作者：David J. Oberly，生物辨識隱私與資料隱私律師
十月下旬，一家全球科技集團成功挑戰了伊利諾伊州生物辨識資訊隱私法案（) 基於法律選擇的集體訴訟，導致集體訴訟被裁定駁回並有偏見。在那種情況下，貝克訴 Match Group, Inc.，No. 23 CV 2761，2024 美國區。 LEXIS 196990（ND Tex，2024 年10 月30 日），德克薩斯州聯邦地區法院認為，Match Group, Inc.（Match Group）的使用條款中包含的法律選擇條款——要求適用德克薩斯州實體法—禁止其線上約會應用程式的使用者提出伊利諾伊州法律 BIPA 索賠，據此可以給予救濟。
這貝克該判決提供了 BIPA 集體訴訟中作為辯護的法律選擇的輪廓和細微差別的重要見解。同時，貝克也強調了 BIPA 集體訴訟中許多核心抗辯持續存在的重大不確定性，強調需要嚴格遵守伊利諾伊州生物識別法，以最好地管理因涉嫌 BIPA 違規而產生的責任風險。
德克薩斯州北區的決定
在貝克，五名使用 Match Group 旗下約會應用程式的伊利諾伊州居民向伊利諾伊州法院提起訴訟，指控 BIPA 下的三項訴訟理由。撤回後，伊利諾伊州聯邦法院根據 Match Group 使用條款中包含的法院選擇條款將案件移交給美國德克薩斯州北區地方法院。隨後，Match Group 提出駁回訴訟的動議，認為德克薩斯州法律根據其使用條款中包含的法律選擇條款適用，並且由於原告僅指控違反伊利諾伊州法律，因此他們缺乏任何合理的救濟依據。法院同意這一觀點，認為德州法律從法律角度禁止原告提出 BIPA 索賠。
德州已採用法律衝突重述（第二）第 187 條框架來管理合約法律選擇條款的可執行性。根據重述第 187 條方法，將強制執行法律選擇條款，除非不同州具有以下情況： (1) 與各方和交易有更重要的關係； (2)對該條款的可執行性有更大的興趣； (3) 所選國家的法律的適用將違反的基本政策。
這貝克法院重點關注分析中的第三個“違反基本政策”分支，該分支要求當事人選擇的法律的適用將違背“國家政策如此根本，以至於國家法院將拒絕執行協議”儘管雙方有初衷，並且該協議將在與交易有關的另一個州執行，但仍違反了該法律。
適用於先前的爭議，貝克法院認為，雖然BIPA 體現了伊利諾伊州的基本政策，但德克薩斯州通過頒布自己的類似BIPA 的法律，即《德克薩斯州捕獲或使用生物識別標識符法案》(CUBI)，也享有同樣的基本政策利益。值得注意的是，法院發現德州和伊利諾州選擇的執行機制有差異——IE、德州總檢察長 CUBI 的執行和 BIPA 的私人訴訟權——並沒有改變分析。儘管 CUBI 和 BIPA 在其他方面有所不同，但法院最終得出結論，CUBI 提供了與 BIPA 類似的保護。因此，CUBI 和德州法律並不違反伊利諾州保護其居民生物辨識資料的基本政策。
由於德州法律的適用並不違反伊利諾州政策，德州法律根據雙方可執行的合約選擇法律條款管轄該爭議。根據德克薩斯州法律，貝克根據法律規定，原告無法根據伊利諾伊州法律 BIPA 對 Match Group 提起訴訟，因此必須有偏見地駁回訴訟。
分析和要點
BIPA 集體訴訟中法律選擇的複雜性和細微差別
迄今為止，唯一因法律選擇而被駁回的 BIPA 集體訴訟是塔卡訴。普羅克托公司，642 F. 補充。 3d 1304（阿拉巴馬州ND 2022）。塔卡然而，涉及阿拉巴馬州法律選擇規則的適用，該規則沒有考慮除該州以外的任何州的基本政策利益。相反，阿拉巴馬州法律規定，合約選擇的法律條款是可執行的，除非當事人選擇的法律的適用與阿拉巴馬州公共政策。在塔卡，有爭議的法律選擇條款規定阿拉巴馬州法律將管轄所有爭議。由於當事人選擇的法律的適用不可能違反阿拉巴馬州的公共政策，因此法律選擇條款被認為是可執行的，導致 BIPA 集體訴訟被決定性地駁回，並帶有偏見。
