歐洲一向被認為是引領全球隱私保護的先鋒。此前，歐盟的一系列舉動，從GDPR，到限制公眾場合應用人臉識別、禁止企業(yè)在招聘過程中使用算法自動篩選簡歷等等，都向外界傳遞了一個明確的信號：

在發(fā)展人工智能技術之前，歐洲公民的隱私安全首先排在第一位。

那么，當打擊犯罪與數據隱私保護兩者有沖突時，歐洲當局會如何選擇？

在互聯網時代，無論是企業(yè)還是執(zhí)法機構，都有多個獲取數據的途徑，形成數據的聚集——這一現象，被隱私專家們稱為「大數據方舟」。

近日，英國《衛(wèi)報》（The Guardian）報道了一個重磅級消息：歐盟數據保護監(jiān)管機構（EDPS）下令，強制歐盟旗下的歐洲刑警組織（Europol）刪除所非法持有的、超過六個月的數據，并用一年時間梳理出它可以合法保留的數據。

看來在數據保護一事上，歐盟「老大哥」不僅是對谷歌等企業(yè)動手，對自己的手下大將也不會手下留情。

《衛(wèi)報》的報道顯示，歐洲刑警組織被指控非法持有大量受法律保護的個人信息，并有成為「歐洲NSA」的嫌疑。同時，該組織還計劃將這些數據進行挖掘分析，用于人工智能與機器學習算法的訓練。

EDPS的裁決結果表明：在安全與隱私的權衡之間，歐洲決策者選擇了站在「隱私」的一方。

1、事件來由

歐洲刑警組織（Europol）的總部位于荷蘭海牙，是歐盟國家警察部隊下的一個協(xié)調機構。在2015年巴塔克蘭襲擊事件發(fā)生后，歐盟的一些成員國開始希望 Europol 解決恐怖主義的問題，并鼓勵它收集多方面的數據。

從理論上講，歐洲刑警組織可以存儲哪些類型的個人數據以及存儲多長時間，是受到嚴格的法律監(jiān)管的。根據規(guī)定，它所接收到的數據記錄應該嚴格分類，并且僅在與反恐等高價值工作有潛在相關性時才能應用或保留。但 EDPS 發(fā)現，歐洲刑警組織處理數據的方式很隨意；此外，該組織所持有的數據內容究竟是怎樣的，并沒有清楚披露。

據《衛(wèi)報》報道，只有少數歐洲人知道自己的數據被存儲，且沒有人能夠強制要求 Europol 披露究竟自己的哪些信息已被存儲。荷蘭人 Frank van der Linde 是被歐洲刑警組織收集了個人數據的其中一人。2020年，他向 EDPS 投訴了 Europol 的上述行為。

據《衛(wèi)報》消息，Frank 此前因破窗進入一棟大樓為流浪漢提供居住場所而與警察起了一次嚴重沖突。這也是他與警察的唯一一次「互動」，他因此被荷蘭當局列入恐怖觀察名單。但在2019年，他便因接觸恐怖嫌疑被荷蘭從監(jiān)視名單中移除。

圖注：Frank van der Linde

2018年，Frank 從荷蘭搬到柏林。他不知道的是，當時荷蘭警方與德國同僚、以及 Europol 分享了他的數據，直到后來他在阿姆斯特丹市政廳看到一份部分解密的文件，才知道自己的數據已被 Europol 持有。

在Frank看來，Europol 就像一個黑匣子，他無法確認該組織是否已向荷蘭當局確認他的最新消息、知道他不是極端分子后刪除了數據。為了刪除他的個人數據，他找到 Europol。但在2020年6月，Europol 回復他，稱 Europol 的系統(tǒng)里沒有任何他「有權訪問」的內容。

然而，該事件引起了 EDPS 對 Europol 處理敏感數據的擔憂。

2、EDPS介入

根據2019年9月的初步調查，EDPS 發(fā)現，外界與 Europol 共享的數據集在存儲時沒有經過適當的檢查，也沒有驗證獲取到的數據主體是否應該被監(jiān)控或保留。

EDPS調查發(fā)現，Europol 所持有的數據量緩存至少有 4 PB（1PB=1048576GB），相當于300 萬張 CD-Rom 或美國國會圖書館所有內容的1/5。這些數據主要來源于犯罪報告、黑客攻擊加密電話服務、無任何犯罪記錄的尋求庇護者。

