BIPA in Review: Samenvatting van de uitspraken van het Seventh Circuit over de procesbevoegdheid op grond van artikel III

Afgelopen donderdag heeft het Seventh Circuit zijn vierde uitspraak in twee jaar gedaan over de rechtsbevoegdheid op grond van artikel III in het kader van de Biometric Information Privacy Act (BIPA) van Illinois. De rechtbank kende de eiseres in Thornley v. Clearview AI, Inc. een "overwinning" toe en concludeerde dat zij niet over de rechtsbevoegdheid op grond van artikel III beschikte om haar BIPA-vorderingen voor de federale rechtbank te brengen, en bevestigde daarmee de beslissing van de districtsrechtbank om haar verzoek om de zaak terug te verwijzen naar de staatsrechtbank toe te wijzen. Gezien het terugkerende karakter van het onderwerp, de veranderende normen en strategieën die in BIPA-zaken aan de orde zijn, en de mogelijk bredere implicaties voor consumentenbeschermingsprocedures in het circuit, is een korte samenvatting op zijn plaats.

Achtergrond

De BIPA, die in 2008 werd aangenomen, reguleert "het verzamelen, gebruiken, beveiligen, verwerken, opslaan, bewaren en vernietigen van biometrische identificatiemiddelen en informatie" (d.w.z. vingerafdrukken, irisscans, stemafdrukken). De BIPA verbiedt particuliere partijen om biometrische identificatiegegevens te verzamelen en individuele "profielinformatie" te genereren op basis van biometrische identificatiegegevens zonder eerst de personen van wie de informatie wordt verzameld hiervan op de hoogte te stellen, hun toestemming te verkrijgen en hen specifieke informatie te verstrekken. De wet verplicht particuliere partijen ook om gedetailleerde informatie te publiceren over hun beleid inzake het bewaren en vernietigen van gegevens, en verbiedt hen om verzamelde biometrische identificatiegegevens te verkopen.

Ongeveer twee jaar geleden heeft het Hooggerechtshof van Illinois een cruciale uitspraak gedaan in Rosenbach v. Six Flags Entm't Corp. In Rosenbach oordeelde het hof dat een eiser die een technische schending van de vereisten van de BIPA aanvoert, zonder verder daadwerkelijke schade of nadeel aan te voeren, een "benadeelde persoon" is die bevoegd is om op grond van de wet een particulier vorderingsrecht in te stellen. Het Hooggerechtshof van Illinois concludeerde dat een schending van de wet die "een inbreuk, aantasting of ontkenning van de wettelijke rechten" vormt van de persoon van wie biometrische gegevens worden verzameld, "voldoende is om de wettelijke rechtsvordering van de persoon of klant te ondersteunen".

Twee andere staten, Texas en Washington, hebben sindsdien hun eigen biometrische privacywetten aangenomen, zij het zonder wettelijke privé-rechtsmiddelen voor consumenten. En de wetgevende macht van New York heeft Assembly Bill 27 geïntroduceerd, een biometrische privacywet naar het voorbeeld van de BIPA van Illinois, die bij aanneming een privé-rechtsmiddel zou omvatten en mogelijk zou leiden tot een aanzienlijk aantal nieuwe rechtszaken.

Recente uitspraken van het Zevende Circuit

Na de uitspraak in de zaak Rosenbach volgde een golf van nieuwe BIPA-class actions bij staatsrechtbanken, meestal naar aanleiding van het gebruik door werkgevers van tijdklokken met vinger- en handscanners of het gebruik door bedrijven van soortgelijke point-of-sale-technologie, die de gedaagden naar de federale rechtbank begonnen te verwijzen. Verschillende van deze zaken zijn doorgespeeld naar het Seventh Circuit om vragen over de rechtsbevoegdheid op grond van artikel III en de federale bevoegdheid inzake het onderwerp te behandelen. De onderstaande punten vatten de vier uitspraken van het Seventh Circuit samen:

• Miller tegen Southwest Airlines Co., 926 F.3d 898 (7th Cir. 2019): Vakbondsleden die bij een luchtvaartmaatschappij werkten, moesten elke dag bij het in- en uitklokken hun vingerafdrukken laten scannen. De werknemers voerden aan dat de verwerende werkgever niet had voldaan aan sectie 15(a) en 15(b) van de BIPA door zijn protocollen voor gegevensbewaring niet te publiceren en geen toestemming van de werknemers te verkrijgen voor het verzamelen van hun biometrische identificatiegegevens.