以外貝克，每個根據重述第 187 條規則裁定 BIPA 訴訟中法律選擇條款可執行性的法院都認為此類條款不可執行，理由是適用當事人選擇的法律將導致伊利諾伊州保護其公民隱私利益的政策他們的生物辨識數據被「抹去」。例如，請參閱 In re Facebook Biometric Info。私人。訴訟。，185 F. 補充。 3d 1155（ND 校準。2016）；德爾加多訴 Meta Platforms, Inc.，718 F.補充。 3d 1146（ND 校準。2024）。
同樣，根據伊利諾伊州法律選擇規則（要求平衡伊利諾伊州法律和當事人選擇的法律之間的利益）對 BIPA 糾紛中的法律選擇做出裁決的每個法院也一致拒絕執行此類條款。參見，例如， 帕特森訴。答案公司，593 F.補充。 3d 783（伊利諾州北達科他州，2022 年）；霍根訴亞馬遜公司，No. 21 CV 3169，2022 美國區。 LEXIS 58347（伊利諾州北達科他州，2022 年 3 月 30 日）；庫克林斯基訴。幣安帽。管理。有限公司，No. 21 CV 1425，2023 美國區。 LEXIS 59418（伊利諾州 SD，2023 年 4 月 5 日）；哈特曼訴 Meta Platforms, Inc.，23 號 CV 2995，2024 美國區LEXIS 167696（伊利諾州衛生局，2024 年 9 月 17 日）。
在應用伊利諾伊州平衡測試的幾項 BIPA 決定中，雙方透過合約選擇了華盛頓法律，該法律保留了自己的生物識別法規，即華盛頓州修訂法典第 19.375.010 條，和後續。(HB 1493)－管理他們的爭端。儘管 HB 1493 對生物識別數據的收集和使用施加了許多與伊利諾伊州生物識別法規中相同的要求和限制，但這些法院拒絕適用華盛頓法律，理由是 HB 1493 缺乏私人訴訟權會阻礙原告” BIPA 的私人訴訟權賦予他們就其生物辨識資料被濫用提出索賠的個人權利。
相反，貝克法院認為德州法律的適用確實不是儘管 CUBI（如 HB 1493 一樣）不包含私人訴權，但仍與伊利諾伊州政策發生衝突。如上所述，貝克法院認為，儘管德克薩斯州和伊利諾伊州的法律存在差異，但CUBI 最終對生物識別數據提供了與BIPA 同等程度的保護，因此，適用德克薩斯州法律不會違反伊利諾伊州的基本政策。
正如上述分析表明，BIPA 集體訴訟糾紛中所主張的法律選擇挑戰的結果主要取決於訴訟地點所在國的法律選擇規則。然而，即便如此，由於法院在將法庭的法律選擇規則適用於特定案件的具體事實時擁有廣泛的自由裁量權，訴訟當事人仍然會受到不一致的判決的影響。
話雖如此，貝克迄今為止發布的其他 BIPA 法律選擇決定提供了幾個關鍵要點：
- 在採用廣泛有利於執行合約法律選擇的一般規則的司法管轄區，公司最有可能在法律選擇挑戰中獲勝。
- 另一方面，公司最不可能在伊利諾伊州提起的集體訴訟中在法律選擇挑戰中獲勝，因為該州的平衡測試嚴重偏向於適用伊利諾伊州實體法，無論當事人選擇的州法律如何來管理他們的糾紛。
- 在採用重述第 187 條方法的司法管轄區中，公司在勝訴法律選擇方面還面臨著艱苦的鬥爭，特別是在當事方選擇的法律不提供與 BIPA 類似的法定生物識別保護的情況下。
- 雖然根據重述第 187 條框架成功的可能性在當事人選擇的法律有所增加做儘管提供了針對生物識別技術的、類似BIPA 的法定保護，但由於法院在將重述第187 條規則適用於BIPA 爭議的基本事實時保留了廣泛的自由度，因此仍然存在很大的不確定性。
BIPA 爭議背後的核心防禦仍存在不確定性
