案件基本情况
英国南威尔士警署（以下简称SWP）在公共场所部署自动人脸识别技术（以下简称AFR）。AFR是一种判断两幅人脸图像是否源自同一个人的技术，主要运行机制包括：（1）在公共场所安装监控摄像，现场抓取那些途径监控范围内不特定公众的人脸图像；（2）对抓取到的人脸图像进行处理，从中提取一些生物特征数据（面部特征测量数据）；（3）将这些生物特征数据与SWP数据库中人脸图像的生物特征数据进行比对，生成“相似度得分”，得分越高表示两幅人脸图像的匹配度越高；（4）根据“相似度得分”，判断途经AFR监控范围的那些公众中是否有警方监控名单上的人员。
在本案中，英国公民爱德华不仅质疑SWP部署AFR的合法性，还提出在Cardiff市的两个特定场合自己被SWP部署的AFR抓取到其人脸图像。这两个特定场合分别是：（1）2017年12月21日，在Cardiff市的皇后街。爱德华说，他于2017年12月21日出现在皇后街，距离安装AFR的车辆大约6至10英尺，因此在AFR抓取范围内，并且他没有看到AFR标志，也没有人告诉他AFR正在使用中。（2）2018年3月27日，在Cardiff市的Motorpoint竞技场。AFR从8时30分到16时一直处于使用状态，监控摄像聚焦在竞技场入口处。爱德华说，他当天参加了竞技场外的抗议活动，距离安装AFR的车辆有25至30米的距离，在看到这辆车之前，他并不知道AFR正在使用中，也没有观察到任何关于部署AFR的信息。
爱德华质疑SWP部署AFR的合法性以及上述两个特定场合部署AFR的合法性，遂向英国高等法院提出司法审查请求，主要理由包括SWP部署AFR违反《欧洲人权公约》、英国《数据保护法》等。英国高等法院认为爱德华的诉请理由均不成立，因此驳回了爱德华的司法审查请求。爱德华不服，向英国上诉法院提起上诉。英国上诉法院审理后，部分支持了爱德华的上诉请求。上诉判决发布后，双方当事人都表示不再上诉，目前该案上诉判决已经生效，并成为此后可以遵循的先例。
上诉法院的具体审查
本案的核心问题是SWP部署AFR是否存在一个充分的法律框架。根据各方主张和案件事实，英国上诉法院首先讨论《欧洲人权公约》是否可以适用于本案，在此基础上具体分析了英国现有法律及政策是否可以为部署AFR提供一个充分的法律框架。
《欧洲人权公约》是否可以适用SWP部署的AFR
第8条（1）规定，人人有权享有使自己的私人和家庭生活、家庭和通信得到尊重的权利。第8条（2）规定，公共机构不得干预上述权利的行使，但是依据法律规定的干预以及基于在民主社会中为了国家安全、公共安全或者经济福利，为了防止混乱或者犯罪，为了保护健康或者道德，为了保护他人的权利与自由而进行的必要干预，不受此限。
SWP部署的AFR涉及大量公众面部图像的采集和处理。当事人及相关机构都承认，AFR所采集的面部图像及相应的生物特征数据属于英国《数据保护法》所指的个人敏感数据。英国上诉法院认为，虽然SWP部署AFR所采集和处理的绝大多数面部图像及生物特征数据对警察来说都毫无意义，但这仍然涉及《欧洲人权公约》第8条（1）规定的权利。换言之，《欧洲人权公约》第8条（1）可以适用于本案。
英国上诉法院指出，AFR虽然是一项新技术，但公共机构部署AFR同样必须满足《欧洲人权公约》第8条（2）所要求的“依据法律规定”，即公共机构对权利的任何干预都必须在法律框架内并且符合法律的具体规定。为了判断SWP部署AFR是否有一个充分的法律框架，英国上诉法院分析了英国有关部署AFR的相关法律和政策，包括《数据保护法》、政府主管部门的业务准则及指南以及SWP的地方政策。
SWP部署AFR是否符合《数据保护法》的规定