  Het Zevende Circuit oordeelde dat, aangezien de eisers in kwestie allemaal vakbondsleden waren, zij een schending van artikel III hadden aangevoerd, omdat de schendingen van de BIPA een vooruitzicht op een wezenlijke verandering in de arbeidsvoorwaarden van de werknemers creëerden. Volgens de rechtbank gaf dit de rechtszaak "een concrete dimensie" die meer was dan een "louter procedureel geschil". Niettemin oordeelde het Zevende Circuit dat de vorderingen werden voorrang door de Railway Labor Act, aangezien zij betrekking hadden op onderwerpen die het voorwerp waren van collectieve onderhandelingen tussen de vakbond en de verwerende werkgever. In de uitspraak werd duidelijk veel belang gehecht aan het feit dat de zaak zijn oorsprong vond in een vakbondsomgeving.
  
  

• Bryant tegen Compass Grp. USA, Inc.., 958 F.3d 617 (7th Cir. 2020): We hebben deze beslissing behandeld. hier kort na de publicatie ervan. De werkgever van de eiseres installeerde automaten die gebruik maakten van vingerafdrukidentificatietechnologie om aankopen uit te voeren. De eiseres beweerde dat de verwerende werkgever artikel 15(a) van de BIPA had geschonden door zijn beleid inzake gegevensbewaring en -vernietiging niet openbaar te maken, en artikel 15(b) door niet de wettelijk vereiste informatie te verstrekken of haar toestemming te verkrijgen voor het verzamelen van biometrische identificatiegegevens.

  Het Seventh Circuit oordeelde dat de klacht van de eiseres een schade in de zin van artikel III met betrekking tot haar vordering op grond van artikel 15(b) inhield, met als reden dat het verzamelen door de verweerder van de biometrische identificatiegegevens van de eiseres zonder te voldoen aan de wettelijke openbaarmakings- en toestemmingsvereisten van de BIPA een inbreuk vormde op de "privésfeer" van de eiseres en haar de informatierechten ontzegde die de wetgever van Illinois aan burgers wilde toekennen. Met betrekking tot de vordering van de eiseres op grond van artikel 15(a) oordeelde het Zevende Circuit echter dat het loutere feit dat de verweerder zijn beleid inzake gegevensbewaring en -vernietiging niet had gepubliceerd, een schending vormde van een "algemene verplichting jegens het publiek", en concludeerde het dat het feit dat de eiseres geen specifieke schade als gevolg van die schending had aangevoerd, de federale rechtbanken de materiële bevoegdheid ontnam.

  Zoals echter benadrukt in het vonnis van de rechtbank waarin een herziening door het voltallige hof werd afgewezen, was de uitspraak met betrekking tot artikel 15(a) beperkt tot de specifieke beweringen van de eiser, waarin geen sprake was van concrete schade als gevolg van het niet naleven van de wettelijke publicatievereisten. Het Zevende Circuit heeft zich uitdrukkelijk onthouden van een oordeel over de vraag of het niet naleven door de verweerder van de vereisten inzake het bewaren en vernietigen van gegevens van artikel 15(a) (in tegenstelling tot het louter niet publiceren van zijn beleid) aanleiding zou kunnen geven tot een erkende schade op grond van artikel III in het kader van een andere reeks beweringen.
  
  

• Fox tegen Dakkota Integrated Sys., LLC, 980 F.3d 1146 (7th Cir. 2020): Ook hier gebruikte de werkgever van de eiser een elektronisch tijdregistratiesysteem waarbij werknemers hun handen moesten scannen om in en uit te klokken. In tegenstelling tot in BryantDe eiser in deze zaak beweerde dat de verweerder, de werkgever, niet alleen de publicatievereisten van artikel 15(a) had geschonden, maar ook de bepalingen inzake gegevensbewaring en -vernietiging van dat artikel. Met andere woorden, de verweerder zou niet alleen hebben nagelaten zijn beleid inzake gegevensbewaring en -vernietiging te publiceren, maar zou ook biometrische identificatiemiddelen hebben bewaard langer dan de wettelijk toegestane termijn en deze op onwettige wijze aan een derde partij hebben verstrekt.

  Als gevolg hiervan oordeelde het Seventh Circuit dat deze beschuldigingen voldoende een concreet en persoonlijk letsel aantoonden dat voldoende was om aanleiding te geven tot een artikel III-letsel dat de federale bevoegdheid ter zake ondersteunde. De rechtbank concludeerde dat "het onrechtmatig bewaren van biometrische gegevens een inbreuk op de privacy vormt" die concreet en specifiek is, en vernietigde het bevel van de districtsrechtbank om de zaak terug te verwijzen naar de staatsrechtbank.
  
  

• Thornley v. Clearview AI, Inc., nr. 20-3249, — F.3d –, 2021 WL 128170 (7e Cir. 14 januari 2021): De verweerder in Thornley verzamelde de biometrische identificatiegegevens van de eiser uit foto's en metagegevens die waren verkregen via sociale-mediasites (bijv. Facebook, Venmo en YouTube), die vervolgens werden verzameld in databases die tegen betaling aan derden ter beschikking werden gesteld. De eiser spande een rechtszaak aan, waarin hij aanvoerde dat het gedrag van de gedaagde in strijd was met artikel 15(c) van de BIPA, dat particuliere entiteiten verbiedt om biometrische identificatiegegevens van anderen te verkopen, te leasen, te verhandelen of anderszins te gelde te maken.

