criminal-data-handling

刑事定罪与犯罪数据处理 — GDPR 第 10 条

概述

GDPR 第 10 条为处理与刑事定罪、犯罪或相关安全措施有关的个人数据确立了单独的制度。不同于受到一般性禁止、但列有例外情形的第 9 条特殊类别数据，第 10 条仅允许在官方机构的监督下处理，或在欧盟或成员国法律授权且规定了适当保障措施时处理。全面的刑事定罪登记册只能在官方机构的监督下维护。本技能为企业环境中识别、分类和合法处理刑事数据提供了一个框架。

法律框架 — 第 10 条

第 10 条原文

“基于第 6 条第 1 款处理与刑事定罪、犯罪或相关安全措施有关的个人数据，只能在官方机构的监督下进行，或在联盟或成员国法律授权且规定了适当保障数据主体权利和自由的措施时进行。任何全面的刑事定罪登记册都只能在官方机构的监督下保存。”

三项关键要求

要求	描述	实际影响
官方机构监督	处理必须由具备法律权限的公共机构监督或在其授权下进行	私营部门组织通常不得处理刑事数据，除非特定的国家法律授权这样做
国家法律授权	欧盟或成员国法律必须明确授权此类处理，并规定适当的保障措施	控制者必须确定授权每项刑事数据处理活动的具体法律条款
禁止建立全面登记册	任何私营实体均不得维护全面的刑事定罪登记册	为数据库目的汇总不同个人的刑事记录，需要具备官方机构身份

与第 6 条合法依据的关系

第 10 条是在第 6 条基础上增加的一层要求。处理刑事数据的控制者必须同时满足以下两项要求：

1. 符合第 6 条第 1 款规定的合法依据 — 通常是第 6 条第 1 款（c）项（法律义务）或第 6 条第 1 款（f）项（合法利益，且须得到国家法律许可）
2. 符合第 10 条的一项条件 — 由官方机构监督，或经国家法律授权并采取适当保障措施

与第 9 条的关系

第 9 条第 1 款未将刑事数据列为特殊类别，但成员国可以实施相当于第 9 条的保护措施。有些数据可能同时属于第 9 条和第 10 条的范围 — 例如，关于刑事犯罪的数据同时揭示了种族定性问题或政治活动。

刑事数据的范围

第 10 条范围内的数据要素

类别	示例	备注
刑事定罪	定罪记录、刑罚、法院判决	第 10 条的核心范围
刑事犯罪	指控、起诉书、涉嫌犯罪行为	包括未经证实的指控
相关安全措施	缓刑令、限制令、电子监控条件	定罪后的措施
刑事诉讼程序	逮捕记录、保释条件、出庭日期	程序性数据
无罪判决和撤诉	指控撤销或判无罪的记录	仍属于第 10 条下的刑事数据
警方警告和警示	警方警告、扰乱治安罚款通知	庭外处置
已失效的定罪记录	根据国家法律已获得复权的定罪记录（英国：《1974 年罪犯复权法》）	国家法律可能规定额外保护措施

Art. 10 范围之外的数据要素

数据	原因
民事诉讼记录	Art. 10 仅涵盖刑事事项
监管执法行动（监管机构处以的罚款）	属于行政事项，而非刑事事项
纪律处分程序（工作场所不当行为）	属于内部雇佣事项，而非刑事事项
信用违约和郡法院判决	属于民事债务事项
自行申报的一般性“品行良好”声明	并非特定的刑事数据

Vanguard Financial Services 的边界案例

情形	适用 Art. 10？	理由
对受监管岗位新员工进行 DBS（披露与禁止任职服务）检查的结果	是	包含刑事定罪和警告数据
FCA（金融行为监管局）适任性和诚信检查	是——在评估犯罪史的情况下	FCA 高级管理人员和认证制度要求披露犯罪史
反洗钱可疑活动报告（SAR）	临界——在 SAR 涉及涉嫌犯罪活动时适用	SAR 数据可能构成与刑事犯罪相关的数据（涉嫌欺诈、洗钱）
对涉嫌员工欺诈行为开展的内部调查	是——如果调查涉及构成刑事犯罪的行为	即使未提出指控，与刑事犯罪相关的调查数据也属于 Art. 10 范畴
制裁筛查结果	否——除非制裁匹配涉及刑事定罪或犯罪	制裁通常属于行政／监管措施

