← #806

车牌识别数据的查询应当需要搜查令

文章摘要

作者 Andrew（Andy）Wheeler 是犯罪分析与犯罪制图领域的从业者，长期为警察部门提供咨询，曾在纽约州 Troy 市和 DCJS 做犯罪分析师。他在 2026 年 8 月 12 日的这篇长文里明确站到了一个可能让客户不快的立场上：他作为专家证人参与了 Institute for Justice 提起的 Schmidt v. City of Norfolk 一案，争点是查询历史缓存的 ALPR（自动车牌识别）数据是否构成违法搜查。法官判原告败诉，判决书里的关键表述是：ALPR 监控在某个时点可能变得过于侵入性、触犯宪法隐私标准，「但何时？虽然确切答案难以给出，本院清楚的是，至少在弗吉尼亚州 Norfolk，答案是：不是今天。」作者反复咬住那句「不是今天」——他认为在现行判例法下，这不是「会不会」的问题，而是「什么时候」的问题。

他的核心论证链条是这样的。判例法方向：从 Carpenter v. US 开始，警方获取手机基站定位信息（CSLI）必须申请搜查令，理由是这类数据太全面，足以重建一个人的全部行动轨迹，其侵入程度侵犯了合理隐私期待——这打破了「私营公司能拿到，你就没有隐私期待」的旧逻辑。这一意见在近期的 Chatrie 案（地理围栏搜查令）中得到重申，另一相关判决是 Beautiful Struggle v. Baltimore（用无人机检索历史航拍影像也构成搜查）。因此他判断，一旦某个城市在每个路口都装上摄像头（他认为这会发生），情况就与手机数据别无二致。

摄像头本身是好东西：他从投入产出比出发支持 ALPR。一台 ALPR 摄像头远低于 3000 美元，跑车牌识别所需的机器学习模型、摄像头和算力放在今天的手机上就能装下（难点反而是供电和防风雨）。他坦言 ALPR 降低犯罪的证据「目前挺一般」（引用了自己 2024 年在 Wake Libertarian 的演讲幻灯片），但因为足够便宜，只要每台摄像头每年多促成几次逮捕就很可能是正收益——他给的粗略锚点是「我愿意为多破一起案子付 500 美元」，而且认为这个数字偏低。作为对比，他明确表示自己对声学枪声探测的价格标签持强烈批评态度。

主动预警 vs 历史检索：作者把两种用法严格区分开。他最早在 Troy 用的是车载 ALPR（一个贴在车窗上的 GoPro，开过被盗车牌时报警），但这类系统一上线就立刻被用于回溯检索车牌的历史位置——系统里存着每个车牌、经纬度和时间戳。他举了自己的亲身例子：第一次用这个功能时，他们查出正在调查的某个对象和女友住在一起，而且「单个车牌的命中点把地图填得那么密，我说实话很震惊」。他指出「标记被盗车辆」这个功能在技术上完全不需要缓存任何数据。同时他也承认存在合法的短期缓存需求：比如加油站被抢、不知道车牌但可以调取时间窗内经过固定 ALPR 的图像，配合店员的车辆描述反推车牌。他认为紧急情况下检索几分钟的缓存数据完全合理，新罕布什尔州只保留 3 分钟的规定太短，「路边发现一具尸体」这类场景可能需要几个小时；但再往外延伸就不属于紧急状况了，那正是该申请搜查令的区间。他提到 Norfolk 案审理期间弗吉尼亚州把全州标准统一设为 21 天（此前由各机构自定），而各州普遍在 30 天左右或交由警局裁量。

删数据阻止不了滥用——这是全文最反直觉也最有力的一节。数据保留期限常被辩护为防滥用机制，作者认为它根本做不到：翻看所有警员滥用系统查特定个人的案例，所有人都是对同一个车牌反复查询，有时数百次。如果数据保留 20 天，滥用者只要每 20 天查一次、自己做笔记，20 天后再查一次即可；如果有人正在跟踪骚扰某人，你本来就该预期他会定期查询。同时，删数据确确实实妨碍了合法的长期侦查：凶杀案锁定嫌疑人耗时超过 30 天是完全正常的，而 ALPR 数据本可用来证明某人是否出现在案发现场附近，辩方也可能用它做无罪证据（那所需时间必然超过 30 天）。所以他的结论是：主张用删数据来防滥用的人在把事情变得更糟——既没防住滥用，又削弱了合法用途；除非像新罕布什尔那样干脆不缓存、只做主动预警。

