數據保護又一槍!歐盟一執法機構被命令刪除大量非法收集的個人信息

作者 | 發布日期 2022 年 01 月 16 日 9:30 | 分類 Big Data , 網路 , 資訊安全 line share follow us in feedly line share
數據保護又一槍!歐盟一執法機構被命令刪除大量非法收集的個人信息


歐洲一向認為是引領全球隱私保護的先鋒,之前一系列舉動從 GDPR 到限制公共場合應用臉部辨識、禁止企業使用演算法自動篩選履歷等,都傳遞明確訊號──發展人工智慧技術之前,歐洲公民隱私排在第一位。那當打擊犯罪與數據隱私保護有衝突時,歐洲當局如何選擇?

網路時代無論企業還是執法機構,都有多個取得數據的途徑,形成數據匯集處,這現象隱私專家稱為「大數據方舟」。

近日英國《衛報》(The Guardian)報導重量級消息:歐盟數據保護監管機構(EDPS)下令,強制歐盟旗下歐洲刑警組織(Europol)刪除非法持有、超過六個月的數據,並用一年時間整理出合法保留的數據。

看來對數據保護,歐盟「老大哥」不僅對 Google 等美企業動手,對手下大將也不留情。

《衛報》報導顯示,歐洲刑警組織被控非法持有大量受法律保護的個人資訊,並有成為「歐洲 NSA」的嫌疑。還計劃挖掘分析數據,以給人工智慧與機器學習演算法訓練用。

EDPS 裁決表明:安全與隱私間,歐洲決策者選擇站在「隱私」那邊。

事件緣由

歐洲刑警組織(Europol)總部位於荷蘭海牙,是歐盟國家警察部隊下的協調機構,2015 年巴黎巴塔克蘭襲擊事件發生後,歐盟成員國開始希望 Europol 解決恐怖主義問題,並鼓勵多收集資料。

從理論講,歐洲刑警組織可儲存哪些類型的個人數據及保存多久受嚴格法律監管。數據紀錄應嚴格分類,並僅在與反恐等高價值工作有潛在相關性時才能應用或保留。但 EDPS 發現,歐洲刑警組織處理數據的方式很隨意;此外數據內容是什麼並沒有清楚披露。

只有少數歐洲人知道自己的數據被保存,且沒人能強制要求 Europol 披露究竟自己的哪些訊息被儲存。荷蘭人 Frank van der Linde 被歐洲刑警組織收集個人數據, 2020 年向 EDPS 投訴 Europol。

Frank 之前因破窗進入一棟大樓為流浪漢找尋居住場所而與警察起了一次嚴重衝突。這也是他與警察的唯一「互動」,被荷蘭當局列入恐怖觀察名單。但 2019 年他因接觸恐怖嫌疑被荷蘭從監視名單移除。

▲ Frank van der Linde 的 Twitter。(Source:Frank van der Linde

2018 年,Frank 從荷蘭搬到柏林。他不知道的是,當時荷蘭警方與德國同僚、以及 Europol 分享了他的數據,直到後來他在阿姆斯特丹市政廳看到一份部分解密的文件,才知道自己的數據已被 Europol 持有。

在 Frank 看來,Europol 就像一個黑盒子,他無法確認該組織是否已向荷蘭當局確認他的最新消息、知道他不是極端分子後刪除了數據。為了刪除他的個人數據,他找到 Europol。但在 2020 年 6 月,Europol 回复他,稱 Europol 的系統裡沒有任何他「有權訪問」的內容。

然而,該事件引起了 EDPS 對 Europol 處理敏感數據的擔憂。

EDPS 介入

根據 2019 年 9 月的初步調查,EDPS 發現,外界與 Europol 共享的數據集在儲存時沒有經過適當的檢查,也沒有驗證獲取到的數據主體是否應該被監控或保留。

EDPS 調查發現,Europol 所持有的數據量緩存至少有 4 PB(1PB=1,048,576GB),相當於 300 萬張 CD-Rom 或美國國會圖書館所有內容的五分之一。這些數據主要來源於犯罪報告、駭客攻擊加密電話服務、無任何犯罪紀錄的尋求庇護者。