Het Seventh Circuit, dat aanzienlijk gewicht toekende aan de definitie van de groep zoals uiteengezet in de klacht – die uitdrukkelijk beperkt was tot personen die "geen schade" hadden geleden door de vermeende schending van artikel 15(c) – concludeerde dat de eiseres geen schade had geleden in de zin van artikel III als gevolg van de verkoop van haar biometrische identificatiegegevens door de verweerder. Op basis van constitutionele uitspraken waarin de bevoegdheden van de federale wetgever op grond van de handelsclausule en de beperkingen die door het Eerste Amendement worden opgelegd, werden geïnterpreteerd, redeneerde de rechtbank dat artikel 15(c) bedoeld was om de markt voor biometrische identificatiemiddelen uit te bannen (door het aanbieden van dergelijke identificatiemiddelen illegaal te maken). Van daaruit maakte de rechtbank een analogie tussen artikel 15(c) en het verbod in artikel 15(a) op het verzamelen van biometrische identificatiemiddelen zonder het publiceren van beleid inzake gegevensbewaring en -vernietiging, en oordeelde (net als Bryant) dat een schending van dit artikel een inbreuk vormde op een verplichting jegens het publiek in het algemeen, en niet jegens de individuele eiser (tenminste bij gebrek aan een positieve bewering van specifieke schade). Als gevolg daarvan bevestigde het Seventh Circuit de uitspraak van de districtsrechtbank om de zaak terug te verwijzen naar de staatsrechtbank.

Afhaalmaaltijden

Zoals benadrukt in het eensluidende oordeel van rechter Hamilton in Thornley, is het enigszins moeilijk om de recente BIPA-uitspraken van het Seventh Circuit te distilleren tot een duidelijke regel voor de rechtsbevoegdheid op grond van artikel III in zaken betreffende vermeende immateriële schade als gevolg van vermeende schendingen van wetgeving inzake consumentenbescherming. De hierboven besproken uitspraken zijn niet alleen gebaseerd op de specifieke feiten van elke zaak, maar ook op technische interpretaties van de verschillende bepalingen van de BIPA, en de resultaten kunnen bijna contra-intuïtief lijken. Zo zijn de federale rechtbanken in het Zevende Circuit bevoegd om kennis te nemen van vorderingen waarin wordt gesteld dat de biometrische identificatiegegevens van een eiser zijn verzameld of bewaard zonder de door artikel 15(b) vereiste informatieverstrekking of toestemming (Bryant en Fox), terwijl de rechtbanken geen kennis kunnen nemen van een vordering waarin wordt gesteld dat de biometrische identificatiegegevens van dezelfde eiser in strijd met artikel 15(c) aan een derde zijn verkocht (Thornley).

De schijnbare tegenstrijdigheden beperken zich niet tot BIPA zelf, zoals rechter Hamilton benadrukte in zijn bespreking van de recente uitspraken van het Seventh Circuit, waarin artikel III-bevoegdheid werd afgewezen in zaken waarin informatiebeschadiging werd aangevoerd op grond van de Fair Debt Collection Practices Act ( hier apart behandeld).Na Spokeo (de meest recente spraakmakende uitspraak van het Hooggerechtshof over de wisselwerking tussen artikel III en vermeende schendingen van wetten inzake consumentenbescherming) blijft de kwestie van hoe om te gaan met artikel III-bevoegdheid in zaken waarbij wetten inzake consumentenbescherming een rol spelen, fel omstreden en kan deze in de nabije toekomst opnieuw de aandacht van het Hooggerechtshof trekken.

Op een meer macro-niveau geven de recente uitspraken van het Seventh Circuit en het gebrek aan praktische duidelijkheid die daaruit kan worden afgeleid, aan hoe onderontwikkeld het juridische landschap rond de BIPA nog steeds is en hoeveel juridische vragen er naar verwachting in toekomstige rechtszaken zullen blijven opduiken. Tot die vragen behoren onder meer de toepasselijke verjaringstermijn en de mate van daadwerkelijke schade die een eiser moet aantonen om een geldige vordering in te stellen die aansprakelijkheid op basis van de merites creëert (in tegenstelling tot wat een eiser in eerste instantie alleen maar hoeft aan te voeren om preventieve afwijzing te voorkomen). Aangezien we kunnen verwachten dat BIPA-rechtszaken de komende jaren een "Wild West"-karakter zullen blijven hebben, blijft het beste praktische advies voor elke werkgever of onderneming die technologie gebruikt om werknemers te identificeren of klanttransacties te vergemakkelijken, om een advocaat in te schakelen om proactieve risicobeheerstrategieën te onderzoeken, in plaats van reactief te reageren op beschuldigingen van BIPA-overtredingen.