逛超市，头顶有监控摄像头很正常；但如果摄像头还能把您的脸变成一串可搜索的数据，您会不会觉得不对劲？美国纽约州伊利县刚刚就这件事立了规矩：多数私营企业不能再随便收集和使用生物识别数据。
先说结论：县长 Mark Poloncarz 在 2026 年 5 月 26 日签署了《生物识别透明与隐私法》，6 月 5 日生效，伊利县成为纽约州首个出台这类禁令的县。法律涵盖面部扫描、指纹、声纹和虹膜扫描，禁止适用的企业在大多数商业场景下收集、保存、使用或出售这些数据；违规企业每天可能被罚 1000 至 5000 美元。
注意，它不禁止普通监控摄像头。商店仍可以录像保障安全，被限制的是用人脸扫描来识别身份。
起因：Wegmans 的刷脸争议
争论升温，是因为有报道称美国连锁超市 Wegmans 在部分门店使用了人脸识别。今年 1 月，Gothamist 报道称，Wegmans 在纽约市的门店张贴了告示，告知顾客公司出于安保目的收集生物识别数据。
Wegmans 后来给出了更有限的说法：只在极少数安全风险很高的门店使用，用来识别此前有不良行为记录的人；不收集视网膜扫描和声纹；人脸数据只在安保需要的时间内保存，之后删除，但没有说明具体保存多久。布法罗的 Investigative Post 也追问过西纽约门店是否用了同样技术，公司没有回应。这种不透明，被认为很可能促成了伊利县立法。
从“告知”走向“禁止”
| 地区 | 做法 |
|---|---|
| 纽约市（2021 年法律） | 部分企业收集生物识别数据时需张贴告示；禁止出售这类数据 |
| 伊利县 | 原则上禁止私营企业收集、保存、使用、出售生物识别标识；不禁止普通监控摄像头 |
伊利县的议员起初也考虑过“先告知”的方案，最后选了更严的路径。摄像头记录发生了什么，是一回事；用一个人的身体特征去识别他，是下一步，新法瞄准的正是这一步。
联邦层面的空白
美国没有一部统一的联邦法律全面规范私营机构使用生物识别数据，企业面对的是各州、各地规则拼成的“补丁”。伊利诺伊、得克萨斯、华盛顿有专门针对私营生物识别数据的法律，其他州则靠更宽泛的隐私法保护，因此各地消费者的权利并不一样。
风险并不只是“有争议”。2023 年，美国联邦贸易委员会（FTC）曾禁止药店连锁 Rite Aid 五年内使用人脸识别技术，原因是其缺乏保护顾客数据的合理措施。FTC 称该系统产生了数以千计的错误匹配，导致顾客被骚扰、被搜身、被请出商店甚至被报警，详见FTC 的新闻稿。
仍然存在的漏洞：政府和金融机构
伊利县的法律不约束政府机构在履行公务时的行为，也豁免了金融机构。这意味着它没有给联邦机构（比如移民与海关执法局 ICE）设规矩。批评者担心，私营数据库可能成为公共机构的另一个信息来源，而人们往往不知道企业何时共享数据、何时回应政府请求。
伊利县议员 Lawrence Dupre 表示，这不是讨论的终点，而是可供其他县参考的样板，州和联邦层面的更广泛规则还在讨论中。对购物的人来说，问题其实很简单：走进一家店，是否就等于把自己的人脸数字档案交给了商家？我们之前也介绍过这项立法：纽约伊利县立法禁止多数商业用途的生物识别，可以一并参考。
常见问题（FAQ）
伊利县的新法禁止商店装摄像头吗？
不禁止，普通监控录像仍可使用，被限制的是用人脸等身体特征识别身份。
新法覆盖哪些数据？
面部扫描、指纹、声纹和虹膜扫描。
违规会怎样？
企业每天可能被罚 1000 至 5000 美元。
政府部门也受这部法律约束吗？
不受。政府机构在公务范围内的行为不受约束，金融机构也被豁免。