2020年03月05日
2019年8月8日，美國聯邦第九巡迴上訴法院（United States Court of Appeals for the Ninth Circuit）駁回Facebook的抗告，維持原加州北區聯邦地方法院（United State District Court for Northern District of California）之裁定，包括認定原告具有提起訴訟之資格，以及原告聲請本案作為集體訴訟之許可。
Facebook自2010年起，提供建議標籤（tag suggestion）的功能，該功能是以臉部識別技術（facial recognition technology），分析相片與影片中的像素，計算出一組不重複的數字，此即為臉部範本（facial template）；隨後便以此臉部範本，比對Facebook用戶所上傳之相片或影片，如與影像中人有比對相符者，Facebook系統便會自動提出是否標記此人的建議。
2015年6月，伊利諾州居民Patel等三人，控告Facebook的臉部識別技術，違反伊利諾州生物資訊隱私法（Biometric Information Privacy Act, BIPA）對生物識別特徵（biometric identifier）的規範，即Facebook對於臉部幾何掃描（scan of face geometry）的資訊與特徵，在蒐集、利用、儲存前未取得個人書面同意（違反§15（b）），並且Facebook未有完整之保存或儲存計畫（違反§15（a）），將有永久保存用戶生物特徵資訊之可能。2018年2月，地方法院除駁回Facebook駁回原告起訴之聲請，並同時許可本案原告代表伊利諾州的Facebook用戶提出集體訴訟之聲請。
Facebook上訴主張有二。首先，Facebook僅違反BIPA之程序，因此原告未有足以提起告訴之事實傷害（injury-in-fact）。對於原告是否因Facebook的違反BIPA而造成具體的事實傷害，具有提告資格的問題，上訴法院採兩階段方式釐清此爭點。
第一，確認BIPA之設計是否是保護個人之具體利益，而非僅保護程序上之權利。上訴法院認為，侵犯個人生物特徵隱私權與傳統英美法庭視為訴訟基礎之傷害，具有高度的相關性；一旦製作出個人的臉部範本，Facebook可以從每天上傳的數百萬張照片中識別個人，知道個人何時出現於何種特定場合，也可識別個人出現在照片中的好友或熟人。由於伊利諾州議會（Illinois General Assembly）為保護個人生物特徵隱私權而施行BIPA，提出防護規範並要求私部門在未能遵守時須負起應有之責任；並依該州最高院判決指出，當私部門違反§15任一內容時，當事人即為受侵害的（aggrieved）。因此，上訴法院認為，在未有個人同意的情況下，使用臉部識別技術製作臉部範本，侵犯個人隱私事務與具體利益，可為訴訟之基礎；並且BIPA所要保護的是個人隱私的具體利益，而非僅程序之權利。
第二，上訴法院就違反BIPA之程序，是否實際上會對原告造成傷害，或有造成傷害的實質風險，進行釐清。Facebook違反BIPA，取得生物特徵資訊前未取得書面同意，並且也未有儲存之計畫。由於BIPA所保護之隱私權，是使個人不成為蒐集與利用生物特徵資料之對象，因此Facebook違反BIPA的規範，將必然侵害原告的重大隱私利益。因此，上訴法院認為，違反BIPA之程序將對個人隱私利益產生實際傷害或有造成傷害的實質風險。綜上所述，上訴法院裁定原告具有足以提起告訴之事實傷害。
其次，Facebook主張許可本案之集體訴訟聲請為地方法院濫用裁量權，理由有二。第一，Facebook認為，由於BIPA無域外效力（extraterritorial effect）因而排除了集體訴訟之要件，即法律或事實問題對集體成員的共通性，優於僅影響個別成員的問題。Facebook指出，生物特徵資料的蒐集與臉部範本的製作，皆於伊利諾州境外的伺服器進行，於境外發生；而集體訴訟的各別成員皆需各別證明其案件為實際發生於伊利諾州之境內，並且，地方法院也需各別認定個案的事實內容，因此，本案未有集體共通性優於個別性的情況。對此，上訴法院認為，此須視地方法院對「違反BIPA」之判定：若BIPA之違反在於境內個人使用Facebook而影響隱私權，則此案可以集體之基礎來進行，不需個別審理；若BIPA之違反在於Facebook掃描與儲存臉部範本之處，則將由地方法院判定是否本案因未有境外效應而排除BIPA之適用；並且，若將來認定本案應以個別案件進行審理，也可於最終判決前修改集體訴訟的裁定。
第二，Facebook主張本案未符合集體訴訟之要件，即集體訴訟須優先於其他可行之方式以達公平且有效的裁決爭議，並應同時考量集體訴訟進行之困難。Facebook認為於本案，大型集體訴訟無法促使裁決較其他方式更為公平與有效，且其可能的巨額法定賠償金裁定額也讓此集體訴訟不具有優先性，因而本案不應許可集體訴訟之形式。上訴法院則認為，龐大的賠償責任是否可用以否定集體訴訟形式的裁決，需依照立法意圖而定；而BIPA的脈絡或立法歷程，皆未有說明鉅額之法定賠償裁定，將違反伊利諾州議會施行BIPA的意圖。綜上所述，上訴法院裁定原地方法院並未濫用裁量權。
2020年03月05日更新：美國聯邦第九巡迴上訴法院駁回Facebook的上訴後，Facebook向第九巡迴上訴法院提請全院庭審（en banc）聽證之請求，而10月18日第九巡迴上訴法院三位法官一致決定拒絕Facebook的請求。Facebook隨後向最高法院提出上訴，而2020年1月21日最高法院拒絕受理本案。並依據媒體報導，Facebook於1月29日表示願意以5億5千萬美元（約台幣165億元）就本案進行和解，為美國史上隱私訴訟案件的最高和解金額。
