案件概述

案例背景

Snap Inc.（以下简称"Snap"）是Snapchat平台的开发者，该平台推出了一项名为"My AI"的新功能，该功能利用人工智能技术为用户提供个性化服务。英国ICO对Snap展开调查，以确定其是否遵守了英国通用数据保护条例（UK GDPR）的相关规定。

调查流程

1. 初步评估：专员对Snap的数据处理活动进行了初步评估，特别是针对"My AI"功能的数据处理是否可能对用户的权利和自由造成高风险。
2. 信息通知：专员发出信息通知，要求Snap提供所有版本的DPIA及相关文件。
3. 初步执行通知（PEN）：基于Snap提供的资料，专员发出PEN，列出了Snap可能违反的UK GDPR条款，并要求Snap停止相关数据处理活动，直到符合法规要求。

此次的初步执法通知可以理解为该执法行动的一部分。该文也又重申了ICO在2023年4月3日发布的《Generative AI: Eight questions that developers and users need to know》，提醒开发者和使用者需要遵守该指南要求。

❝

关于AIGC需要问的8个问题：（1）处理个人数据的合法依据是什么？如果您正在处理个人数据，您必须确定适当的合法性基础，如同意或合法利益。

（2）您是控制者、联合控制者还是处理者？如果您正在使用个人数据开发生成式人工智能，那么您可能作为数据控制者。如果您正在使用或部署他人开发的模型，您可能是控制者、联合控制者或处理者。

（3）您是否准备了数据保护影响评估 (DPIA)？在开始处理个人数据之前，您必须通过 DPIA 流程评估并降低任何数据保护风险。您的 DPIA 应随着处理过程及其影响的变化而不断更新。

（4）如何确保透明度？除非适用豁免，否则您必须向公众提供有关处理的信息。如果不会花费过多成本，您必须将此信息直接传达给数据相关的个人。

（5）如何降低安全风险？除个人数据泄露风险外，您还应考虑并降低模型反转和成员推断、数据中毒及其他形式的对抗性攻击的风险。

（6）如何限制不必要的处理？您必须只收集足以实现既定目的的数据。数据应具有相关性并仅限于必要的范围。

（7）如何满足个人权利要求？您必须能够回应人们关于访问、更正、删除或其他信息权利的要求。

（8）您是否将生成式人工智能用于自动化决策？如果是，而且这些决定具有法律或类似的重大影响（如重大医疗诊断），那么根据UK GDPR 第 22 条，个人还享有进一步的权利。

4. Snap的回应：Snap对PEN进行了回应，提交了第五版DPIA，并提供了书面和口头陈述。
5. 最终决定：专员在综合考虑了Snap的陈述和第五版DPIA后，做出了最终决定。

决定书

2024年5月21日发布了关于ICO关于Snap Inc. 和 Snap Group Limited在Snapchat中发布My AI功能违反UK GDPR第35条和第36条的决定书，认定Snap不构成违反UK GDPR的规定。

I. 引言和摘要

信息专员（“专员”）得出结论，截至2023年11月22日，Snap Inc.（“Snap”）已经完成了与Snapchat平台上的“My AI”功能（“My AI”）相关的修订版数据保护影响评估（“DPIA”），该评估符合英国通用数据保护条例（“UK GDPR”）第35条的要求；并且Snap和Snap Group Limited在开始处理与My AI相关的个人数据前，并未违反UK GDPR第36条第1款的规定，即未在开始处理前咨询专员。

因此，没有理由根据2018年数据保护法（“DPA 2018”）第149(2)条发出执行通知，该通知是根据2023年10月6日向Snap和Snap Group Limited发出的初步执行通知（“PEN”）附件1中规定的条款制定的。

PEN列出了专员的初步结论，即Snap和Snap Group Limited作为独立或联合控制者，处理与My AI相关的个人数据时，违反了：

(a) 由于在2023年2月27日推出Snapchat上的My AI之前，未能进行符合UK GDPR第35(7)条要求的DPIA，违反了UK GDPR第35条第1款；

(b) 尽管在其关于My AI的前四次DPIA中似乎得出结论，如果不采取措施减轻风险，此类处理将对13-17岁用户的权利和自由造成高风险，但仍未在开始处理与My AI相关的个人数据前咨询专员，违反了UK GDPR第36条第1款。

PEN列出了专员的初步结论，即发出执行通知，要求Snap和Snap Group Limited在提供给专员并得到专员书面确认符合UK GDPR第35条要求的修订版DPIA之前，停止处理与My AI相关的Snapchat用户的个人数据。专员通知Snap，他将仔细考虑Snap希望在做出最终决定之前提出的任何口头或书面陈述。

2023年11月3日，专员收到了对PEN的书面陈述，后来又在2023年12月11日补充了一份“骨架论证”，尽管这份论证是在书面陈述截止日期之后提交的，但专员还是将其视为另一套书面陈述予以考虑。2023年12月14日举行了听证会，提供了口头陈述。专员在做出决定时考虑了Snap提出的所有书面和口头陈述。

2023年11月22日，Snap向专员提供了与My AI相关的修订版DPIA（“第五版DPIA”）。第五版DPIA取代了所有先前与My AI功能相关的DPIA。专员注意到PEN附件1第4(a)段要求Snap对“My AI”进行“修订版数据保护影响评估”，专员认为进行和向专员提供第五版DPIA是其调查过程中的一个重要发展。

在仔细考虑了书面和口头陈述以及第五版DPIA之后，专员满意地认为：(a) 截至2023年11月22日，Snap已经进行了符合UK GDPR第35条的DPIA。Snap投入了大量的时间和精力来制作第五版DPIA，并采取了措施直接解决PEN中提出的问题。专员满意地认为第五版DPIA中包含的详细风险分析表明，Snap已经进行了对与My AI相关的处理活动影响个人数据保护的评估，这符合UK GDPR第35条的要求。专员对第五版DPIA的评估发现它：

• 比Snap先前关于My AI的DPIA包含了更详细的处理活动分解，这些活动是为了生成My AI的响应（UK GDPR第35(7)(a)条）；
• 考虑了Snap使用生成性AI技术与其现有处理活动的差异程度，以及这种差异如何影响其与My AI相关的处理活动的必要性和相称性，包括解决使用这种技术可能如何影响用户与My AI共享的特别类别数据的性质和数量，以及随后由Snap处理的数据（UK GDPR第35(7)(b)条）；
• 采用了结构化和详细的风险评估，这些风险是由与My AI相关的处理活动引起的，特别考虑了对13-17岁用户群体的风险，该群体约占2023年9月My AI平均每日活跃用户的[数字]；并且
• 明确确定了Snap设想将解决My AI用户权利和自由风险的措施，包括解释这些措施将如何以及在多大程度上减轻其已识别的风险（UK GDPR第35(7)(d)条）。

(b) Snap在开始处理与My AI相关的个人数据前，未违反UK GDPR第36条，未咨询专员。专员接受了Snap提供的解释（包括一份经真实声明支持的签名证人陈述），即其DPIA先前版本中关于处理对13-17岁用户构成剩余高风险的结论是错误记录的。此外，第五版DPIA没有触发UK GDPR第36(1)条下的咨询义务。

决定（“决定”）列出了专员发现Snap现在已经进行了与My AI相关的DPIA，符合UK GDPR第35(7)条的要求，这意味着没有理由根据PEN附件1中规定的条款发出执行通知。该决定仅涉及专员对Snap截至2023年11月22日遵守UK GDPR第35条和第36条的评估，涉及My AI。专员没有评估，也没有就Snap与My AI相关的更广泛处理活动或其通常遵守UK GDPR和DPA 2018的情况做出任何发现。

决定的传达：由于PEN已发给Snap和Snap Group Limited，因此本决定也已传达给双方。然而，正如下面第43-50段所解释的，专员得出结论，Snap是与My AI相关的个人数据的唯一控制者。

译者注：上述翻译中[数字]部分在原文中提供了具体的比例数字，但由于文本中未给出具体数值，因此在翻译中用[数字]代替。

II. 事实背景

A.  Snapchat平台

Snapchat是由Snap开发的一款多媒体即时通讯应用和服务。Snap将Snapchat描述为“传统社交媒体的替代品——一种视觉通讯应用，帮助用户与朋友、家人和世界加强联系。”

