數據保護法律制度中的英國警察

文/夏建蘭

2018 至2019 年，英國西米德蘭茲郡警察局、倫敦大都會警察局和大曼徹斯特警察局等八個警察部門共同參與研發了一個利用人工智能和數據統計分析學技術來預判嚴重暴力犯罪的人工智能系統，名為“國家數據分析解決方案”（NDAS）。在投入大量研發資金后，該系統卻因為誤判率高、涉及數據保護等人權問題被叫停。作為犯罪預判和防范的一大利器，大數據分析在英國未來警務工作中的應用仍將面臨各項挑戰，包括英國數據保護法律的監督與制約。

保障執法數據安全合法

英國政府在1984 年、1998 年和2018 年共頒布了三部《數據保護法案》（DPA1984、DPA1998 和DPA2018）。《2018年數據保護法案》新增多項內容。其中新增的第三部分內容是執法數據處理，為刑事司法機構設立了專門的數據保護框架。警察隊伍是個人數據的收集者、控制者、處理者、傳輸者和分享者，也是數據保護法約束的主要對象之一。除電話信息攔截和網絡連接記錄獲取等信息技術以外，英國警察開始嘗試在警務工作中開發運用人工智能技術、生物特征識別技術和大數據分析技術，產生了更多的數據處理和數據保護問題。英國警察被要求在“數據控制和處理中不超出執法必要性”。面對英國獨立數據保護監督機構信息專員辦公室（ICO）的定期審計調查和越來越嚴格的數據保護工作需求，英國警方不但要制定適用于警方的數據保護政策，還要任命專門負責數據保護工作的數據保護官（DPO），設立信息權保護部門，所有警察和文職都要經過專門數據保護培訓。

根據英國《通用數據保護條例》（UK GDPR）第10 條規定，只有公務職權機構，出于執法目的，有權處理有關刑事定罪和罪行的個人數據。以執法為目的是指出于預防發現犯罪、維護秩序、保護生命財產、抓獲犯罪分子歸案受審、執行刑事訴訟搜查令和出庭作證等目的。但英國《2018 年數據保護法案》第10 條和附則1 第3 部分又加以規定，如符合特定情形之一，則其他部門和個人可處理該類數據。特定情形包括取得個人同意、保護個人重大利益、非牟利團體處理、公共領域個人數據、合法要求、司法行為、用于實施猥褻兒童罪賬戶管理、重大公共利益和保險條件延伸等。該補充法條為英國警察打擊犯罪破除了數據保護和隱私保護法律的一部分阻力，有利于警方開展工作。

根據《2018 年數據保護法案》規定，執法數據包括姓名、地址等很多個人細節信息，以及受害人或目擊者提供的信息、監控音視頻、銀行財務信息、情報、報案人、案件和事故細節、被指控或事實違法信息、警察和文職存取的執法記錄等。除一般個人數據外，還包括敏感個人信息，如種族、民族、政治觀點、宗教或哲學信仰、工會會員身份、基因數據、生物特征識別數據、健康數據、性生活或性取向等。在敏感信息的收集、控制、處理、傳輸和分享方面，警方要遵循更嚴格的流程和規定。

英國《通用數據保護條例》和《2018 年數據保護法案》明確規定了“執法數據處理六大原則”，包括數據處理合法且公平、數據處理目的具體明確正當、數據準確相關且不超量、數據修正更新及時、數據保留不超期限和數據安全有保障等。在警方的數據控制和處理中，媒體曝光最多的是數據儲存權限、刪除及時性和數據泄露問題。

（1）數據存儲權限問題

警方數據庫和IT 系統須定期審核，由專門管理人員利用專門軟件刪除無權持有的數據。在《2018 年數據保護法案》的第三部分“執法處理六大原則”中，第一原則是“為了任何執法目的的處理數據必須合法且公平”，第二原則是“個人數據必須具體、明確、正當地收集”，第三原則是“處理的個人數據必須準確、相關且不超過與預期處理目的相關的量”。此外，對于特殊敏感數據，一旦數據主體撤銷“同意”處理其特殊類別數據的意見，其個人數據應在其撤銷同意后立即銷毀。警方數據庫中的個人數據是否合法持有、是否正當收集、是否與某執法目的相關和是否超量等是數據保護團體關注的主要問題。

