大数跨境

数据保护合规新动态:Clearview案明确了UK GDPR 的适用范围,强化了AI 生物识别行业的法律约束

数据保护合规新动态:Clearview案明确了UK GDPR 的适用范围,强化了AI 生物识别行业的法律约束 施吉龙的涉外法与合规旅程
2025-10-10
1
导读:2025年10月08日,英国上诉法庭推翻了 FTT 的关键法律认定,明确 UK GDPR 对 Clearview 此类针对英国居民的处理具有适用性,并将案件发回 FTT 在“ICO有管辖/适用性”的前

一、案件概述

     2022 年 5 月:英国信息专员办公室(ICO)对 Clearview AI 处以 £7.5M 罚款,并要求其删除从英国居民社交媒体和网站抓取的面部图像,理由是违反《UK GDPR》。

     2023 年 10 月:Clearview 在 First-tier Tribunal (FTT) 上诉成功,FTT 认为其行为主要面向外国执法机构,不属于 UK GDPR 适用范围,从而撤销了罚款与删除令。

      2025 年 10 月:Upper Tribunal (UT) 支持 ICO 的上诉,认定 FTT 在适用范围和法律理解上存在错误,裁定 UK GDPR 确实适用于 Clearview 的行为,并将案件发回 FTT 重审。


二、UT 判决要点

1、确认 UK GDPR 适用性:UT 明确认定 Clearview 的数据处理属于“对英国居民行为的监测”,因此落入 UK GDPR 的地域和实质适用范围。

2、纠正 FTT 法律错误:UT 指出 FTT 对“foreign law enforcement exemption”(外国执法豁免)的理解错误,过度扩张了例外条款。

3、程序性结论:UT 将案件发回 FTT,要求在确认 ICO 拥有管辖权的前提下,对罚款、删除令和比例性等实体问题重新审理。


三、施吉龙律师的法律分析

1、适用性问题的法律逻辑

     适用的主要法律条款:UK GDPR 第3条(territorial scope)与第2条(material scope)。

    UT 的推理逻辑:

      Clearview 的处理活动直接涉及对英国居民在线行为的监测,因此构成 UK GDPR 第3(2)(b) 所定义的“境外适用”;

      无论其客户是否为外国执法机关,只要其行为对象包括英国居民,即受 UK GDPR 约束。

    法理参照:该解释延续了 CJEU 在 Google Spain(C-131/12)与 Weltimmo(C-230/14)中的“功能性联系”原则——判断监管适用性时,应以数据处理的对象与影响为核心,而非企业设立地或客户属性。


2、“Foreign Law Enforcement Exemption”的限缩解释

     FTT 的错误理解:认为 Clearview 的客户为外国执法机关,其行为可视为外国执法活动,从而被排除在 GDPR 适用范围之外。

     UT 的纠正:

     GDPR 第2条第2款的“执法豁免”仅适用于本国或欧盟成员国的执法活动;

      商业企业(如 Clearview)向外国政府提供技术支持,不具备公共权力性质,不能援引该豁免。

法律后果:

(1)限缩豁免适用范围;

(2)强调商业行为的独立合规责任;

(3)明确跨境执法合作并非数据保护义务的“避风港”。


3、 ICO 执法权的确认

     UT 立场:只要处理活动触发 UK GDPR 的适用条件,ICO 即具备调查与处罚权,无论数据控制者是否在英国境内设立分支。

    法理意义:确立了英国版“域外执法管辖权”(extraterritorial enforcement power),确保隐私保护义务不会因公司设立地点不同而落空。


四、当前状态与后续

    案件已回到 FTT,将在 UT 的法律指导下重新审理。

    ICO 的罚款与删除令尚未最终确定,但执法的法律基础已被确立。

    Clearview 仍可申请进一步上诉,但难度显著上升。

下一阶段焦点将转向:

(1)ICO 罚款的比例性审查;

(2)删除令的执行与可行性;

(3)Clearview 的合规整改措施。


五、施吉龙律师关于该案件的法律效果与启示评述

1. 对 Clearview AI 的直接法律后果

     短期影响:ICO 的罚款与删除令恢复生效的可能性大幅提升,案件重审后可能维持原金额或作比例性调整。

     长期风险:若 Clearview 继续处理英国居民数据,可能面临累积罚款或强制执行命令;此外,其他欧盟国家的数据保护机构可能引用本案作为先例。

     上诉前景:虽然 Clearview 可申请进一步上诉,但 UT 已确立清晰法律原则,除非出现程序性错误,否则被改判的可能性极低。

2. 对其他企业的示范效应

     AI 与人脸识别公司:须重新审查其训练数据来源,确保未未经同意抓取英欧居民图像。

     跨境执法合作企业:不能再以“服务对象为外国政府”为理由主张豁免,仍须遵守透明度与数据主体权利等义务。

    科技供应链合规要求:境外供应商应纳入英国 GDPR 监管的合规框架,包括指定代表、执行 DPIA、提供删除机制。

3、对英国监管体系的意义

     司法确认 ICO 管辖权:UT 的判决为 ICO 在后续 AI 与数据隐私案件中提供了有力法律基础。

    强化英国隐私法域外效力:表明英国隐私法在后脱欧时代仍与欧盟 GDPR 保持高度一致。

    政策信号:政府和监管机构将更积极介入生成式 AI 与人脸识别系统的风险监管领域。


六、合规核对清单
序号
检查点
说明 / 举例
风险 / 注意事项
1
服务影响范围评估
判断服务是否涉及英国居民行为监测
即便客户在境外也可能触发 UK GDPR
2
地域适用性分析
按 Article 3(2) 判断是否适用
忽视地域触发标准风险高
3
例外条款审核
分析“foreign law enforcement”例外适用性
例外需严格限定,不能滥用
4
角色界定
明确控制者 / 处理者身份
影响合规责任分配
5
合法依据评估
确立处理活动的合法基础
生物识别数据需额外保护
6
比例性 / 最小化原则
避免过度收集与留存
超范围处理风险大
7
数据主体权利机制
建立访问、删除、反对机制
需应对跨境请求
8
DPIA 风险评估
针对高风险处理开展 DPIA
缺少评估可能被认定违规
9
第三方合规要求
客户需签署合规协议
明确违法责任分担
10
日志与审计机制
保存抓取与访问日志
作为监管应对证据
11
跨境传输机制
使用 SCC 或加密传输
注意 UK/EU 新规要求
12
应对监管策略
准备应急删除与停用机制
提升法律防御能力
13
法规监控机制
定期跟踪 UK/EU 法规更新
防止合规滞后
14
透明度机制
披露抓取与用途信息
增强公众与监管信任
15
退出 / 限制机制
设计停用 / 删除方案
应对政策与判决变化


【声明】内容源于网络
0
0
施吉龙的涉外法与合规旅程
1234
内容 104
粉丝 0
施吉龙的涉外法与合规旅程 1234
总阅读0
粉丝0
内容104