일리노이 BIPA 생체정보 집단소송 가이드: 지문·안면인식 무동의 수집과 손해배상 전망 2026

지문 한 번 찍었을 뿐인데 왜 집단소송 대상이 되나요?

결론부터 말하면, 일리노이에서는 동의서 한 장이 빠진 것만으로 회사가 건당 최대 수천 달러의 배상 책임을 질 수 있습니다. BIPA(Biometric Information Privacy Act, 생체정보보호법)는 해킹이나 정보 유출이 없어도 적용됩니다. 직원 수천 명이 매일 출퇴근 기기에 손가락을 올리는 회사라면, 위반 한 번이 곱셈으로 불어나는 구조입니다.

내 판단으로는 이 법의 본질은 개인정보 보호보다 절차 준수 의무에 가깝습니다. 비밀번호는 바꿀 수 있지만 지문과 얼굴은 바꿀 수 없다는 입법 취지는 분명합니다. 그런데 소송에서 실제로 다투는 건 “사전 서면 고지를 했나, 서면 동의를 받았나, 보관 정책을 공개했나” 같은 체크리스트입니다. 청구하는 쪽도, 방어하는 쪽도 이 체크리스트를 중심으로 움직입니다.

이 글은 직원으로서 청구 가능성을 따져 보는 분, 일리노이 주민으로서 합의 공지를 받은 분, 일리노이 직원이나 고객을 상대하는 사업자를 모두 염두에 두고 썼습니다. 개별 사건의 승패는 사실관계가 좌우하므로 아래 내용은 판단의 틀로만 쓰시기 바랍니다.

BIPA는 정확히 무엇을 금지하나요?

법의 핵심은 15조의 다섯 가지 의무입니다. 실무에서 소송이 가장 많이 걸리는 건 (a)와 (b)입니다.

조항	내용	소송에서 자주 나오는 위반
15(a)	공개된 보관·파기 정책 마련. 수집 목적이 끝나거나 마지막 접촉 후 3년 중 빠른 시점에 파기	정책 문서 자체가 없음
15(b)	수집 전 서면 고지(수집 사실, 목적, 보관 기간)와 서면 동의	동의서 없이 지문 등록
15(c)	생체정보를 판매, 임대, 거래해 이익을 얻는 행위 금지	데이터 판매, 제3자 제공 대가
15(d)	동의 없는 제3자 공개 금지	타임시계 외주사에 데이터 전송
15(e)	합리적 수준의 보안으로 보관	약한 저장 방식

법이 보호하는 대상은 망막이나 홍채 스캔, 지문, 음성 패턴(voiceprint), 손이나 얼굴 기하학 스캔입니다. 일반 사진 자체는 포함되지 않습니다. 그래서 “사진을 올렸는데 얼굴 템플릿이 만들어졌다”는 사안이 쟁점이 됩니다. 소셜 플랫폼의 태그 추천 기능 소송이 대표적입니다.

적용 대상은 “민간 단체”입니다. 주 정부나 지방 정부 기관, 그 계약업체의 일부는 제외됩니다. 은행이 GLBA 적용 대상이면 제외되고, 법원은 병원 직원의 약품 캐비닛 지문 사용 같은 사안에서 HIPAA 관련 정보의 제외 범위를 따로 판단해 왔습니다.

스캔 한 번에 얼마인가요? 법정손해배상 계산법

조문상 금액은 단순합니다. 과실이면 위반당 1,000달러, 고의 또는 무모한 위반이면 5,000달러입니다. 실제 손해가 이보다 크면 그 금액을 택할 수 있고, 승소하면 변호사 비용과 금지명령도 청구할 수 있습니다.

문제는 “위반 한 건”을 어떻게 세느냐였습니다.

시기	사건·입법	핵심 내용
2019년 1월	Rosenbach v. Six Flags	실제 금전 피해 없이도 위반만으로 청구 가능
2023년 2월	Cothron v. White Castle	스캔할 때마다 새 위반이 발생(4대 3 판결). 법원은 배상액 재량 감액 여지를 언급
2023년 2월	Tims v. Black Horse Carriers	전 조항 5년 시효
2024년 8월	SB 2979 개정	같은 방식·같은 사람의 반복 수집은 1회 배상으로 제한, 전자서명도 서면 동의로 인정

Cothron 판결 직후에는 하루 두 번씩 몇 년을 찍은 직원 한 명의 이론상 배상액이 수십만 달러가 되는 계산이 나왔고, 그래서 업계가 입법을 요청했습니다. 2024년 개정으로 이 극단적 곱셈은 잘려 나갔습니다. 이제 현실적 배상 규모는 “사람 수 × 1,000달러 또는 5,000달러” 쪽으로 수렴하는 분위기입니다.