案例一：

2012 年，倫敦大都會警察局遭起訴，兩名英國公民要求警方刪除其數據庫儲存的兩人的面部照片，并勝訴。法院要求英國所有警察局“在數月內”修改有關使用面部照片的規定。2015 年2 月，英格蘭和威爾士警方在面相辨認數據庫輸入1800 萬張警方拍攝的涉及很多無辜民眾面部的照片，且被指這一舉措并未通知生物信息專員和內政部。此后，倫敦警方暫停面部照片輸機的做法。

倫敦警方暫停面部照片輸機使用

在《通用數據保護條例》和《數據保護法案》數據保護制度下，警方的執法數據收集和控制受到更多監督。

（2）數據處理保留期限問題

英國警察和文職須確保處理的個人數據準確，并及時更新。根據《2018 年數據保護法案》執法數據處理第四原則規定，“出于任何執法目的處理的個人數據必須準確，并且在必要時更新至最近日期；以及考慮到其處理的執法目的，必須采取全部合理步驟來確保不準確的個人數據被毫不延遲地刪除或糾正”。執法數據處理第五原則規定“出于任何執法目的處理的數據必須只能被保留不超過其基于該目的進行處理之必要的期限”。除存檔和科研等需要以外，對于一般執法數據，英國警方須根據其官網公布的“記錄保留標準操作流程”，在規定特定場景下個人數據可保留的時限前刪除無權持有的數據記錄。

案例二：

據2021 年1 月20 日媒體通報，因為人為編碼錯誤，刪除電腦無權持有的記錄的軟件失靈，英國國家警務計算機系統內約40.3 萬份記錄以及其他數據庫的2.6 萬份DNA 記錄和3 萬份指紋記錄被錯誤刪除，包括已被定罪人員、被通緝人員、失蹤人口、失蹤車輛以及贓物數據等。

這起人為編碼錯誤導致的誤刪事件以及刪除記錄軟件的使用，一方面反映了英國警方具有較高的數據保護意識，數據隱私保護和定期刪除無權持有的數據記錄已經成為日常工作慣例；另一方面，也體現了警方IT 系統和數據安全方面的脆弱性。

（3）數據處理安全保障

根據《2018 年數據保護法案》的執法數據第六原則規定，執法機構“應當采取適當的組織和技術措施，確保以適當的安全方式處理出于任何執法目的而處理的個人數據”。在技術措施方面，根據內閣辦公室和內政部規定的信息安全標準，英國警方應采取包括加密、防火墻、殺毒軟件、IT 健康檢查、網絡弱點評估和滲透測試過程、用戶認證、不同身份訪問權限及密碼訪問、技術保證、技術審核和端點管理，尤其是在郵件與網絡安全、信息安全事件報告、信息安全分享、移動數據與遙控、記錄保存期限、數據安全銷毀處理、記錄存儲和審計等各方面按照規定辦理。在組織措施方面，所有警察和文職須在任職前經過審查，訪問警方數據系統前須經過信息保障和反腐部門專門培訓，并就數據系統使用和數據保護經過專門培訓。警方數據系統所在場所僅限特定權限人群進入。但百密仍有一疏，英國警方在2019 年6月至2021 年6 月的兩年間共發生12 起數據泄露事件，英格蘭和威爾士地區的警察數據平均每周受到8 次破壞。數據泄露問題牽連甚廣，是警方和數據保護團體最關注和頭疼的問題。

