Points à retenir de la récente décision Meta BIPA : ce que les entreprises doivent savoir

David J. Oberly, avocat en matière de confidentialité biométrique et de confidentialité des données

Récemment, un Un tribunal fédéral de Californie a rendu un choix notable dans un recours collectif en cours en vertu de la loi BIPA (Illinois Biometric Info Personal Privacy Act) impliquant Meta Platforms, Inc. (Meta) et son utilisation supposée des enregistrements vocaux de ses utilisateurs dans l’affaire Delgado c. Meta Platforms. , Inc., n° 23 CV 4181, 2024 WL 818344 (N.D. Cal. 27 février 2024).

La décision Delgado met en évidence le large éventail d’expositions directes auxquelles sont confrontées les entreprises pour non-conformité présumée au BIPA, ainsi que les défis et les complexités liés à l’obtention de la fin des recours collectifs en matière de biométrie avant le début d’une découverte coûteuse. Dans le même temps, la décision offre plusieurs leçons et points à retenir précieux qui peuvent être exploités pour atténuer la menace toujours croissante des recours collectifs BIPA et, dans le cas où une entreprise se découvre nommée dans un match BIPA, empêcher et vaincre avec force les BIPA rares ou sans fondement. réclamations.

La décision

Une utilisatrice qui a saisi sa voix lors de l’utilisation des fonctions fournies par la plateforme Facebook et l’application Messenger de Meta pour, pour ne citer que quelques choses, dicter du texte, passer des appels audio, et envoyer des enregistrements audio, a intenté une action contre Meta, arguant que l’entreprise de réseaux sociaux avait transformé son audio en empreinte vocale et avait ensuite utilisé son empreinte vocale sans adhérer aux mandats du BIPA. Meta a demandé le rejet du match, arguant que :

• le demandeur pourrait ne pas maintenir une réclamation BIPA pouvant donner lieu à une action conformément à la disposition relative au choix de la loi contenue dans sa déclaration relative à la signification ;
• la plaignante a cessé de travailler pour alléguer de manière plausible que Meta avait recueilli son empreinte vocale, par opposition à son enregistrement vocal plus général ; et
• le grief n’a pas allégué de manière plausible des infractions à l’interdiction transactionnelle de la section 15(c) du BIPA ou aux exigences de sécurité de la zone 15(e) de la loi.

Le tribunal a rejeté la plupart des arguments de Meta, mais a approuvé la requête en rejet en partie.

Dans sa décision, le tribunal a rejeté l’argument de Meta selon lequel la disposition relative au choix de la loi contenue dans les conditions de service de Meta – spécifiant que la loi californienne devait régir tous les désaccords survenant entre les parties- a constitué un obstacle total aux réclamations du BIPA formulées à son encontre. Ce faisant, le tribunal s’est largement appuyé sur une série de décisions antérieures du BIPA refusant de mettre en œuvre des dispositions relatives à l’option juridique lorsque le choix des lignes directrices de l’État du for nécessitait l’application du § 187 du Restatement (2e) Conflit de lois.

Le tribunal a également rejeté l’argument de Meta selon lequel la plainte ne permettait plus de déclarer de manière plausible que l’entreprise collectait des « empreintes vocales » en vertu de la BIPA, mais impliquait simplement des informations d’enregistrement vocal non régies par la loi de l’Illinois. Le tribunal a notamment estimé que le plaignant avait allégué de manière adéquate la collecte et l’utilisation d’empreintes vocales sur la base d’accusations concernant : (1) un brevet relatif à des techniques permettant de déterminer les utilisateurs sur la base de leurs empreintes vocales développées à partir d’une sortie audio ; et (2) la notification de confidentialité personnelle de l’État américain de la société, qui comprenait des divulgations informant les utilisateurs que Meta peut utiliser des enregistrements audio pour identifier les utilisateurs et pourrait collecter des « informations personnelles délicates » des utilisateurs, y compris des « enregistrements vocaux qui pourraient être utilisés pour vous identifier lorsque vous utiliser les fonctionnalités appropriées. »