什么才是聪明的监管：他说现行防滥用标准「可笑」，因为数据保留政策和警局内部查询政策在多数部门已经存在多年甚至十年，却完全没能阻止用 ALPR 追踪亲密伴侣的那些案子。在 Norfolk 案中，警员填写查询理由时经常干脆不填，填的时候有时给出表面上就明显违法的理由，比如「protest（抗议活动）」。部门即便有内部审计标准也常常不执行——是记者 Tyler Dukes 去索要审计结果，Raleigh 警局才第一次真的做了审计。他指出 IJ 汇总的全国十几起 ALPR 滥用被起诉的案例不是系统有效的证据，因为很可能只有最恶劣的滥用才会被抓到。他的具体建议包括：立州法要求历史检索必须有搜查令；对违法查询设定明确惩罚，至少包括丢掉工作和永久禁用系统（这是他在纽约做犯罪分析师和在 DCJS 时对滥用犯罪记录数据库的既有标准）；如果主动检索数据只保留 24 小时以内，那么「同一车牌或同一摄像头在两天内被查两次」就该自动标记复查（Flock 自己也有识别可疑查询历史的系统）；但最关键的问题是谁来审查——不该交给供应商，警局又长期不肯投入资源，所以审计权应交给第三方，比如州总检察长办公室下的特定小组或州刑事司法机构（如纽约的 DCJS），而这必须由州法明文规定。他还主张对供应商本身也要审计并设罚则，他想的不是 TEMPEST 级攻击，而是「在互联网上随手留了个没有认证的端点」这种事。

未来：他认为各州应该干脆把创可贴撕掉，立法要求历史 ALPR 检索需搜查令（顺带让跨机构数据共享大体上变成非问题，因为实时检索只需在本辖区内做）。更进一步，他主张不该给 ALPR 数据和普通视频监控做特殊区分——就像 Carpenter 管 CSLI、Chatrie 管地理围栏，对任何监控录像的历史检索都应该有统一的搜查令标准。他还指出，即便主张禁掉 Flock 摄像头的团体如愿，也拦不住私人业主继续采集数据，所以禁 Flock 本身并不能防止对私人摄像头的滥用检索；他反而认为不如让政府和私营供应商一样保留数据，然后为警方获取历史数据设一致的搜查令标准。他承认这对侦探是负担，但认为这是在保护人身自由和保留有效侦查手段之间的合理取舍。文末脚注区分了「仅采集数据是否构成搜查」（Norfolk 案的争点）与「主动检索是否构成搜查」，本文聚焦后者。

原文自带的 4 条评论也有信息量：Metal-Crow 说要把这篇文章带给自己的镇议员，同时追问数据保留期是否真的完全不该限制；作者回复说保留 3 个月和 3 年的下行风险本质相同（泄漏或内部滥用），所以他更愿意把重点放在限制非法访问上，而且保留期通常是州一级立法，镇议员做不了什么。Metal-Crow 随后自己补上了一条作者没强调的反面理由：数据泄露——存得越久，供应商被黑（这总会发生）时后果越严重；他所在的州目前没有保留期限制，所以定一个限额对他来说是可直接推动的事。Chris Perkins 提出技术方案：所有公共监控摄像头都应默认加密，需要搜查令才能取得解密密钥，并猜想「某个数学天才」也许能做出按地理和时间门控的解密，让搜查令对应的密钥只在特定时空范围内有效。

HN 评论精华

这条帖子拿到 643 分、约 391 个节点。讨论几乎没有反对「需要搜查令」这个主张，而是往两个更根本的方向发散：（1）「车牌识别器」这个称呼本身就是在美化一台通用联网摄像机——这是全场最高票的分支；（2）「警车停在公共场所抄车牌是合法的，杆子上的摄像头凭什么要搜查令」，进而演变为一场关于「程度差异何时变成性质差异」的哲学辩论。还有一小股声音认为搜查令根本不够——橡皮章判令的先例太多。