2024年5月9日，Snap向专员通报了Snapchat在英国的每日活跃用户总数，这个数字在【数值】之间。在这一总数中，大约有14.5%的用户年龄在13至17岁之间。

Snapchat+是Snapchat应用内提供的付费订阅服务。只有支付月费的Snapchat用户才能使用Snapchat+。这些用户可以访问普通Snapchat用户无法使用的功能，并且可能会获得新功能的早期体验。

译者注：上述翻译中[数字]部分在原文中提供了具体的比例数字，但由于文本中未给出具体数值，因此在翻译中用[数字]代替。

B. My AI功能

My AI是一个聊天机器人，为Snapchat用户提供通过会话界面提出查询的能力。专员了解到“查询”构成用户输入到My AI聊天机器人的任何内容，可以是文本（“聊天”）、图片（“快照”）或音频（语音笔记）的形式。聊天机器人是一种服务，允许用户与“机器人”（或自动化服务）进行对话，类似于与另一个人类的对话。My AI由Open AI Opco, LLC（“OpenAI”）开发的生成预训练变换器（“GPT”）技术驱动。OpenAI将自己描述为“人工智能研究和部署公司”。OpenAI的GPT技术是一种大型语言模型（“LLM”），广义上定义为一组算法系统，可以使用非常大的数据集识别、总结、翻译、预测和生成内容。

• My AI的技术实现

OpenAI允许软件开发者通过提供应用程序接口（“API”）使用并构建在OpenAI的GPT技术之上。2023年7月13日，Snap在一封信中通知专员，My AI由OpenAI的GPT技术驱动，通过OpenAI为开发人员提供的API实现。用于My AI用户界面的具体API由Snap开发。

• My AI的引入和发布：

Snap最初在2023年1月开始考虑在Snapchat中应用生成性AI功能。Snap在2023年2月27日为Snapchat+订阅者推出了My AI。

• Snapchat+的先行发布：

Snapchat+有时被用来在向更广泛的Snapchat用户群体发布之前发布新功能，以便观察这些功能如何被Snapchat最活跃的用户接受。2024年5月9日，Snap通知专员：

• (a) 2023年3月，即My AI对Snapchat+订阅者开放后的第一个完整月，英国的Snapchat+订阅者平均每天活跃用户数为【数值】（约占25.5%）年龄在13-17岁之间；
• (b) 2023年3月1日至4月18日期间，My AI的平均每日用户数为.【数值】约占35.5%）年龄在13-17岁之间。

译者注：由于原文中某些部分可能涉及敏感信息或未具体化的数据，我已使用省略号【数值】代替。如果需要更详尽的翻译或包含具体数据，请提供完整信息。

• My AI的数据收集：

在第五版DPIA的第1.3节中，Snap声明，在My AI的背景下“特定类型的数据收集”包括：

• (a) My AI Bio - 用户为My AI设置的定制个性，可能包括用户在他们的账户上赋予My AI的特定名称。
• (b) 年龄区间 - 用户是否未满18岁，Snap使用用户声明和推断年龄中的较低值。
• (c) 非精细地理位置 - 如果用户在应用级别授予Snapchat访问其位置的权限，则此数据源自精确位置数据。Snap声明，这并不意味着，在My AI的背景下，它处理用户的精确位置，而只是用户提交查询时所在的城市或地区。
• (d) 元数据 - 包括用户的IP地址、国家代码、地区、城市和用户ID，以及单个查询提交给My AI的时间戳和对话ID。
• (e) 交互数据 - 用户提交的查询和My AI的响应，可以是文本或基于图像的。用户也可以提交音频查询，从而生成My AI的文本响应。
• (f) 关键词 - 使用Snap的内部模型从提交给My AI的查询中提取的关键词，以便在My AI的服务中识别商业意图，并在Snap的服务中投放广告。
• (g) 记忆 - 用户与My AI之前对话的交互数据摘要，Snap使用这些信息使My AI能够“记住”有关用户的某些事实，并使用这些信息通知与用户的后续交互。
• My AI的全面可用性：

Snap在2023年4月19日向所有英国Snapchat用户开放了My AI。2024年5月9日，Snap向专员确认，2023年4月My AI在英国的月活跃用户总数超过了【数值】（其中大约13%的用户年龄在13-17岁之间）。

• 用户与My AI的交互：

如果Snapchat用户通过聊天机器人界面向My AI提交查询，该查询将与以下信息一起传递给OpenAI：

• (a) Snapchat用户之前发送给My AI的查询。Snap表示，目前这包括用户之前单独发送给My AI的查询；
• (b) 用户提供给Snap的特定用户属性，例如用户声明的个人资料年龄是否在13-17岁之间，以及城市级别的位置（Snap将其描述为用户的“非精细”地理位置，并声称只有在用户在创建账户时授予Snapchat访问其位置的权限时才会共享）。用户在首次打开应用程序时会被提示选择是否授予Snapchat访问其设备位置的权限，如果他们继续在未启用位置服务的情况下使用应用程序，将定期提示；以及
• (c) Snap为My AI的操作设计的指南（Snap称之为“规则”或“提示”）。这包括指导My AI如何向Snapchat用户提供响应的指南，包括：【空】

译者注：原文存在遮挡，以【】表示。

• My AI的响应生成：OpenAI的GPT技术将其大型语言模型应用于这些组合输入，并提供输出响应。关于My AI的前四次DPIA提供了一个例子，即Snapchat用户想要了解他们所在城镇最佳墨西哥食物的地点，My AI根据部分用户的城市级别位置信息提供当地推荐。
• 处理活动的详细说明：在其书面陈述的附录1中，Snap提供了生成My AI响应所需执行的处理活动的更多细节。Snap解释说，它检查OpenAI的输出是否包含其列表上的任何术语，并据此决定是用错误消息还是OpenAI的输出来响应用户。用户提交的包含某些关键词的查询，例如与...相关的查询，会触发包含审查信息和自助资源的响应。
• 图像内容的审核：在其书面陈述中，Snap还解释了当用户与My AI分享图像或“Snap”时，Snap如何使用审核模型扫描图像，以检测被认为不适当的内容，在这种情况下，用户会收到一个通用响应。
• My AI的交互方式：在其书面陈述中，Snap解释了Snapchat+用户如何通过发送“Snap”给My AI来接收“Snap”作为回应。Snap以OpenAI生成的标题和它生成的图像回应用户。
• 商业意图的检测与广告服务：Snap向专员解释说，它使用一个内部模型来检测...。Snap在其书面陈述中解释说，当检测到商业意图时，查询、用户的年龄区间、用户的唯一ID和其他元数据将与它的广告处理器Microsoft Corporation（“Microsoft”）共享，然后生成“上下文广告”，这将被整合在My AI提供的回应中。

C. 专员的调查

• Snap的初步接触：Snap最初在2023年3月请求与信息专员办公室（“ICO”）会面，并在草案议程中包括了My AI。会议于2023年4月20日举行，即所有英国Snapchat用户获得My AI访问权限的第二天，几乎在它最初为Snapchat+订阅者推出两个月后。

• ICO的非正式请求：会后，ICO非正式要求Snap分享其对ICO监管风险执行董事在2023年4月3日发布的博客中向开发人员和生成性AI用户提出的八个问题的回答。这之后是对Snap非正式请求分享其关于My AI功能的DPIA，Snap回应称其DPIA是一个“活文档，随着[Snap]从My AI最近推出中学习，它将继续更新”，并且基于此，Snap“目前不愿在此阶段分享它”。Snap进一步表示，它“更愿意先回应[ICO的]博客问题，看看这是否提供了ICO寻求的理解和保证水平”。

• 信息通知的发出：专员于2023年5月19日向Snap发出了信息通知（“五月信息通知”），正式请求提供与My AI功能相关的所有版本的Snap的DPIA。2023年5月26日，Snap部分回应了五月信息通知，提供了一份日期为2023年5月26日的DPIA副本（“第四版DPIA”）。2023年5月31日，应专员的进一步非正式请求，Snap提供了三个早期版本的DPIA，日期分别为：

• (a) 2023年2月24日（“第一版DPIA”）；
• (b) 2023年4月13日（“第二版DPIA”）；
• (c) 2023年5月19日（“第三版DPIA”）。