同時,Europol 所保存的數兆字節中, 至少有 25 萬當前或以前的恐怖和嚴重犯罪嫌疑人、以及與他們接觸的其他人的敏感數據。這些數據是國家警察當局在過去六年中所積累起來的,主要來自一系列刑事調查(案件數量不明)的數據轉存。

這次調查後,歐洲刑警組織並沒有向監管機構給出一個令人信服的答案,於是,EDPS 在 2020 年 9 月又公開告誡警察機構。 《衛報》稱,根據法庭紀錄,在處理數據一事上,歐洲刑警組織在故意拖延時間,監管機構明確表明他們沒有解決這一「違法行為」。

此外,警察機構一直在要求歐盟設立新的法規(如下)、為其六年來在沒有法律依據的情況下所非法蒐集的數據提供追溯性保障。德國人權研究所的監控專家 Eric Topfer 研究了擬議中的歐洲刑警組織新法規,預計該機構會直接從銀行、航空公司、民營公司和電子郵件中獲取數據。

(Source:EUR-Lex

一旦形成法律條文,這些提案就可以將原有的數據緩存合法化,將這些數據做為開發新的 AI 與機器學習工具的實驗樣本。

倫敦瑪麗女王大學的法律專家 Niovi Vavoula 評論:「新的立法實際上是在玩弄這個系統。多年來,歐洲刑警組織和委員會一直在嘗試對非法保留數據進行事後糾正,但制定新的法規並不能合法地解決以前的非法行為。這不是法治的運作方式。」

歐盟內政專員 Ylva Johansson 曾嘗試為歐洲刑警組織辯護,稱:「執法部門需要工具、資源與時間來分析合法傳輸給他們的數據。在歐洲,Europol 是支撐國家警察當局完成這項艱鉅任務的平台。」

Europol 否認它們曾利用這些數據進行任何不當行為,並稱它們雖然持有大量非法獲取的個人數據,但並不打算利用這些數據「為非作歹」,也沒有成為「美國 NSA」的野心。

但令監管專家們更為震驚的是,歐洲刑警組織對於「數據」的態度,與史諾登在披露美國 NSA 蒐集數據進行大規模監視後、NSA 為自己辯護的理由是相似的──「我們只是收集數據,只有在必要時才會使用這些數據」。

2021 年 12 月,監管機構與歐洲刑警組織的對峙到達了白熱化狀態,事情的嚴重性不斷升級,甚至吸引了歐盟內政事務總幹事 Monique Pariat 出席會議,但在這次會議上,歐洲刑警組織還是沒有回覆 EDPS 對合法保留數據的擔憂。

最後,EDPS 不得不發布一個讓歐洲刑警組織刪除超過六個月數據的決定。

安全 vs. 隱私

在數據保存上,Europol 與 EDPS 的另一衝突是前者青睞用技術來解決隱私權的安全問題。2021 年 7 月,歐洲刑警組織的負責人、比利時高級警察 Catherine De Bolle 與紐約州的前地區律師在 PolitIco(美國政治新聞網站)上共同發表了《The last refuge of the criminal: Encrypted smartphones》一文,稱執法機構從智慧手機中提取證據的需求應該高於公民隱私保護的考慮。

做為執法當局,他們認為有責任在查明真相之前,不惜一切代價為犯罪受害者及其家人尋找所有可用的線索與證據,而加密的數位設備將證據鎖在了執法人員所能觸及的地方。為此,他們主張執法機構應獲得通往加密設備的密鑰。

不可否認,透過對技術研究的突破,Europol 確實在打擊犯罪上取得了重大成果。 2020 年,它們與法國、荷蘭警方一起參與了對加密電話服務 EncroChat 的駭客攻擊,將大量個人數據釋放到「方舟」中。