国家法律的例外规定

英国 — 2018 年《数据保护法》

• 附表 1，第 1 部分：Art. 10 下处理刑事定罪数据的条件——包括为就业目的、满足监管要求、防止或侦查违法行为以及保护公众所必需的处理
• 附表 1，第 2 部分：重大公共利益条件——包括保护儿童和弱势成年人，以及与欺诈相关的监管要求
• 1974 年《罪犯改造法》：在大多数就业情形下，不得披露或使用已过封存期的定罪记录。例外适用于受监管活动（金融服务、医疗保健、儿童保育），这些活动列于 1975 年《1974 年罪犯改造法（例外）令》
• DBS 检查：仅可对规定的职位进行加强版 DBS 检查；经个人同意，基本版 DBS 检查可用于任何目的

德国 — BDSG §§ 26、85

• § 26 BDSG：在劳动关系所必需且符合比例原则的情况下，可处理员工犯罪数据。只有在求职者的犯罪行为与具体岗位相关时，才允许处理其犯罪数据
• 《刑事登记法》（Bundeszentralregistergesetz，BZRG）：联邦中央刑事登记处由联邦司法局独家管理。私人实体不得维护刑事登记处

法国 — 《刑法典》Art. 226-19；CNIL 授权

• 私人实体处理犯罪数据，必须取得 CNIL 的专项授权或具备明确的法律依据
• 雇主只能为法律规定的职位申请刑事记录证明（casier judiciaire）第 3 号公告

荷兰 — UAVG Art. 32

• 仅在法律明确授权或经数据主体明确同意的情况下，私人实体才可处理犯罪数据
• Verklaring Omtrent het Gedrag（VOG／良好行为证明）系统由 Justis（筛查机构）管理

分类方法

步骤 1：识别犯罪数据要素

对于每个系统，扫描可能包含犯罪数据的数据要素：

检测模式	字段示例	置信度
犯罪记录标识符	criminal_record_number、dbs_certificate_number、police_reference	高
犯罪分类	offence_code、charge_description、conviction_type	高
法院与判刑数据	court_name、sentence_type、sentence_duration、judge_name	高
调查引用编号	investigation_id、sar_reference、fraud_case_number	中
背景调查结果	dbs_result、background_check_status、criminal_history_flag	高
包含犯罪相关术语的自由文本字段	任何包含“convicted”“arrested”“charged”“offence”“sentence”的字段	低——需人工审核

步骤 2：确定 Art. 10 是否适用

对于每个已识别的要素：

1. 确认数据涉及刑事定罪、犯罪或相关安全措施
2. 区分民事、行政或纪律事项
3. 对于边界案例（例如 SAR、内部调查），评估相关行为本身是否构成刑事犯罪

步骤 3：识别国家法律授权

对于每个 Art. 10 数据要素：

1. 识别授权处理该数据的具体国家法律条款
2. 确认法律规定了 Art. 10 要求的“适当保障措施”
3. 记录任何额外的国家限制（例如《犯罪者改过自新法》对已失效定罪记录的保护）

步骤 4：评估综合登记册风险

审查任何系统是否维护了可能构成“刑事定罪综合登记册”的内容：

• 汇总多名个人犯罪记录的数据库
• 可对某一人群的犯罪历史进行搜索或查询的系统
• 即使只是部分汇总，如果全面涵盖了某个特定人群，也可能引发综合登记册方面的顾虑

