最近，伊利诺斯州生物识别信息隐私法(Biometric Information Privacy Act, BIPA)把Clearview AI赶出了伊利诺斯州，成为了全国性新闻。原因是该公司将社交媒体图片和视频用于面部识别数据库的诉讼案件。对于一些科技巨头来说，这可能是个必须面对的问题。一项新的生物识别隐私诉讼提到亚马逊，谷歌的母公司Alphabet和Microsoft也违反了州法律。

这三家科技公司利用IBM的“人脸多样性”数据库来训练自己的人脸识别系统。新的集体诉讼声称，伊利诺斯州居民和公民的面孔在他们不知情或不同意的情况下被包含在了这个数据库中。根据州法律，任何生物识别标识的收集或存储都必须得到居民的明确许可。

伊利诺斯州的生物识别隐私法

伊利诺斯州居民Steven Vance和Tim Janecyk提起了诉讼，他们在IBM面部识别数据库中发现了自己的图像。IBM似乎已经从Flickr上收集了超过100万张图片，而没有通知相关个人。尽管这些图片是在允许非商业使用的Creative Commons许可下发布的，但该项目对IBM来说具有商业意义。

然而，诉讼的焦点转向了利用IBM面部识别数据库的科技巨头，因为IBM自己已经退出了市场(理由是担心使用该技术造成种族歧视)。在类似案件中已根据《BIPA》成功提起诉讼的案例有：今年早些时候，Facebook支付了5.5亿美元，就一起集体诉讼达成和解。该诉讼指控Facebook在2011年至2015年期间未经许可收集面部识别数据。该案件中，每位诉讼成员的赔偿金额约为200美元，但根据《BIPA》，每个人的潜在罚款可能高达5000美元。这在很大程度上取决于有多少生物特征隐私信息是未经同意收集的，以及这些信息是如何被使用的。

尽管Facebook在BIPA诉讼中处于错误的境地，但Google至少胜过一桩。2019年，一名地区法院法官裁定，一宗案件不能继续审理，因为原告没有因收集其生物特征隐私数据而受到“具体伤害”。诉讼指控谷歌通过从上传到Google相册服务的图片中收集生物特征隐私识别标记，从而违反了BIPA。该案目前还在上诉中。

《BIPA》于2008年颁布，在保护独特的生物特征隐私标记方面是美国隐私法中独一无二的。甚至2020年生效的《加利福尼亚消费者隐私法案》（CCPA）在收集生物识别数据的收集方面也没有同等程度的保护水平，而是更多地关注消费者控制销售和转让的权利。《CCPA》确实将生物识别隐私详细信息归类为“个人信息”，即使这些信息是从公共来源收集的，但对于这些类型的收集却没有相同的同意要求。

IBM的面部识别数据库备受争议

IBM(以及使用其面部识别数据库的科技公司)辩护的关键在于，“面部多样性”（Diversity in Faces）数据集是为学术研究目的而创建的。虽然IBM可能没有从出售面部识别市场的数据库中直接获利，但批评人士已经找到了其中的一些商业联系。除了总体上提升公司的形象和价值之外，一些人还质疑IBM的沃森视觉识别系统(用于估计照片对象的年龄和性别)是否使用了这个数据集对机器进行了培训。IBM没有透露培训来源，理由是需要保护知识产权。

IBM还让个人很难选择退出其面部识别数据库。它没有提供数据主体的列表，因此人们必须在数据库中进行梳理以查找自己的照片。Flickr用户若要删除他们的照片不仅需要提供他们的用户ID，还需要提供到他们想要删除的每张照片的链接。

如果当前的集体诉讼成功，那么这些科技公司除了要为每位提出索赔的伊利诺斯州居民支付罚款之外，还必须停止使用IBM面部识别数据库。诉讼中还提到了FaceFirst，这是一家位于洛杉矶的小型公司，为零售商店提供扒手识别服务。

*本文出自SCA安全通信联盟，转载请注明出处。