Clearview AI非法收集人脸数据案

【案件背景】
2024年5月16日，荷兰数据保护局（Autoriteit Persoonsgegevens, AP）公布了对美国面部识别技术公司Clearview AI Inc.的处罚决定，处以3050万欧元罚款，并威胁若继续违规将追加510万欧元罚金。
Clearview AI是一家总部位于美国的商业人脸识别公司，其从互联网上公开来源（包括社交媒体、新闻网站等）大量抓取人脸图像，建立了包含超过300亿张人脸照片的非法数据库。该公司将这些照片转换为每张人脸唯一的生物识别码，并向情报机构和执法部门提供人脸比对查询服务。此前，法国CNIL、意大利Garante、希腊DPA、英国ICO等欧洲多国数据保护机构已相继对Clearview AI作出处罚，本案是欧洲对该公司的又一次重大制裁。

【违法事实】
荷兰DPA认定Clearview AI存在以下严重违反GDPR的行为：
1. 未经数据主体同意，从互联网大规模抓取人脸图像并建立包含数十亿张照片的数据库，其中包括大量荷兰公民的照片，构成对GDPR第6条（处理合法性）的根本性违反；
2. 将人脸图像转换为独特的生物识别码（类似指纹），属于GDPR第9条规定的特殊类别（敏感）数据的处理，而Clearview AI不符合该条规定的任何例外情形；
3. 未能按照GDPR第13条和第14条的要求，向数据主体（被收集人脸信息的人）提供任何有关其数据处理活动的信息，数据主体根本不知道自己的照片被纳入数据库；
4. 将欧洲公民数据暴露于隐私保护水平远不及欧盟标准的境外机构；
5. 荷兰DPA主席Aleid Wolfsen指出，面部识别是一种高度侵入性的技术，不能由商业公司随意对全球任何人使用。

【处罚决定】
1. 行政罚款3050万欧元；
2. 要求立即停止所有违反GDPR的数据处理行为；
3. 若拒不执行，将面临最高510万欧元的追加罚款；
4. 荷兰DPA同时警告，使用Clearview AI服务的荷兰公司也可能面临巨额罚款。

【典型意义】
本案是GDPR框架下针对AI面部识别技术数据收集合法性的标杆性案例。核心原则：从公开互联网抓取人脸数据并建立商业数据库的行为本身即缺乏合法基础；将人脸图像转换为生物识别码属于对敏感个人数据的处理，必须满足更严格的合规要求；商业公司不能以仅向境外执法机构提供服务为由规避GDPR的管辖权。本案对全球从事人脸识别、AI视觉技术的企业具有重要的合规警示意义。