「$5 的太阳镜不算医疗」：第七巡回法院 Clements v. Gunnar Optiks（No. 25-1890，2026年7月10日）掏空 BIPA「医疗豁免」——虚拟试戴功能如何把中资跨境卖家拖进伊利诺伊州集体诉讼

2026 年 7 月 10 日，联邦第七巡回上诉法院对 Clements v. Gunnar Optiks, LLC（No. 25-1890）作出判决，撤销伊利诺伊州北区法院的驳回裁定并发回重审。判决由 Easterbrook 法官撰写，Brennan 首席法官与 Taibleson 法官组成合议庭，2026 年 2 月 24 日言词辩论。争点只有一个：网上卖眼镜的商家，能不能因为「眼镜是医疗器械」，就把自家的虚拟试戴（Virtual Try-On，VTO）功能塞进《伊利诺伊州生物识别信息隐私法》（BIPA，740 ILCS 14/1 至 14/99）的医疗豁免里？

答案是不能——至少在诉状阶段不能。这条判决直接掐断了近四年来 VTO 类集体诉讼被告最常用、也最有效的一条抗辩路径。对在美国站点上线了「AR 试戴」「虚拟上妆」「在线试戴眼镜」功能的中资跨境卖家而言，这不是一条外国判例新闻，而是一份已经生效的风险提示。

案件背景：一项功能，两个法院，两次受挫

原告 William Clements 主张，Gunnar Optiks 的网站在他使用虚拟试戴功能时扫描了他的面部几何特征（scan of face geometry），并将该数据对外传输，用以生成不同镜框戴在脸上的效果图。BIPA 第 14/10 条对「生物识别标识符」的定义明文包含「视网膜或虹膜扫描、指纹、声纹，或手部、面部几何特征的扫描」——面部几何数据落入定义没有争议。

更关键的是，Gunnar 并未否认其未履行 BIPA 关于知情同意与数据留存的规则（即第 15(b) 条的书面告知与同意义务、第 15(a) 条的公开留存与销毁政策义务）。换言之，本案自始就不是「有没有违规」之争，而是「这部法律管不管得着我」之争。此前 Gunnar 已在伊利诺伊州法院系统就同一功能受挫：州上诉法院在 Marino v. Gunnar Optiks LLC（2024 IL App (1st) 231826）中就非处方眼镜的虚拟试戴否定了豁免的第一条腿——线上零售环境不构成「医疗场所」（处方眼镜部分则另作处理）。本案中 Gunnar 转而主攻第二条腿。案件依《集体诉讼公平法》（CAFA，28 U.S.C. § 1332(d)）进入联邦法院，一审为北区法院 Sara L. Ellis 法官（案号 22 C 4634），以 Rule 12(b)(6) 驳回。

豁免条款的两条腿

740 ILCS 14/10 的除外条款原文为：生物识别标识符不包括「在医疗场所从患者处采集的信息，或依据联邦《健康保险流通与责任法案》（HIPAA）为医疗治疗、支付或运营之目的而收集、使用或存储的信息」。

第一条腿是「医疗场所的患者」，第二条腿是「依 HIPAA 为治疗、支付或运营之目的」。Gunnar 在联邦法院押注第二条腿：其产品是缓解数字视疲劳的护眼镜片，因此虚拟试戴所采集的数据是「为治疗之目的」。

Easterbrook 法官的四层拆解

合议庭从四个相互独立的角度否定了在诉状阶段适用豁免的可能：

第一，「医疗」的定义来自法规而非法律。HIPAA 本身没有定义 health care，定义在 45 C.F.R. § 160.103——「针对个人身心状况或功能状态、或影响身体结构或功能的预防性、诊断性、治疗性、康复性、维持性或姑息性照护，以及咨询、服务、评估或程序」。伊利诺伊州最高法院在 Mosby v. Ingalls Memorial Hospital（2023 IL 129081）中已确立，解释 BIPA 除外条款时采用这一联邦定义。法院特别指出，双方均假定该法规有效授权，因此本案无须触及 Loper Bright Enterprises v. Raimondo（603 U.S. 369 (2024)）对行政解释效力的影响——这是一处留给未来被告的伏笔。