步骤 5：应用分类标签

• CRIMINAL_ART10：数据属于 Art. 10 范围，且已确认有国家法律授权
• CRIMINAL_ART10_NO_AUTH：数据属于 Art. 10 范围，但未确认有国家法律授权（在确认授权前必须停止处理）
• CRIMINAL_SPENT：已失效定罪记录数据，受《犯罪者改过自新法》额外保护
• NOT_CRIMINAL：经审查确认数据不属于 Art. 10 范围

Vanguard Financial Services 中的实施

处理犯罪数据的系统

系统	数据要素	国家法律依据	用途
HR 招聘平台	DBS 审查结果（基础和增强）、犯罪情况声明表	UK DPA 2018 Sch.1 Part 1 para 1（就业）；Rehabilitation of Offenders Act 1974 (Exceptions) Order 1975	对受 FCA 监管岗位进行入职前筛查
合规案件管理	SAR 数据、内部调查记录、监管转介记录	UK Proceeds of Crime Act 2002 s.330-332（SAR 义务）；UK DPA 2018 Sch.1 Part 2 para 14（预防／侦查违法行为）	AML 合规、欺诈调查
FCA 监管报告	高级经理犯罪历史声明、获批人员犯罪记录披露	Financial Services and Markets Act 2000 s.61（适格性与正当性）；FCA SUP 10C	监管适格性与正当性评估
第三方尽职调查	供应商和交易对手的犯罪背景调查结果	UK DPA 2018 Sch.1 Part 2 para 6（监管要求）；Money Laundering Regulations 2017 reg.28	了解客户、供应商风险管理

必需的保障措施

保障措施	实施方式
访问限制	只有指定的合规和人力资源人员才能访问犯罪数据，并须具备特定的基于角色的访问权限。维护经授权人员名单。
目的限制	仅为法律授权的特定目的处理犯罪数据。不得将其用于一般人力资源分析或绩效管理等次要用途。
保留期限限制	DBS 检查结果最多保留至招聘决定作出后的 6 个月。SAR 数据按照《犯罪所得法》的保留期限安排保留。
数据最小化	仅记录犯罪检查的结果（无异常／有异常及相关详情）；除非特定法规要求，否则不记录完整犯罪记录。
日志记录与审计	记录所有对犯罪数据的访问，包括用户身份、时间戳和访问目的。由 DPO 每季度审计访问日志。
已失效定罪的处理	为已失效定罪设置系统标记。标准就业检查应排除已失效定罪。只有《豁免令》（受 FCA 监管的职位）规定的岗位才能查看此类信息。

执法先例

• Metropolitan Police Service v Information Commissioner（英国一级审裁处，2014 年）：审裁处探讨了“犯罪相关数据”的范围，并确认，即使未经证实，涉嫌犯罪行为的指控也属于犯罪数据，须受到 Art. 10 同等保护
• ICO 执法通知 — Experian Ltd（2020 年）：ICO 认定，Experian 在营销服务业务中处理个人数据（其中包括可用于判断金融犯罪风险的数据），缺乏适当的合法依据和透明度
• CNIL Decision SAN-2022-023 — Clearview AI：该决定主要涉及 Art. 9 生物识别数据，但也探讨了 Clearview 处理与刑事调查相关数据，以及汇总此类数据时须由官方机构进行控制的要求
• Austrian DPA — CRIF GmbH（2021 年）：CRIF 因在未获得 Art. 10 规定的充分国家法律授权的情况下，维护包含犯罪相关金融数据（与欺诈定罪相关的破产信息）的数据库而被罚款

集成点

• special-category-data：犯罪数据可能与 Art. 9 类别重叠（例如，揭示政治观点的政治犯罪）
• data-inventory-mapping：Art. 30 RoPA 必须明确列出 Art. 10 数据处理活动
• classification-policy：犯罪数据归为“受限”级别，并适用强化处理程序
• cross-jurisdiction-class：各司法管辖区对犯罪数据的保护差异显著；跨国运营必须进行映射