貝克上述討論的其他 BIPA 法律選擇決定突顯了 BIPA 集體訴訟糾紛背後的關鍵問題上的法律性質仍然懸而未決，而且常常相互衝突。更重要的是，BIPA 集體訴訟中作為辯護的法律選擇的範圍和輪廓的不確定性給開發、供應或使用生物識別技術的公司帶來了相當大的風險，因為聯邦地區法院的裁決在其他司法管轄區不具約束力的先例，同一司法管轄區，甚至同一司法管轄區法官在不同的情況下。最終，由於地方法院的判決不具有先例性，因此它們的分量並不比其推理要求的力量更大。
總而言之，由於法律缺乏共識和一致性，以及聯邦地方法院在 BIPA 糾紛中的裁決僅具有說服力，因此公司必須持續、嚴格遵守 BIPA 的法定要求，因為這仍然是唯一可靠的方法避免在涉及涉嫌不遵守伊利諾伊州生物識別法規的高風險集體訴訟中成為流氓或其他有問題的法律解釋的受害者。
現在該怎麼辦
如圖所示貝克，以法律理由選擇質疑 BIPA 集體訴訟是一個強大的工具，可以在訴狀階段利用它來促使代價高昂、賭上公司的集體訴訟糾紛儘早被駁回。話雖如此，法院就基本相似的事實模式下的法律選擇條款的可執行性得出的相互矛盾的結論，對於特定的法律選擇挑戰是否最終能成功最終處理BIPA 集體訴訟索賠產生了很大的不確定性。
為了應對這些風險，在營運中使用生物識別技術的公司以及開發和供應生物識別工具的技術供應商應確保所有合約協議都包含強有力的、可執行的法律條款選擇，如果在法庭上受到質疑，這些條款能夠經得起審查。由於大多數 BIPA 投訴都是在伊利諾伊州提出，公司還應確保其合約包含可執行的法院選擇條款，以便能夠將 BIPA 集體訴訟轉移到位於草原州以外的更有利的地方法院。
重要的是，由於合約法律選擇條款存在無數細微差別和潛在陷阱，公司應諮詢經驗豐富的外部生物識別顧問，他們可以以某種方式協助起草、審查、評估和更新法律語言選擇如果他們成為BIPA 集體訴訟投訴的目標，這將最大限度地提高在法律選擇挑戰中獲勝的可能性。
此外，為了避免公司在進行代價高昂的發現之前試圖擺脫 BIPA 集體糾紛時經常面臨的重大障礙，公司還應強烈考慮採取保守的合規方法，並確保嚴格履行所有適用的 BIPA 法律義務。同樣，公司最好與經驗豐富的外部生物識別顧問密切合作，他們可以協助審查和審計組織的生物識別合規計劃，並糾正所有已發現的差距，以實現完全遵守法律，從而大大減少必須防禦的可能性首先，以公司為賭注的 BIPA 類索賠。
公司應確保維持靈活的、企業範圍內的生物識別合規計劃，其中至少包括以下內容：
- 公開的生物辨識特定隱私權聲明。
- 制定資料保留和銷毀指南和時間表，清楚地描述觸發立即和永久刪除生物識別資料的特定事件。
- 確保在最初收集生物識別數據之前向所有數據主體提供書面通知的有效機制。
- 單獨、有效的機制可確保在最初收集生物識別數據之前獲得書面同意，並允許公司收集和透露公司在收集時或之前確定的用於所有目的的生物識別數據。
- 在與客戶、合作夥伴、供應商和類似情況的第三方簽訂的所有合約中，關於生物識別資料的收集和使用、各方之間遵守BIPA 和類似生物識別法律的責任分配，以及緩解影響所需的任何其他條款，均採用清晰準確的語言最大程度地適用法律風險和責任。
關於作者
David J. Oberly 是 Baker Donelson 華盛頓特區辦事處的法律顧問，領導該公司專門的生物辨識業務。被評為“美國生物辨識隱私領域最重要的思想領袖之一”律商聯訊David 的執業重點是就廣泛的生物辨識隱私、人工智慧以及資料隱私/安全合規性和風險管理事宜向客戶提供諮詢和建議。此外，David 在處理以公司為賭注的 BIPA 集體訴訟糾紛方面擁有豐富的經驗。他也是生物辨識資料隱私合規性和最佳實踐—第一篇也是唯一提供生物辨識隱私法綜合綱要的長篇論文。您可以透過 [email protected] 聯繫他。您也可以在 X 上關注 David：@DavidJOberly。
文章主題
||||||
