BIPA生物特徵識別器和“信息”的範圍和輪廓

戴維·J·奧伯利（David J. Oberly），生物識別隱私與數據隱私律師

伊利諾伊州生物識別信息隱私法（BIPA）集體訴訟中最重要的問題之一與“生物識別標識符”，“生物特徵識別信息”和“面部幾何學的掃描”術語的確切定義和範圍有關，因為它們用於BIPA。

最近的三項BIPA決定 - Zellmer訴Meta Platform，Inc。，2024年美國應用。 Lexis 14619（9thCir。2024年6月17日），Martell訴X Corp.，2024 US DIST。 Lexis 105610（ndIll。2024年6月13日），和Tibbs訴Arlo Techs。，Inc。，2024 US DIST。 Lexis 113916（ndCal。2024，2024年6月27日） - 直接解決這個關鍵的不確定性領域，為BIPA調節數據的特定輪廓提供了關鍵的見解。除此之外，這些決定還提供了幾個其他有價值的課程和外賣，所有公司都應考慮這些課程，以最大程度地減少與BIPA違規相關的超大法律風險和責任敞口。

Zellmer訴Meta Platform，Inc。

在Zellmer訴Meta Platform，Inc。，克萊頓·澤默（Clayton Zellmer）對Facebook進行了推定的Bipa集體訴訟 - 現在，Meta Platforms，Inc.。在他的朋友從他的朋友上傳到社交媒體平台的照片中創建了“面部簽名”時，Meta違反了Bipa的生物識別標識符。加利福尼亞聯邦地方法院對Zellmer的BIPA第15（b）條索賠批准了Meta的簡易判決，該索賠將啟用Meta遵守BIPA的“實際不可能”，如果需要在使用其現已解除的“標籤建議”功能之前從平台的所有非使用者獲得同意書。

在上訴中，第九巡迴上訴法院確認了簡易判決的裁決，但理由不同。具體而言，上訴法院認為，Facebook的非用戶Zellmer無法維持對META的可行第15（b）節的主張，因為Meta的標籤建議產生的“面部簽名”功能沒有揭示有關面部的任何幾何信息或其他與面部特徵相對應的幾何信息。取而代之的是，面部簽名只是一種抽象的數字表示，無法反向設計以顯示面部，法院得出的結論不是構成生物識別標識符 - 從而完全刪除了面部簽名和元素，從而完全符合Bipa。

Martell訴X Corp.

在Martell訴X Corp.，馬克·馬特爾（Mark Martell）對X（以前是Twitter）進行了假定的BIPA集體訴訟，稱該公司在使用Microsoft的Photodna軟件進行掃描並分析了他上傳的照片，以違反Bipa的生物識別標識符，以違反Bipa的侵犯。根據Martell的說法，Photodna創建了他的照片的獨特數字簽名，稱為“哈希”，以與其他照片的哈希相提並論，“必然”在Bipa下產生了他的臉部幾何形狀的掃描。

X在訴狀階段成功地挑戰了BIPA的主張（以駁回該行動的訴訟），指出，Martell未能在他的申訴中提出任何可行的指控，即PhotoDNA收集了生物識別標識符，生物識別信息，或者在BIPA中使用這些術語，則在Bipa中使用了這些術語。類似於細胞器，這馬特爾法院認為，原告無法維持針對X的可行的BIPA訴訟理由，因為投訴沒有任何指控，即Photodna產生的數據可用於識別該工具掃描的照片中描繪的個人。由於投訴未能聲稱具有識別個人的臉部幾何形狀掃描的光能散佈掃描，因此法院駁回了BIPA要求未根據聯邦民事規則12（b）（6）提出索賠的要求。

Tibbs訴Arlo Techs。，Inc。

在Tibbs訴Arlo Techs。，Inc。，三名擔任Doordash和UPS送貨司機的人對Arlo Technologies，Inc。進行了推定的BIPA集體訴訟。設有Arlo家庭安全系統的房屋。儘管Arlo的產品不包括完全的面部識別能力，但它確實提供了一種“人檢測”功能，該功能使用AI分析相機掃描，以及其他事項：（1）區分人類和動物；（2）允許房主搜索他們的相機供稿以獲取包含人的視頻。

法院認為，這些指控足以說明比帕合理的聲稱，安全攝像機收集並使用了生物識別標識符。這tibbs法院認為原告的論點是，攝像機的掃描捕獲了紅外且可見的光數據，然後由Arlo Technology使用該掃描來繪製人們的面部幾何形狀，並指控Arlo捕獲了Bipa枚舉的生物識別標識符清單中的數據，即面部或手工幾何形式的掃描。法院還發現，原告的指控是，根據阿洛（Arlo）自己的專利，該公司的掃描可用於識別特定個人，合格地聲稱需要將數據視為BIPA下的生物特徵識別者的必要識別要求。法院裁定，在訴狀階段，這些指控形成了一個合理的說法，即阿洛（Arlo）捕獲的掃描是BIPA調節的“生物識別標識符”，從而允許集體訴訟繼續發現。

關鍵要點

洞悉BIPA調節數據的範圍和輪廓

細胞器，，，，馬特爾，和tibbs對BIPA調節的數據的範圍和輪廓提供寶貴的見解，更具體地說，是“生物識別標識符”一詞，因為它在伊利諾伊州的生物識別法規中使用。

在BIPA訴訟的訴狀階段，組織的生物識別技術與生物識別技術相關的活動以及由BIPA產生的數據是由BIPA管轄的門檻問題。同樣的問題還為開發，供應或使用生物識別技術的公司推動了許多核心法律合規性和風險管理策略。

在細胞器，第九巡迴法院認為，生物識別識別劑和生物特徵識別信息都需要“識別個體”由BIPA調節的能力。更具體地說，生物識別標識符“必須是一個可以識別人的功能”。 2024 US應用。 Lexis 14619， *16。因此，一詞生物識別標識符“打開識別個體的能力”。ID。這細胞器法院進一步解釋說，儘管否則某些東西可能屬於BIPA的特定生物識別標識符清單，但如果無法識別，它最終可能會落在Bipa的範圍之外。例如，法院指出，掃描面部幾何形狀屬於Bipa的名單，但如果Bipa無法識別一個人，則不會被Bipa覆蓋。

在一起，細胞器闡明一項相當明亮的規則，即無可爭議的證據確定了個人數據不能根據法律，確定數據並不構成生物特徵識別劑或生物識別信息，因此首先不受BIPA調節。

這馬特爾法院回應了細胞器原告必須指出，為了避免解僱，為了避免解僱，必須聲稱被告的技術掃描個人的面部幾何形狀，而不是簡單地掃描照片。前者構成“面部幾何掃描”，而後者只是“照片的記錄”。像這樣，馬特爾解釋說，如果沒有任何指控被告掃描的指控，申訴被駁回面孔在圖片中，專門為找到面部圖像並提取每個面部圖像的形狀或幾何形狀的數值表示，這是合理地指控面部幾何形狀掃描所必需的。不僅如此，馬特爾法院指出，原告還必須充分聲稱，這些面部掃描產生的數據具有識別個人以構成BIPA調節的生物識別標識符的能力。

這tibbs意見通過比較術語“生物識別標識符”一詞的輪廓提供了進一步的指導。細胞器隨著安全攝像機數據的爭議tibbs。這tibbs法院解釋說，與掃描不同細胞器- 沒有揭示有關面部或以其他方式對應面部特徵的幾何信息，因此落在了BIPA調節的數據范圍之內 - Arlo安全攝像機據稱可以利用其捕獲的紅外和可見光數據掃描來識別這兩個元素，這些元素，這兩個元素，這兩個元素IE，該技術專門進行了面部掃描，並且這些掃描產生的數據可用於識別個人的身份，即根據伊利諾伊州法律將數據視為生物識別標識符所需的個人身份。

BIPA非用戶合規義務

BIPA的另一個重要方面仍然不確定，並且此時仍然不安，與Bipa的保護是否擴展到私人實體服務或產品的“非用戶”，IE，與私人實體沒有直接關係的個人。

這細胞器法院以肯定的方式直接回答了這個問題，認為BIPA的純文本適用於每個人的生物識別者或生物特徵識別信息被私人實體收集或擁有的每個人，即使那些對實體缺乏任何類型的隱私的人也是如此。第九巡迴法院解釋說，“即使它'顯然是不合理的'，向Facebook的完全陌生人提供訴訟，而與Facebook沒有關係，Bipa的簡單術語也是如此。” 2024 US應用。 Lexis 14619， *11。因此，下細胞器，即使在從實際性的角度來看，公司也要遵守BIPA，即使遵守法律，包括但不限於公司與其服務或產品的最終用戶沒有直接關係的情況，這是不可能的。

細胞器推理與在非用戶中分析BIPA的其他法院保持一致。例如，在Wise訴Ring LLC，2022 US DIST。 Lexis 138399（華盛頓州華盛頓州華盛頓州8月3日），法院駁回了Ring的論點，即一類與RING沒有合同關係的旁觀者被禁止維持由於沒有任何直接關係而與該方之間缺乏任何關係的可識別BIPA索賠，認為與分析沒有任何直接關係。在這樣做的情況下，法院認為，因為戒指維持能夠的系統確定個人，公司必須遵守BIPA。

最近，在Rivera訴Amazon Web Servs。，Inc。，2023 US DIST。 Lexis 129517（2023年7月26日WD Wash。），一個聯邦法院發現，儘管亞馬遜與亞馬遜客戶的面部生物量表軟件的最終用戶之間缺乏直接互動，但亞馬遜的第三方供應商的亞馬遜受到了BIPA第15（b）條的要求，但它是由亞馬遜客戶部署的，而不是亞馬遜本身。這里維拉法院認為，原告不是亞馬遜的“完全陌生人”，而是通過亞馬遜的客戶建立聯繫，因此，亞馬遜在使用亞馬遜軟件期間可以向最終用戶提供通知並獲得最終用戶的通知。

這個方面細胞器可能會對僅以後端，服務提供商的能力服務，並且與最終用戶或其他數據主體沒有直接關係的生物識別技術供應商有特別範圍的影響。尤其，細胞器認為，BIPA同樣適用於用戶和非用戶，在沒有任何類型的直接關係或互動的情況下，尤其是遵守BIPA知情同意制度的供應商，尤其是符合BIPA知情同意制度的關係。因此，即使完全合規是“實際不可能”，供應商仍然必須滿足伊利諾伊州生物識別法規規定的所有義務。

供應商應注意將BIPA的保護擴展到非用戶和類似類別的個人的趨勢，並努力確保其合規計劃與BIPA在這方面完全一致，以減輕相關的風險。

在懇求階段取消BIPA集體訴訟的挑戰

最後，tibbs說明了被告在訴狀階段撤銷比帕集體訴訟時面臨的挑戰，IE，駁回動議，特別是在涉及所謂的面部幾何掃描的爭議中。

BIPA集體訴訟服在訴訟開始時仍然非常難以擊敗，這一事實歸因於一系列因素，其中包括對原告含糊不清的結論指控的尊重，當時在裁定駁回駁回動議的動議時，以及法院願意以卑鄙的態度來解釋Bipa的法定語言。

不僅如此，由於法院對法院的限制，在訴訟範圍內，在裁定駁回動議的裁決時，被告在訴狀階段面臨艱苦的鬥爭。具體而言，法院僅限考慮投訴中提出的指控，不能對實際的爭議的基本情況，例如被告的技術如何實際上，操作。

在tibbs，注意到，儘管發現“完全有可能”，例如，儘管這一發現將表明Arlo的攝像機並未收集面部的幾何形狀掃描（或任何其他形式的生物識別標識符或信息），但“法院[發現] - 提出了所有合理的推論，在原告中提出了所有的提示 - 呈現出plaintiffs ha [d]，他們提出了plaive ha [d]，他們呈現了plausible的故事。可能當他們向伊利諾伊州房主交付時，他們已經接受了面部或手動的幾何形狀掃描。 2024 US DIST。 Lexis 113916，在 *17-18（清理）。為了支持這個結論，tibbs引用了先前的BIPA決定，Neals訴Par Tech Corp.，法院認為，原告不需要“證實”被告收集生物識別信息的指控，而只能“展示一個結合在一起的故事”，以避免在辯護階段解僱。 419 F. Supp。 3d 1088，1091（ndIll。2018）。

在底部，儘管有可能在訴狀駁回BIPA糾紛，但馬特爾作為一個例子 - tibbs說明了公司經常在懇求階段和陷入極為昂貴的發現之前，試圖從BIPA階級糾紛中提取自己的重大障礙。

To address and mitigate the these and other liability risks associated with being named in a BIPA dispute asserting tenuous claims and having to proceed through costly discovery, companies of all types that use biometrics in their operations should strongly consider taking a conservative approach to compliance—one that ensures all applicable BIPA requirements are satisfied—even where it remains unclear whether BIPA applies to the organization's biometrics-related activities in the first instance.

具體而言，公司應確保保持靈活，全面的生物識別合規計劃，該計劃應包括以下內容：

公共可用的，生物識別特定的隱私政策；
設置數據保留和破壞指南和時間表，其中包含對事件觸發器的清晰描述，這些觸發器將促使個人的生物識別器/信息立即銷毀並永久破壞；
在收集任何生物識別標識符/信息之前，向所有數據主體提供了確保書面通知的機制；和
確保獲得書面同意的單獨機制，以允許任何第三方供應商在獲得任何此類數據之前，收集，擁有，保留，存儲和傳播生物識別數據。

最後，特別是供應商還應確保與客戶簽訂的所有合同協議都包含有關使用生物識別標識符/信息的語言，這些語言/信息可以正確地分配了當事方在BIPA（以及類似的生物識別法律）下的責任，否則可以減輕適用的法律風險和責任，以達到最大程度的可能性。

關於作者

大衛·J·奧伯利（David J. Oberly）是貝克·多尼爾森（Baker Donelson）華盛頓特區辦事處的律師，並領導了該公司專用的生物識別實踐。被認為是“生物識別隱私空間中國家最重要的思想領袖之一”Lexisnexis，戴維的實踐專注於諮詢和向客戶提供有關廣泛的生物識別隱私，人工智能以及數據隱私/安全合規性和風險管理事項的建議。此外，戴維（David）在訴訟案公司BIPA集體訴訟方面具有深厚的經驗。他也是生物識別數據隱私合規和最佳實踐 - 同類的第一篇也是唯一的全長論文，提供了生物特徵識別法的全面彙編。可以通過[email protected]與他聯繫。您也可以在X上關注David@davidjoberly。

免責聲明：生物識別更新的行業見解是提交的內容。這篇文章中表達的觀點是作者的觀點，不一定反映生物識別更新的觀點。