歐洲一向被認為是引領全球隱私保護的先鋒。此前，歐盟的一系列舉動，從GDPR，到限制公眾場合應用人臉識別、禁止企業在招聘過程中使用演算法自動篩選簡歷等等，都向外界傳遞了一個明確的訊號：
在發展人工智慧技術之前，歐洲公民的隱私安全首先排在第一位。
那麼，當打擊犯罪與資料隱私保護兩者有衝突時，歐洲當局會如何選擇？
在網際網路時代，無論是企業還是執法機構，都有多個獲取資料的途徑，形成資料的聚集——這一現象，被隱私專家們稱為「大資料方舟」。
近日，英國《衛報》（The Guardian）報道了一個重磅級訊息：歐盟資料保護監管機構（EDPS）下令，強制歐盟旗下的歐洲刑警組織（Europol）刪除所非法持有的、超過六個月的資料，並用一年時間梳理出它可以合法保留的資料。
看來在資料保護一事上，歐盟「老大哥」不僅是對谷歌等企業動手，對自己的手下大將也不會手下留情。
《衛報》的報道顯示，歐洲刑警組織被指控非法持有大量受法律保護的個人資訊，並有成為「歐洲NSA」的嫌疑。同時，該組織還計劃將這些資料進行挖掘分析，用於人工智慧與機器學習演算法的訓練。
EDPS的裁決結果表明：在安全與隱私的權衡之間，歐洲決策者選擇了站在「隱私」的一方。
1、事件來由
歐洲刑警組織（Europol）的總部位於荷蘭海牙，是歐盟國家警察部隊下的一個協調機構。在2015年巴塔克蘭襲擊事件發生後，歐盟的一些成員國開始希望 Europol 解決恐怖主義的問題，並鼓勵它收集多方面的資料。
從理論上講，歐洲刑警組織可以儲存哪些型別的個人資料以及儲存多長時間，是受到嚴格的法律監管的。根據規定，它所接收到的資料記錄應該嚴格分類，並且僅在與反恐等高價值工作有潛在相關性時才能應用或保留。但 EDPS 發現，歐洲刑警組織處理資料的方式很隨意；此外，該組織所持有的資料內容究竟是怎樣的，並沒有清楚披露。
據《衛報》報道，只有少數歐洲人知道自己的資料被儲存，且沒有人能夠強制要求 Europol 披露究竟自己的哪些資訊已被儲存。荷蘭人 Frank van der Linde 是被歐洲刑警組織收集了個人資料的其中一人。2020年，他向 EDPS 投訴了 Europol 的上述行為。
據《衛報》訊息，Frank 此前因破窗進入一棟大樓為流浪漢提供居住場所而與警察起了一次嚴重衝突。這也是他與警察的唯一一次「互動」，他因此被荷蘭當局列入恐怖觀察名單。但在2019年，他便因接觸恐怖嫌疑被荷蘭從監視名單中移除。
圖注：Frank van der Linde
2018年，Frank 從荷蘭搬到柏林。他不知道的是，當時荷蘭警方與德國同僚、以及 Europol 分享了他的資料，直到後來他在阿姆斯特丹市政廳看到一份部分解密的檔案，才知道自己的資料已被 Europol 持有。
在Frank看來，Europol 就像一個黑匣子，他無法確認該組織是否已向荷蘭當局確認他的最新訊息、知道他不是極端分子後刪除了資料。為了刪除他的個人資料，他找到 Europol。但在2020年6月，Europol 回覆他，稱 Europol 的系統裡沒有任何他「有權訪問」的內容。
然而，該事件引起了 EDPS 對 Europol 處理敏感資料的擔憂。
2、EDPS介入
根據2019年9月的初步調查，EDPS 發現，外界與 Europol 共享的資料集在儲存時沒有經過適當的檢查，也沒有驗證獲取到的資料主體是否應該被監控或保留。
EDPS調查發現，Europol 所持有的資料量快取至少有 4 PB（1PB=1048576GB），相當於300 萬張 CD-Rom 或美國國會圖書館所有內容的1/5。這些資料主要來源於犯罪報告、駭客攻擊加密電話服務、無任何犯罪記錄的尋求庇護者。
同時，Europol 所儲存的數萬億位元組中， 至少有25萬當前或以前的恐怖和嚴重犯罪嫌疑人、以及與他們接觸的其他人的敏感資料。這些資料是國家警察當局在過去六年中所積累起來的，主要來自一系列刑事調查（案件數量不明）的資料轉儲。
