Clearview AI 是一家总部位于美国、颇具争议的面部识别初创公司，通过未经同意抓取互联网个人自拍照片，建立了包含300亿张图像的数据库。如今，该公司在欧洲遭遇了迄今为止最大的一笔隐私罚款。
荷兰数据保护局（Autoriteit Persoonsgegevens，简称AP）周二表示，在确认该数据库包含荷兰公民图像后，因Clearview AI多项违反欧盟《通用数据保护条例》（GDPR）的行为，对其处以3050万欧元罚款（约合3370万美元）。此金额超过了法国、意大利、希腊和英国等国数据保护机构在2022年分别实施的GDPR制裁总额。
AP在新闻稿中警告称，鉴于Clearview AI在调查结束后仍未停止违规行为，已下令追加最高510万欧元罚款以应对持续不合规情况。若该公司继续无视监管，总罚款金额可能高达3560万欧元。
违规事实与监管回应
荷兰数据保护局于2023年3月启动调查，起因是收到三名个人投诉，指控Clearview AI未能遵守数据访问请求。GDPR赋予欧盟居民索取数据副本或要求删除数据的权利，但该公司并未履行此类义务。
此外，AP还对以下GDPR违规行为进行了处罚：
- 非法收集生物识别数据：在缺乏合法依据的情况下收集人们的面部生物特征以建立数据库。AP明确指出：“收集和此类数据的使用是被禁止的。虽然存在法定例外，但Clearview无法援引。”
- 违反透明度要求：未能通知被抓取并纳入数据库的个人数据所属者。
针对处罚决定，Clearview首席法务官Jack Mulcaire声明称，公司在荷兰及欧盟无营业场所、客户或受GDPR约束的活动，认为该决定“不合法、缺乏正当程序且不可执行”。然而，据荷兰监管机构称，由于该公司未对决定提出异议，不得上诉。
值得注意的是，GDPR具有域外效力，只要涉及处理欧盟公民个人数据即适用。尽管Clearview向政府及执法部门提供身份匹配服务，但在欧盟使用该技术面临极高监管风险。AP主席Aleid Wolfsen强调：“使用Clearview的服务属于非法行为，相关荷兰组织将面临巨额罚款。”
探索追究个人责任
尽管Clearview AI在欧盟累计面临约1亿欧元的纸面罚款，但因未在欧盟指定法律代表且不配合执行，实际收缴并不成功。该公司似乎凭借总部在海外而享有运营豁免权，持续公然无视欧洲隐私法。
对此，荷兰AP正探索确保其停止违法的方法，包括调查是否可让公司董事承担个人责任。Wolfsen表示：“如果董事明知GDPR被违反、有权制止却未制止，从而有意接受这些违规行为，那么这种责任就已经存在。”
鉴于Telegram创始人Pavel Durov因平台传播非法内容指控在法国被捕的先例，业界不禁思考：对Clearview管理层实施制裁（如限制其在欧盟境内旅行），是否比单纯罚款更能促使合规？