SWP部署AFR，不仅受到《数据保护法》一般规定的约束，而且直接受到《数据保护法》第3部分的约束，该部分专门规定行政执法问题。《数据保护法》第31节定义“执法目的”，即“预防、侦查、起诉刑事犯罪或者执行刑罚的目的，包括保障和防止对公共安全的威胁。”第35节（1）规定的第1项数据保护原则是数据处理必须合法和公平，要求为任何执法目的而对个人数据的处理，只有在“依据法律”的情况下才是合法的，并且当事人已同意为此目的而进行处理，或主管当局为履行职责所必须进行处理。
此外，如果处理是“敏感”的，只允许在第35节（4）和第35节（5）所述的两种情况下进行。第35节（5）与本案特别相关，涉及（a）为执法目的“严格必要”处理，（b）处理至少满足附表8中的一个条件，以及（c）在进行处理时，根据第42节的规定制定颁布适当的政策文件。其中附表8列出了根据第3部分进行敏感处理的条件，即如果处理“（a）是为了履行法律赋予的职责所必需的，以及（b）出于重大公共利益的原因是必要的”。
《数据保护法》实质上要求有适当的执法目的，并且所采取的执法措施是实现这一目的的必要手段。英国上诉法院认为，SWP部署AFR在《数据保护法》上具有法律依据，但是相应的保障措施，尤其是数据保护影响评估不符合《数据保护法》的规定。
SWP部署AFR是否符合主管部门的准则和指南
英国上诉法院依据《数据保护法》的相关规定，对SWP部署AFR进行审查后，又依据英国政府主管部门制定的业务准则和操作指南对SWP部署AFR进行了审查。
是否符合准则的审查
根据英国《自由保护法》的规定，政府主管部门应当依法颁布有关部署监控摄像系统的业务准则，以便为运用监控摄像技术提供适当的和有效的指导。为此，英国内政大臣制定颁布了《监控摄像业务准则》，用来指导和规范警务部门部署监控摄像系统。《监控摄像业务准则》的适用范围是一般性的，虽然提及人脸识别技术，但并没有特别关注人脸识别技术。
《监控摄像业务准则》确实是专门处理类似本案事项的，原则上可以具体规定列入监控名单的条件，也可以规定部署AFR位置的标准。但是，《监控摄像业务准则》既没有规定列入监控名单的条件，也没有规定部署AFR位置的标准。英国上诉法院认为，这些条件和标准是规定在国家层面的文件中，还是规定在警务部门的地方政策文件中，这不在法院审查范围内。当然，为保证地方政策的一致性，《监控摄像业务准则》可以对列入监控名单的条件和部署AFR位置的标准作出规定。
是否符合指南的审查
根据《自由保护法》和《监控摄像业务准则》的规定，内政部监控摄像专员针对AFR部署问题专门制定《警用AFR指南》。这份指南的目的在于协助有关警务机构遵守《自由保护法》和《监控摄像业务准则》规定的各项义务，主要针对部署AFR的必要性和比例性作了规定，同时也对风险评估提供了相应建议。对于监控名单来说，这份指南仅就用于生成监控名单的图像性质提供了建议。需要特别指出，SWP必须遵守上述业务准则，但不是必须遵守操作指南。
SWP部署AFR的地方政策
英国上诉法院认为，原则上，警务机构制定的地方政策只要正式公布，就可以构成相关的“法律”。由于前述立法、准则和指南都未规定列入监控名单的条件和AFR部署地点的标准，因此警务机构的地方政策成为部署AFR的最后依据。为此，英国上诉法院审查了SWP制定颁布的一些有关部署AFR的地方政策。