malwrar 的开场是全场最高票：把它们叫做「车牌识别器」让人恼火。它们是通用的联网摄像机，会做固件叫它做的任何事，任何有权限的人随时可以重新编程。「没人预期门铃摄像头会加入大规模监控网络，但后来厂商加上了这个功能。我们凭什么把这些摄像头当成只能做一件事的东西？」
这条底下长出了最激烈的辩论。jameshart 反驳说这个逻辑等于反对用任何通用计算设备做任何事：「我不知道为什么他们把这东西叫做基站。它们做被编程去做的事，任何有权限的人都能重新编程。」他甚至类比房子——「为什么叫它房子？它是个通用结构，任何有权限的人随时能把它变成商店、工厂或者毒窝。」他后来把论点收紧为：解决方案是立法和执法，约束地方政府实际上能拿设备和数据做什么，而不是去规制设备理论上可以被改造成什么。woodrowbarlow 修正了争点：真正的转变在于联网程度——红灯摄像头过去只在事件发生时上传（或需要人工去取），设备本身只做一件事；现在把连续实时流喂给中心化处理器很便宜，一旦到了那里，再多做很多事也很便宜。他给出自己的立场：无论叫什么，即便它只 POST 纯文本车牌号他也反对，因为它在采集没做错任何事的人的信息（这和红灯摄像头不同）。
thewebguyd 给出了命名问题的政治解读：这是有用的话术，用来解除民众的武装——「车牌识别器」听起来比「联网摄像机」或「大规模监控设备」温和得多，公众对前者态度各异，但对「遍布各处、自动化的政府大规模监控，用摄像头实时追踪你的每一次移动」会更一致地反对。drtz 一句吐槽：「『自主式拖网监控摄像头』在焦点小组里没那么受欢迎。」他也补了一个区分：门铃摄像头最初至少是为个人安全，而 Flock 从没试图把自己包装成别的东西。
thaumaturgy 提供了实战有效的替代命名：「无令大规模监控技术（warrantless mass surveillance technology）」——它造出一个可以把这类设备聚合在一起、公众关切大体一致的类别，而这个说法是他和当地警察局长讨论政策时由局长本人建议的。这条是对 wiseleo 那段极其精确但冗长的定义（「远程管理、可现场升级、多方互联、带全光谱摄像头和其他传感能力的计算设备……删除的数据对更高权限用户仍然可访问」）的回应：「精确但技术性太强，在和公众对话时没有帮助。」
glaslong 贴出 Flock 的开发者文档指出：Flock 的 API 返回的不只是车牌，还有人；而且对象上有一个「是否为执法人员」的标记位——「太爱这个了，用来快速过滤掉可能录到警员行为的流和地理数据非常方便。」
phil21 反驳「没人预期门铃摄像头会加入监控网络」：很多人预期了，这明显是云连接设备把录像推到远端处理和存储的最终目标之一，尤其当人脸识别在服务端实现时。「我会非常惊讶如果这不是第一次内部产品会议上就被提出的。我对普通人群有一些宽容，但在 HN 上发帖的人应该轻易就能看出这个结局不只是可能，而是几乎刻在石头上的。」malwrar 回应说厂商有意图是一回事，但普通客户知道吗？「我告诉过的每一个普通人，说警察也能看他们的 Ring 摄像头，都用看疯子的眼神看我。」他还提到 Ring 那个关于找回丢失狗狗的超级碗广告让人不安是有原因的。LoganDark 给了个关键区分：为客户自用而存储和处理录像，与从多个来源聚合起来做有组织的大规模监控，二者有巨大差别，「不过大多数公司没有抵抗后者的原则」。
kspacewalk2 提出了最有争议的反问：警车可以停在公共场所用纸笔抄下路过者的车牌和外貌，也可以用行车记录仪和执法记录仪录下周围一切留待后用，为什么装在杆子上的摄像头就要搜查令？回头翻警员笔记或行车记录仪来追踪一辆车的行踪并不违法，只是繁琐、昂贵、大概效果不好——「现在不再是了。这是程度差异，不是性质差异。」
对此的回应构成了全场最有思想密度的一支。Forgeties79 指出可扩展性的不对称：让一堆警员坐着记下他们看到的一切，其侵入性有天然上限，而扔几十个 Flock 摄像头只花很小一部分成本，扩张速度极快。mapt 给出了核心论断：足够大的程度差异会变成性质差异，因为不管内部理由如何，这套系统对社会的外部含义已经剧烈改变。dbspin 强烈附议并把它推广：同样的逻辑也适用于「未经许可扫描书籍、音乐、电影就跟学生／艺术家／电影人学习一样」这种说法——技术和信息可得性的差异会引出不同结果、不同流程，并给社会带来根本不同的后果。tempfile 给了最精炼的表述：涉及监控时，说「程度差异不是性质差异」是不够的——差异就是程度本身。记住某人的脸不是监控，建一个人脸数据库是；看到你认识的人进了商店不是监控，写下他一天去过的所有地方是。