同時，Europol 所保存的數萬億字節(jié)中， 至少有25萬當前或以前的恐怖和嚴重犯罪嫌疑人、以及與他們接觸的其他人的敏感數據。這些數據是國家警察當局在過去六年中所積累起來的，主要來自一系列刑事調查（案件數量不明）的數據轉儲。

這次調查后，歐洲刑警組織并沒有給到監(jiān)管機構一個令人信服的答案，于是，EDPS 在 2020 年 9 月又公開告誡警察機構?！缎l(wèi)報》稱，根據法庭記錄，在處理數據一事上，歐洲刑警組織在故意拖延時間，監(jiān)管機構明確表明他們沒有解決這一「違法行為」。

此外，警察機構一直在要求歐盟設立新的法規(guī)（如下）、為其六年來在沒有法律依據的情況下所非法搜集的數據提供追溯性保障。德國人權研究所的監(jiān)控專家 Eric Topfer 研究了擬議中的歐洲刑警組織新法規(guī)，預計該機構會直接從銀行、航空公司、私營公司和電子郵件中獲取數據。

擬議新規(guī)鏈接：https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52020PC0796

一旦形成法律條文，這些提案就可以將原有的數據緩存合法化，將這些數據作為開發(fā)新的AI與機器學習工具的實驗樣本。

倫敦瑪麗女王大學的法律專家 Niovi Vavoula 評論：「新的立法實際上是在玩弄這個系統(tǒng)。多年來，歐洲刑警組織和委員會一直在嘗試對非法保留數據進行事后糾正，但制定新的法規(guī)并不能合法地解決以前的非法行為。這不是法治的運作方式。」

歐盟內政專員 Ylva Johansson 曾嘗試為歐洲刑警組織辯護，稱：「執(zhí)法部門需要工具、資源與時間來分析合法傳輸給他們的數據。在歐洲，Europol是支持國家警察當局完成這項艱巨任務的平臺?！?/p>

圖注：Ylva Johansson

Europol 否認它們曾利用這些數據進行任何不當行為，并稱它們雖然持有大量非法獲取的個人數據，但并不打算利用這些數據「為非作歹」，也沒有成為「美國NSA」的野心。

但令監(jiān)管專家們更為震驚的是，歐洲刑警組織對于「數據」的態(tài)度，與斯諾登在披露美國 NSA 搜集數據進行大規(guī)模監(jiān)視后、NSA 為自己辯護的理由是相似的——「我們只是收集數據，只有在必要時才會使用這些數據?！?/span>

2021年12月，監(jiān)管機構與歐洲刑警組織的對峙到達了白熱化狀態(tài)，事情的嚴重性不斷升級，甚至吸引了歐盟內政事務總干事 Monique Pariat 出席會議。但這次會議上，歐洲刑警組織還是沒有回復EDPS對合法保留數據的擔憂。雷峰網

最后，EDPS不得不發(fā)布一個讓歐洲刑警組織刪除超過六個月數據的決定。

3、安全 vs. 隱私

在數據存儲上，Europol 與 EDPS 的另一沖突是前者青睞用技術來解決隱私權的安全問題。2021年7月，歐洲刑警組織的負責人、前比利時高級警察 Catherine De Bolle 與紐約州的地區(qū)律師在PolitIco（美國政治新聞網站）上共同發(fā)表了“The last refuge of the criminal: Encrypted smartphones”一文，稱執(zhí)法機構從智能手機中提取證據的需求應該高于公民隱私保護的考慮。

作為執(zhí)法當局，他們認為有責任在查明真相之前，不惜一切代價為犯罪受害者及其家人尋找所有可用的線索與證據，而加密的數字設備將證據鎖在了執(zhí)法人員所能觸及的地方。為此，他們主張執(zhí)法機構應獲得通往加密設備的密鑰。

圖注：Catherine de Bolle

不可否認，通過對技術研究的突破，Europol 確實在打擊犯罪上取得了重大成果。2020 年，它們與法國、荷蘭警方一起參與了對加密電話服務 EncroChat 的黑客攻擊，將大量個人數據釋放到「方舟」中。

它們從 1.2 億條 EncroChat 消息和數千萬條通話錄音、圖片和筆記中提取數據并進行復制，然后將數據打包給國家警察部隊。在歐洲刑警組織及其司法機構 Eurojust 披露秘密行動時，他們將這次行動稱為「歐洲歷史上打擊有組織犯罪最成功的案例之一」。僅在英國，截至 2021 年 8 月，就有大約 2600 人被拘留。

