伊利诺伊州 BIPA 生物识别诉讼变局：第七巡回 Clay v. Union Pacific 裁定 SB 2979 损害赔偿修正案“溯及适用”——中资企业人脸 / 指纹合规重估
2026 年 4 月 1 日，美国联邦第七巡回上诉法院在 Clay v. Union Pacific Railroad Co.（案号 No. 25-2185）一案中作出备受瞩目的裁决：认定伊利诺伊州 2024 年通过的 SB 2979 损害赔偿修正案属于“程序性”变更，应溯及适用于修正案生效时尚在审理中的全部案件。这意味着曾一度令企业谈之色变的“按次扫描”（per-scan）天价赔偿模式被正式终结。该裁决同时回应了北伊利诺伊州联邦地区法院 Gregg v. Central Transport 与 Willis v. Universal Intermodal 两案的认证问题，对成百上千件待决的生物识别诉讼影响深远。
对在伊利诺伊州设有员工、门店、工厂或用户的中资企业——尤其是使用人脸识别门禁、指纹考勤、声纹核验，或从事摄像头、智能门锁、AI 视觉等生物识别硬件与软件的企业而言，这是一次必须重新评估合规与诉讼风险的关键节点。
一、BIPA 背景：全美唯一带“私人诉权”的生物识别法
《伊利诺伊州生物识别信息隐私法》（Biometric Information Privacy Act，740 ILCS 14/，简称 BIPA）于 2008 年颁布，是美国最早、也是迄今唯一赋予个人私人诉权（private right of action）的生物识别专门立法。正因如此，BIPA 成为全美集体诉讼最活跃的“战场”之一。其规制对象为生物识别标识符（biometric identifiers）——视网膜 / 虹膜扫描、指纹、声纹、手部或面部几何特征扫描——以及由此衍生的生物识别信息。
BIPA 的杀伤力源于其法定赔偿：过失违规每次 1,000 美元，故意或鲁莽违规每次 5,000 美元（或实际损失中的较高者），并可主张合理律师费。在 2023 年伊州最高法院 Cothron v. White Castle 案确立“每一次扫描即构成一次独立违规”后，单一被告的潜在赔偿额一度被推高至数亿乃至数十亿美元量级。
二、Clay 判决与 SB 2979：天价赔偿的“刹车片”
为缓解 Cothron 带来的过度威慑，伊州议会于 2024 年 8 月 2 日签署 SB 2979，明确：无论私主体对同一人的生物识别信息扫描多少次，该人只能就一次违规获得赔偿；同时承认电子签名可满足“书面同意”要求。Clay v. Union Pacific 进一步确认该修正案溯及适用，使大量待决案件的赔偿基数从“扫描次数 × 人数”骤降为“人数”，显著压缩了原告的索赔空间，也可能推动更多案件以较低金额和解。
需要强调的是：赔偿“封顶”不等于义务“松绑”。BIPA 的核心合规义务丝毫未变，单笔每人 1,000 / 5,000 美元在集体诉讼中乘以成千上万名员工或消费者，金额依然可观。
三、企业的核心义务：四道合规红线
BIPA 第 15 条为持有生物识别数据的私主体设定了四项基本义务：(1) 事前告知与书面同意——在采集前以书面方式告知采集目的、期限，并取得当事人书面（含电子）同意；(2) 书面留存与销毁政策——制定并公开数据留存期限及销毁时间表，最迟在目的实现或末次接触后 3 年内销毁；(3) 禁止牟利——不得出售、出租、交易或以其他方式从生物识别数据中获利；(4) 合理的安全保管——以不低于保护其他机密信息的标准存储与传输生物识别数据。任一环节缺失，均可能触发诉讼。
四、对中资企业的合规要点
1. 立即盘点生物识别采集场景。梳理指纹 / 人脸考勤机、门禁系统、声纹客服、AI 摄像头、试妆 / 试戴等功能，确认是否在伊州采集了员工或消费者的生物识别数据。
2. 完善“告知—同意”文件链。制定独立的 BIPA 同意书（不可与其他文件混同），载明采集目的与留存期限，并保留可追溯的签署记录；可善用 SB 2979 认可的电子签名形式。
3. 出台书面留存与销毁政策并对外公开。明确 3 年销毁时限，并落实定期清理与日志留痕。
4. 审查供应商与第三方 SDK。许多 BIPA 风险来自第三方考勤、门禁、人脸 SDK 供应商——须在合同中明确数据处理责任、嵌入 DPA 条款，并核实其同意获取流程。
5. 不可“重伊州、轻他州”。得州 CUBI、华盛顿州 HB 1493 等亦在收紧；得州总检察长近年已对生物识别违法开出巨额和解，多州合规应统一布局。
五、格知律所如何协助
格知律师事务所（Getech Law Firm）的数据合规与争议解决团队在生物识别领域可提供端到端支持：BIPA 合规审计，全面排查企业生物识别采集场景与四项法定义务的落实情况；同意书与留存销毁政策起草与审阅，确保告知—同意文件链经得起诉讼检验，并用足 SB 2979 的电子签名与单次赔偿规则；供应商协议与 DPA 审查，厘清第三方人脸 / 指纹 SDK 的数据处理责任；以及BIPA 集体诉讼抗辩，在 Cothron 与 Clay v. Union Pacific 框架下，围绕赔偿溯及、扫描计次、知情同意与时效抗辩制定诉讼策略，争取早期驳回或低额和解。我们同时兼顾得州 CUBI、华盛顿州 HB 1493 等多州生物识别要求，并能与中国《个人信息保护法》（PIPL）对敏感个人信息（含生物识别）的单独同意规则衔接，为企业设计跨法域一致的合规方案。
六、结语与展望
Clay v. Union Pacific 为悬在企业头顶的“按次扫描”利剑装上了刹车片，但 BIPA 的诉讼引擎并未熄火——原告律师正转向集体规模、同意瑕疵与供应商责任等新角度发力。对中资企业而言，赔偿规则的收窄是喘息，而非豁免。唯有尽早完成生物识别数据盘点、补齐同意与留存文件、压实供应商责任，方能在全美最活跃的隐私诉讼战场上立于不败之地。