英国ICO对Clearview AI通过互联网大规模爬取人脸图像并用于自动化识别的Cookie和追踪执法案

【案件背景】
2022年5月，英国ICO对Clearview AI处以超过750万英镑的罚款，原因是该公司从互联网（包括社交媒体平台）上大规模爬取了英国居民的人脸图像，建立了一个供执法机构使用的全球人脸识别数据库。虽然该案主要涉及生物识别数据，但ICO的调查中也关注了Clearview AI使用类似Cookie的追踪技术进行互联网大规模数据抓取的问题。

【违法事实】
ICO认定Clearview AI的行为严重违反英国数据保护法：一是使用自动化爬虫技术（类似跨站追踪Cookie的功能但更为激进）在全球互联网上系统性地收集人脸图像——该技术不仅收集公开可见的图像，还绕过网站的robots.txt限制进行抓取；二是数据收集没有任何同意基础——被收集的人脸图像的数据主体对其数据被爬取和用于执法机构查询完全不知情；三是未提供数据主体行使GDPR权利的途径——被错误识别的人无法请求更正或删除其数据。

【处罚决定】
ICO于2022年5月对Clearview AI处以755万英镑罚款，要求删除英国居民的所有人脸图像数据，并停止在英国境内（包括通过互联网）进一步收集人脸图像。Clearview AI随后提出上诉但被驳回。

【典型意义】
一是本案说明追踪技术合规涵盖的范围远超传统的浏览器Cookie——包括网络爬虫、指纹识别、像素追踪等一切自动化数据收集技术；二是网站公开可见的内容不等于可以自由爬取用于商业或执法目的；三是即使物理上位于美国的企业，只要其追踪和爬取活动触及英国居民数据，ICO即主张管辖权。