資料來源
- Nimesh Patel, Individually and on Behalf of All Others Similarly situated; Adam Pezen; Carlo Licata, v. Facebook Inc.（United States Court of Appeals for the Ninth Circuit, No. 18-15982）
- Biometric Information Privacy Act（http://www.ilga.gov/legislation/ilcs/ilcs3.asp?ActID=3004&ChapterID=57）
- Facebook Help Center: How does Facebook’s face Recognition work?
- US Appeals Court approves Class-action against Facebook’s facial recognition.（Cal Jeffrey, Aug.8, 2019, Tech Spot）
- Ninth Circuit finds Article III standing in case alleging Facebook violated the Illinois Biometric Information Privacy Act. （Amanda Fitzsimmons, Aug.9, 2019, DLA Piper）
- Ninth Circuit allows Class Action challenging Facebook’s Facial Recognition Technology under Illinois BIPA.（Aug. 12, 2019, Hunton Andrews Kurth LLP）
- A federal court sounds the alarm on the privacy harms of face recognition technology. （Nathan Freed Wessler, Aug.12, 2019, Faribault）
- Finding Article III standing, Ninth Circuit declines to do an about-face in Illinois Biometric Privacy Classic Action against Facebook. （Jeffrey Neuburger, Aug. 9, 2019, Proskauer）
- Ninth Circuit Court allows Class action lawsuit against Facebook to proceed. （Eric Weiss, Aug. 9, 2019, Find Biometrics）
- Facebook might be fined billions after losing facial recognition lawsuit. （Rabie Lakshmanan, Aug.9, 2019, The Next Web）
- Facebook could face lawsuit over alleged illegal collection of user data. （Aug. 10, 2019, Brand Equity）
- Facebook must face Biometric Privacy Class Action after losing appeal. （Ashley Cullins, Aug. 9 2019, Hollywood Reporter）
- Facebook could face lawsuit over illegal user data collection. （Ians, Aug.9, 2019, daijiworld.com）
- &35B face data lawsuit against Facebook will proceed. （Josh Constine, Oct. 19, 2019, Tech Crunch）
- Supereme Court declines to hear Facebook facial recognition case. （Emily Birnbaum, Jan. 21, 2020, The Hill）
- Facebook agrees to pay $550 million to settle privacy lawsuit, days after Supreme Court Declined to hear case.（Tony Romm, Jan. 30, 2020, The Washington Post）
- Facebook Agrees to Pay $550 Million to Settle Privacy class Action. （Nicholas Iovino, Jan 29, 2020, Courthouse News Service）
作者
本研究感謝「資料安全研發及人才培育計畫」支持