全球數據保護 | 英國監管人臉識別技術的法律框架及其司法審查_風聞

走出去智庫觀察

日前，“中國人臉識別第一案”一審宣判。杭州市富陽區人民法院判決杭州野生動物世界賠償原告郭兵，並刪除郭兵辦理指紋年卡時提交的包括照片在內的面部特徵信息。本案因聚焦經營者處理消費者個人信息，尤其是指紋和人臉等個人生物識別信息行為的評價和規範問題，引起廣泛關注。

走出去智庫（CGGT）觀察到，隨着大數據時代的來臨，許多國家及地區陸續出台數據保護及安全領域的相關法規。根據歐盟《通用數據保護條例》（GDPR）的數據安全要求，企業應採取技術和管理措施，保障數據安全，包括但不限於對個人數據加密處理、實施數據安全評估、隱私保護設計等。該規定適用於歐盟境內設立的實體（公司、組織等）處理個人數據的行為，同時也約束了非歐盟實體處理歐盟境內數據主體的個人數據的活動。

科技企業及相關經營者如何做好數據保護？今天，走出去智庫（CGGT）刊發一篇關於英國人臉識別技術應用的法律案例分析文章，供關注全球數據保護的企業管理者參閲**。**

要 點

CGGT，CHINA GOING GLOBAL THINKTANK

1、《歐洲人權公約》規定，人人有權享有使自己的私人和家庭生活、家庭和通信得到尊重的權利。公共機構不得干預上述權利的行使，但是依據法律規定的干預以及基於在民主社會中為了國家安全、公共安全或者經濟福利，為了防止混亂或者犯罪，為了保護健康或者道德，為了保護他人的權利與自由而進行的必要干預，不受此限。

2、英國《數據保護法》實質上要求有適當的執法目的，並且所採取的執法措施是實現這一目的的必要手段。英國上訴法院認為，英國警方部署自動人臉識別技術（AFR）在《數據保護法》上具有法律依據，但是相應的保障措施，尤其是數據保護影響評估不符合《數據保護法》的規定。

3、對於部署AFR來説，英國雖然存在相應的法律框架，但其根本缺陷涉及兩個令人關切的問題：第一個問題是列入監控名單的條件；第二個問題是AFR的部署地點。

正 文

CGGT，CHINA GOING GLOBAL THINKTANK

文/宋建寶****中國應用法學研究所

目前，一些領域已經開始應用人臉識別技術，例如電子政務領域、公共服務領域、商業領域，甚至一些住宅小區也開始部署人臉識別系統。同時，人臉識別技術也引發了一些爭議和擔憂。為此，筆者結合英國上訴法院新近審結的“愛德華訴南威爾士警署”案，介評英國監管人臉識別技術的法律框架及其司法審查。

案件基本情況

英國南威爾士警署（以下簡稱SWP）在公共場所部署自動人臉識別技術（以下簡稱AFR）。AFR是一種判斷兩幅人臉圖像是否源自同一個人的技術，主要運行機制包括：

（1）在公共場所安裝監控攝像，現場抓取那些途徑監控範圍內不特定公眾的人臉圖像；

（2）對抓取到的人臉圖像進行處理，從中提取一些生物特徵數據（面部特徵測量數據）；

（3）將這些生物特徵數據與SWP數據庫中人臉圖像的生物特徵數據進行比對，生成“相似度得分”，得分越高表示兩幅人臉圖像的匹配度越高；

（4）根據“相似度得分”，判斷途經AFR監控範圍的那些公眾中是否有警方監控名單上的人員。

在本案中，英國公民愛德華不僅質疑SWP部署AFR的合法性，還提出在Cardiff市的兩個特定場合自己被SWP部署的AFR抓取到其人臉圖像。這兩個特定場合分別是：

（1）2017年12月21日，在Cardiff市的皇后街。愛德華説，他於2017年12月21日出現在皇后街，距離安裝AFR的車輛大約6至10英尺，因此在AFR抓取範圍內，並且他沒有看到AFR標誌，也沒有人告訴他AFR正在使用中。

（2）2018年3月27日，在Cardiff市的Motorpoint競技場。AFR從8時30分到16時一直處於使用狀態，監控攝像聚焦在競技場入口處。愛德華説，他當天參加了競技場外的抗議活動，距離安裝AFR的車輛有25至30米的距離，在看到這輛車之前，他並不知道AFR正在使用中，也沒有觀察到任何關於部署AFR的信息。

愛德華質疑SWP部署AFR的合法性以及上述兩個特定場合部署AFR的合法性，遂向英國高等法院提出司法審查請求，主要理由包括SWP部署AFR違反《歐洲人權公約》、英國《數據保護法》等。英國高等法院認為愛德華的訴請理由均不成立，因此駁回了愛德華的司法審查請求。愛德華不服，向英國上訴法院提起上訴。英國上訴法院審理後，部分支持了愛德華的上訴請求。上訴判決發佈後，雙方當事人都表示不再上訴，目前該案上訴判決已經生效，併成為此後可以遵循的先例。

上訴法院的具體審查

本案的核心問題是SWP部署AFR是否存在一個充分的法律框架。根據各方主張和案件事實，英國上訴法院首先討論《歐洲人權公約》是否可以適用於本案，在此基礎上具體分析了英國現有法律及政策是否可以為部署AFR提供一個充分的法律框架。

《歐洲人權公約》是否可以適用SWP部署的AFR

第8條（1）規定，人人有權享有使自己的私人和家庭生活、家庭和通信得到尊重的權利。第8條（2）規定，公共機構不得干預上述權利的行使，但是依據法律規定的干預以及基於在民主社會中為了國家安全、公共安全或者經濟福利，為了防止混亂或者犯罪，為了保護健康或者道德，為了保護他人的權利與自由而進行的必要干預，不受此限。

SWP部署的AFR涉及大量公眾面部圖像的採集和處理。當事人及相關機構都承認，AFR所採集的面部圖像及相應的生物特徵數據屬於英國《數據保護法》所指的個人敏感數據。英國上訴法院認為，雖然SWP部署AFR所採集和處理的絕大多數面部圖像及生物特徵數據對警察來説都毫無意義，但這仍然涉及《歐洲人權公約》第8條（1）規定的權利。換言之，《歐洲人權公約》第8條（1）可以適用於本案。

英國上訴法院指出，AFR雖然是一項新技術，但公共機構部署AFR同樣必須滿足《歐洲人權公約》第8條（2）所要求的“依據法律規定”，即公共機構對權利的任何干預都必須在法律框架內並且符合法律的具體規定。為了判斷SWP部署AFR是否有一個充分的法律框架，英國上訴法院分析了英國有關部署AFR的相關法律和政策，包括《數據保護法》、政府主管部門的業務準則及指南以及SWP的地方政策。

SWP部署AFR是否符合《數據保護法》的規定

SWP部署AFR，不僅受到《數據保護法》一般規定的約束，而且直接受到《數據保護法》第3部分的約束，該部分專門規定行政執法問題。《數據保護法》第31節定義“執法目的”，即“預防、偵查、起訴刑事犯罪或者執行刑罰的目的，包括保障和防止對公共安全的威脅。”第35節（1）規定的第1項數據保護原則是數據處理必須合法和公平，要求為任何執法目的而對個人數據的處理，只有在“依據法律”的情況下才是合法的，並且當事人已同意為此目的而進行處理，或主管當局為履行職責所必須進行處理。

此外，如果處理是“敏感”的，只允許在第35節（4）和第35節（5）所述的兩種情況下進行。第35節（5）與本案特別相關，涉及（a）為執法目的“嚴格必要”處理，（b）處理至少滿足附表8中的一個條件，以及（c）在進行處理時，根據第42節的規定製定頒佈適當的政策文件。其中附表8列出了根據第3部分進行敏感處理的條件，即如果處理“（a）是為了履行法律賦予的職責所必需的，以及（b）出於重大公共利益的原因是必要的”。

《數據保護法》實質上要求有適當的執法目的，並且所採取的執法措施是實現這一目的的必要手段。英國上訴法院認為，SWP部署AFR在《數據保護法》上具有法律依據，但是相應的保障措施，尤其是數據保護影響評估不符合《數據保護法》的規定。

SWP部署AFR是否符合主管部門的準則和指南

英國上訴法院依據《數據保護法》的相關規定，對SWP部署AFR進行審查後，又依據英國政府主管部門制定的業務準則和操作指南對SWP部署AFR進行了審查。

是否符合準則的審查

根據英國《自由保護法》的規定，政府主管部門應當依法頒佈有關部署監控攝像系統的業務準則，以便為運用監控攝像技術提供適當的和有效的指導。為此，英國內政大臣制定頒佈了《監控攝像業務準則》，用來指導和規範警務部門部署監控攝像系統。《監控攝像業務準則》的適用範圍是一般性的，雖然提及人臉識別技術，但並沒有特別關注人臉識別技術。

《監控攝像業務準則》確實是專門處理類似本案事項的，原則上可以具體規定列入監控名單的條件，也可以規定部署AFR位置的標準。但是，《監控攝像業務準則》既沒有規定列入監控名單的條件，也沒有規定部署AFR位置的標準。英國上訴法院認為，這些條件和標準是規定在國家層面的文件中，還是規定在警務部門的地方政策文件中，這不在法院審查範圍內。當然，為保證地方政策的一致性，《監控攝像業務準則》可以對列入監控名單的條件和部署AFR位置的標準作出規定。

是否符合指南的審查

根據《自由保護法》和《監控攝像業務準則》的規定，內政部監控攝像專員針對AFR部署問題專門制定《警用AFR指南》。這份指南的目的在於協助有關警務機構遵守《自由保護法》和《監控攝像業務準則》規定的各項義務，主要針對部署AFR的必要性和比例性作了規定，同時也對風險評估提供了相應建議。對於監控名單來説，這份指南僅就用於生成監控名單的圖像性質提供了建議。需要特別指出， SWP必須遵守上述業務準則，但不是必須遵守操作指南。

