全文下载 | 欧盟EDPB《执法领域人脸识别技术应用指南》发布：一个可落地的法律框架

科技

2022-05-18 03:05

认证数据保护官CDPO培训课程第2期正式报名

时间：2022年5月28日、29日（周六、周日）
形式：线上培训及考试
联系：微信（徐博士）：heguilvshi，手机（朱老师）：138 1664 6268

如需欧盟EDPB《执法领域人脸识别技术应用指南》PDF原文，请在公号“数据法盟”后台回复关键词“执法人脸识别”，即可下载！

来源：欧盟EDPB官网

整理：何渊，数据法盟和DPOHUB主理人

布鲁塞尔，5月16日——欧盟数据保护委员会EDPB通过了《执法领域人脸识别技术应用指南》。该指南为欧盟和成员国立法者以及执法机构提供了实施和使用人脸识别技术系统的指导。

EDPB主席Andrea Jelinek说：“虽然现代技术有利于执法，人脸快速识别犯罪嫌疑人，但它们必须满足必要性和相称性的要求。人脸识别技术与处理个人数据（包括生物特征数据）有着内在联系，并对个人权利和自由构成严重威胁。”

EDPB强调，人脸识别工具只能在严格遵守本指南的情况下使用。此外，根据《基本权利宪章》的规定，只有在必要和适当的情况下才能使用这些工具。

在本指南中，EDPB再次呼吁禁止在某些情况下使用人脸识别技术，正如其在《EDPB-EDPS关于人工智能法案提案的联合意见》中所要求的那样。更具体地说，EDPB认为应禁止：

在公共场所对个人进行远程生物识别；
人脸识别系统根据个人生物特征，根据种族、性别、政治或性取向或其他歧视理由，将个人分为若干类；
人脸识别或类似技术来推断自然人的情绪；
执法环境中处理个人数据，这将依赖于一个数据库，该数据库由大规模、不加区分地收集的个人数据组成，例如通过“抓取”在线访问的照片和人脸照片。

该指南将进行为期6周的征求意见。

欧盟EDPB《执法领域人脸识别技术应用指南》

摘要部分

欧盟越来越多的执法机构（LEA）正在使用或打算使用人脸识别技术（FRT）。它可用于身份验证或识别人员，并可应用于视频（如闭路电视）或照片。它可以用于各种处理目的，包括搜索警察观察名单上的人，或监视一个人在公共场所的活动。

人脸识别技术建立在生物特征数据处理的基础上，因此，它会涉及特殊类型个人数据的处理。人脸识别技术通常使用人工智能（AI）或机器学习（ML）的组件。虽然这可以实现大规模数据处理，但也会导致歧视和错误结果的风险。人脸识别技术可用于受控的1:1情况，但也可用于庞大的人群和重要的交通枢纽。

人脸识别技术是执法机构的敏感工具。执法机构大都是拥有权力的行政机关。人脸识别技术容易干涉基本权利，也容易超出了个人数据保护的权利，并且能够影响我们的社会和民主政治稳定。

对于执法环境中的个人数据保护，必须满足本指南的要求。本指南规定了有关人脸识别技术使用的特定框架，尤其是本指南第3（13）条（术语“生物识别数据”）、第4条（与个人数据处理相关的原则）、第8条（处理的合法性）、第10条（特殊类型个人数据的处理）和第11条（自动化个人决策）。

其他几项基本权利也可能受到人脸识别技术的影响。因此，《欧盟基本权利宪章》（"宪章"）对于解释本指南至关重要，特别是宪章第8条规定的保护个人数据的权利，以及宪章第7条规定的隐私权利。

作为处理个人数据的法律依据的立法措施直接干扰了《宪章》第七条和第八条保障的权利。在任何情况下，生物特征数据的处理本身就是一种严重的干扰。这并不取决于结果，即使仅仅是正向的匹配。对行使基本权利和自由的任何限制必须由法律规定，并尊重这些权利和自由的本质。

法律依据必须足够明确，以使公民充分了解当局有权采取任何收集数据和秘密监视措施的条件和情况。仅仅将第10条中的一般条款转移到国内法中，就会缺乏准确性和可预见性。

在国家立法者为使用人脸识别处理生物特征数据的任何形式创建新的法律基础之前，应咨询主管数据保护监督机构。

立法措施必须适当，以实现有关立法所追求的合法目标。一个普遍利益的目标——不管它是多么基本——本身并不能成为限制基本权利的理由。立法措施应根据目标（例如打击特定的严重犯罪）区分和针对受其管辖的人。如果该措施以一般方式涵盖所有人，而没有这种区别、限制或例外，则会加剧干预。如果数据处理覆盖了很大一部分人口，这也会加剧干扰。

数据的处理方式必须确保欧盟数据保护规则和原则的适用性和有效性。根据每种情况，对必要性和相称性的评估还必须确定和考虑对其他基本权利的所有可能影响。如果在数据主体不知情的情况下系统地处理数据，很可能会产生持续监控的一般概念。根据《宪章》第十一条和《宪章》第十条所规定的人的尊严和思想自由，以及根据《宪章》第十条所规定的一切基本自由。

如果对个人数据保护及其限制的干扰仅限于绝对必要的，即不可或缺的，且不包括任何一般性或系统性的处理，则只能将生物特征数据等特殊类别数据的处理视为“严格必要”（本指南第10条）。

照片已由数据主体明确公开（第10条）这一事实并不意味着可以通过特定技术手段从照片中检索的相关生物特征数据被视为已明确公开。服务的默认设置（例如，使模板公开）或无选择（例如，模板在用户无法更改此设置的情况下公开）不应以任何方式解释为已明确公开的数据

第11条为自动化个人决策建立了框架。使用人脸识别技术需要使用特殊类别的数据，并可能导致剖析，这取决于应用人脸识别技术的方式和目的。在任何情况下，根据欧盟法律和本指南第11(3)条，应禁止基于特殊类型的个人数据而导致对自然人的歧视的特征分析。

第6条涉及区分不同类别数据主体的必要性。根据本指南的规定，对于没有证据表明其行为可能与合法目的有联系（甚至是间接或远程）的数据主体，很可能没有理由进行干预。

本指南第4（1）（e）条还要求遵循数据最小化原则，即在部署之前，任何与处理目的无关的视频材料都应删除或匿名（例如，通过模糊处理，无法追溯恢复数据）。

在启动任何人脸识别技术处理之前，数据控制者必须仔细考虑如何满足数据主体的权利要求，因为人脸识别技术通常涉及处理特殊类型的个人数据，而没有与数据主体进行任何明显的交互。

数据主体权利的有效行使取决于控制者履行其信息义务（第13条）。在评估是否存在第13(2)条LED规定的 "特定情况 "时，需要考虑几个因素，包括是否在数据主体不知情的情况下收集个人数据，因为这将是使数据主体有效行使其权利的唯一途径。如果决策是完全基于人脸识别技术进行的，那么需要告知数据主体自动决策的特点。

关于访问请求，当生物识别数据被存储并通过字母数字数据与身份相连时，根据数据最小化原则，这应允许主管当局根据这些字母数字数据的搜索对访问请求进行确认，而不对其他人的生物识别数据进行任何进一步处理（即通过在数据库中用人脸识别技术搜索）。

如果不准确的数据存储在警察数据库中或与其他组织共享，数据主体的风险会变得尤其严重。控制者必须对存储的数据和人脸识别技术系统进行相应的纠正，详见本指南第47条。

当涉及到人脸识别技术（基于算法，因此永远不会显示一个确定的结果）时，在收集大量数据和识别的准确性和质量可能不同的情况下，限制的权利变得特别重要。

在使用人脸识别技术之前进行数据保护影响评估（DPIA）是一项强制性要求，参见第27条。EDPB建议公开此类评估的结果，或至少公开DPIA的主要调查结果和结论，作为一种增强信任和透明度的措施。

大多数部署和使用人脸识别技术的案例对数据主体的权利和自由具有内在的高风险。因此，部署人脸识别技术的机构应在部署系统之前咨询主管监管机构。

鉴于生物特征数据的独特性质，实施或使用人脸识别技术的当局应根据本指南第29条的要求，特别注意处理的安全性。特别是，执法机关应确保该系统符合相关标准，并实施生物识别模板保护措施。在开始处理个人数据之前，必须将数据保护原则和保障措施嵌入技术中。因此，即使执法机构打算从外部供应商处申请和使用人脸识别技术，也必须确保（例如通过采购程序）仅部署基于设计和默认数据保护原则的人脸识别技术。

日志记录（参见本指南第25条）是核实处理合法性的重要保障，无论对于内部（即有关控制者/处理者的自我监测）还是对于外部监督机构。在人脸识别系统中，还建议对参考数据库的变化和识别或验证尝试进行记录，包括用户、结果和信心分数。

EDPB和EDPS的联合呼吁禁止某些类型的处理，涉及（1）在公共可访问空间对个人进行远程生物识别，（2）人工智能支持的人脸识别系统，根据个人的生物特征，按照种族、性别、政治或性取向或其他因素将其分为不同的群组。（3）使用人脸识别或类似技术来推断自然人的情绪，（4）在执法环境中处理个人数据，这将依赖于通过大规模和不加区分地收集个人数据而填充的数据库，例如，通过“抓取”照片和可在线访问的人脸照片。

本指南针对欧盟和国家层面的立法者，以及执法机构及其官员实施和使用人脸识别技术系统。只要个人感兴趣，或作为数据主体，特别是关于数据主体的权利，他们就会受到关注。

本指南旨在告知人脸识别技术的某些属性以及执法的适用法律框架。

-此外，它们还提供了一种工具来支持对特定案例的敏感性进行第一次分类（附件一）。

-它们还包含对希望采购和运行人脸识别技术系统的执法机构的实用指南（附件二）。

-该指南还描述了几个典型案例，并列出了许多相关的考虑因素，特别是在必要性和相称性测试方面（附件三）。

以下是欧盟EDPB《执法领域人脸识别技术应用指南》全文