Le tribunal Delgado a cependant estimé que le plaignant n’avait pas formulé suffisamment d’accusations pour déclarer une éventuelle infraction aux articles 15(c) et 15 du BIPA. (e). Ici, le tribunal a estimé que le plaignant venait de déclarer que Meta utilisait des données biométriques pour améliorer sa technologie, ce qui à son tour améliorait l’efficacité de ses produits et les rendait plus importants commercialement, ce qui a déçu une éventuelle violation des règles transactionnelles de l’article 15(c). interdiction. Le tribunal a également estimé que les affirmations du plaignant selon lesquelles Meta était, et pourrait être à nouveau, basée sur des attaques de cybersécurité ne permettaient pas que l’entreprise ait effectivement enfreint une quelconque norme de diligence à l’échelle du secteur en matière de sécurité des données biométriques, ce qui était essentiel pour conserver une réclamation recevable en vertu de la zone 15(e). Le tribunal a accueilli la requête de Meta visant à rejeter les réclamations en vertu des articles 15(c) et 15(e), mais sans préjudice et avec l’autorisation du demandeur de modifier.

Analyse et points à retenir

Choix du droit comme moyen de défense contre les recours collectifs BIPA

Le premier point important à retenir de Delgado concerne la décision du tribunal sur l’option de défense juridique de Meta. Selon les règles de l’option de droit de Californie, le tribunal Delgado était nécessaire pour appliquer les concepts énoncés au § 187 du Restatement (Second) of Dispute of Laws. En utilisant l’approche Restatement, le tribunal a rejeté les efforts de Meta pour mettre en œuvre l’option de disposition légale incluse dans l’accord de célébration. À ce jour, tous les autres conflits BIPA visant à faire valoir une option de défense juridique ont conduit au même résultat lorsque l’État du for a suivi la technique du retraitement. D’un point de vue plus large, en tant que ligne directrice générale, l’option du droit comme moyen de défense contre les recours collectifs BIPA ne sera probablement pas réalisable dans les juridictions qui suivent la technique du retraitement, car l’analyse du retraitement détermine que le droit de l’Illinois doit être utilisé dans les litiges BIPA. en raison de la politique fondamentale de l’Illinois visant à garantir le droit de sa population à la confidentialité de ses informations biométriques en vertu du BIPA.

Notamment, néanmoins, lorsque l’État du for ne pas suit l’approche de retraitement — mais s’en tient plutôt à une règle générale préférant le caractère exécutoire des dispositions optionnelles de la loi : les contrevenants peuvent avoir la possibilité d’obtenir la cessation complète des recours collectifs BIPA dans leur intégralité. C’est exactement le résultat qui s’est produit dans l’affaire Thakkar c. ProctorU, Inc., 642 F. Supp. 3d 1304 (ND Ala. 2022). Dans cette affaire, le tribunal a jugé qu’en raison du fait que la disposition relative à l’option de loi des parties (prévoyant que la loi de l’Alabama devait régir tous les litiges) était exécutoire en vertu des règles d’option de loi de l’Alabama, les plaignants pourraient ne pas présenter de réclamation BIPA pouvant donner lieu à une action en justice. lequel redressement pourrait être accordé en droit, exigeant le rejet du recours collectif dans son intégralité et avec préjudice. De manière significative, l’Alabama ne suit pas l’approche du retraitement, mais se conforme plutôt à la règle de base selon laquelle de telles options contractuelles de dispositions juridiques sont valides et exécutoires à moins qu’elles ne contreviennent au droit public de l’Alabama.

Comme de nombreux lecteurs le comprennent, le choix de les dispositions juridiques peuvent être utilisées pour faire échouer de manière décisive les recours collectifs BIPA de Bet-the-Company dans des situations particulières. Cela dit, de nombreuses nuances doivent être élargies par les entreprises afin d’optimiser la possibilité que leur option juridique en matière de langage juridique soit considérée comme exécutoire si le besoin s’en fait sentir dans les procès BIPA – y compris, sans toutefois se limiter à la question du seuil. des règles d’option de loi régissant l’État choisi par les célébrations dans leur clause de choix de loi. Les entreprises doivent consulter des conseillers expérimentés en biométrie pour les aider à examiner et à préparer une option de langage contractuel juridiquement conforme qui les mettra dans la meilleure position pour tirer parti d’un choix de défense juridique pour régler les désaccords BIPA si nécessaire.

Portée des données incorporées dans les termes « Identifiant biométrique » et « Informations biométriques »

Un autre point important à retenir de Delgado fait référence à la conversation du tribunal sur ce qui constitue un « identifiant biométrique ». ou « détails biométriques » aux fins du BIPA.