개정이 이미 진행 중인 사건에도 적용되는지는 법원마다 판단이 갈렸습니다. 연방 지방법원 일부는 소급 적용을 인정했고, 다른 법원은 그렇지 않았습니다. 2026년 현재 항소심 정리 상황은 사건 법원의 최신 결정을 직접 확인해야 하는 부분입니다. 이 숫자를 믿고 합의 여부를 결정하지 마시기 바랍니다.

BIPA 소멸시효는 몇 년인가요?

5년입니다. 2023년 Tims 판결이 확정했고, 그 전에는 일부 조항에 1년을 주장하는 쪽이 있었습니다.

직원의 경우 “지문 등록은 2021년, 퇴사는 2023년”이라면 일반적으로 등록 시점부터 계산해 시효가 남아 있을 수 있습니다. 반면 2024년 개정 후에는 같은 방식의 반복 수집이 한 번의 위반 취급을 받는 경향이 생겼으니, 첫 등록 시점이 사실상 기산점으로 중요해졌습니다. 근무 기간이 길고 오래된 기록이 있다면 지체하지 마시기 바랍니다.

어떤 사건들이 합의와 판결로 이어졌나요?

공개 정보로 확인되는 대표 사례만 정리합니다. 금액은 보도된 합의 기준이고 청구자별 지급액은 아래 표에 없습니다. 지급액은 청구 인원에 따라 달라지기 때문입니다.

사건	쟁점	보도된 합의 규모
Facebook (Patel v. Facebook)	사진 태그 얼굴 템플릿	약 6억 5천만 달러, 2021년 법원 승인
Google Photos	얼굴 그룹핑	약 1억 달러, 2022년
TikTok	얼굴·음성 정보 (통합 소송)	약 9,200만 달러, 2021년
Snap	렌즈·필터 얼굴 스캔	약 3,500만 달러, 2022년
BNSF 철도	트럭 기사 지문	2022년 배심 평결 2억 2,800만 달러 이후 재판 거쳐 2024년 약 7,500만 달러 합의
Clearview AI	공개 사진 기반 얼굴 DB	2025년 승인, 현금 대신 회사 지분 일부를 청구자에게 주는 구조

이 목록을 보며 느끼는 건, 한 건 한 건의 액수보다 어떤 유형이 합의로 끝나는지입니다. 기술기업의 대규모 사건은 청구자 풀이 커서 개인에게 돌아가는 돈이 수십 달러에서 수백 달러대로 쪼개지고, 소수 직원 사건은 반대로 건당 몇백 달러에서 천 달러대가 합의의 감각으로 자주 언급됩니다. 개별 합의서의 정확한 지급 방식과 마감일은 반드시 공식 합의 사이트에서 확인하십시오.

직원인데 출퇴근 지문 기기 소송, 어떻게 진행되나요?

가장 흔한 패턴은 이렇습니다. 입사 때 지문 등록을 지시받았고, 서면 고지나 동의서는 기억에 없습니다. 퇴사 뒤 소송 광고를 보고 로펌에 연락하면, 로펌은 보통 대표 원고를 세워 집단소송을 제기합니다.

진행은 대략 이렇습니다.

1. 증거 확인: 입사서류, 직원 핸드북, 지문 등록 화면 캡처, 출퇴근 기록. 동의서에 서명한 적이 있는지가 가장 큰 변수입니다.
2. 법원 선택: 주 법원(Cook County 등)이냐 연방 법원이냐에 따라 소송 자격 쟁점이 달라집니다.
3. 중재 조항 확인: 입사 계약에 개별 중재와 집단소송 포기 조항이 있으면 집단 형태가 막힐 수 있습니다.
4. 노조 여부: 단체협약 직원은 노사관계법 선점 주장이 걸립니다.
5. 합의 협상: 대부분의 사건이 본안 판결 전에 합의로 끝납니다. 청구서를 제출한 사람만 돈을 받는 구조가 많습니다.

수임료는 보통 성공보수입니다. 집단소송은 변호사가 합의 기금에서 일정 비율을 가져가는 형식이라 청구자는 선불 부담이 없는 경우가 대부분입니다. 성공보수 구조 자체는 오토바이 사고 변호사 합의금 가이드에서 다룬 계산과 같은 원리입니다.

매장 안면인식과 소매업은 왜 위험한가요?

내가 사업자라면 가장 신경 쓸 영역이 여기입니다. 직원 지문은 입사 절차에서 동의를 넣으면 해결되지만, 고객 얼굴은 동의를 받는 접점이 거의 없습니다.