• 对未编辑版本的要求：2023年6月2日，专员通知Snap，遵守五月信息通知的要求需要提供未编辑的DPIA副本，以及在第一、第二、第三和第四版DPIA的第1.1节（资源）中列出的文件披露。Snap随后向专员解释，这些文件构成了“Quips””[译者注："Quips"在这里指的是Snap公司内部使用的、包含详细隐私和风险评估的文件或备忘录]，根据Snap的说法，其中包含了有关My AI的详细隐私和风险评估。作为回应，Snap表示它“...编辑了...对[其]内部资源和隐私设计审查的商业敏感和保密链接。广泛披露内部链接可能会使[公司]的数据安全处于风险之中。不幸的是，[Snap]最近在向不同监管机构提交的不同监管文件中遭受了这样的例子。”Snap在回应提供与其My AI相关的未编辑DPIA的请求时总结说，它“不认为编辑后的信息对ICO的调查是实质性的或重要的。”在与ICO的进一步电子邮件往来后，Snap在2023年6月5日提供了第一、第二、第三和第四版DPIA的未编辑副本。

• 调查通知和信息请求：2023年6月23日，专员通知Snap，他的办公室正在调查Snap在推出Snapchat和Snapchat+上的My AI功能时是否违反了UK GDPR第35条和第36条。在同一天，专员向Snap发出了第二份信息通知（“六月信息通知”），要求提供与引入My AI功能及其相关风险评估过程有关的指定文件和信息。所请求的信息包括在第一、第二、第三和第四版DPIA的“资源”标题下列出的指定文件的副本。

• 执行通知的发出：2023年10月6日，在仔细考虑了Snap提供的所有信息后，专员向Snap和Snap Group Limited发出了PEN。PEN列出了专员的初步结论，即Snap违反了：

• (i) 系统性描述与My AI相关的处理活动的性质、范围和背景（UK GDPR第35(7)(a)条）；
• (ii) 评估其处理活动的必要性和相称性，特别是与其使用生成性AI技术及其如何改变处理的个人数据的性质和Snap执行的处理活动有关（UK GDPR第35(7)(b)条）；
• (iii) 评估处理活动对My AI用户权利和自由构成的风险，特别是针对13-17岁用户进行营销目的、大规模处理特殊类别数据以及使用新技术对用户理解其个人数据如何被处理的影响（UK GDPR第35(7)(c)条）；
• (iv) 确定Snap设想将解决与My AI相关的处理活动所带来的风险的措施，包括未能解决对13-17岁用户构成的“复合”风险，以及用户与My AI的对话内容可能被有意或无意跟踪的风险，以及未能解释删除Snap应用内关于不与My AI共享机密和敏感信息的警告的原因（UK GDPR第35(7)(d)条）；
• (a) 由于在推出My AI之前未能进行符合UK GDPR第35(7)条要求的DPIA，违反了UK GDPR第35条，特别是因为Snap未能：
• (b) 由于在开始处理活动之前未能咨询专员，违反了UK GDPR第36条，尽管Snap在其关于My AI的前四次DPIA中似乎得出结论，如果不采取Snap采取的措施来减轻风险，这种处理将对用户的权利和自由构成高风险。

• Snap就PEN提交书面陈述

  在这个阶段，专员还没有得出最终结论，确定Snap违反了UK GDPR第35(1)条和第36条，而是邀请Snap就PEN中提出的临时观点提交其陈述。

  2023年11月3日，Snap就PEN提交了书面陈述。2023年11月22日，Snap向专员发送了关于My AI的第五版DPIA。2023年12月11日，Snap的书面陈述被“骨架论证”补充，该论证提前提交给了口头听证会。Snap表示，这个骨架论证旨在，除其他事项外，重申其对PEN的回应中的一些关键点，并阐述第五版DPIA对调查的主要含义。

  2023年12月14日，在专员办公室举行了口头听证会，专员代表、Snap高管和Snap法律代表出席了会议。2024年1月15日，专员致函Snap，请求对口头听证会引发的进一步问题作出回应。Snap在2024年2月2日对这些额外问题作出了回应。

  2024年2月13日，Snap致函专员，通知他最近对其隐私政策、即时通知（用户首次与My AI交互时显示的“JIT”通知）、其“家庭中心”和第五版DPIA所做的进一步更改。

D. 专员的决定

• 第五版DPIA的合规性：

  基于以下原因，专员决定：

  (a) 第五版DPIA符合UK GDPR第35条的要求，因此没有理由发出执行通知，要求Snap采取特定步骤使其处理活动符合UK GDPR；

  (b) Snap在开始与My AI相关的个人数据处理之前，未违反UK GDPR第36条，未能咨询专员。

  专员仔细考虑了第五版DPIA和Snap的陈述。然而，这一决定中的分析并不打算涉及第五版DPIA的每个要素，也不打算涉及Snap在其陈述中提出的每个论点。

III. 相关法律框架

UK GDPR的第四章规定了控制者和处理者在处理个人数据方面的义务。

• DPIA：UK GDPR第35条第1款规定，“如果某种处理类型，特别是使用新技术，并且在考虑处理的性质、范围、背景和目的时，可能会对自然人的权利和自由造成高风险，控制者应在处理前进行对预期的处理活动对个人数据保护影响的评估。单一评估可能涉及一组类似的处理活动，这些活动呈现出类似的高风险。” UK GDPR第35条第7款规定，DPIA必须包含：
• (a) “对预期的处理活动和处理目的的系统性描述，包括在适用的情况下，控制者追求的合法利益；
• (b) 对处理活动的必要性和相称性进行评估；
• (c) 对数据主体的权利和自由构成的风险进行评估，如[第35条第1款]所述；以及
• (d) 为解决风险而设想的措施，包括保障措施、安全措施和机制，以确保个人数据的保护，并证明符合[UK GDPR]，考虑到数据主体和其他有关人员的权利和合法利益。”
• 高风险处理活动的咨询义务：UK GDPR第36条第1款规定，“如果根据第35条进行的数据保护影响评估表明，在控制者采取措施减轻风险的情况下，处理将导致高风险，控制者应在处理前咨询专员。”

IV. 不构成侵权认定

A. 控制权和管辖权

在PEN中，专员初步得出结论，Snap和Snap Group Limited在处理与My AI相关的个人数据时，无论是独立还是共同作为控制者，因为他们决定处理这些个人数据的目的和手段。

然而，在考虑了Snap就此问题所作的陈述和以下概述的原因后，专员得出结论，Snap是与My AI相关的个人数据的唯一控制者。

UK GDPR第4(7)条和DPA 2018第3(6)条定义“控制者”为“单独或与他人共同决定个人数据的处理目的和手段的自然人、法人、公共机构、机构或其他实体”。专员关于“控制者”含义的公开指导指出，“控制者”对处理活动做出决策。他们对正在处理的个人数据行使总体控制，并最终负责和控制该处理。

第五版DPIA的第1.7节和3.1节声明，“Snap Inc.是唯一决定Snapchat用户数据的处理的实体，包括My AI功能。它单独决定了与My AI相关的Snapchat用户个人数据的处理目的和手段。”第五版DPIA的第3.1节还声明，Snap Group Limited“在决定为用户提供哪些产品或功能、对这些产品/功能进行哪些处理活动以及为了什么目的，或者进一步使用什么手段进行处理方面，没有扮演任何角色。所有这些决策完全由Snap Inc.做出。[Snap Group Limited]仅仅是在英国向最终用户转售Snapchat。”

PEN引用了Snap Group Limited截至2021年12月31日年度的年度报告，该报告声明该公司主要通过广告产生收入。专员初步发现，这表明Snap Group Limited在Snapchat上在线广告的销售中扮演了积极的角色。

然而，第五版DPIA的第3.1节解释说，“My AI的广告由Snap的广告处理器提供”，“广告商并不直接从Snap Inc.或Snap的地方实体（如[Snap Group Limited]）采购广告。”第五版DPIA的第3.1节声明，“Snap的地方实体——包括[Snap Group Limited]——没有参与这种安排，也不决定与My AI相关的Snapchat用户个人数据的处理目的或手段。”

Snap声称，在与My AI相关的个人数据处理方面，它是唯一的控制者，这一主张得到了以下事实的支持：在回应六月信息通知的过程中，Snap列出了参与考虑和决定引入My AI功能的商业理由及决策的高级执行官和团队，所有这些人都是Snap的员工或团队。这支持了Snap的主张，即与My AI相关的处理活动的关键决策是由Snap的代表做出的，而不是Snap Group Limited。

