉及亚马逊（虚拟试戴功能）的BIPA裁决，认为这一个别问题不足以压倒共同问题。
另一方面，法院拒绝认证"非用户"集团，即出现在他人上传照片中、但本人并非Amazon Photos用户的人。法官认为这是一个"难以界定、几乎无法识别"的群体，因为亚马逊并不知道照片里的人是谁。这一点对被告有利，但并不意味着非用户的个人请求就此消失。
三、责任敞口：2024年修正案之后仍可能很大
BIPA第20条规定，过失违规每次可获赔1,000美元，故意或放任违规每次5,000美元，另可主张律师费。2024年8月2日生效的SB 2979（Public Act 103-0769）规定，同一主体以同一方式对同一人收集同一生物识别标识符，仅构成一次违规、只能获得一次赔偿；第七巡回上诉法院2026年4月在Clay v. Union Pacific案中认定该修正案适用于修正时尚未审结的案件。
即便按"每人一次"计算，以约34万个账户、每人1,000美元粗略推算，理论敞口仍超过3亿美元；如被认定为故意或放任，数字会成倍放大。实际赔偿取决于集团最终人数、过错认定和和解谈判，但这已足以说明，在BIPA下，"告知是否到位"本身就是一个九位数的问题。
根据报道，法院定于12月1日召开状态会议，确定集团通知时间表；集团通知须在法院就双方待决的简易判决动议作出裁定前发出。
四、对中资企业的合规要点
1. 盘点所有"人脸相关"功能。相册自动分组、美颜滤镜、虚拟试妆试戴、刷脸登录、门店客流分析、员工打卡等，只要生成可识别个人的人脸特征值，就应按生物识别信息管理。不要以"只是向量""只在本地计算"为由先行排除，应由技术和法务共同核实数据流。
2. 把告知和同意做进产品流程。Hogan案表明，通用使用条款不足以满足BIPA。应在功能开启前单独弹出伊利诺伊州专项通知，写明收集"生物识别标识符"的具体目的和保存期限，并以可留痕的方式（勾选、电子签名）取得书面授权；未完成授权的，功能不得默认开启。
3. 公开保存与销毁政策并真正执行。依第15(a)条，应公开书面政策，在初始目的达成或最后一次互动后3年内（以先到者为准）永久销毁。销毁需要日志证明。
4. 正视"非用户"风险。本案非用户集团未获认证，但照片中第三人的人脸同样被处理。产品设计上应考虑只对已同意的用户建立人脸分组，或对未识别人员不生成持久化特征值。
5. 检查合同与跨境安排。法律选择条款未必能把BIPA挡在门外。若人脸数据由境内团队访问或用于模型训练，还需同时评估美国司法部数据安全规则（28 C.F.R. Part 202）以及中国《个人信息保护法》关于敏感个人信息单独同意的要求。
五、格知律所如何协助
格知律所在芝加哥执业，熟悉伊利诺伊州BIPA诉讼的法院与程序。我们可以协助出海企业对现有产品进行生物识别数据映射与BIPA差距评估，审阅并重写伊利诺伊州专项通知、书面授权弹窗及保存与销毁政策，结合产品界面设计"先同意、后开启"的合规流程；在收到律师函或被诉时，提供BIPA集团诉讼应诉、仲裁条款与法律选择条款审查、和解策略及保险沟通等支持；并同步评估人脸数据跨境访问在美国司法部数据安全规则和中国《个人信息保护法》下的双重合规要求。
六、结语
Hogan案把BIPA合规的焦点从"用户是否读了条款"转向"企业是否把告知和同意设计进了产品"。对于集团诉讼原告而言，一个统一的产品流程恰恰是证明共同问题的最佳证据。2024年修正案降低了按次累计赔偿的极端风险，但没有改变BIPA的私人诉权和法定赔偿结构。凡在伊利诺伊州有用户、员工或门店，并涉及人脸或其他生物特征的中资企业，宜在下一个产品版本前完成一次专项自查。
本文依据公开报道及法院公开文书整理，仅供参考，不构成法律意见。