英国信息专员办公室（ICO）已告知使用人脸识别技术的警察部队更严格地遵循其数据保护建议，因为该技术正成为英国各地警务工作的常规组成部分。该监管机构的介入表明，人们日益担忧人脸识别技术的推广速度已超越旨在保护其所收集个人数据的安全保障措施。

人脸识别技术通常以实时人脸识别（LFR）的形式部署于公共活动、城镇中心，或通过对照拘留影像进行回顾性搜索来运作，其工作原理是实时或从录像中扫描人脸，并与警方观察名单进行比对。由于该技术处理生物特征数据——英国数据保护法下最敏感的数据类别之一——在数据的收集、存储或共享方式上任何失误都伴随着极高的隐私风险。ICO对加强治理的呼吁反映了一个简单的现实：强大的监控工具需要同样强大的问责机制作为支撑。

ICO要求警方做什么

作为英国独立的数据保护监管机构，ICO有权依据英国通用数据保护条例（UK GDPR）和《数据保护法》审查包括警察部队在内的公共机构如何处理个人信息。其向警方发布的最新指南聚焦于数据治理：清楚记录使用人脸识别的理由、生物特征数据保留多长时间、谁有权访问观察名单，以及如何使用该技术做出的决策可以得到审查或质疑。

这并非要求完全放弃人脸识别技术。相反，ICO要求各警察部队建立内部管控机制，使该技术的使用对公众和监管机构都是透明且经得起推敲的。强有力的治理意味着更少的数据被不当处理、超期保留或超出原有目的使用的机会。

为什么数据治理比技术本身更重要

人们很容易将注意力集中于人脸识别算法的准确性或公平性上，但ICO对治理的强调指向了一个不同的脆弱点：数据一旦被收集后会发生什么。生物特征标识符无法像密码那样更改。如果人脸识别数据存储不安全、未经适当授权被共享或无期限保留，那么数据泄露或滥用的后果远比泄露一个电子邮件地址严重得多。

这一担忧对英国警务而言并非假设性的。敏感执法数据已被证明对攻击者具有高度吸引力。ExfilSquad泄露警察国家法律数据库1.9GB数据事件表明，即使是用于内部法律参考的系统，当治理不完善时也会成为攻击目标并带来责任风险。人脸识别数据库集中存储与真实身份相关联的高度敏感生物特征记录，如果允许类似的安全实践漏洞持续存在，其将成为更具价值的攻击目标。

大规模集中存储敏感个人数据的风险也已在警务领域之外得到充分体现。英国生物银行遭黑客攻击，50万名志愿者数据受影响事件表明，即使是为合法研究目的而建立的大型个人数据存储库，如果保护措施落后于数据收集规模，最终也可能遭到曝光和出售。警方人脸识别系统面临着类似的挑战：被加入观察名单和数据库的面孔越多，任何治理失败可能造成的后果就越大。

执法历史也强调了为什么ICO选择提前介入而非事后追责。该监管机构在数据泄露事件后对南斯塔福德郡水务公司开出的近100万英镑罚款——该事件暴露了数十万客户记录——提醒人们，当组织未能履行数据保护义务时，ICO确实会采取行动，而人脸识别数据治理方面的失败可能给警察部队带来类似的后果。

这对你意味着什么

如果你居住、工作或参加活动的地区部署了警方人脸识别系统，该技术可能已经在未经你直接知晓的情况下处理你的生物特征数据，因为实时人脸识别通常会扫描摄像头范围内的所有人，而不仅仅是观察名单上的人。ICO推动更好治理的根本目的是确保扫描行为是相称的、有时限的、可问责的，而非无限制的监控能力。

对大多数人而言，实际需要关注的是人脸识别的监管仍在追赶部署速度。这一差距意味着值得关注这些系统在你所在地区的使用方式和范围，并支持对保留期限、观察名单标准和独立审计的透明度要求。

关键要点

  • 人脸识别处理生物特征数据——英国法律下最敏感的个人数据类别之一——使得治理失败的后果比一般数据不当处理更为严重。
  • ICO的建议聚焦于文档记录、保留期限和问责机制，而非完全禁止该技术。
  • 集中式数据库——无论是生物特征、法律还是医疗数据——在安全和治理落后于数据收集时，已反复被证明是极具吸引力的攻击目标。
  • 公众可以向当地警察部队要求人脸识别部署和保留实践的透明度，如果保障措施似乎不足，可以直接向ICO提出关切。

随着人脸识别成为英国警务中更为永久的组成部分，其数据治理的强度——而不仅仅是技术准确性——将决定该技术能否赢得持久的公众信任。