鉴于Snap所作的陈述和第五版DPIA中对控制权的解释，专员得出结论，Snap是与My AI相关的个人数据的控制者，因为它决定了这些处理活动的途径和目的。

UK GDPR适用于Snap与My AI相关的处理活动，因为它是一个控制者，在英国的机构背景下处理个人数据。

专员发现，Snap根据UK GDPR第3条第1款，通过其伦敦办事处或其英国子公司Snap Group Limited在英国建立了机构。专员发现，Snap在其英国机构的背景下处理个人数据，如第五版DPIA第3.1节所述，Snap的“本地实体通过当地法律、政策、通信等支持提供My AI给用户。”第五版DPIA第3.1节还指出，Snap“理解与My AI相关的Snapchat用户个人数据处理是在其英国/欧盟实体的活动背景下进行的，因此，相应地，根据[UK GDPR第3条第1款]，英国和欧盟的GDPR要求将适用于My AI背景下的处理活动。”

或者，正如第五版DPIA第3.1节所接受的，“Snap Inc.与My AI相关的处理活动与向英国的数据主体提供商品和服务[Snapchat，更具体地说，是My AI]有关”，这意味着根据UK GDPR第3条第2款(a)，UK GDPR适用于Snap。

尽管专员得出了关于Snap作为控制者角色的结论，但由于PEN已发给Snap和Snap Group Limited，这一决定也已发给双方。

B. 未违反UK GDPR第36条

专员得出结论，Snap在开始与My AI相关的个人数据处理之前，由于以下原因，没有违反UK GDPR第36条第1款的规定，即未在开始处理前咨询专员：尽管Snap的第一次、第二次、第三次和第四次DPIA记录了Snap接受了My AI对13至17岁用户构成高风险的观点，但专员接受了Snap的解释，即这是错误记录，并没有反映Snap在考虑其缓解措施后对这些用户构成风险的真实评估。

专员得出结论，Snap在进行第一次、第二次、第三次和第四次DPIA时形成的观点是，数据主体的风险并不高，并且已经采取了缓解措施。

• 法律框架：UK GDPR第36条第1款规定，控制者在处理前必须咨询专员，如果根据第35条进行的数据保护影响评估（DPIA）表明，在没有控制者采取措施减轻风险的情况下，处理将导致高风险。
• 背景和分析：在第一次、第二次、第三次和第四次DPIA的第5部分（风险评估）中，Snap记录了它在My AI用户方面识别的风险，如果针对13至17岁的用户，这些风险将被“加剧”。关于13至17岁用户面临更高风险的暴露，每一次DPIA都评估了“伤害的可能性”为“可能”，“伤害的严重性”为“显著”，以及“整体风险”为“高”。
• 风险降低：第一次、第二次、第三次和第四次DPIA的第6部分（风险降低）指出，尽管“剩余风险”被标记为“高”，但13至17岁用户面临的风险被“接受”。然而，尽管明显识别了高剩余风险，Snap在开始处理与My AI相关的个人数据之前，并未按照UK GDPR第36条第1款的要求咨询专员。

• Snap的陈述：专员考虑了Snap对其第36条侵权初步发现的陈述。在其陈述中，Snap表示DPIA中记录的青少年用户My AI剩余风险为“高”的结论是错误的，并没有反映Snap的实际结论。这一点在一位高级Snap执行官的证人陈述中得到了重复，该陈述得到了真实性声明的支持，指出在2023年2月22日至24日举行的一系列会议中，Snap确定“所有已识别的高风险对用户——包括儿童用户——已经得到有效缓解，以至于该功能对儿童用户或老年用户都不再是高风险。”
• 不一致性：在专员的调查过程中，Snap提供的关于其DPIA过程性质和错误记录的结论的细节存在一些不一致性，即My AI对13至17岁用户构成的风险为“高”。
• 专员的接受：然而，在仔细考虑了Snap的陈述之后，专员接受了Snap在进行第一次、第二次、第三次和第四次DPIA时的实际结论是，My AI对13至17岁用户的剩余风险是“中等”而不是“高”。
• 第五版DPIA的修订：这一错误已在第五版DPIA中得到解决，该DPIA记录Snap的风险评估表明没有剩余的高风险。因此，第五版DPIA没有触发根据UK GDPR第36条第1款咨询专员的要求。

C. 未违反UK GDPR第35条

基于以下原因，专员得出结论，截至2023年11月22日，Snap已经进行了对My AI相关数据处理活动影响的评估，符合UK GDPR第35条的要求。因此，没有理由发出执行通知，要求Snap停止与My AI相关的Snapchat用户个人数据的处理活动。

专员满意地认为第五版DPIA符合UK GDPR第35条的要求。第五版DPIA中记录的详细背景和分析表明，Snap现在已经进行了对个人数据处理影响的评估，符合UK GDPR第35(7)条的要求。专员的结论基于第五版DPIA中对与My AI相关联的处理活动的详细描述和分析，包括但不限于：

• (a) 第五版DPIA第1.5节中Snap及其处理者执行的处理活动的系统性描述（UK GDPR第35(7)(a)条）；
• (b) 考虑到使用生成性AI技术，对与My AI相关的处理活动的必要性和相称性进行的考虑（UK GDPR第35(7)(b)条）；
• (c) 第五版DPIA第7.3节和第7.4节中对处理活动可能对用户权利和自由造成的影响以及任何结果性伤害或损害的风险的考虑（UK GDPR第35(7)(c)条）；
• (d) 第五版DPIA第7.3节和第7.4节中对Snap为解决其在My AI方面识别的每个风险而设想的一般和儿童特定缓解措施的识别和分析（UK GDPR第35(7)(d)条）。

（a）系统性描述处理活动

专员得出结论，第五版DPIA系统性地描述了Snap及其处理者与My AI相关的处理活动，因此满足UK GDPR第35(7)(a)条的要求。具体来说，第五版DPIA描述了Snap及其处理者在利用OpenAI的GPT技术生成My AI对用户查询的响应过程中执行的处理活动的性质；考虑了处理发生的更广泛背景，包括生成性AI技术的新兴性和公众对其使用的担忧；通过特定用户统计数据概述了与My AI相关的处理活动的范围；并明确了处理的目的，这些目的被定义为“提供个性化的My AI体验，改善服务，提供上下文广告和提供安全和安全导向的功能”[译者注：此处“安全和安全导向的功能”可能指的是旨在增强用户使用过程中的安全性和提供保护隐私、数据安全等功能的特性或措施]。

法律框架

UK GDPR第35条第7款(a)项明确指出，DPIA必须包含“对预期的处理活动和处理目的的系统性描述，包括在适用的情况下，控制者追求的合法利益。”

专员在其发布的DPIA指导中的观点是，为了UK GDPR第35条第7款(a)项的目的，“对预期的处理活动的系统性描述”要求控制者概述其计划如何使用其收集的个人数据。这必须包括处理的性质、范围、背景和目的的详细信息。虽然专员的DPIA指导没有法律约束力，但它旨在帮助控制者履行其在第35条和第36条UK GDPR下的义务，并表明专员如何解释这些条款。因此，在整个文件中引用该指导，以支持解释专员结论的基础。

DPIA指导解释说，DPIA必须包含处理性质的描述，并详细说明这一点，表明DPIA应包括控制者如何收集、使用和共享其收集的个人数据的详细信息。关于处理的范围，DPIA指导解释说，这应该解释处理的覆盖范围，包括但不限于处理的个人数据的性质、数量和敏感性，以及处理发生的地理区域。最后，DPIA指导指出，处理的背景描述应包括考虑处理发生的更广泛情况，包括可能影响个人对其数据使用的期望和处理可能对他们产生的影响的内部和外部因素。

符合UK GDPR第35条第7款(a)项的认定

基于以下原因，并参考DPIA指导的每个相关组成部分，专员得出结论，第五版DPIA包含了Snap及其处理者为提供My AI功能给Snapchat用户而执行的处理活动的系统性描述，因此符合UK GDPR第35条第7款(a)项的要求。

(i) 处理活动的性质

专员发现，第五版DPIA对生成My AI响应所需执行的处理活动的性质的描述，特别是数据如何被收集、使用和共享的描述，与DPIA指导一致。

在PEN的第69段中，专员初步得出结论，在第一次、第二次、第三次和第四次DPIA中，Snap未能充分描述其打算如何处理与My AI相关的个人数据，特别是，它未能：

(a) 充分解释Snap如何使用个人数据和/或OpenAI的GPT技术向用户展示广告；

(b) 解释从发送给My AI的用户查询中提取的信息或推断如何用于个性化目的或在My AI和Snapchat平台的其他部分提供定向广告；

(c) 明确识别用于广告目的的个人数据类别；

(d) 明确识别与My AI相关的处理活动中识别的个人数据类别的保留期限。

现在第五版DPIA的第1.5节中包含了如何收集、使用和共享与My AI相关的个人数据的解释，通过包括由Snap、OpenAI和Microsoft Corporation（Snap的广告处理者）执行的处理活动的逐步分解，以生成My AI的响应。这包括列出了为生成My AI响应而收集并随后与OpenAI共享的个人数据类别，具体包括：My AI Bio信息、用户之前发送给My AI的前几次消息、My AI的“记忆”[译者注：用户与My AI之前交互的简短摘要/记录]、用户的年龄区间和用户的非精细地理位置。第五版DPIA还声明，如果相关，发送给My AI的用户语音笔记和“Snap”也会与OpenAI共享。

第五版DPIA的第1.5节根据My AI是响应文本查询的文本响应、“Snap”的文本响应，还是“Snap”的“Snap”，区分了由Snap和OpenAI执行的处理活动。DPIA的这一部分包括了与My AI相关的处理活动的进一步细节，包括如何使用Snap的内部模型对My AI查询进行分类，如何应用其ALD，如何为发送给My AI的“Snap”创建文本描述，以及如何配置发送给OpenAI的提示。这种细节水平有助于证明第五版DPIA包含了对执行的处理活动性质的评估，并确保对处理活动影响的评估已经考虑到了Snap如何收集、使用和共享其收集的个人数据。

第五版DPIA的第1.5节详细说明了与Snap的广告处理者Microsoft共享不同类别的个人数据，以便在My AI对用户查询的响应中包含广告。这表明Snap共享了表明商业意图的用户查询、由OpenAI的LLM生成的响应、用户元数据和一个[用户标识符]给Microsoft。Microsoft被禁止使用[用户标识符]对My AI的用户进行重新定位或分析。

第五版DPIA的第1.5节逐步解释了这些数据如何被处理以在My AI的响应中包含广告。第1.5节还提到了明确禁止Microsoft使用从My AI收集的数据进行分析的用途。

此外，Snap在第五版DPIA中调整了对与My AI相关的个人数据收集的保留期限的文档方法，与以前的版本相比。DPIA指导中关于如何在DPIA中描述处理性质的建议指出，这种描述应包括对正在处理的个人数据应用的保留期限的详细信息。

第五版DPIA的第1.6节列出了适用于与My AI相关的不同类别个人数据的保留期限。例如，除了语音笔记之外的所有交互数据将被保留，直到用户删除或其账户生命周期结束，而与用户查询相关的元数据则保留180天，或直到用户删除其账户。

第五版DPIA的第1.6节还记录了适用于与Snap的处理者共享的个人数据的保留期限，这些期限是由Snap根据适用的数据加工协议的条款施加的。

专员发现，第五版DPIA中对适用于个人数据的保留期限的更详细解释与DPIA指导一致，并有助于证明第五版DPIA包含了对处理活动的系统性描述。专员认为，如果评估没有充分考虑应用于个人数据的保留期限，Snap就无法对与My AI相关的处理活动相关的风险进行评估。第五版DPIA中对适用保留期限的更详细解释已经解决了这个问题，符合UK GDPR第35条第7款(a)项的要求。

虽然专员发现第五版DPIA以足够的细节描述了与My AI相关的个人数据的保留期限，用于UK GDPR第35条第7款(a)项的目的，但专员没有评估并对Snap遵守UK GDPR第5条第1款(e)项规定的存储限制原则的合规性做出任何发现。特别是，专员没有就Snap关于其保留某些类型的个人数据符合在线消息和相机平台的上下文中用户期望的说法做出任何决定。

DPIA指导中关于如何在DPIA中描述处理活动性质的建议指出，处理性质的描述应涵盖谁可以访问数据，包括控制者使用的任何处理者。专员注意到第五版DPIA的第1.5(a)节和1.5(b)节确定了与Snap的处理者OpenAI和Microsoft共享的个人数据，并描述了在Snap内部对通过My AI收集的个人数据的访问是如何受到限制的。第五版DPIA的第4.3(e)节现在解释说，关于通过My AI收集的数据的访问，“Snap内部对与My AI交换的用户内容的访问...是根据个别情况授予Snap的隐私和工程团队管理批准的少数员工的访问请求，用于批准的用例”，访问“只授予短时间”，并且是“记录并定期审计的”，同时它也是“在授予的访问期限结束时自动撤销的”。

基于此，专员发现第五版DPIA包含了对处理活动性质的一个基本要素的系统性描述，即谁可以访问收集的个人数据以及如何调节这种访问。包含此类信息有助于并支持专员的总体结论，即第五版DPIA包含了对处理活动的系统性描述，符合UK GDPR第35条第7款(a)项的要求。

(ii) 处理活动的范围

专员得出结论，第五版DPIA中与My AI相关的处理活动范围的描述与DPIA指导一致，并支持他的结论，即第五版DPIA包含了UK GDPR第35条第7款(a)项要求的处理活动的系统性描述。

DPIA指导中指出，处理范围的描述应包括处理的个人数据的性质，特别是其敏感性。专员在PEN的第70段中初步得出结论，Snap未能充分描述其与My AI相关的处理活动的范围，包括处理的个人数据的数量、种类和敏感性。尽管Snap通过My AI处理特殊类别的数据，包括个人种族或民族起源和性取向相关的数据，但第一版、第二版、第三版和第四版DPIA未能清楚地描述这些特殊类别数据，以及是否与广告合作伙伴共享这些数据。

第五版DPIA的第1.3节现在解决了这个问题，它识别了与My AI相关的处理活动中收集的个人数据的具体性质。这包括用户与My AI的交互数据、相关的元数据、非精细地理位置数据、从用户查询中提取的关键词和“记忆”（用户与My AI之前交互的摘要）。

DPIA指导指出，处理范围的描述应包括处理的个人数据的数量、处理发生的地理区域以及受影响的数据主体数量。与前四次DPIA中对My AI用户数量的一般性参考不同，第五版DPIA的第1.4节提供了全球、欧盟和英国My AI日活跃和月活跃用户的平均数量的详细统计数据。

（iii）处理活动的背景

专员得出结论，根据第五版DPIA中Snap对处理活动所处更广泛背景的系统性描述，现已符合UK GDPR第35条第7款(a)项的要求。具体来说，第五版DPIA包含了对生成性AI技术（特别是ChatGPT）的相对新颖性、公众对生成性AI使用的担忧、生成性AI与传统基于查询的在线服务之间的相似之处和差异、言论自由考虑以及用户对上下文广告交付的期望的考量。

在DPIA指导中，专员指出，处理活动的背景描述应涵盖与处理相关的任何技术进步。第五版DPIA的第1.9(1)节讨论了ChatGPT技术的新兴性和相对新颖性，Snap在引入Snapchat上的生成性AI功能之前等待了ChatGPT 3.5版本的发布。第五版DPIA指出，Snap的决定是出于确保技术发展到了一个合理的前景，即这种技术既能为用户提供有效结果，又能以一种确保用户整体利益的方式部署。

DPIA指导还指出，处理活动的背景描述应包括相关的公众关注问题。第五版DPIA的第1.9(2)节解决了公众对使用生成性AI技术的担忧，包括OpenAI的ChatGPT，以及这些担忧与My AI功能的相关性。

第五版DPIA的第1.9(1)节指出，ChatGPT技术是由OpenAI通过一个持续多年的深入研究过程开发的，Snap在推出Snapchat上的生成性AI功能之前，等待了ChatGPT 3.5版本的发布。第五版DPIA表明，Snap的决定是出于确保技术已经发展到一个程度，即Snap认为该技术既能为用户提供有效结果，又能以一种保护用户整体利益的方式部署。