SWP部署AFR的地方政策

英國上訴法院認為，原則上，警務機構制定的地方政策只要正式公佈，就可以構成相關的“法律”。由於前述立法、準則和指南都未規定列入監控名單的條件和AFR部署地點的標準，因此警務機構的地方政策成為部署AFR的最後依據。為此，英國上訴法院審查了SWP制定頒佈的一些有關部署AFR的地方政策。

SWP就部署AFR制定頒佈了一份題為“《數據保護法》第3部分項下為執法目的進行敏感處理的政策”的地方文件。該文件規定了SWP關於遵守《數據保護法》第3部分的政策，具體包括：

**（1）合法與公平。**SWP處理案件的合法性源於其作為英國警務機構的法定職能，包括調查和偵查犯罪以及逮捕罪犯、遵照法院逮捕令要求逮捕未出庭被告人等。

**（2）數據最小化。**SWP只在法律允許的情況下處理個人敏感數據，這些個人敏感數據是為了明確和合法的目的而收集的。

**（3）準確性。**在部署AFR期間，SWP收集一些必要信息，以確定哪些人在監控名單上。如果處理是為了研究和分析，則儘可能使用匿名或去識別的數據集進行處理。

**（4）存儲限制。**在部署AFR期間，部署當天構建監控名單，如果部署超過24小時，則將每天對名單進行修改。在法律允許的情況下，並符合比例性原則，SWP可以與其他組織（例如其他警務機構和執法部門）核對這些信息。

**（5）誠信與保密。**SWP在網上公佈完整的數據保留政策，有關AFR的信息也可在SWP 的AFR網頁上找到。處理SWP信息的工作人員都通過了安全考試，並按要求完成正確處理信息的年度培訓。SWP還擁有專業的安全人員，以幫助信息免受意外或非法破壞、丟失、更改、未經授權的披露或訪問的風險。

後來，SWP又制定頒佈了《標準操作程序》，專門增加人臉識別部分，適用於部署AFR。《標準操作程序》的主要內容包括：

（1）每一次部署的監控名單應當符合比例性原則並且是必要的，列入監控名單的主要因素包括監控人員的規模、圖像質量、圖像來源和列入理由。

（2）監控數據庫中圖像數量不能超過2000幅，誤報率不得超過千分之一。

（3）18歲以下的未成年人一般不會出現在監控名單中，因為不成熟的面孔會降低系統的精確度。

（4）在任何可能的情況下，部署AFR的決定最終將由高級別警官作出。

（5）部署AFR的理由應當記錄在部署前的報告中。

（6）應當設置告知部署AFR的標誌，以確保在可能的情況下，個人在其面部圖像被拍攝之前知道部署AFR的情況。

（7）不應當僅僅根據“相似性得分”決定是否採取干預措施，如決定進行干預時，辦案警員還應當通過其他傳統警務方法確定該個人的身份。

英國上訴法院認為，SWP的AFR事實上可以覆蓋到任何警方感興趣的人。這賦予辦案警員太大的自由裁量權，可以決定誰應該進入監控名單。英國上訴法院還認為，SWP的地方政策只是對AFR部署地點作了描述性的規定，沒有提出任何規範性要求，並且部署範圍很廣，沒有明顯的限制，將AFR部署地點直接交給個別警員自行決定。因此，SWP部署AFR的地方政策也不能為其部署AFR提供充分的法律依據。

上訴法院的最終結論及啓示

根據上述分析，對於部署AFR來説，英國雖然存在相應的法律框架，但其根本缺陷涉及兩個令人關切的問題。第一個問題是列入監控名單的條件；第二個問題是AFR的部署地點。目前，英國法律法規及地方政策都未明確列入監控名單的條件，也未明確AFR部署地點的標準。英國上訴法院認為，對於這兩個問題，英國現行法律法規及地方政策賦予辦案警員的裁量權過大，目前不存在一個充分的法律框架作為SWP部署AFR的依據。

在本案中，當事人、相關機構及人員提出了各自不同的主張，英國高等法院和英國上訴法院的判決也不盡一致，但是本案仍然可以提供一些有益的啓示。一方面，英國對於人臉識別技術有一套相對完備的監管制度。從本案中，我們可以看出，這套監管制度包括國際層面的《歐洲人權公約》，國家層面的《數據保護法》等法律，政府主管部門層面的準則和指南等，還包括部署AFR的警務機構（例如本案中的SWP）制定頒佈的地方政策。另一方面，英國司法對於人臉識別技術堅持審慎態度，甚至有近似嚴苛的要求。在本案中，部署AFR的主體SWP是具有執法權的警務機構，部署AFR的目的在於更好地履行職責，但是在製作監控名單和選擇部署地點方面自由裁量權過大。英國上訴法院據此認為，SWP部署AFR不存在一個充分的法律框架，因此是不合法的。

來源：來源：藍海現代法律 (原載於《人民法院報》2020年11月20日）