「按人赔」终结「按次赔」？第七巡回 Clay v. Union Pacific（No. 25-2185）判定 BIPA 2024 年修正案追溯适用，伊州州法院仍存分裂——中资企业指纹打卡、人脸门禁与声纹客服的敞口重估
2026年4月1日，美国联邦第七巡回上诉法院在 Clay v. Union Pacific Railroad Co.（No. 25-2185, 2026 WL 891902） 中作出对伊利诺伊州《生物识别信息隐私法》（BIPA，740 ILCS 14/1 et seq.）被告方最有利的一项判决：伊州议会2024年8月通过的 SB 2979 修正案——将"同一人、同一采集方式的重复采集"合并为"一次违法、一次赔偿"——追溯适用于修正案通过时尚在审理中的案件。这意味着在第七巡回辖区内的联邦法院，原告再也无法按"每一次扫描"叠加法定赔偿。
但故事并未结束。伊利诺伊州法院系统内多数一审法官此前已认定该修正案仅向后适用，2026年的州上诉审将决定同一部法律在联邦与州两个通道中是否出现数量级差异的赔偿结果。对在伊利诺伊设有仓储、工厂、门店或呼叫中心的中资企业而言，这不是一场学术争论，而是直接决定和解报价区间的杠杆。
一、法规与案件背景：BIPA 的"歼灭性责任"是怎么造出来的
BIPA 于2008年生效，是美国唯一赋予个人私人诉权（private right of action）的生物识别专门立法。其核心义务集中在第15条：
§15(a)：须书面制定生物识别数据的保存期限与销毁准则，并对外公开；
§15(b)：采集前须书面告知（i）正在采集生物识别标识符或信息、（ii）具体目的、（iii）保存期限，并取得书面授权；
§15(c)：禁止出售、出租、交易或以任何方式从生物识别数据中获利；
§15(d)：未经同意不得对外披露或传播；
§15(e)：须以不低于对其他机密信息的保护标准履行合理注意义务。
第20条（740 ILCS 14/20）规定的法定赔偿是全部诉讼风险的引擎：过失违法每次1,000美元，故意或重大过失每次5,000美元，或实际损失中的较高者，另加律师费与禁令救济。
三份伊州最高法院判决把风险推到极致。Rosenbach v. Six Flags Entertainment Corp.（2019 IL 123186）确认原告无需证明任何实际损害，程序性违反本身即使其成为"受损害之人"；Tims v. Black Horse Carriers, Inc.（2023 IL 127801）统一适用五年诉讼时效；Cothron v. White Castle System, Inc.（2023 IL 128004）则认定每一次采集或传输独立起算请求权。Cothron 判决书本身承认这将带来"歼灭性责任"（annihilative liability），但把问题抛回给了议会——White Castle 案约9,500名员工、每班多次指纹打卡，理论敞口一度被推算至170亿美元以上。
议会于2024年8月2日签署 SB 2979 作答：同一人、同一采集方式的重复采集或披露构成单次违法，"受损害之人最多获得一次赔偿"（at most, one recovery）；修正案同时确认电子签名符合 §15(b) 项下"书面授权"的形式要求。
二、Clay 判决的推理：为什么修正案属于"程序性"
SB 2979 未写明是否追溯。伊利诺伊追溯适用检验的核心是"救济性／程序性"与"实体性"之分：前者追溯适用，后者仅向后适用。此前多家联邦地区法院认定其为实体性修法，第七巡回将三起中间上诉合并后予以推翻，理由有两项：
第一，修正案改动的是第20条（法定赔偿条款），完全未触及第15条（设定责任标准的实体条款）。行为的合法与违法边界没有移动，移动的只是赔偿的计算上限。
第二，修正案的文本本身即指向救济——"最多获得一次赔偿"这一表述"针对的是赔偿的可获得性，而非被禁止的行为"。
法院进一步援引 Cothron 中"BIPA 赔偿属裁量性"的表述：既然法院本可裁量分文不赔，原告从未对任何特定金额享有既得权利，修正案只是"约束一审法官在设计救济时的裁量空间"。这条推理链条对被告的实际价值在于，它把 SB 2979 从"剥夺既得权利的实体修法"重新定性为技术性的救济调整，从而绕开了追溯适用面临的宪法性障碍。
三、分裂尚未消除：管辖地本身成了实体抗辩
Clay 只约束第七巡回辖区内的联邦法院。伊利诺伊州法院不受其约束，而州一审层面的多数意见此前倾向于仅向后适用。这产生了一个现实后果：同一套事实、同一个集体，在库克郡巡回法院与伊北区联邦法院可能面临相差一到两个数量级的敞口。
原告律师因此有强烈动机把案件锁在州法院——回避援引联邦问题、控制集体规模以规避 CAFA 的500万美元争议额与100人门槛、只起诉本州被告以破坏完全多元管辖。反向地，被告方把移送（removal）时机与管辖地选择当作实体抗辩来打，正在成为2026年 BIPA 防御的第一道工序。伊利诺伊上诉法院的裁判预期在2026年内出现，最终很可能上行至伊利诺伊州最高法院。
四、不只是伊利诺伊：三种执法结构并行
把视野放大，美国生物识别监管实际上由三种结构并行组成，中资企业不能只盯 BIPA。