En cherchant à mettre fin au recours collectif Delgado, Meta a soutenu que les empreintes vocales – une forme énumérée d’identifiant biométrique – n’étaient pas liées sur la base des allégations contenues dans le grief depuis que la plaignante a cessé de travailler pour alléguer que Meta en fait l’a reconnue en utilisant les enregistrements vocaux qu’elle a collectés. Le tribunal a rejeté cet argument, acceptant plutôt la série d’affaires analysant le BIPA dans lesquelles les tribunaux ont spécifié les identifiants biométriques comme des informations uniques à une personne qui pourraient être utilisées pour reconnaître quelqu’un, plutôt que comme des informations qui >a été utilisé pour identifier quelqu’un. Le tribunal a en outre expliqué qu’un plaignant n’est pas tenu de déclarer spécifiquement qu’un contrevenant a en fait utilisé ses données biométriques pour déterminer son identité. Il suffit plutôt d’accuser le défendeur selon lequel la collecte d’informations biométriques par un défendeur a rendu le contrevenant capable d’identifier l’identité du plaignant (et des autres membres du groupe).

Ainsi, en tant que ligne directrice de base, selon laquelle une entité personnelle a recueilli la géométrie du visage, l’empreinte vocale ou tout autre type d’identifiant/informations biométriques d’un individu, et dispose également d’autres informations individuelles spécifiques de telle sorte qu’il existe la capacité d’identifier l’identité de la personne associée à cette information biométrique informations, ces données sont réglementées par BIPA et, à leur tour, activent le respect de l’article 15 de la loi.

Portée des infractions à la zone 15(c)

Le Delgado choix utilise également des informations précieuses sur la portée et les contours des réclamations BIPA Section 15(c).

La Section 15(c) interdit aux entités personnelles de vendre, de louer ou de bénéficier de toute autre manière d’identifiants biométriques ou détails biométriques. Dans son avis, le tribunal Delgado a expliqué que l’article 15(c) gère les transactions en deux parties : (1) l’accès aux informations biométriques est partagé ou offert à un autre ; et (2) en échange de cet accès, l’entité reçoit quelque chose de valeur. La zone 15(c) ne pas nécessite cependant une vente directe d’informations biométriques.

La toute première partie pourrait être remplie lorsque, par exemple, les informations biométriques sont ainsi intégrées. dans un service ou un produit auquel les clients accèdent toujours aux informations biométriques en utilisant le produit/service. Quant à la deuxième partie, l’expression « autrement recettes » ne se limite pas à un avantage budgétaire. Au lieu de cela, l’article 15(c) restreint la diffusion commerciale d’informations biométriques pour une sorte de gain, qu’il s’agisse d’un budget ou non.

Le tribunal Delgado a en outre décrit que les cas dans lesquels les tribunaux avait en fait découvert qu’une éventuelle infraction à l’article 15(c) impliquait des accusés qui offraient à un tiers l’accès à des données ou à un produit intégrant grandement des données biométriques, en échange d’un facteur à prendre en compte. Dans une affaire, le tribunal a conclu qu’il existait une allégation en vertu de l’article 15(c) dans laquelle les accusations du plaignant étayaient la conclusion selon laquelle les informations biométriques elles-mêmes étaient tellement intégrées dans le produit du contrevenant qu’en commercialisant le produit, celui-ci diffusait commercialement des données biométriques. Dans une autre affaire, la création et la vente par un défendeur de l’accès à une base de données de détails biométriques produite à partir de photos de plaignants ont été considérées comme une base légitime pour une infraction à l’article 15(c).

Dans Delgado , néanmoins, le tribunal a découvert que le plaignant n’avait déclaré aucune réalité similaire à ces décisions antérieures dans lesquelles une infraction plausible à l’article 15(c) avait été constatée. Le tribunal a rejeté la demande en vertu de l’article 15(c) pour défaut de formuler une demande en vertu de la directive civile fédérale 12(b)(6) (mais avec autorisation de modification).