案例三：

據2021 年12 月報道，達科爾公司（Dacoll）網絡系統遭到網絡釣魚攻擊。該公司為英國 90% 的警隊提供“關鍵”網絡服務，警方數據系統被克拉普勒索軟件團伙（Clop）侵入訪問，機密數據在暗網中被泄露，包含1300萬人的個人信息和記錄，如從國家自動車牌識別（ANPR）系統中竊取的駕駛者圖像、鏡頭以及犯有交通違法行為的駕駛員面部特寫圖像。

開展數據保護案件犯罪調查

英國信息專員辦公室，是負責英國信息公開、信息自由和數據隱私權保障的一家獨立執法監管機構。信息專員辦公室日常工作包括負責收繳數據費，登記組織機構數據保護信息，審計組織機構數據保護工作，受理數據保護申訴，處理數據保護咨詢，推動數據保護國際合作，資助數據保護科研、論壇和創新項目，以及推動兒童數據保護新立法。但在數據保護案件尤其是數據泄露案件，以及由數據泄露衍生的詐騙、兒童數據違法和網絡安全犯罪案件等刑事犯罪調查和犯罪預防工作中，英國警方責任重大，并積極開展與各國警方的國際合作。

案例四：

2020 年初，英國國家打擊犯罪局（NCA）會同美國聯邦調查局（FBI）、荷蘭國家警察部隊（NNPC）、德國聯邦刑事警察局（BKA）和北愛爾蘭警察局（PSNI）聯合查封了泄露數據售賣網站域名。該在線服務網站因提供有償訪問非法獲取的個人信息的搜索引擎，以及客戶數據泄露通知服務，被各國警方聯合執法。據稱，該數據售賣網站持有10000 多個數據泄露事件中非法獲取的120 億條個人信息，涉及姓名、電子郵件地址、用戶名、電話號碼和賬戶密碼等信息。英國國家打擊犯罪局逮捕了利用被盜證件從事違法活動的21 名嫌疑人，并查獲了價值41000 英鎊的比特幣。嫌疑人年齡18 至38 歲，其中9 人因濫用計算機行為被拘，9 人因詐騙被拘，3 人同時涉及濫用計算機行為和詐騙。上述嫌疑人中有人還購買了其他網絡犯罪工具，如遠程控制木馬和加密工具，其中3 人還持有兒童淫穢照片。負責網絡犯罪防范的警察同時還調查了英國、威爾士和北愛爾蘭的69 名年齡16 至40 歲的潛在違法活動嫌疑人，對他們提出了警告。

保障數據主體隱私權和警方政務信息公開透明

按照英國《通用數據保護條例》和《數據保護法案》規定，每個數據主體都享有數據保護法授予的各項數據保護隱私權。除特殊豁免情形和執法情形外，數據主體享有數據處理者所掌握的個人數據的各項權力：獲取權，可向警方提出“數據主體數據獲取申請”；修正權，可指明警方個人數據不準確之處，并加以修改；擦除權，可要求警方銷毀其持有的非執法目的或超出執法需求或逾期的任何個人數據；限制或反對處理權，在特定情形下，可提出限制性要求。例如，限制個人數據的訪問者或分享者。執法數據處理的數據主體包括受害人、目擊者、違法人員、嫌疑人、顧問和其他專家、警察與文職等。因此，英國警察作為一個自然人，也是一個數據主體。此外，根據英國《信息自由法案》（FOIA）和《環境信息法規》（EIR）要求，所有公共部門包括警方還應制定信息發布計劃，并定期發布可公開的數據信息，保障英國公民的信息自由權利。

在保障數據主體權力方面，警方信息權管理部門和數據保護官的一項日常工作之一是處理數據主體數據獲取申請（SARs），即由數據主體向處理其個人數據的警方提出的數據獲取申請，可要求警方提供一份個人數據拷貝及其他附加信息。數據主體提出申請時須填報全名、出生日期、地址、能證明出生日期和現住址的正式證件的掃描件、照片或復印件、申請查閱具體信息的詳細描述等。警方須及時回復數據主體提出的數據獲取申請。英國信息專員辦公室會定期審查統計警方回復及時性，并將其作為考察警方數據保護工作的一項重要指標。