위험 패턴은 몇 가지입니다. 도난 방지 목적의 안면인식 카메라, 가상 시착이나 화장품 체험 앱의 얼굴 스캔, 키오스크 연령 추정, 보안 업체에 영상 분석을 맡기면서 생기는 제3자 공유입니다. 쟁점은 “얼굴 기하학 스캔을 만들었나”입니다. 단순 촬영만 하는 카메라는 다르지만, 얼굴 특징을 수치화해 비교하는 순간 BIPA 영역에 들어옵니다.

기술 공급사를 믿는 건 방어가 아닙니다. 소송이 오면 공급사와 사용 기업이 같이 피고가 되는 경우가 많습니다. 계약서에 면책 조항을 넣더라도, 고객에게 직접 고지하고 동의를 받는 의무는 사용 기업에 남습니다. 비슷한 구조의 대규모 집단 분쟁이 어떻게 흘러가는지는 소셜미디어 청소년 정신건강 소송 MDL 3047 정리에서 확인할 수 있습니다. 플랫폼 설계 책임을 묻는 소송이라는 점에서 BIPA 사건과 닮은 지점이 있습니다.

사업자는 지금 무엇부터 점검해야 하나요?

정리하면 이렇습니다. 소송이 걸린 뒤에 고치면 늦습니다. 이미 지나간 위반은 소급해서 없앨 수 없기 때문입니다.

점검 항목	해야 할 일	흔한 실수
서면 고지	수집 사실, 목적, 보관 기간을 명시한 문서	개인정보 처리방침에 한 줄 넣고 끝
서면 동의	서명 또는 전자서명 기록 보관	구두 동의, 서명 누락
보관·파기 정책	공개 문서로 게시, 파기 시점 명시	퇴사자 데이터를 영구 보관
공급사 계약	데이터 처리 범위, 삭제, 면책 확인	외주 타임시계 업체의 재사용
대안 검토	카드, PIN 등 생체 미사용 방식	직원이 거부할 수 있다는 점 무시
보험	사이버 보험, 고용 관행 보험의 BIPA 제외 여부	약관 읽지 않음

보험은 특히 놓치기 쉽습니다. 일부 보험사가 BIPA를 명시적으로 제외하는 약관을 도입했습니다. 일리노이 대법원은 과거 한 사건에서 개인정보 침해 보장 조항이 BIPA 청구에도 방어 의무를 일으킬 수 있다고 봤지만, 그 뒤 약관이 달라졌으니 현재 보험증권의 제외 조항을 보험 중개인에게 직접 물어보시기 바랍니다.

내 의견으로는 가장 싼 보호는 생체 수집 자체를 줄이는 것입니다. 직원 수십 명 규모에서 지문 타임시계가 주는 이득은 작습니다. 그 이득 대비 소송 리스크가 맞지 않는다면 카드 태그로 바꾸는 쪽이 낫습니다. 규모가 크고 지문이 꼭 필요하다면 동의 절차를 온보딩에 넣고 기록을 체계적으로 남기십시오. 기록을 남겨 두는 일이 분쟁 결과를 가른다는 점은 의료과실 변호사 합의금 가이드가 다루는 의료 분쟁에서도 똑같습니다.

데이터 유출 소송과 무엇이 다른가요?

가장 헷갈리는 부분입니다. 데이터 유출 소송은 정보가 새어나갔다는 사건에서 출발해 “그로 인한 피해가 무엇이냐”를 따집니다. 피해 입증이 어렵고, 그래서 연방 법원에서 소송 자격 단계에서 기각되는 사건도 많습니다.

BIPA는 반대입니다. 정보가 어디로도 새지 않았어도, 수집 전에 서면 동의를 받지 않았다는 절차 위반이 곧 청구 원인입니다. 청구자에게는 입증 부담이 낮고, 사업자에게는 방어 부담이 높습니다. 같은 규모의 회사라도 해킹 사고보다 BIPA 노출이 더 클 수 있는 이유입니다.

대신 BIPA에도 한계가 있습니다. 일리노이 주민이거나 일리노이에서 정보가 수집된 경우여야 하고, 지역적 연결이 약하면 방어 논리가 생깁니다. 또 동의서를 정식으로 받아 둔 회사는 15(b) 청구를 비교적 쉽게 막습니다.

합의금 청구자는 무엇을 조심해야 하나요?

합의 공지를 이메일이나 우편으로 받았다면 몇 가지를 지키세요.