這次調查後，歐洲刑警組織並沒有給到監管機構一個令人信服的答案，於是，EDPS 在 2020 年 9 月又公開告誡警察機構。《衛報》稱，根據法庭記錄，在處理資料一事上，歐洲刑警組織在故意拖延時間，監管機構明確表明他們沒有解決這一「違法行為」。
此外，警察機構一直在要求歐盟設立新的法規（如下）、為其六年來在沒有法律依據的情況下所非法蒐集的資料提供追溯性保障。德國人權研究所的監控專家 Eric Topfer 研究了擬議中的歐洲刑警組織新法規，預計該機構會直接從銀行、航空公司、私營公司和電子郵件中獲取資料。
擬議新規連結：https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52020PC0796
一旦形成法律條文，這些提案就可以將原有的資料快取合法化，將這些資料作為開發新的AI與機器學習工具的實驗樣本。
倫敦瑪麗女王大學的法律專家 Niovi Vavoula 評論：「新的立法實際上是在玩弄這個系統。多年來，歐洲刑警組織和委員會一直在嘗試對非法保留資料進行事後糾正，但制定新的法規並不能合法地解決以前的非法行為。這不是法治的運作方式。」
歐盟內政專員 Ylva Johansson 曾嘗試為歐洲刑警組織辯護，稱：「執法部門需要工具、資源與時間來分析合法傳輸給他們的資料。在歐洲，Europol是支援國家警察當局完成這項艱鉅任務的平臺。」
圖注：Ylva Johansson
Europol 否認它們曾利用這些資料進行任何不當行為，並稱它們雖然持有大量非法獲取的個人資料，但並不打算利用這些資料「為非作歹」，也沒有成為「美國NSA」的野心。
但令監管專家們更為震驚的是，歐洲刑警組織對於「資料」的態度，與斯諾登在披露美國 NSA 蒐集資料進行大規模監視後、NSA 為自己辯護的理由是相似的——「我們只是收集資料，只有在必要時才會使用這些資料。」
2021年12月，監管機構與歐洲刑警組織的對峙到達了白熱化狀態，事情的嚴重性不斷升級，甚至吸引了歐盟內政事務總幹事 Monique Pariat 出席會議。但這次會議上，歐洲刑警組織還是沒有回覆EDPS對合法保留資料的擔憂。雷峰網
最後，EDPS不得不釋出一個讓歐洲刑警組織刪除超過六個月資料的決定。
3、安全 vs. 隱私
在資料儲存上，Europol 與 EDPS 的另一衝突是前者青睞用技術來解決隱私權的安全問題。2021年7月，歐洲刑警組織的負責人、前比利時高階警察 Catherine De Bolle 與紐約州的地區律師在PolitIco（美國政治新聞網站）上共同發表了“The last refuge of the criminal: Encrypted smartphones”一文，稱執法機構從智慧手機中提取證據的需求應該高於公民隱私保護的考慮。
作為執法當局，他們認為有責任在查明真相之前，不惜一切代價為犯罪受害者及其家人尋找所有可用的線索與證據，而加密的數字裝置將證據鎖在了執法人員所能觸及的地方。為此，他們主張執法機構應獲得通往加密裝置的金鑰。
圖注：Catherine de Bolle
不可否認，透過對技術研究的突破，Europol 確實在打擊犯罪上取得了重大成果。2020 年，它們與法國、荷蘭警方一起參與了對加密電話服務 EncroChat 的駭客攻擊，將大量個人資料釋放到「方舟」中。
它們從 1.2 億條 EncroChat 訊息和數千萬條通話錄音、圖片和筆記中提取資料並進行復制，然後將資料打包給國家警察部隊。在歐洲刑警組織及其司法機構 Eurojust 披露秘密行動時，他們將這次行動稱為「歐洲歷史上打擊有組織犯罪最成功的案例之一」。僅在英國，截至 2021 年 8 月，就有大約 2600 人被拘留。
但事實上，歐洲刑警組織的駭客操作將 EncroChat 手機變成了針對其使用者的移動間諜軟體，與 Pegasus 等監控惡意軟體有重要的相似之處。在間諜軟體氾濫的情況下，加密是許多社會關鍵群體（如人權捍衛者、記者與律師）通訊的唯一保護。雷峰網