巡邏中的警察

因為防范、調查和起訴刑事犯罪行為，執行刑事處罰，處理公共安全威脅防范等執法目的產生和處理的很多數據不適用于公開，《信息自由法案》和《環境信息法規》要求的政務數據公開透明原則不適用于這類執法數據處理。但除不宜公開的信息外，警方仍須公布其他可公開信息。此外，根據《信息自由法案》和《環境信息法規》規定，公共部門包括警方應為公眾提供信息訪問權限，保障信息自由。對于公眾的信息訪問申請，除特殊豁免案例外，警方應在20 個工作日內予以回復。

盡管在及時處理數據主體數據獲取申請和信息訪問方面存在很多困難，如資金不足、人力不足、招聘信息保護員工困難、信息系統陳舊低效、信息保護在警隊中不受重視、各部門提供信息不配合和信息公開申請激增等，近年來英國警方仍取得了一定的進步。據英國信息專員辦公室公布的數據，2019 年9 月到2020 年8 月，向英國警方提出的數據主體訪問申請和信息訪問申請從69%增加到了80%。19 支警隊在數據訪問申請回復及時性方面達到了90%，18 支回復信息訪問申請及時性達到了90%。逾期未處理的申請從7393 件下降到3750 件，下降了49%。

《調查權力法案》賦予的監控權力與制約

泄露數據售賣網站（WeLeakInfo.com）域名被封

2016 年11 月29 日，英國《調查權力法案》（IPA）在上議院通過，并于12 月30 日正式生效。該法案是英國執法機構和情報機構開展合法監控的法律依據，賦予了警察部門等執法機構新的監視權力，也是打擊控制非法監控、非法攔截信息、非法設備干預和非法獲取通訊信息等違法行為的執法依據。在該法律框架下，警方可從通信服務供應商處收集通話記錄，要求互聯網供應商提供每個設備連接的網址記錄并保存一年，收集使用大數據，干預設備和攔截信息（如在嫌疑人的手機和電腦中植入黑客軟件加以監視等）。盡管該法案致力于全力打擊非法監控行為，并對政府部門的數據工作安全保障提出了更高的標準，隱私權團體卻為公眾的數據隱私權深感擔憂。例如，近年來英國警方嘗試使用人臉識別技術打擊防范犯罪，該技術被認為是繼DNA 分析后的執法新飛躍，卻被隱私權團體抨擊浪費資金，侵犯隱私。

案例五：

從2016 年開始，倫敦大都會警察局利用臉部電腦數據庫與監控錄像監控人群和識別嫌疑人。2019 年，警方邀請埃塞克斯大學對該人臉識別技術系統進行評估，結果發現該面部識別技術將一個普通人識別成通緝犯的錯誤概率高達81%。但據警方數據，經過結合其他技術手段，其正確率達到99.9%。大都會警察局技術人員表示人臉識別的技術更新需要大量資金投入。但英國內政部對大都會警察局的技術革新嘗試表示支持，認為在數據保護法律框架內利用這項技術打擊犯罪未來可期。

在英國數據保護領域，英國警察扮演了多個角色，同時受到英國信息自由和數據保護法律的保護和約束。作為自然人，警察個人享有英國《通用數據保護條例》和《數據保護法案》保障的數據主體權力。作為數據控制者和處理者，警察隊伍肩負著《通用數據保護條例》和《數據保護法案》規定的各項數據安全防護職責。作為國家公共部門，《信息自由法案》和《環境信息法規》要求警方在政務服務方面做到信息公開透明。作為執法部門，警方在涉及數據保護的刑事案件中，要開展調查取證等一系列工作。而新的《調查權力法案》既賦予了英國警方利用監控調查取證的權力，也為打擊非法監控制定了法律依據。在多個角色的扮演中，信息技術時代給英國警方帶來了機遇，也帶來了更多的挑戰。