• 공지에 적힌 공식 합의 사이트 주소와 사건번호를 법원 기록과 대조하세요. 같은 이름의 피싱 사이트가 실제로 존재합니다.
• 청구서는 사회보장번호, 은행 비밀번호를 요구하지 않습니다. 지급 방식(수표, 전자 결제) 선택 정도가 전부입니다.
• 마감일을 놓치면 지급이 없습니다. 제외(opt-out) 마감과 이의 마감도 따로 확인하세요.
• 합의에 참여하면 이후 같은 사안으로 개별 소송을 낼 권리를 포기합니다. 피해가 크다고 판단하면 제외를 선택하고 따로 소송할 수도 있습니다.
• 합의금은 세법상 소득으로 취급될 수 있습니다. 세금 처리는 세무 전문가와 상의하십시오.

한 번 청구서를 낸 뒤 입금까지 몇 달에서 1년 넘게 걸리는 일도 흔합니다. 승인 심리, 항소, 청구 심사를 모두 거치기 때문입니다. 비슷한 대형 합의 구조의 지급 과정은 엑스팩텍 인공관절 리콜 소송 MDL 3044 가이드에서도 볼 수 있습니다. 반독점 분야에서 집단 원고가 어떻게 모이는지는 반독점 가격담합 집단소송 변호사 가이드를 참고하세요.

소송을 당한 사업자는 어떤 논리로 방어하나요?

방어 쪽이 쓰는 카드는 정해져 있습니다. 먼저 서명된 동의서가 있으면 15(b) 청구는 대부분 막힙니다. 동의서가 없다면 다음 순서로 다툽니다.

• 적용 제외: 금융기관, 정부 계약업체, HIPAA 관련 정보 등 법이 제외한 범주에 속하는지 따집니다.
• 지역성: 수집이 일리노이 안에서 일어났는지, 원고가 일리노이 주민인지 다툽니다.
• 중재와 집단소송 포기: 입사 계약에 있으면 집단 형태를 깨뜨릴 수 있습니다.
• 선점: 노조 직원이면 단체협약 해석 문제로 보고 중재로 보냅니다.
• 시효: 5년이 지난 위반은 잘라냅니다.
• 배상액 감액: Cothron 판결이 배상액 산정에 법원 재량이 있다고 언급했기 때문에, 무모하지 않았다는 점과 실제 피해가 없다는 점을 근거로 낮추려 합니다.

청구하는 쪽에서 보면 이 카드들을 미리 알고 시작해야 합니다. “나는 동의서를 쓴 기억이 없다”와 “서명한 서류가 있다”는 법정에서 전혀 다른 무게를 가집니다. 입사 때 받은 서류 묶음은 사본을 꼭 확보하세요. 회사가 모든 서류를 보관하고 있다는 전제로 움직이면 낭패를 봅니다.

앞으로 BIPA는 어떻게 될까요?

2024년 개정으로 소송 폭풍은 한풀 꺾였습니다. 하지만 사라진 건 아닙니다. 첫 번째 위반, 고지 누락, 정책 공개 누락 같은 기본 청구는 그대로 살아 있고, 안면인식과 AI 음성 도구가 퍼질수록 새 사건 유형도 늘고 있습니다. 텍사스, 워싱턴 등 다른 주에도 생체정보 관련 법이 있지만 개인이 직접 소송을 낼 수 있는 법은 일리노이가 가장 두드러집니다.

내 전망은 단순합니다. 배상 규모는 정리되었고, 소송 건수는 안면인식, 음성, AI 도구 쪽으로 이동합니다. 사업자는 “동의서를 어디에 보관하느냐”를 일상 업무로 만들어야 하고, 청구자는 “내 서명이 있는지”부터 확인해야 합니다. 최신 판결과 개정 내용은 일리노이 법원 공개 기록, 일리노이주 입법 정보 사이트(ilga.gov)에서 직접 확인하십시오.

실무에서 하나 더 말하자면, 이 분야는 “수집을 시작한 날짜”가 모든 계산의 출발점입니다. 사업자는 언제부터 어떤 기기에서 누구의 생체정보를 받았는지 연표를 만들어 두세요. 청구자는 첫 지문 등록일과 마지막 사용일을 메모해 두세요. 양쪽 모두 이 날짜 하나가 시효, 배상 횟수, 개정법 적용 여부를 동시에 가르기 때문입니다. 분쟁이 터진 다음에 기억에 의존해 복원하려 하면 거의 항상 부정확합니다.

이 글은 일반 정보 제공 목적이며 법률 자문이 아닙니다. 법 해석과 판결, 합의 조건은 수시로 바뀌고 개별 사건의 결과는 사실관계에 따라 크게 달라집니다. 실제 청구나 방어를 결정하기 전에 일리노이 주 자격을 가진 변호사와 상담하십시오.