EncroChat 的客戶還包括非犯罪分子、律師、記者和商界人士，一位來自荷蘭的律師 Haroon Raza 就是其中之一。據他所知， 「歐洲刑警組織的資料庫中仍然存在一份他的手機資料副本，可以永遠保留。」
法國律師 Robin Binsard 評論，Europol 的整個行動相當於大規模監視，就像警察要尋找犯罪證據，於是蒐集了一個街區內的所有公寓——這不僅侵犯了隱私，而且是違法的。
自 2016 年以來，Europol 還在義大利和希臘的難民營開展了一項大規模篩查計劃，收集了數萬名尋求庇護者的資料，以尋找被指控的外國戰鬥人員和恐怖分子。根據 EDPS 的部分解密報告，Europol 組織「不允許」歐盟以外的移民對他們進行「例行檢查」，因為此舉「沒有法律依據」。但 Europol 的篩查可能會導致移民的個人資料被儲存在犯罪資料庫中，無論他們是否被發現與犯罪或恐怖主義有關。
此外，2020年春季，在歐洲刑警組織發現自己擁有越來越多的資料快取後，他們就開始希望用演算法來分析資料背後所折射出的世界。雷峰網
在 EDPS 公開警告歐洲刑警組織一個月後，歐洲刑警組織還提出請教：如果它想在已經被警告保留的資料上訓練演算法，是否可以在沒有 EDPS 監督的情況下啟動資料保護影響評估流程？
他們明確指出，包括面部識別工具在內的演算法不會被設計或用於檢索有關敏感資料，包括公民的健康狀況、種族背景、性取向或政治取向等等。但是，正如自己所承認的一樣，這些資料將不可避免地被人工智慧工具所處理，並自動生成包含敏感資料的內容。
EDPS 回應，他們當時就表示會啟動正式的監控程式。到 2021 年 2 月，Europol 停止了機器學習計劃，並對《衛報》表示，他們「沒有利用自己的機器學習模型進行操作分析，也沒有對機器學習進行『訓練』。」但沒多久，Europol 就開始招募專家，幫助開發人工智慧模型與資料探勘。顯然，這與 Europol 聲稱「不會處理資料」的初衷相違背，也是歐盟資料安全監管機構最大的擔憂。
因此，EDPS 最終決定對歐洲刑警組織提出強制要求刪除資料。
4、資料隱私之殤
資料被譽為人工智慧的三駕馬車之一。
然而，隨著各國資料保護政策的收緊，以及公民對個人資訊的保護意識提升，上至執法者，下至企業與高校機構，敏感資料的獲取與使用將越來越難。對於執法機構的資料使用監管，歐盟的裁決只是打響了「第一槍」。
而深究根源，促使政策下臺的根本原因，最終仍要落到資料的龐大價值與其誘惑上。單純擁有資料、而不使用資料的「信誓旦旦」，已經無法贏得公眾的信任。
在個體使用者中，拿一個身份證換一盒雞蛋的行為將一去不返。越來越多的人對資料安全的防備意識在增強。對他們來說，利益安全與消費體驗的需求將越來越強。
在接下來的人工智慧發展中，研究者要考慮的問題，大約是如何利用少資料、非敏感資料進行研究，實現研究突破，同時「討好」個體罷。
參考連結：
1.https://www.theguardian.com/world/2022/jan/10/a-data-black-hole-europol-ordered-to-delete-vast-store-of-personal-data
2.https://www.politico.eu/article/the-last-refuge-of-the-criminal-encrypted-smartphones-data-privacy/
3.https://www.europol.europa.eu/media-press/newsroom/news/dismantling-of-encrypted-network-sends-shockwaves-through-organised-crime-groups-across-europe
