Clearview AI因从互联网抓取人脸数据并委托境外合作方训练模型被全球多国监管机构处罚案（2021-2023年，跨国系列执法）

【案件背景】
Clearview AI是一家总部位于美国的AI公司，开发了一套面部识别搜索引擎——通过从互联网上公开的社交媒体、新闻网站等来源抓取超过300亿张人脸图像建立数据库，并向执法机构和商业客户提供人脸匹配服务。Clearview AI声称其服务不对公众开放，仅向执法机构提供，但其运营模式自2020年被《纽约时报》曝光以来，引发了全球范围的隐私监管风暴。Clearview AI的运营涉及三重数据共享/委托处理问题：①从全球互联网上抓取人脸数据——数据来源涉及无数网站和平台；②将图像数据委托给位于全球多个国家（包括印度、乌克兰等）的AI标注和训练服务商进行人脸识别模型的训练和优化；③向全球数千家执法机构提供人脸匹配结果——将数据库中的图像和个人信息共享给客户。

【违法事实（以英国ICO调查结论为核心）】
（1）Clearview AI在未取得任何法律依据的情况下，从英国公民在社交媒体（Facebook、Instagram、Twitter、LinkedIn）、新闻网站、博客等公开来源抓取了大量人脸图像，并建立了包含人脸向量和关联网页元数据的可搜索数据库。ICO认定该行为违反英国UK GDPR第6条（处理的合法性），因为Clearview AI的处理不具有任何法定合法依据——既未获得同意，也无法证明其处理对执法目的的必要性。
（2）Clearview AI将抓取的数据委托给位于印度、乌克兰等国的第三方公司进行图像标注和模型训练。该委托处理存在多个合规问题：未与受托方签订充分的数据处理协议；未对受托方的安全措施进行充分尽职调查；通过委托处理将英国公民的个人数据实质上转移至数据保护水平较低的国家，而未提供GDPR第五章要求的“充分保护水平保障措施”。
（3）Clearview AI向全球执法机构提供的人脸匹配服务，本质上是将数据库中的个人数据（人脸图像+来源URL+相关元数据）共享给第三方。对于每一次查询请求，Clearview AI都会向客户披露与该查询人脸相似的多张照片及其来源URL，从而可能揭示该数据主体的身份信息、社交关系和活动轨迹。ICO认定该行为构成未经授权的数据共享和披露。
（4）Clearview AI的整个数据处理链路完全对数据主体（被采集的公民）不透明：公民不知道自己的照片被抓取和保留在Clearview AI的数据库中；无法行使访问权、更正权、删除权等GDPR赋予的数据主体权利。
（5）Clearview AI辩称其服务在英国不可用且未来也不会推出，但其数据库中存在大量英国公民的人脸数据，且英国执法机构可以通过境外访问使用其服务。ICO认定该辩称不成立。

【处罚决定（综合各国）】
英国ICO（2022年5月）：罚款约755万英镑，要求删除英国居民数据；法国CNIL（2021年12月+2022年10月）：罚款2000万欧元+520万欧元，要求删除法国公民数据；意大利Garante（2022年2月）：罚款2000万欧元，要求删除意大利公民数据；希腊HDPA（2022年7月）：罚款2000万欧元；澳大利亚OAIC（2021年11月）：责令停止收集澳大利亚公民面部图像和生物识别模板。
各国合计罚款超过2亿欧元。

【典型意义】
本案是当代个人数据抓取和跨境委托处理领域最具规模和影响的系列执法案件：
第一，确立了“公开可获取”不等于“可自由处理”的全球执法共识。社交媒体上的公开照片仍是个人信息，从互联网大规模抓取人脸数据的行为不得以“数据已公开”为由规避隐私法律的义务。
第二，揭示了跨境委托处理的监管真空：Clearview AI将数据处理委托给低合规成本国家的外包团队的做法，暴露了GDPR和全球隐私法律在执法覆盖面上的困境——委托方设立于美国的公司，受托方位于数据保护法律薄弱的第三国，数据主体位于全球各国。
第三，多国监管机构对同一违法行为的协同执法开创了全球隐私执法的先例，显示了各国对AI面部识别技术隐私风险的共同关切。
第四，本案对AI行业产生了巨大的威慑效应：所有依赖互联网公开数据训练模型的公司都必须重新审视其数据来源合规性和委托处理安排。