第二，一审法院把被告的事实主张当成了事实。「眼镜能缓解视疲劳」是 Gunnar 自己说的，不是诉状写的。第七巡回援引 Gomez v. Toledo（446 U.S. 635 (1980)）与 Richards v. Mitcheff（696 F.3d 635 (7th Cir. 2012)）重申：原告的诉状无须预先反驳被告可能提出的抗辩。豁免是积极抗辩，举证责任在被告，不能在 12(b)(6) 阶段以被告的自述完成。

第三，「为了」与「治疗」是两个词。法院承认「处方镜片是一种医疗形式的治疗」，在医疗专业人士建议下缓解视疲劳「也可以理解为治疗」。但虚拟试戴收集面部数据的目的是展示外观，不是施加治疗。Gunnar 的逻辑——好看的眼镜更可能被戴上，所以美观服务于治疗——被指出「涵盖了它的全部眼镜，不问因何购得或因何佩戴」，因而超出医疗治疗的范围。判决的落点在这里最锋利：依同条规定，医疗器械的销售只有在「依处方进行」时才构成医疗行为。街角药店 5 美元的太阳镜，不能被视为医疗治疗。

第四，「依 HIPAA」意味着收集方自己得受 HIPAA 约束。法院对 under 一词加了重音：要适用豁免，取得信息的实体必须自身遵守 HIPAA——这部法律及其配套法规本就设置了大量同意与保密要求。伊利诺伊州立法者的用意，很可能是避免对同一数据采集行为进行重复监管（或规避优先适用的风险）。Gunnar 是否遵守 HIPAA，从原告诉状里看不出来。这一层往往被忽视，却对合规判断最具决定性：一家普通消费品电商，通常根本不是 HIPAA 受涵实体或业务伙伴，也就从结构上够不着这条豁免。

需要准确理解判决的边界：法院明确写道，「本文所述内容均不应被理解为在法律上终局解决上述任何问题」。发回后，Gunnar 仍可在证据开示与简易判决阶段证明其试戴功能确实服务于处方眼镜的适配等医疗功能。豁免没有被废除，只是不再是一张能在诉状阶段直接打出的免死金牌。

与 Clay v. Union Pacific 的叠加效应

把本案放回 2026 年的完整图景才能看清风险敞口。三个多月前，第七巡回在 Clay v. Union Pacific Railroad Co.（No. 25-2185，2026 年 4 月 1 日）中认定，2024 年 8 月 2 日生效的 BIPA 修正案（P.A. 103-769，即 SB 2979）具有溯及力：以同一方式对同一人重复采集同一生物识别标识符，只构成一次违法，至多一次赔偿。需注意该修正案新增的第 20(b)、20(c) 款仅限缩第 15(b) 与 15(d) 条项下的重复计次。Clay 一案中原告主张的约 1,500 次指纹扫描，若按故意违法每次 5,000 美元计算约合 750 万美元，此敞口因此被压缩为单次。

但这两条判决的方向并不相同。Clay 压的是同一原告的重复计次——它对指纹考勤这类高频重复采集场景意义巨大。虚拟试戴恰恰是低频场景：一名消费者通常只试戴一两次，本来也难以主张「每次扫描」赔偿。真正的杠杆在类成员人数：BIPA 第 14/20 条规定，过失违法每次 1,000 美元，故意或轻率违法每次 5,000 美元，另加合理律师费；依 Tims v. Black Horse Carriers, Inc.（2023 IL 127801），全部 BIPA 请求适用五年诉讼时效。一个上线三年、面向伊利诺伊州消费者的试戴功能，若累计触达十万名用户，即便按每人一次计算，账面敞口仍在一亿美元量级。Clay 没有削弱这一点，而 Clements 刚刚拆掉了阻挡它的那道墙。

平行风险：不止伊利诺伊一州

BIPA 的特殊性在于它是全美少数赋予私人诉权的生物识别法，集体诉讼密度最高。德州《生物识别标识符采集或使用法》（CUBI，Tex. Bus. & Com. Code § 503.001）虽只由州总检察长执法，罚则却高达每次违法 25,000 美元——2024 年 7 月对 Meta 的 14 亿美元和解即纯粹依据此条；2025 年 5 月宣布、同年 10 月落定的 Google 13.75 亿美元和解则一并了结了 CUBI 与定位追踪两案。华盛顿州 RCW 19.375 则走《消费者保护法》路径。同一个试戴功能，三个州三套责任结构。

