2025 年 10 月，英国上级裁判所（Upper Tribunal）就 Clearview AI 案作出裁决。裁判所支持了英国信息专员办公室（ICO）上诉理由中的三项，确认 Clearview 处理个人信息的行为与监控英国居民相关，且不能以「仅向外国执法机构提供服务」为由主张脱离英国数据保护法的管辖。裁判所同时指出，原审裁判所在适用相关条款时存在法律错误。

争议的核心：管辖与「行为监控」

本案的关键不在于面部识别技术本身，而在于两个法律问题：

其一，域外管辖的触发条件。 数据控制者注册在境外、服务器在境外、客户也在境外，是否就意味着英国法不适用？裁判所的答案是否定的。判断标准在于处理行为是否与英国境内的数据主体相关。

其二，何为「行为监控」。 英国数据保护法对域外适用的一个重要连接点是「监控数据主体在境内的行为」。裁判所认为，持续采集、存储并用于识别的人脸数据库，其效果构成对英国居民行为的监控，而不论服务最终交付给谁。

为什么这一裁决重要

近年来，围绕 AI 训练数据与网络爬取的跨境争议增多。企业常见的抗辩是「数据来源于公开网络」「服务不面向该国市场」「客户在境外」。Clearview 案在一定程度上收窄了这类抗辩的空间：判断的重点是处理行为的实际效果，而非形式上的主体所在地。

对从事面部识别、数据爬取、画像分析的企业而言，这意味着合规评估需要从「我在哪里注册」转向「我的处理行为影响了谁」。参见人脸识别备案指引。

与欧盟路径的对照

欧盟在面部识别与生物识别数据处理上的规制更为严格，GDPR 将生物识别数据列为特殊类别数据，处理需满足更高的合法性门槛。英国脱欧后虽形成独立的监管体系，但本案显示其在域外适用与「行为监控」标准上与欧盟取向接近。参见GDPR 与数据出境合规。

企业的三点提示

第一，重做数据地图。 明确训练数据与业务数据中是否包含境外面部信息或生物识别信息，以及处理行为对境外主体的影响。

第二，重新评估「公开可得」抗辩。 数据来自公开网络不等于取得合法性基础，尤其当处理目的是识别与画像时。

第三，在合同中明确数据来源与合规责任。 采购第三方数据或模型时，需在协议中要求来源合法性的陈述与保证。参见AI 商业合同的关键条款与多法域 AI 合规的协调框架。

Clearview 案与欧盟、美国的相关执法共同说明：AI 时代的管辖边界，正在从「主体所在地」向「影响所在地」迁移。

本文依据英国上级裁判所 Clearview AI 案裁决及公开信息编写，仅供参考，不构成法律意见。