爱案例·全球AI诉讼风向标

欧盟行政面部识别数据保护、隐私侵犯、GDPR合规已终审

Clearview AI因非法收集和处理个人数据被荷兰数据保护局处以3050万欧元罚款案

Clearview AI荷兰罚款案

重要性评级

法院：荷兰数据保护局（Dutch Data Protection Authority, DPA）

判决时间：2023年09月03日

当事方：监管机构：荷兰数据保护局；被处罚方：Clearview AI公司

Clearview AI因非法收集和处理个人数据，被荷兰数据保护局处以3050万欧元罚款。

案情概述

综合媒体2023年9月3日报道，知名AI公司Clearview AI因其非法收集和处理个人数据，再次受到欧洲监管机构的严厉处罚。荷兰数据保护局（Dutch Data Protection Authority, DPA）对Clearview AI处以3050万欧元（约2.4亿人民币，3370万美元）的罚款。这是该公司因违反《通用数据保护条例》（General Data Protection Regulation, GDPR）而在欧洲遭遇的最新制裁。荷兰数据保护机构指控Clearview AI多项违反GDPR，包括建立非法数据库以及未能向存储数据的个人提供足够的透明度。该公司还因不配合数据访问请求而受到批评。除了罚款外，荷兰数据保护机构还要求Clearview停止其违规行为。如果该公司不遵守规定，可能会面临高达510万欧元的额外罚款。荷兰数据保护机构还在探索让Clearview董事对违规行为承担个人责任的方法。Clearview AI通过网络爬虫技术，从社交媒体、新闻网站等公开平台抓取了数十亿张图像，并建立了一个庞大的面部识别数据库。荷兰DPA指出，这种未经用户同意的行为严重违反了GDPR，特别是面部识别等高度敏感的数据。荷兰DPA以“严重侵犯个人隐私权利”为由，对其处以巨额罚款，旨在发出强烈信号，表明欧盟对数据保护的坚定立场。

核心争议焦点

1未经同意收集和处理个人面部识别数据是否违反GDPR
2数据主体知情权和数据访问请求的履行情况
3Clearview AI是否受GDPR管辖

双方观点

原告主张

荷兰数据保护局指控Clearview AI公司：1. 未经用户同意，非法收集和处理个人面部识别数据，违反GDPR。2. 建立非法数据库。3. 未能向存储数据的个人提供足够的透明度。4. 不配合数据访问请求。

被告抗辩

Clearview AI的首席法律官Jack Mulcaire坚称，Clearview AI不受GDPR的约束，因为公司在欧盟没有实际业务运营。他还指出，这一罚款是“非法的”，并且无法在美国执行。

关键证据

Clearview AI通过网络爬虫技术，从社交媒体、新闻网站等公开平台抓取了数十亿张图像，并建立了一个庞大的面部识别数据库。荷兰数据信息局称，Clearview AI在其包含超过300亿张照片的庞大图像数据库中填充了荷兰人的面孔，但并未征得他们的同意。这些面孔随后被转换成独特的生物特征代码，用于全球范围内运行的面部识别系统，从而识别这些人并将其与在线账户和活动联系起来。

法院说理

荷兰DPA认为，Clearview AI未经用户同意，非法收集了荷兰公民的面部识别数据，严重侵犯了个人隐私权利。GDPR明确要求，收集和处理个人数据必须得到数据主体的明确同意，尤其是面部识别等高度敏感的数据。荷兰DPA主席阿莱德·沃尔夫森(Aleid Wolfsen)表示：“面部识别是一种高度侵入性的技术，你不能简单地对世界上任何人使用。”并指出Clearview AI的行为是对数据保护原则的公然蔑视，不仅威胁到公民的隐私权利，还破坏了对互联网信息保护的信任。这种大规模、未经授权的数据抓取和处理行为必须受到制裁，以确保公众的隐私权利不受侵害。

裁判要点

1Clearview AI非法收集和处理个人面部识别数据，违反GDPR。
2Clearview AI未能向存储数据的个人提供足够的透明度，且不配合数据访问请求。
3处以3050万欧元罚款，并要求停止违规行为，否则将面临额外罚款。
4探索让Clearview董事对违规行为承担个人责任。

最终判决结果

荷兰数据保护局对Clearview AI处以3050万欧元罚款，并要求其停止违规行为。若不遵守，将面临高达510万欧元的额外罚款。荷兰数据保护局还在探索让Clearview董事承担个人责任。

引用法条

《通用数据保护条例》（General Data Protection Regulation, GDPR）

适用法律原则

数据主体同意原则数据处理透明度原则个人数据保护原则

AI技术详情

技术类型：面部识别

技术实现说明

Clearview AI的核心技术是面部识别，通过网络爬虫抓取公开可访问的图像，构建了一个涵盖全球数十亿张面孔的数据库。这些面孔被转换成独特的生物特征代码，用于全球范围内运行的面部识别系统，从而识别这些人并将其与在线账户和活动联系起来。

延伸阅读

法律意义

此案标志着欧盟在数据隐私保护方面的又一次强有力执法行动，进一步突显了Clearview AI在全球范围内的合规挑战，特别是在数据隐私方面。它强调了监管机构对大规模、未经授权的数据抓取和处理行为的零容忍态度，并为其他国家和地区处理类似案件提供了参考。此案也可能对Clearview AI的未来运营和国际法律管辖权挑战产生重大影响。

行业影响

此案对AI行业，特别是涉及生物识别技术和大规模数据收集的公司，发出了明确的警示。它促使企业更加重视数据隐私合规，尤其是在GDPR等严格的数据保护法规下。未来，AI公司在开发和部署技术时，需要更加审慎地考虑数据来源的合法性、用户同意的获取以及数据处理的透明度，以避免类似的法律风险和巨额罚款。这可能加速行业内对隐私保护技术的研发和应用，并推动建立更健全的数据伦理和治理框架。