私人诉权型（伊利诺伊）。BIPA 是唯一提供私人集体诉讼通道的专门立法，也因此承载了全美绝大多数生物识别诉讼。
总检察长独占型（德克萨斯、华盛顿）。德州《生物识别标识符采集或使用法》（CUBI，Tex. Bus. & Com. Code § 503.001）无私人诉权，仅由总检察长执行，但单次违法罚金高达25,000美元。德州总检察长凭此在2024年7月与 Meta 就人脸标签功能达成14亿美元和解，2025年又与谷歌就 Google Photos 面部几何、Google Assistant 声纹与 Nest Hub Max 摄像头达成13.75亿美元和解——两案合计逾27.7亿美元，使德州成为事实上威慑力最强的生物识别执法者。华盛顿州 RCW 19.375（2017年 HB 1493）同样无私人诉权，由总检察长依《消费者保护法》（RCW 19.86）执行，规制"为商业目的登记（enroll）生物识别标识符"的行为。
综合隐私法嵌入型（科罗拉多）。科罗拉多 HB 24-1130 自2025年7月1日起将生物识别条款写入《科罗拉多隐私法》（CPA），并明确排除 CPA 的规模门槛——即使企业未达到年度10万消费者的适用标准，只要采集生物识别标识符即受约束。该法尤其值得雇主注意：雇主仅可在四种情形下将生物识别同意作为聘用或在职条件（安全区域出入、记录上下班时间、职场安全监测、公共安全紧急情况），其他情形不得强制同意，亦不得因拒绝同意而报复；生物识别标识符须在初始目的达成之时、消费者最后一次互动后24个月、或年度审查认定无继续保存必要后45日内，三者中最早的时点永久销毁。
五、对中资企业的合规要点
1. 先做"生物识别资产清点"，而不是先改隐私政策。指纹与掌纹打卡机、人脸识别门禁、仓库与产线的视频分析、呼叫中心的声纹验证、会议系统的人脸分帧、门店客流摄像头——凡涉及"由生物特征自动测量生成、用于识别特定个人"的数据，均须逐一登记采集主体、所在法域、供应商与存储位置。绝大多数 §15(b) 诉讼的起点，是企业自己并不知道某个系统在采集。
2. 按 §15(b) 三要素重写书面授权文本，并保留可举证的签署记录。SB 2979 已确认电子签名有效，但举证责任仍在企业——须留存时间戳、文本版本号与员工／用户身份的关联。把同意条款埋进员工手册签收单，历来是最先被击破的一环。
3. 制定并"公开"保存与销毁准则。§15(a) 要求书面政策须 publicly available，仅存放于内部 HR 系统不满足要求。销毁时点建议按最严法域统一设定：科罗拉多的24个月红线可直接作为全球统一标准。
4. 在供应商合同层面切断 §15(c) 与 §15(d) 风险。使用第三方考勤设备、人脸 SaaS 或 AI 视觉模型时，须在 DPA 中明确禁止供应商将生物识别数据用于模型训练、转售或集团内共享，并要求供应商就其自身 §15 合规作出陈述与保证。需要特别提示：中国母公司调阅美国子公司的生物识别数据，在 §15(d) 项下即构成"披露"，须单独取得同意。
5. 把管辖地策略纳入诉前评估，而非和解阶段。收到 BIPA 集体诉讼通知时，Clay 判决是否适用完全取决于案件最终落在哪个法院。移送时机、CAFA 门槛测算、集体定义的时间跨度都会实质改变赔偿区间——这些判断必须在答辩期内完成。
六、格知律所如何协助
格知律师事务所长期为中资制造、零售、跨境电商与科技企业处理美国生物识别合规与诉讼事务。就本文议题，我们可提供的支持包括：全法域生物识别数据流盘点，以及 BIPA／德州 CUBI／华盛顿 RCW 19.375／科罗拉多 CPA 四轨适用性判定；§15(a) 保存销毁政策与 §15(b) 书面授权文本的起草与本地化，含电子签署留证方案设计；考勤设备、人脸识别与 AI 视觉供应商的合同与 DPA 审查，重点封堵模型训练与集团内跨境调阅两条口子；针对已发生的诉讼，提供管辖地与移送策略评估、Clay 判决适用性论证、集体认证抗辩与和解区间测算；以及在德州 CUBI、华盛顿《消费者保护法》项下总检察长调查的应询代理与整改承诺谈判。对同时受中国《个人信息保护法》约束的企业（生物识别信息属第28条"敏感个人信息"，处理须依第29条取得单独同意），我们可在同一份合规文件体系内完成中美双轨的同意与最小必要论证，避免两套文本互相矛盾。
结语
Clay 判决降低了 BIPA 的赔偿天花板，但它没有降低违法门槛——第15条的实体义务一字未改，Rosenbach 确立的"无需实际损害"规则依然有效，五年时效意味着2021年以来的采集行为仍在射程之内。
真正发生变化的是风险结构：过去的 BIPA 敞口由"扫描次数"驱动，是一道乘法题；今后由"人数 × 违反的条款数"驱动，是一道加法题。这对拥有数千名员工、每天数万次打卡的中资制造与仓储企业构成实质利好，但对集体规模本身就很大的消费级应用而言，改善有限。
与此同时，德州以25,000美元单次罚金和总检察长的独占执法权，正在把生物识别执法的重心从私人集体诉讼向公权力调查转移——后者没有集体认证这道闸门，也不接受"赔钱了事"的结局。对中资企业而言，2026年下半年最值得投入的，不是研究如何在诉讼中把赔偿压下来，而是把 §15(a)、§15(b) 的文书基础工作一次做扎实。