DPIA指导还指出，处理活动的背景描述应包括与公众关注的相关议题。第五版DPIA的第1.9(2)节解决了公众对使用生成性AI技术的担忧，包括OpenAI的ChatGPT，以及这些担忧与My AI功能的相关性。

DPIA指导还指出，处理活动的背景描述应包括个人对相关处理类型的先前经验。第五版DPIA的第1.9(3)节扩展了Snap在早期DPIA中对My AI与传统在线搜索引擎和聊天机器人之间比较的讨论。考虑了用户与My AI分享的个人数据可能与他们在使用传统在线基于查询的服务时披露的个人数据有何不同，包括My AI是否更可能导致用户分享敏感或保密信息，Snap最终得出结论，“用户可能在使用My AI时更加谨慎”。

DPIA指导还指出，处理活动的背景描述应包括个人对处理的期望。第五版DPIA的第1.9(5)节特别考虑了用户对上下文广告的期望。

专员没有对Snap关于公众对免费在线服务提供商如何处理他们的个人数据的期望的结论做出任何决定。专员承认，第五版DPIA的第1.9(5)节确实提供了证据，表明Snap考虑了公众对其个人数据可能被用于在线环境广告目的的期望，作为其对Snap处理与My AI相关的个人数据的更广泛背景的评估的一部分。

第五版DPIA表明，Snap在处理非精细地理位置数据时考虑了公众对使用地理位置数据的担忧，并在用户首次与My AI交互时展示的即时通知(JIT Notice)中明确提到了使用与My AI共享的信息来个性化用户体验（包括广告服务）。

鉴于上述情况，专员发现第五版DPIA包含了对处理活动的背景的充分描述，这有助于他得出总体结论，即第五版DPIA系统性地描述了与My AI相关的处理活动，符合UK GDPR第35条第7款(a)项的要求。

（b）UK GDPR第35条第（7）款（b）项：必要性和相称性

基于以下原因，专员得出结论，Snap在第五版DPIA中考虑了其使用生成性AI技术（在My AI的背景下）与其现有处理活动的差异程度，以及这将如何影响处理的个人数据的性质，意味着第五版DPIA包含了一项符合UK GDPR第35条第7款(b)项要求的处理活动必要性和相称性的评估。

法律框架

UK GDPR第35条第7款(b)项要求DPIA应包含“对处理活动的必要性和相称性进行评估，与它们的目的相关”。

专员在其DPIA指导中的观点是，处理活动的必要性和相称性的评估要求控制者考虑它是否会实现其目的，以及是否有其他合理的手段达到相同的结果。这应包括有关处理的合法依据、如何向个人提供隐私信息、为确保处理者遵守其在UK GDPR和DPA 2018下的义务而采取的措施，以及针对国际个人数据传输实施的保障措施等其他因素。

高等法院此前曾表示，控制者在执行DPIA时必须进行的评估，包括处理活动的必要性和相称性，要求其“基于合理的查询和考虑行使合理的判断。如果显然数据控制者以明显虚假的基础或明显缺乏的方式处理其任务，那么结论应该是未能”履行控制者的义务。

符合UK GDPR第35条第（7）款（b）项的认定

在PEN的第77-79段中，专员初步得出结论，Snap没有充分评估与My AI相关的处理活动的必要性和相称性。专员的初步结论基于Snap在进行必要性和相称性评估时据称未能考虑以下问题：与Snapchat的“搜索”功能和传统基于查询的在线服务相比，与My AI相关的处理活动有何不同，以及这可能如何影响与My AI共享的个人数据的性质。

在第五版DPIA的第1.9(3)节中，Snap“考虑了My AI所涉及的处理活动在实际具体条件下与传统（不依赖GAIT的）基于查询的在线服务的差异程度”。

在第五版DPIA的第1.9(3)节中，Snap提到它考虑了“My AI可能导致用户倾向于分享比传统基于查询的服务更多的数据，甚至是更敏感的数据”。

专员没有对Snap关于个人与生成性AI和特别是My AI的互动可能采取的方法的结论做出任何发现。

然而，专员发现，在第五版DPIA中，作为其对My AI处理活动相称性的评估的一部分，Snap现在已经考虑并记录了它认为使用生成性AI将如何影响其处理的个人数据的性质。虽然这一决定不应被视为对Snap得出的结论的认可，但专员接受Snap现在已经考虑了在制作第五版DPIA的过程中，使用一种新颖和创新的技术形式将如何影响与My AI相关的处理活动的相称性。

专员得出结论，第五版DPIA中记录的对必要性和相称性的进一步考虑足以发现第五版DPIA包含了对与My AI相关的处理活动的必要性和相称性的充分评估。

如上所述，DPIA指导指出，必要性和相称性的评估应包括有关处理的合法依据的相关细节。在这方面，除了解释Snap依赖于UK GDPR第6条第1款(a)、(b)和(f)作为其处理的合法依据外，第五版DPIA的第3.3(2)节现在另外确定UK GDPR第9条第1款(a)和(g)作为其处理特殊类别数据的条件，同时指出Snap认为DPA 2018附表2第5部分第26段规定的豁免适用。

在调查过程中，专员没有评估Snap在第五版DPIA第3.3节中引用的合法依据的合法性。然而，专员得出结论，为了证明第五版DPIA包含了根据UK GDPR第35条第7款(b)项对处理活动的目的进行的必要性和相称性评估，Snap已经满足了包括其依赖的合法依据的相关细节的义务。

（c）UK GDPR第35条第（7）款（c）项：风险评估

法律框架

UK GDPR第35条第7款(c)项规定，DPIA应包含“对数据主体的权利和自由的风险评估，如[第35条第1款]所述。”

修订后的UK GDPR第1条第2款提供，"本法规有助于保护个人的基本权利和自由。"此外，UK GDPR的序言2指出，“保护自然人有关其个人数据保护的原则和规则应...尊重他们的基本权利和自由，特别是其个人数据保护权。"这表明，UK GDPR旨在保护的基本原则和自由应被解释为个人的一般权利和自由，而不仅仅是其个人数据保护权。

这一点得到修订后的UK GDPR第4条第28款的支持，该条款规定“基本权利或自由的提法（无论以何种方式表达）是指1998年人权法案意义下的[欧洲人权公约]权利。”

因此，专员在DPIA指导中的观点是，对数据主体的权利和自由的风险评估要求控制者考虑其处理活动可能对个人产生的潜在影响以及其处理可能造成的任何伤害或损害，具体参考其处理可能对欧洲人权公约保护的权利和自由产生的影响。这应包括考虑风险的来源，以及可能发生的伤害的可能性和严重性，并要求控制者对其处理活动构成的风险进行客观评估。

符合UK GDPR第35条（7）款（c）项的认定

专员得出结论，Snap在第五版DPIA中对与My AI相关的个人数据处理相关的风险进行的评估现在符合UK GDPR第35条第7款(c)项的要求。

在PEN的第80段，专员初步得出结论，Snap的DPIAs没有包含对数据主体权利和自由的风险评估，特别是关于：

• (a) 针对13至17岁用户的广告目的；
• (b) 大规模处理特殊类别数据；
• (c) 使用生成性AI技术的影响，以及由于其新颖性和复杂性，用户，特别是13至17岁的用户，可能不太可能理解他们的个人数据被处理的方式和目的。

根据DPIA指导中关于如何识别和评估风险的建议，第五版DPIA的第7.3节列出了Snap认为My AI对其用户权利和自由构成的风险的起源、性质、可能性和严重性。Snap描述了它识别的七个风险，特别指出：

• (a) My AI可能提供有偏见的、不适当的、潜在有害的或误导性的回应（第7.3.1节）；
• (b) 用户可能与My AI共享特殊类别和/或犯罪数据，如果在未经授权的情况下使用、访问或披露这些数据，将增加伤害的可能性（第7.3.2节）；
• (c) 提交给My AI的内容及其回应可能被故意或无意地访问和使用，未经授权（第7.3.3节）；
• (d) My AI可供13-17岁的用户使用，他们可能更倾向于与My AI分享信息和/或过度依赖My AI提供的情感支持、权威答案和娱乐，可能导致孤立或孤独（第7.3.4节）；
• (e) 非Snapchat+订阅者，无法从他们的聊天Feed顶部移除My AI，可能错误地假设他们的个人数据无论是否选择与My AI交互都会被处理（第7.3.5节）；
• (f) 即使是“非精细地理位置数据”的处理也可能对用户产生隐私影响，特别是当它与My AI查询的内容结合以进一步识别用户时，可能会使用户面临身体伤害的威胁（第7.3.6节）；
• (g) My AI可能导致与未选择与My AI交互的第三方个人数据的处理（第7.3.7节）。