jameshart 在这一支里提出了一个反向观察，也引出了有趣的对照：想让政府能力永远不许变得高效或可扩展，是一种奇特的「小政府」本能，而政府要监管的人口、经济和世界复杂度都在放大；然而对私营公司却常用相反的论证——「显然不能指望 Google 审查上传到平台的每一条广告和 YouTube 视频，还要对给儿童看什么内容做负责的编辑判断。为了让它们能任意做大，我们必须小心别用监管过度加重它们的负担。」（他随后澄清自己是在转述这个正统观点，而非支持它。）Forgeties79 接住这个类比：「『我们太大了』是最疯狂的借口。只要我做得足够大，我就能说『法律不适用于我』？」他举例说如果他拥有一万栋公寓楼，其中一栋因疏忽倒塌，他并不能说「我的房地产帝国太大了，不能指望我遵守法律，东西总是会塌的，忍着吧」。Dylan16807 补了两点：效率如果用来省钱当然好，但要注意杰文斯悖论——这种廉价监控并不会让政府变小，而且副作用一堆；另外「审查每一条广告是很可能做到的」，而 YouTube 声称自己没有在审查每条广告，这与「他们能不能」是两个不同的命题。jameshart 反问：一家小规模的、同样商业模式的企业——比如有线电视公司——历史上确实被认为要对它从创作者手里拿来播出的每一段视频负责。
cmiles8 提出了一个二元选择：要么需要搜查令，要么彻底公开、让人们可以做网站展示当地政治人物的行踪。「市政当局试图开辟的这块中间地带——对警察完全开放但不受信息公开法约束——看起来撑不了太久了。」他指出警员跟踪前任、出于好玩翻数据的案例太多，「显然警察在没有更好的法院监督时不能被信任持有这些数据」；他也把最高法院对手机记录地理围栏检索的近期裁决视为方向指示——「不能不申请搜查令就做那种整体数据倾倒」。altcognito 说让所有人追踪所有人显然不理想，glaslong 回敬：让警察和政府追踪所有人更不理想。
01100011 抛出一个对照并被反复回应：「我手里拿着一个比联网杆上摄像头更强大的监控设备，我们通常叫它智能手机。它监视人的能力众所周知，而几乎没人在意到会改变自己的行为。」他还预测「等特朗普下台，现在痴迷隐私的这批人会转向下一个话题」。macintux 反驳说手机（大体上）是自愿的，你可以把手机留在家里，而且它一般不会监视你周围的人——智能眼镜会改变这个等式，但都远不及「摄像头无处不在、时时刻刻、把一切记录保存数年」的全景监狱。themaninthedark 补充说获取手机数据需要搜查令，最高法院近期连第三方地理围栏查询都判需搜查令。01100011 的反击是「平行构建（parallel construction）不存在吗？」由此引出 wahern 一段相当专业的分析：这个词源于 9/11 后 NSA 的无令监控，信息被系统性地「泄」给司法部和 FBI；他认为州级执法人员多数相信自己在法律范围内，而维持平行构建的可否认性恰恰要求把大多数执法人员和最好是所有地区检察官排除在外并使其无知，所以它永远不会成为人们以为的那种「常规操作」——他还提到自己最近和一位 FBI 金融犯罪调查员聊过，对方连这个术语都没听说过。tremon 的判断更冷：只要平行构建不会让实施者坐长期监狱，你就该假定它是常规操作。
kevin_thibedeau 说「车牌是公共财产」，esseph 纠正：但它不是公共知识，除了保险公司和警局（以及大概一堆在灰色市场上买过这些信息的公司）——作为私人公民，由于数据隐私法，你无法合法查一个车牌就得到车主和地址。TaLiTr 补充说在加拿大，能个人识别到他的录像（包括车牌号）被视为个人信息。
有一条被顶到高位的评论对文章的核心主张本身表示怀疑（作为整帖的收尾语气）：搜查令从来没有在缺乏适当监督时被橡皮章式地批过吗？「如果我们把这些东西正常化、常规化，它们就会被滥用。别给他们一寸。」
SchemaLoad 提出一个精准的时间线修正：安防摄像头联网的历史远早于现在这种「全部跑计算机视觉、把一切打标进一个巨大数据库」的系统。它们一直是联网的，也一直是大规模监控——真正改变一切的是「检索」的加入。
stronglikedan 说他最近读到（未核实）这些设备将开始追踪手机信号并与车牌关联。sandworm101 指出用蓝牙信号监测车流速度和流量已有十多年历史，而且远比摄像头便宜——这类设备捕获经过车辆内移动设备的蓝牙或 Wi-Fi MAC 地址，一个唯一标识符，使同一设备能在多个地点被识别出来。IncreasePosts 也提过同样的疑问，jameshart 的回应是：政府要求你在车上展示车牌，但没要求你在开车时广播可识别的蓝牙签名——那是你可以选择避免的事。