对中资企业的合规要点

一、先做「豁免够不够得着」的结构判断，而不是功能判断。依据本案第四层理由，先问一个更前置的问题：本公司是否为 HIPAA 意义上的受涵实体或业务伙伴？对绝大多数跨境电商、美妆、饰品、眼镜与智能硬件品牌，答案是否定的——这意味着医疗豁免从一开始就不在工具箱里，不应再作为风险评估的假设前提。

二、对全站前端做一次生物识别功能盘点。范围不限于自研代码：AR 试戴 SDK、美妆试色插件、人脸美颜与肤质分析、虚拟试衣、拍照搜同款、年龄核验、防欺诈活体检测，均可能采集面部几何数据。第三方 SDK 供应商的数据流向（是否回传至供应商服务器、是否跨境）必须逐一取得书面说明并留档。

三、在扫描发生之前完成 15(b) 三件套。BIPA 第 15(b) 条要求：（1）以书面告知正在采集生物识别数据；（2）书面告知采集的具体目的与保存期限；（3）取得书面同意（2024 年修正案已明确电子签名符合要求）。实务红线是时序——同意必须发生在摄像头启动、数据采集之前，不能藏在页脚的隐私政策链接里，也不能事后补签。建议采用独立的、需主动勾选的弹窗，并完整留存同意时间戳与展示文案版本。

四、落地 15(a) 留存与销毁政策，并真正执行。须公开书面政策，载明保存期限与销毁标准，且不得晚于「初始目的实现时」或「最后一次接触后三年」（以先到者为准）销毁数据。此外，第 15(c) 条绝对禁止出售、出租、交易生物识别数据或以之牟利——这一条不设同意例外，任何将试戴数据用于广告定向或对外变现的设计都应直接停止。

五、把美国州法要求与《个人信息保护法》证据链打通。人脸信息在中国法下属于敏感个人信息，《个人信息保护法》第二十九条要求单独同意、第五十五条要求事前个人信息保护影响评估、第三十八条规范出境路径。同一套「单独同意＋PIPIA＋出境备案」材料，经改写后可同时支撑 BIPA 第 15(a)(b) 的举证需求。但切勿直接翻译套用：BIPA 要求的是采集前的书面告知与同意，颗粒度与措辞均与 PIPL 不同，须由美国执业律师另行定稿。

格知律所如何协助

格知律师事务所位于芝加哥，长期在 BIPA 的主战场——伊利诺伊州北区法院与库克郡巡回法院——处理生物识别合规与诉讼事务。就本文所涉场景，我们可提供：虚拟试戴与人脸类功能的 BIPA 适用性评估（含豁免结构判断备忘录）、前端生物识别功能与第三方 SDK 全量盘点、第 15(b) 同意流程与告知文案设计（弹窗时序、电子签名留证、版本管理）、第 15(a) 留存销毁政策起草与执行审计、供应商数据处理协议（DPA）与责任分配条款谈判、BIPA 集体诉讼答辩与和解策略（含 Clay 溯及力抗辩、类认证阶段异议、个案化抗辩构建）、德州 CUBI 与华盛顿州平行风险评估，以及 PIPL 与美国州法双向合规证据链的整合搭建。对已收到律师函或集体诉讼传票的企业，我们亦提供 72 小时内的初步风险敞口测算与应对方案。

结语

Clements 没有创设新义务——BIPA 第 15 条的实体义务自 2008 年立法起未变。它拆掉的是被告用了四年的一道挡板，让一批本已成型的诉讼重回证据开示阶段。对中资出海企业，值得记住的不是「$5 太阳镜」这个修辞，而是 Easterbrook 法官第四层的结构性判断：豁免属于遵守 HIPAA 的实体，不属于恰好卖了个与健康沾边的产品的实体。

虚拟试戴转化率高，没有理由为合规下线。要改的只是顺序——把同意弹窗放到摄像头之前。这项改动的工程量以天计，拦住的敞口以千万美元计。

本文仅供参考，不构成法律意见。判决原文见第七巡回上诉法院 No. 25-1890（2026 年 7 月 10 日）；条文编号与生效日适用时请核对现行法律文本。