对于每个已识别的风险，Snap根据DPIA指导中推荐的结构化矩阵，进行了客观的风险评估。

根据这个矩阵，Snap评估了风险发生的可能性，考虑了该风险的潜在严重性，并指定了整体风险水平。Snap还列出了它已经应用的缓解措施，这些措施对相关风险的影响以及随后的剩余风险水平。最后，Snap列出了它已经考虑的替代措施，并解释了为什么它不认为这些措施在情况下是必要的、适当的或可行的。

第五版DPIA中风险评估的部分提供了Snap分析与My AI处理活动相关风险的范围，以及如何计划解决这些风险的证据。这包括了Snap考虑作为可能缓解措施的替代措施的描述，这在第一版、第二版、第三版和第四版DPIA中并未包括。此外，专员发现第五版DPIA中风险评估的这一元素提供了Snap对风险分析的深度，以及Snap如何根据其对风险性质和严重性的评估以及发生可能性来构想这些风险的解决方案。

第五版DPIA的第7.4节特别评估了Snap已识别的与13-17岁用户相关的风险，Snap分别考虑了与专员的《适龄设计准则》中规定的15项原则相关的处理活动的影响。

专员发现，第五版DPIA中对My AI处理个人数据相关风险的评估比早期版本的DPIA更加详细，具有更深入的分析。相比之下，第一版、第二版、第三版和第四版DPIA包含了一个简略和高层次的风险评估，以表格形式呈现，没有包括对其结论的依据的任何解释，关于伤害的可能性和严重性，以及整体风险水平。例如，第四版DPIA的第5节的风险评估如下：

与早期版本的DPIA相比，第五版DPIA的第7.3节和第7.4节列出了Snap对其结论的严重性和可能性的推理，以及它如何相信其缓解措施会影响这些初步结论。专员发现，第五版DPIA中包含的这种细节水平，与早期版本的My AI DPIA中的单一词汇、未解释的结论形成对比，构成了证据，表明Snap已经根据UK GDPR第35条第7款(c)项的要求，对其处理活动对My AI用户权利和自由构成的风险进行了评估。

因此，基于上述原因，专员得出结论，第五版DPIA的第7.3节和第7.4节包含了对My AI用户权利和自由构成风险的评估，这与DPIA指导中的适用建议一致，并满足UK GDPR第35条第7款(c)项的要求。专员将保护个人，特别是像13-17岁的用户这样的脆弱群体，使他们免受快速技术变化对其数据收集和使用方式的不利影响，作为战略优先事项，而详细的风险评估对于确保个人的权利和自由得到保护至关重要。

（i）针对13-17岁用户的广告风险

关于专员的初步结论，即Snap未能考虑向13-17岁用户展示广告的风险，专员注意到第五版DPIA的第7.4.3节列出了Snap对My AI这一年龄段用户可能提供不适当内容的风险的评估，包括广告。Snap指出，如果没有缓解措施，这些用户可能会“接触到可能对他们的安全和福祉产生不利影响的内容”。根据专员在DPIA指导中推荐的用于评估伤害可能性及其严重性的结构化矩阵，Snap评估了这种风险发生的可能性为“可能”，严重性为“显著”，整体风险为“高”，尽管Snap得出结论，考虑到其缓解措施后，剩余风险为“中等”。

在第五版DPIA的第7.4.12节中，Snap进一步评估了"My AI可能对青少年用户进行过度或不安全的画像，例如通过不适当的内容推荐和微目标广告"的风险。然而，Snap指出，尽管这种伤害的潜在严重性是"显著的"，整体风险是"中等"，但由于Snap及其广告处理者Microsoft"不支持在My AI服务中向用户交付广告的任何形式的画像"，因此发生的可能性是"遥远的"。鉴于此，Snap得出结论，剩余风险是"低"。

(ii)大规模处理特殊类别数据的风险

专员初步得出的结论是，Snap未能考虑与大规模处理特殊类别数据相关的风险，这一结论是基于他的评估，即尽管Snap始终认识到My AI的运作将导致特殊类别数据的处理，但第一版、第二版、第三版和第四版DPIA未能明确探讨与处理这种敏感类型的个人数据相关的风险。

专员发现，第五版DPIA的第7.3.2节现在不仅解决了处理特殊类别数据的风险，而且解决了由于与My AI相关的处理活动而产生的这种个人数据类型的风险，特别是考虑到其更大的敏感性，正如UK GDPR第35条第7款(c)项所要求的。

如上所述，Snap认识到"用户可能会选择提交包含特殊类别数据的查询"，并且这类数据"本质上更有可能敏感"，这意味着"如果未经授权披露或未经用户同意使用，那么在用户隐私受到破坏的情况下，伤害的可能性更高"。

总体而言，在第五版DPIA的第7.3.2节中，Snap得出结论，通过My AI处理特殊类别数据是"可能的"，与此类处理相关的风险的严重性是"显著的"，并且整体和剩余风险水平都是"中等"。

专员发现第五版DPIA的第7.3.2节展示了Snap根据UK GDPR第35条第7款(c)项和DPIA指导的要求，考虑了与My AI处理特殊类别个人数据相关的安全风险，特别是处理特殊类别数据可能增加安全漏洞潜在影响的方式。第五版DPIA认识到My AI作为一个旨在作为“AI最好的朋友”运行的生成性AI驱动的聊天机器人的特性，可能会导致用户分享特殊类别数据。此外，第五版DPIA认识到Snap处理这类特殊类别数据可能会影响My AI用户在未经授权使用、访问或披露其数据时面临的风险。

(iii)13至17岁用户对数据处理理解的风险

专员发现第五版DPIA的第7.4.4节展示了Snap现在已经评估了13至17岁的My AI用户可能由于使用相对新颖和创新的技术而不熟悉，而不理解他们的个人数据如何与My AI一起被处理的风险。

在PEN的第86段，专员初步得出结论，Snap未能考虑使用生成性AI技术可能导致用户，特别是13至17岁的用户，由于对这种技术不够熟悉，而未能理解他们的个人数据被处理的方式和目的的风险。DPIA指导指出，UK GDPR第35条第7款(c)项要求控制者考虑其处理活动可能对个人产生的潜在影响以及可能造成的任何伤害或损害，包括失去对个人数据使用的控制。

在第7.4.4节，Snap确定“13至17岁的用户可能不理解My AI将如何处理他们的个人数据，也不理解AI聊天机器人的限制”，并且在缺乏适合年龄的透明信息的情况下，这可能导致这些用户“误解使用My AI的含义”，同时也有可能导致用户不太可能行使其个人权利。DPIA指导的第5节指出，当完成DPIA时，控制者应考虑处理活动对个人可能产生的影响以及可能造成的任何伤害或损害，包括处理是否可能导致个人失去对个人数据使用的控制。

根据DPIA指导推荐的矩阵，Snap评估了这种风险发生的可能性为“可能”，可能造成的伤害的严重性为“显著”，整体风险为“高”，尽管一旦考虑到Snap的缓解措施，这被认为是“大大减少”到“低”的剩余风险。

专员发现第五版DPIA中风险评估的部分表明了Snap对其用户群体对生成性AI不熟悉的认识，特别是13至17岁的用户，这种不熟悉可能会影响这些用户与My AI的互动方式，以及由此带来的风险。具体来说，是关于用户可能被剥夺在完全知情的情况下决定是否允许Snap处理其与My AI相关的个人数据的机会。Snap对用户如何处理他们的个人数据的认识影响了其实施透明度措施的方法，第五版DPIA表明Snap专注于确保13至17岁的用户能够获得足够的信息，以使他们理解使用My AI的含义。