SWP就部署AFR制定颁布了一份题为“《数据保护法》第3部分项下为执法目的进行敏感处理的政策”的地方文件。该文件规定了SWP关于遵守《数据保护法》第3部分的政策，具体包括：（1）合法与公平。SWP处理案件的合法性源于其作为英国警务机构的法定职能，包括调查和侦查犯罪以及逮捕罪犯、遵照法院逮捕令要求逮捕未出庭被告人等。（2）数据最小化。SWP只在法律允许的情况下处理个人敏感数据，这些个人敏感数据是为了明确和合法的目的而收集的。（3）准确性。在部署AFR期间，SWP收集一些必要信息，以确定哪些人在监控名单上。如果处理是为了研究和分析，则尽可能使用匿名或去识别的数据集进行处理。（4）存储限制。在部署AFR期间，部署当天构建监控名单，如果部署超过24小时，则将每天对名单进行修改。在法律允许的情况下，并符合比例性原则，SWP可以与其他组织（例如其他警务机构和执法部门）核对这些信息。（5）诚信与保密。SWP在网上公布完整的数据保留政策，有关AFR的信息也可在SWP的AFR网页上找到。处理SWP信息的工作人员都通过了安全考试，并按要求完成正确处理信息的年度培训。SWP还拥有专业的安全人员，以帮助信息免受意外或非法破坏、丢失、更改、未经授权的披露或访问的风险。
后来，SWP又制定颁布了《标准操作程序》，专门增加人脸识别部分，适用于部署AFR。《标准操作程序》的主要内容包括：（1）每一次部署的监控名单应当符合比例性原则并且是必要的，列入监控名单的主要因素包括监控人员的规模、图像质量、图像来源和列入理由。（2）监控数据库中图像数量不能超过2000幅，误报率不得超过千分之一。（3）18岁以下的未成年人一般不会出现在监控名单中，因为不成熟的面孔会降低系统的精确度。（4）在任何可能的情况下，部署AFR的决定最终将由高级别警官作出。（5）部署AFR的理由应当记录在部署前的报告中。（6）应当设置告知部署AFR的标志，以确保在可能的情况下，个人在其面部图像被拍摄之前知道部署AFR的情况。（7）不应当仅仅根据“相似性得分”决定是否采取干预措施，如决定进行干预时，办案警员还应当通过其他传统警务方法确定该个人的身份。
英国上诉法院认为，SWP的AFR事实上可以覆盖到任何警方感兴趣的人。这赋予办案警员太大的自由裁量权，可以决定谁应该进入监控名单。英国上诉法院还认为，SWP的地方政策只是对AFR部署地点作了描述性的规定，没有提出任何规范性要求，并且部署范围很广，没有明显的限制，将AFR部署地点直接交给个别警员自行决定。因此，SWP部署AFR的地方政策也不能为其部署AFR提供充分的法律依据。
上诉法院的最终结论及启示
根据上述分析，对于部署AFR来说，英国虽然存在相应的法律框架，但其根本缺陷涉及两个令人关切的问题。第一个问题是列入监控名单的条件；第二个问题是AFR的部署地点。目前，英国法律法规及地方政策都未明确列入监控名单的条件，也未明确AFR部署地点的标准。英国上诉法院认为，对于这两个问题，英国现行法律法规及地方政策赋予办案警员的裁量权过大，目前不存在一个充分的法律框架作为SWP部署AFR的依据。
在本案中，当事人、相关机构及人员提出了各自不同的主张，英国高等法院和英国上诉法院的判决也不尽一致，但是本案仍然可以提供一些有益的启示。一方面，英国对于人脸识别技术有一套相对完备的监管制度。从本案中，我们可以看出，这套监管制度包括国际层面的《欧洲人权公约》，国家层面的《数据保护法》等法律，政府主管部门层面的准则和指南等，还包括部署AFR的警务机构（例如本案中的SWP）制定颁布的地方政策。另一方面，英国司法对于人脸识别技术坚持审慎态度，甚至有近似严苛的要求。在本案中，部署AFR的主体SWP是具有执法权的警务机构，部署AFR的目的在于更好地履行职责，但是在制作监控名单和选择部署地点方面自由裁量权过大。英国上诉法院据此认为，SWP部署AFR不存在一个充分的法律框架，因此是不合法的。
