英国数据保护域外管辖新判例：信息专员诉Clearview AI

信息专员诉Clearview AI案：上级裁判所明确数据保护法的域外效力

2025年10月6日，英国上级裁判所（行政上诉庭）对信息专员诉Clearview AI公司一案作出裁决，推翻了一审裁判所2023年的决定。案件焦点在于这家美国科技公司是否受英国及欧盟数据保护法规制。Clearview利用爬虫工具从公开网络抓取数百亿张人脸图像，为外国国家安全和执法机构提供面部识别服务。一审认为其处理行为虽属GDPR第3(2)(b)条地域范围，但因客户行使外国国家职能，故排除在GDPR适用范围之外。

上级裁判所指出：（1）一审对GDPR第2(2)(a)条解释有误——该条仅划分欧盟与成员国权责，不涉及外国国家或私人活动；（2）对“行为监测”解释过窄——应广义理解，包括自动化收集、分类和存储以备后续使用，不要求主动监视；（3）“与……相关”应广义解释——不仅适用于自行监测的控制者，也适用于数据处理与其他控制者监测相关的控制者；（4）一审认定Clearview自身不构成行为监测错误——其收集整理行为丰富的数据本身即构成监测；（5）国际礼让原则不排除管辖——Clearview是独立商业实体，非外国国家代理人。上级裁判所支持信息专员上诉，撤销一审决定，发回重审，确认专员有管辖权。

该判决是英国数据保护法域外适用的重要判例，明确了“行为监测”和“与……相关”的广泛含义，确认专员有权对境外Clearview发出执行和罚款通知。但仅解决管辖权问题，实质违法及处罚是否维持仍待一审重审。

2025年10月6日，上级裁判所（行政上诉庭）作出判决，推翻一审2023年10月17日的决定。案件涉及美国Clearview AI公司使用爬虫从公开互联网抓取数百亿张人脸图像是否受英国和欧盟数据保护法管辖。该公司向外国国家安全和执法机构提供面部识别服务。一审认为其处理虽属GDPR第3(2)(b)条地域范围，但根据第2(2)(a)条因客户行使外国国家职能而被排除。

上级裁判所认为：（1）一审对第2(2)(a)条解释错误——该条仅涉及欧盟与成员国权责划分，不涉及外国国家或私人活动；（2）对“行为监测”解释过窄——应广义包括自动化被动收集、分类和存储以备后续使用（包括其他控制者使用），不要求主动监视或人为干预；（3）“与……相关”应广义——不仅适用于自行监测的控制者，也适用于数据处理与其他控制者监测相关的控制者；（4）一审错误认定Clearview自身不进行行为监测——其收集、整理和存储行为丰富的数据本身即构成行为监测；（5）Clearview的处理不因国际礼让原则被排除——Clearview是独立商业实体，非外国国家仆人或代理人。上级裁判所允许信息专员上诉，撤销一审决定，发回重审，确认专员有管辖权。

这是英国和欧盟数据保护法域外适用的重要判决。它明确了GDPR下“行为监测”和“与……相关”的广泛含义，并确认在本案事实下，信息专员有权向Clearview发出执行和罚款通知。但判决仅解决管辖权问题，Clearview是否实质违反数据保护法以及处罚是否最终维持，仍需一审裁判所决定。