(d)UK GDPR第35条（7）款（d）项：安全风险缓解措施

专员得出结论，第五版DPIA中对Snap为缓解My AI带来的安全风险所采取措施的修订说明符合UK GDPR第35条第7款(d)项的要求。

法律框架

UK GDPR第35条第7款(d)项规定，DPIA应包含“为解决风险而设想的措施，包括保障措施、安全措施和机制，以确保个人数据的保护并证明符合[UK GDPR]，考虑到数据主体和其他有关人员的权利和合法利益。”

专员认为，根据UK GDPR第35条第7款(d)项的规定，控制者在其DPIA中应考虑可用于减少其识别的每个风险的选项。DPIA必须记录控制者识别的风险降低措施的效果，包括它们是否减少或消除了相关风险。控制者在确定它们是否合适时，可以考虑每项缓解措施的成本和收益。

符合UK GDPR第35条（7）款（d）项的认定

专员在PEN的第87段中初步得出结论，Snap的DPIA不符合UK GDPR第35条第7款(d)项的要求，因为Snap列出的一些缓解措施不准确和/或没有解决Snap已识别的风险。具体来说，专员初步得出结论：

• (a) 第一版和第二版DPIA在My AI对Snapchat+订阅者推出之前完成，并且在其扩展到所有Snapchat用户之后，声明Snap已识别的风险如果对13-17岁的用户施加，将会“加剧”，但并未识别出针对这一群体的额外特定儿童措施；
• (b) 第一版、第二版和第三版DPIA指出，当用户首次与My AI交互时显示的JIT通知包含了不要分享机密或敏感信息的指示。第四版DPIA指出，JIT通知向用户指示“My AI是一个实验性聊天机器人”，并提到了My AI安全支持页面上不要分享机密或敏感信息的指示。然而，在PEN发布之前，这一指示从JIT通知中被移除，而Snap没有提供任何理由说明其移除此措辞的原因，尽管有证据表明用户正在与My AI分享特殊类别数据；
• (c) 第一版、第二版、第三版和第四版DPIA指出，Snap的数据最小化和目的限制政策几乎消除了Snaps和Chats的对话内容被有意或无意跟踪的风险，但未能解释这些政策是什么或它们如何消除风险。

专员的初步结论中关于缺乏针对儿童的特定缓解措施的问题源于第一版和第二版DPIA中对13-17岁My AI用户的风险水平和识别的缓解措施之间的差异。专员发现这是一个特别值得注意的遗漏，因为Snapchat用户群中这个年龄段的用户数量众多。例如，Snap通知专员，在My AI推出后的第一个完整月，即2023年3月，平均每天有【数值】（约占25.5%）的活跃Snapchat+订阅者年龄在13-17岁之间。

译者注：数值遮挡，以【数值】表示。

然而，专员发现这种差异现在已经通过第五版DPIA的第1.8(b)节得到解决，该节识别了Snap已经实施的针对儿童的特定缓解措施，并认为这些措施直接解决了13-17岁My AI用户的额外风险。这些措施包括：

• (a) 根据用户声明和推断的年龄中的较低值，为每个用户分配一个年龄范围。这个用户“年龄区间”随后与OpenAI共享，并用于指导My AI在讨论敏感话题和成人行为（如饮酒）时以安全和适合年龄的方式回应；
• (b) 设计Snap的JIT通知，使其对13-17岁的青少年易于理解，并指导他们在对My AI提供的信息不确定时与成年人交谈；
• (c) 允许父母通过Snap的“家庭中心”查看他们的孩子是否正在与My AI交互。Snap随后通知专员，现在父母可以通过家庭中心在孩子的账户上切换My AI的开关；以及
• (d) 专门的控制措施旨在限制13-17岁的青少年可能使用My AI作为完成学校作业的替代品的风险。

这些措施在第五版DPIA的第7.4节中被广泛引用，作为Snap已经缓解了其中识别的风险的证据。例如，在第五版DPIA的第7.4.3节中，Snap引用了OpenAI使用用户的年龄区间来确保My AI以安全和适合年龄的方式回应，同时也提到了在Snap的“家庭中心”中提供给青少年使用My AI的透明度信息。第五版DPIA表明，这些措施，除其他外，旨在解决My AI将青少年暴露于有害和不适当内容的风险。

在第五版DPIA的第7.4.5节中，Snap强调My AI将拒绝写文章，并且已经被用来减少它在这类任务中的有用性。这被声明为旨在解决My AI的回应被抄袭的风险，以及13-17岁青少年依赖My AI可能阻止他们发展独立研究技能的风险。

鉴于上述情况，专员得出结论，Snap已经在第五版DPIA中识别并随后实施了针对13-17岁用户的特定缓解措施，除了对所有用户普遍应用的措施之外。这表明Snap在其风险评估中已经解决了对13-17岁My AI用户的“加剧”风险，通过识别和实施额外的、有针对性的缓解措施，它预计这些措施将解决这一用户群体面临的特定风险水平和性质。

如上所述，Snap已向专员确认，JIT通知的修订版本已于2023年12月18日在iOS设备上实施，并于2023年12月22日在Android设备上实施。因此，第五版DPIA的第7.3.2节提到了JIT通知作为Snap已经识别和实施的措施之一，以“减少Snapchatters与My AI分享可识别的特殊类别/犯罪数据的可能性。”

因此，专员得出结论，由于自PEN发布以来对My AI JIT通知措辞的修订，第五版DPIA现在反映了向用户展示的内容。这与第一版、第二版和第三版DPIA的情况形成对比，这些版本提到了JIT通知中不与My AI分享敏感和保密信息的指示作为缓解措施，但没有更新以解释在2023年5月至12月之间从JIT通知到My AI安全支持页面删除此措辞的理由。第四版DPIA提到了JIT通知中的警告（当时的情况），即“My AI是一个实验性聊天机器人”，并提到了My AI安全支持页面上不要分享机密或敏感信息的指示。

关于专员的初步发现，即Snap未能在其DPIA中解释其政策如何“有效消除”Snaps和Chats的内容被有意或无意跟踪的风险，专员发现这一点现在在第五版DPIA的第7.3.3节（安全）中得到了解决。与以前版本的DPIA中未解释的内部政策参考不同，第7.3.3节现在包含了Snap为解决这一风险所采取的具体步骤的解释。

第7.3.3节确定了存在这样一个风险，即“提交给My AI的内容及其回应可能被有意或无意地未经授权访问。”第7.3.3节特别确定了Snap设想将解决这一风险的措施。这包括Snap的“以工程为先的信息安全平台”，对My AI处理的数据的技术性和组织性限制，【……】

译者注：存在遮挡，以【……】表示

第五版DPIA第7.3.3节还确定了一系列旨在限制与My AI相关的个人数据收集量的措施，以减少Snap可能遭受的任何安全漏洞带来的风险。这些措施包括：

• (a) My AI默认关闭（意味着只有当用户与该功能交互时才收集数据）；
• (b) 用户能够删除与My AI相关的已处理数据；
• (c) My AI被设计为限制处理的个人数据量，例如不收集用户在Snapchat其他部分或第三方网站或应用程序的活动数据，以及对内容进行审核，以排除“某些敏感话题”的长期存储或被用于次要目的。

鉴于上述情况，与第一版、第二版、第三版和第四版DPIA中对Snap内部政策的简短和未解释的参考相比，专员现在满意地认为第五版DPIA包含了符合UK GDPR第35条第7款(d)项要求的Snap内部安全措施的描述，并且与DPIA指导一致。第五版DPIA不仅说明了Snap如何遵守UK GDPR第5条第1款(c)项中的数据最小化原则，而且包含了为解决用户与My AI交互内容被有意或无意跟踪的风险而实施的具体措施，包括对其处理者的限制、对用户数据和系统的内部访问限制，以及旨在限制由Snap存储的数据敏感性的系统。

V. 结论

基于上述原因，专员得出结论，Snap已经进行了符合UK GDPR第35条要求的修订版DPIA。因此，没有理由发出执行通知，要求Snap采取或避免采取特定步骤以使其处理活动符合UK GDPR第35条。

此外，在审查了Snap的陈述后，包括一份由高级Snap执行官的证人陈述和真实性声明，专员得出结论，Snap在开始处理与My AI相关的个人数据之前，没有违反UK GDPR第36条第1款的规定，即未在开始处理前咨询专员。

附件：My AI JIT通知

• JIT通知（截至2023年9月底）

• 修订后的JIT通知（截至2023年12月底）