2026年4月1日，第七巡回上诉法院在 Clay v. Union Pacific Railroad Co.（No. 25-2185）一案中作出裁定：伊利诺伊州2024年对《生物识别信息隐私法》（Biometric Information Privacy Act，BIPA，740 ILCS 14）作出的修正，适用于修正案颁布（2024年8月2日）时已在审理中的案件——同一人、以同一方式被反复采集同一生物识别标识的，“至多一次赔偿”（at most, one recovery）。第七巡回据此推翻了三份地区法院判决并发回重审。这一裁定直接改变了在联邦法院审理的BIPA集体诉讼的赔偿计算方式，也值得所有在伊利诺伊州使用指纹打卡、人脸门禁、声纹或AR试戴功能的中资企业重新审视自己的风险敞口。
一、法规与案件背景
BIPA于2008年颁布。伊利诺伊州最高法院先后在 Rosenbach v. Six Flags（2019 IL 123186）中认定，仅违反程序性要求即构成“受损害”，原告无需证明实际损害；在 Tims v. Black Horse Carriers（2023 IL 127801）中确定五年诉讼时效；在 Cothron v. White Castle System, Inc.（2023 IL 128004）中进一步认定，依第15(b)条和第15(d)条，每一次采集或传输生物识别标识都产生一个独立的请求权。法院在 Cothron 案中同时提示，这一结果可能带来“毁灭性”（annihilative）的赔偿责任，并把修法问题留给立法机关。
立法机关随后作出回应。2024年8月2日生效的 Public Act 103-0769（SB 2979）新增第20条(b)、(c)款：同一人的同一生物识别标识，以同一方式被反复采集或披露的，仅构成一次违法，只能获得一次法定赔偿；同时，该修正案还明确“书面授权”（written release）包括电子签名。争议在于：这一修正是否适用于修正案生效前已经起诉的案件？此前联邦地区法院意见不一——例如 Gregg v. Central Transport（N.D. Ill.）在2025年3月重新考虑后改变立场，Schwartz v. Supply Network（N.D. Ill.）认定修正案仅向后适用。Clay 案终结了第七巡回内部的这一分歧。
二、核心法律分析
1. 受规制的信息。BIPA第10条所称“生物识别标识”包括视网膜或虹膜扫描、指纹、声纹，以及手部或面部几何扫描；照片本身不在其内。
2. 实体义务（第15条）。(a) 制定并公开书面的保留与销毁政策；(b) 采集或获取前，书面告知采集事实、目的和保留期限，并取得书面授权；(c) 不得出售、租赁或以其他方式牟利；(d) 未经同意或法律许可，不得披露或传播；(e) 以行业合理标准保护数据。
3. 赔偿（第20条）。过失违法最高1,000美元，故意或轻率违法最高5,000美元，另可主张律师费与禁令救济。
4. Clay 案的裁判思路。据公开报道，第七巡回认为修正案改变的是第20条的救济方式，而不是第15条的责任标准，因而属于“救济性/程序性”修改；原告对特定救济方式并无既得权利，且修正案是减轻而非加重责任，不存在违反州宪法的障碍。法院据此推翻并发回，由地区法院重新评估赔偿，并重新审视是否仍满足联邦管辖要件。
5. 不要误读为“风险消失”。第一，Clay 案是第七巡回对联邦法院的裁定，伊利诺伊州法院是否采取同一立场仍需持续关注。第二，第15条的责任标准没有变化：每人一次的法定赔偿，乘以集体成员人数，数额依然可观——例如1万名员工按每人1,000美元计算，名义上限即为1,000万美元。第三，赔偿额下降还会影响《联邦集体诉讼公平法》（CAFA）下500万美元标的额门槛，进而影响能否移送联邦法院，应诉策略需要同步调整。
三、对中资企业的合规要点
第一，先做生物识别数据盘点。梳理美国员工的指纹或人脸考勤、门禁系统、客服声纹、虚拟试妆和AR试戴功能、含人脸识别的监控设备，以及第三方SDK和云服务商实际处理的数据。
第二，先授权、后采集。起草符合第15(a)、15(b)条的公开保留与销毁政策、书面告知和授权文本；电子签名现已明确可以作为书面授权，但必须在首次采集之前取得并留存。
第三，管住披露与跨境回传。向中国母公司、关联公司或供应商传输生物识别数据，属于第15(d)条的“披露”，须有同意或法定依据；与供应商签订的数据处理协议应覆盖删除、保密和安全条款。
第四，重估诉讼风险与和解价值。已有未决BIPA诉讼的企业，应在 Clay 案之后重新测算赔偿区间和移送可能性；尚无诉讼的企业，也应注意五年诉讼时效内的历史采集行为。
第五，同步关注其他州。德克萨斯州CUBI、华盛顿州HB 1493等同样规制生物识别数据，应统一设计多州合规方案，而不是只盯伊利诺伊州。
四、格知律所如何协助
格知律师事务所总部位于芝加哥，长期为中资企业处理美国数据合规与诉讼事务。针对本文所涉的BIPA风险，我们可以协助：一是开展生物识别数据盘点与BIPA差距评估；二是起草和审查公开保留与销毁政策、告知及书面授权文本（包括电子签名流程）；三是审查供应商与SDK的数据处理协议，评估向中国境内传输生物识别数据的合规路径；四是在已被起诉的情形下，协助评估 Clay 案对赔偿区间和CAFA移送的影响，并代理应诉与和解谈判。
五、结语
Clay 案把BIPA集体诉讼从“按次计算”拉回到“按人计算”，对被告是实实在在的减负，但并没有改变“先告知、先授权”的基本要求。对中资企业而言，最稳妥的做法仍是在采集之前把政策、授权和供应商合同做到位。后续伊利诺伊州法院如何处理这一问题，以及是否出现进一步的立法调整，值得持续跟踪。
本文仅供一般信息参考，不构成法律意见。具体事项请咨询专业律师。