Pris ensemble, comme règle de base pour Selon la zone 15(c), il est insuffisant de déclarer, sans plus, qu’une entreprise a utilisé des informations biométriques pour améliorer ses innovations, ce qui a à son tour amélioré l’efficacité de ses produits et les a rendus plus importants commercialement. Plus encore, les réclamations relevant de la zone 15(c) peuvent également être susceptibles d’être attaquées – et basées sur le rejet pour défaut de mention d’une réclamation – lorsque le plaignant n’allègue pas que : (1) un produit a été fabriqué à partir de ses informations biométriques. ; (2) le contrevenant a commercialisé un article contenant ses données biométriques ; ou (3) le défendeur a inclus les informations biométriques du demandeur dans son innovation de telle sorte que la vente de ses articles constitue toujours la vente de l’accès aux informations biométriques du demandeur.

Difficulté à obtenir la résiliation du BIPA au stade de la plaidoirie (au Movement to Dismiss)

Le dernier point essentiel à retenir de Delgado concerne les difficultés rencontrées par les accusés pour obtenir le rejet des recours collectifs BIPA au stade de la plaidoirie (c.-à-d., sur une requête en rejet).

À ce jour, les désaccords du BIPA ont été incroyablement difficiles à vaincre dès le début des poursuites, ce qui est attribuable à une série d’éléments qui incluent la déférence accordée aux vagues, souvent des demandes concluantes lorsqu’ils se prononcent sur une requête en rejet, et la volonté des tribunaux de traduire le langage statutaire du BIPA d’une manière qui favorise largement les plaignants.

Plus que cela, les défendeurs font face à une bataille difficile pour obtenir le licenciement lors de la plaidoirie. stade en raison du fait que les tribunaux sont limités à réfléchir uniquement aux accusations formulées dans la plainte lorsqu’ils se prononcent sur une requête en rejet. Dans le même temps, les tribunaux ne peuvent donner aucun facteur à prendre en compte concernant les circonstances factuelles réelles qui sous-tendent le désaccord, telles que la manière dont fonctionne en réalité l’innovation d’un défendeur.

Delgado présente ces obstacles rencontrés par les délinquants BIPA. Dans sa requête en rejet, Meta a présenté plusieurs arguments raisonnables expliquant pourquoi le grief n’impliquait pas la collecte ou l’utilisation d’empreintes vocales – ou BIPA à tout autre égard d’ailleurs. Le tribunal a refusé de réfléchir à ces arguments en statuant sur la demande de licenciement. Au lieu de cela, après avoir réitéré son exigence de traiter comme vraies toutes les affirmations exactes spécifiées dans la plainte du plaignant et de tirer tous les raisonnements abordables en faveur du plaignant, le tribunal a découvert que le plaignant avait suffisamment déclaré que Meta avait recueilli ses empreintes vocales. Il convient de noter que le tribunal l’a fait sur la seule base d’allégations peu claires et apparemment sans importance concernant un brevet Meta et la notification de confidentialité de l’État américain de la société – tout en reconnaissant facilement la nature ténue de ces mêmes allégations.

Pour atténuer le risque de recours collectif BIPA – même lorsqu’il peut exister des arguments selon lesquels l’utilisation des données biométriques par une entreprise n’est pas réglementée par la loi de l’Illinois – les entreprises doivent sérieusement réfléchir à adopter une approche prudente en matière de conformité et s’aventurer à satisfaire à toutes les exigences BIPA appropriées là où cela est nécessaire. est possible de le faire.

À propos de l’auteur

David J. Oberly est Of Counsel sur le lieu de travail de Baker Donelson à Washington, D.C., et membre du service de confidentialité biométrique de l’entreprise, Système expert et pratiques de défense des données, de confidentialité personnelle et de cybersécurité. Reconnu comme « l’un des principaux leaders d’opinion du pays dans le domaine de la confidentialité biométrique personnelle » par LexisNexis, la pratique de David se concentre sur la thérapie et conseille les clients sur un large éventail de confidentialité biométrique, de systèmes experts et de confidentialité/sécurité des données. questions de conformité et de gestion des risques. De plus, David possède une vaste expérience dans le contentieux des conflits de recours collectifs BIPA entre Bet-the-Company. Il est également l’auteur de Biometric Data Privacy Compliance & Best Practices, le premier et le seul traité complet de ce type à fournir un recueil détaillé de la loi sur la confidentialité biométrique. Il peut être contacté à doberly@bakerdonelson.com. Vous pouvez suivre David sur X sur @DavidJOberly.