但事實上，歐洲刑警組織的黑客操作將 EncroChat 手機變成了針對其用戶的移動間諜軟件，與 Pegasus 等監(jiān)控惡意軟件有重要的相似之處。在間諜軟件泛濫的情況下，加密是許多社會關鍵群體（如人權捍衛(wèi)者、記者與律師）通信的唯一保護。雷峰網(公眾號：雷峰網)

EncroChat 的客戶還包括非犯罪分子、律師、記者和商界人士，一位來自荷蘭的律師 Haroon Raza 就是其中之一。據他所知， 「歐洲刑警組織的數據庫中仍然存在一份他的手機數據副本，可以永遠保留?！?/p>

法國律師 Robin Binsard 評論，Europol 的整個行動相當于大規(guī)模監(jiān)視，就像警察要尋找犯罪證據，于是搜集了一個街區(qū)內的所有公寓——這不僅侵犯了隱私，而且是違法的。

自 2016 年以來，Europol 還在意大利和希臘的難民營開展了一項大規(guī)模篩查計劃，收集了數萬名尋求庇護者的數據，以尋找被指控的外國戰(zhàn)斗人員和恐怖分子。根據 EDPS 的部分解密報告，Europol 組織「不允許」歐盟以外的移民對他們進行「例行檢查」，因為此舉「沒有法律依據」。但 Europol 的篩查可能會導致移民的個人數據被存儲在犯罪數據庫中，無論他們是否被發(fā)現與犯罪或恐怖主義有關。

此外，2020年春季，在歐洲刑警組織發(fā)現自己擁有越來越多的數據緩存后，他們就開始希望用算法來分析數據背后所折射出的世界。雷峰網

在 EDPS 公開警告歐洲刑警組織一個月后，歐洲刑警組織還提出請教：如果它想在已經被警告保留的數據上訓練算法，是否可以在沒有 EDPS 監(jiān)督的情況下啟動數據保護影響評估流程？

他們明確指出，包括面部識別工具在內的算法不會被設計或用于檢索有關敏感數據，包括公民的健康狀況、種族背景、性取向或政治取向等等。但是，正如自己所承認的一樣，這些數據將不可避免地被人工智能工具所處理，并自動生成包含敏感數據的內容。

EDPS 回應，他們當時就表示會啟動正式的監(jiān)控程序。到 2021 年 2 月，Europol 停止了機器學習計劃，并對《衛(wèi)報》表示，他們「沒有利用自己的機器學習模型進行操作分析，也沒有對機器學習進行『訓練』?！沟珱]多久，Europol 就開始招募專家，幫助開發(fā)人工智能模型與數據挖掘。顯然，這與 Europol 聲稱「不會處理數據」的初衷相違背，也是歐盟數據安全監(jiān)管機構最大的擔憂。

因此，EDPS 最終決定對歐洲刑警組織提出強制要求刪除數據。

4、數據隱私之殤

數據被譽為人工智能的三駕馬車之一。

然而，隨著各國數據保護政策的收緊，以及公民對個人信息的保護意識提升，上至執(zhí)法者，下至企業(yè)與高校機構，敏感數據的獲取與使用將越來越難。對于執(zhí)法機構的數據使用監(jiān)管，歐盟的裁決只是打響了「第一槍」。

而深究根源，促使政策下臺的根本原因，最終仍要落到數據的龐大價值與其誘惑上。單純擁有數據、而不使用數據的「信誓旦旦」，已經無法贏得公眾的信任。

在個體用戶中，拿一個身份證換一盒雞蛋的行為將一去不返。越來越多的人對數據安全的防備意識在增強。對他們來說，利益安全與消費體驗的需求將越來越強。

在接下來的人工智能發(fā)展中，研究者要考慮的問題，大約是如何利用少數據、非敏感數據進行研究，實現研究突破，同時「討好」個體罷。

參考鏈接：

1.https://www.theguardian.com/world/2022/jan/10/a-data-black-hole-europol-ordered-to-delete-vast-store-of-personal-data

2.https://www.politico.eu/article/the-last-refuge-of-the-criminal-encrypted-smartphones-data-privacy/

3.https://www.europol.europa.eu/media-press/newsroom/news/dismantling-of-encrypted-network-sends-shockwaves-through-organised-crime-groups-across-europe

雷峰網原創(chuàng)文章，未經授權禁止轉載。詳情見轉載須知。