英国“人脸识别首案”二审宣判！南威尔士警方被判违反数据保护法

当地时间8月11日，英国“人脸识别第一案”有了新的判决结果——英国上诉法院裁定，被告南威尔士警方违反数据保护法，侵权了原告爱德·布里奇斯（Ed Bridges）的隐私权等合法权利。

前情：

原告起诉曾被英国高等法院驳回

在跟进判决详情之前，我们先花点时间了解这起案子的来龙去脉。
布里奇斯现年37岁，居住在英国的加的夫市。该市隶属于南威尔士警方管辖。
【英国“人脸识别首案”二审宣判！南威尔士警方被判违反数据保护法】2017年5月，南威尔士警方开始在辖区内试点自动面部识别技术（Automated Facial Recognition Technology ，简称AFR）。相关设备每秒可以扫描到50张人脸并提取生物特征数据，再通过后台数据库比对来发现通缉犯等可疑人员。
截至2019年4月，南威尔士警方在50处地点部署了AFR设备，而布里奇斯曾两次经过相关设备。第一次是在2017年12月，地点在加的夫市皇后街附近。第二次是在2018年3月加的夫市的一场大型活动上。布里奇斯称，他在途径这些地点时不知道警方使用了AFR技术。
根据南威尔士警方官网的说明，部署AFR的地点都有明确的标识，并且AFR只能识别警方“监视清单”上的人员。 “监视清单”使用的照片来自警方数据库。如果一个人的扫描数据与“监视清单”并不匹配，系统不会识别该人的身份，而是会自动删除该人的抓拍照片和生物特征数据。
但布里奇斯仍认为AFR系统侵犯了他的隐私，并根据《欧洲人权公约》、英国《1998年数据保护法》《2018年数据保护法》等法律提起诉讼。（详情见南都此前报道）。这是英国首个针对警方使用人脸识别技术提起的法律诉讼。
2019年9月，英国高等法院驳回布里奇斯的诉讼，肯定了南威尔士警方使用人脸识别技术的合法性。高等法院认为，警察负有预防和侦查犯罪的义务， AFR设备的部署有《证据法》等足够的法律依据，不违反《欧洲人权公约》。南威尔士警方所提供的“数据保护影响评估（data protection impact assessment）”文件也符合《2018年数据保护法》的要求。
此后，布里奇斯提起上诉。近日宣判的便是英国上诉法院。

进展：

上诉法院裁定南威尔士警方违法

英国上诉法院官网信息显示，布里奇斯提出了五项上诉理由，法院支持了其中三项。
布里奇斯的第一项理由是南威尔士警方的技术使用缺乏法律依据，违反《欧洲人权公约》第8条所规定的“人人有权享有使自己的私人和家庭生活、家庭和通信得到尊重的权利” 。
上诉法院指出，警方有权依法使用技术来收集信息，比如警察去观察和记录公共场所的情况，去给某些人拍照。但AFR技术比较特殊，它涉及到大量民众的照片抓拍和数据处理，且涉及到个人敏感数据。虽然AFR仅识别“监视清单”上的可疑人员，但南威尔士警方没有一份明确的文件来说明谁会被列入“监视清单”、哪里可以部署AFR设备。这使得警方的自由裁量权过大。总地来说，不能判定警方有充足的法律依据来使用AFR技术。
另一项得到法院支持的理由与英国的《2018年数据保护法》第64条有关。该条款规定，当数据处理可能导致个体权利和自由方面的高风险时，数据控制者有义务在处理之前进行数据保护影响评估。
此前，高等法院判决南威尔士警方提供的“数据保护影响评估”文件符合要求，但上诉法院认为，警方的这一文件存在缺陷，没能正确评估AFR技术给数据主体的权利和自由带来的风险。
此外，根据英国的《2010年平等法案》，公权力