它們從 1.2 億條 EncroChat 消息和數千萬條通話錄音、圖片和筆記中提取數據並進行複製,然後將數據打包給國家警察部隊。在歐洲刑警組織及其司法機構 Eurojust 披露祕密行動時,他們將這次行動稱為「歐洲歷史上打擊有組織犯罪最成功的案例之一」。僅在英國,截至 2021 年 8 月,就有大約 2,600 人被拘留。

但事實上,歐洲刑警組織的駭客操作將 EncroChat 手機變成了針對其用戶的行動間諜軟體,與 Pegasus 等監控惡意軟體有重要的相似之處。在間諜軟體氾濫的情況下,加密是許多社會關鍵群體(如人權捍衛者、記者與律師)通訊的唯一保護。

EncroChat 的客戶還包括非犯罪分子、律師、記者和商界人士,一位來自荷蘭的律師 Haroon Raza 就是其中之一。據他所知, 「歐洲刑警組織的數據庫中仍然存在一份他的手機數據副本,可以永遠保留」。

法國律師 Robin Binsard 評論,Europol 的整個行動相當於大規模監視,就像警察要尋找犯罪證據,於是蒐集了一個街區內的所有公寓──這不僅侵犯了隱私,而且是違法的。

自 2016 年以來,Europol 還在義大利和希臘的難民營展開一項大規模篩查計畫,收集了數萬名尋求庇護者的數據,以尋找被指控的外國戰鬥人員和恐怖分子。根據 EDPS 的部分解密報告,Europol 組織「不允許」歐盟以外的移民對他們進行「例行檢查」,因為此舉「沒有法律依據」。但 Europol 的篩查可能會導致移民的個人數據被儲存在犯罪數據庫中,無論他們是否被發現與犯罪或恐怖主義有關。

此外,2020 年春季,在歐洲刑警組織發現自己擁有越來越多的數據緩存後,他們就開始希望用演算法來分析數據背後所折射出的世界。

在 EDPS 公開警告歐洲刑警組織一個月後,歐洲刑警組織還提出請教:如果它想在已經被警告保留的數據上訓練演算法,是否可以在沒有 EDPS 監督的情況下啟動數據保護影響評估流程?

他們明確指出,包括人臉辨識工具在內的演算法不會被設計或用於檢索有關敏感數據,包括公民的健康狀況、種族背景、性取向或政治取向等等。但是,正如自己所承認的一樣,這些數據將不可避免地被人工智慧工具所處理,並自動產生包含敏感數據的內容。

EDPS 回應,他們當時就表示會啟動正式的監控程序。到 2021 年 2 月,Europol 停止了機器學習計劃,並對《衛報》表示,他們「沒有利用自己的機器學習模型進行操作分析,也沒有對機器學習進行『訓練』」。但沒多久,Europol 就開始招募專家,幫助開發人工智慧模型與數據挖掘。顯然,這與 Europol 聲稱「不會處理數據」的初衷相違背,也是歐盟數據安全監管機構最大的擔憂。

因此,EDPS 最終決定對歐洲刑警組織提出強制要求刪除數據。

(Source:pixabay

數據隱私之殤

數據被譽為人工智慧的三駕馬車之一。

然而,隨著各國數據保護政策趨嚴,以及公民對個人資訊的保護意識提升,上至執法者,下至企業與高校機構,敏感數據的獲取與使用將越來越難。對於執法機構的數據使用監管,歐盟的裁決只是打響了「第一槍」。

而深究根源,促使政策推出的根本原因,最終仍要落到數據的龐大價值與其誘惑上。單純擁有數據、而不使用數據的「信誓旦旦」,已經無法讓大眾信任。

在個體用戶中,拿一個身份證換一盒雞蛋的行為將一去不返。越來越多人對數據安全的防備意識在增強。對他們來說,利益安全與消費體驗的需求也越來越重要。

在接下來的人工智慧發展中,研究者要考慮的問題,大約是如何利用少數據、非敏感數據進行研究,實現研究突破,同時「討好」個體吧。

(本文由 雷鋒網 授權轉載;首圖來源:Flickr/Klaas Brumann CC BY 2.0)

延伸閱讀: