法国CNIL对Clearview AI非法收集人脸数据并用于自动化面部识别画像处罚案

【案件背景】
2021年至2023年间，法国CNIL对美国人脸识别公司Clearview AI展开系列执法。Clearview AI从互联网上爬取了超过200亿张人脸图像，建立了一个供执法机构使用的人脸比对数据库。用户上传一张人脸照片，系统可在数秒内完成比对并返回此人的其他照片和来源链接——这是一个完全自动化的画像和识别过程。

【违法事实】
CNIL确认Clearview AI存在以下违法：一是非法收集生物识别数据——未经数据主体知情或同意从互联网大规攇爬取人脸图像，违反了GDPR第6条的合法基础要求，生物识别数据作为特殊类别数据适用第9条的禁止原则；二是自动化面部识别画像构成GDPR第22条的重大影响自动化决策——系统在无任何人工干预的情况下自动将照片与数据库中的人脸进行关联和识别，产生的结果可能在执法场景中导致逮捕、搜查等具有法律效力的后果；三是数据主体对Clearview AI的数据库一无所知——没有人知道自己的脸已被收入该数据库，更不可能对识别结果提出异议或行使GDPR权利。

【处罚决定】
CNIL先后对Clearview AI处以总计超过5000万欧元的罚款（多次处罚累加），责令其在2个月内删除法国境内数据主体的所有生物识别数据，并禁止其在法国境内从事任何形式的未经同意的人脸数据收集和处理活动。Clearview AI未遵守处罚决定，CNIL追加处罚。

【典型意义】
一是自动化人脸识别+无人工干预构成了GDPR第22条'重大影响自动化决策'的新范式——识别结果直接影响个人的自由、声誉甚至人身安全；二是本案暴露了美国公司在GDPR域外适用面前的无力和抗拒——虽然Clearview AI声称不在欧盟设立机构，但因其处理欧盟公民数据，GDPR仍适用；三是大规攇爬取+自动化比对+执法用途的组合存在严重的正当程序缺失。