印度最高法院就 CSAM 监管向平台提出哈希数据库与罚款框架

在此处获取法院命令副本：[pdf]

印度最高法院最近的命令否决了禁止儿童使用社交媒体和按年龄实施限制的想法，指出儿童同样享有“访问和使用互联网的权利，这是宪法第21条结合第19(1)(a)条所保障的每个人的基本权利”，并确认无论年龄大小，以儿童缺乏意识为由拒绝其访问互联网是“荒谬的”。由J.B. Pardiwala和K.V. Chandran两位法官组成的合议庭进一步表示：

“基于年龄的限制本身就是一种越权。此类程序不可避免地总是需要识别和核实每一位用户的年龄，持续收集和监控敏感数据，并带来整体上不成比例的滥用和监控风险，这种风险在我国人民的隐私权中毫无立足之地。”——最高法院

然而，由J.B. Pardiwala和K.V. Chandran两位法官组成的合议庭作出的这份137页命令走得更远，提出了一套拟议的监管框架，用于检测、移除和报告儿童性虐待与剥削材料（CSEAM），也称为儿童性虐待材料（CSAM）。该命令还提出了基于处罚的方法，用于监管社交媒体平台及其他适用中介机构上的CSAM。

由于最高法院正在征求中央政府的回应，如果该框架被印度政府和中介机构接受并实施，这一框架及最高法院建议的流程可能会从根本上改变中介机构处理其平台上CSAM/CSEAM内容的方式。以下是最高法院建议的拟议变更简要清单。每项建议均在下方予以说明。

简而言之，最高法院的指令包括：

强制要求建立已报告和已识别CSEAM内容的“永久哈希”及URL数据库：

建立国家数据库以促进CSEAM的检测和移除；可能依托Sahyog门户建设

为建设和运行国家数据库所概述的标准操作程序（SOP）：

针对CSEAM内容设立专门的申诉 redressal 机制和指定官员，并在合规报告中按月记录

CSEAM的报告格式及负责报告的有关部门

建议联邦政府考虑在中介责任之外施加经济处罚

付费墙后的CSEAM需要更严格的执法。

然而，命令中概述的框架尚未实施。政府已被要求在12月10日下次听证会前提交宣誓书，说明已取得的进展和采取的合规步骤，以及数据库和SOP的情况。

作为背景，2024年，印度最高法院在一项命令中表示，如果中介机构未按《POCSO法》及规则的要求移除儿童性虐待内容并向有关当局报告，则丧失安全港保护。

最高法院表示，即使两年之后，“也没有取得任何值得一提的进展。”近期有关社交媒体上CSEAM付费推广的新闻报道，包括为将照片和视频篡改为虐待材料的工具投放广告，使该问题重新成为焦点。

针对这些问题，合议庭表示“深感悲痛”，称“再也等不起了”，并且“别无选择，只能自行处理此事”。

最高法院承认，从社交媒体平台上移除的CSEAM大部分是通过个人举报识别的。它指出，“当一个社交媒体平台检测并移除CSEAM时，该检测并不会自动导致相同内容在所有其他社交媒体平台上被标记和移除。”

为解决这一问题，最高法院建议采取以下措施：

强制要求建立已报告和已识别CSEAM内容的“永久哈希”及URL数据库：

借鉴美国、英国、韩国和澳大利亚等全球做法，最高法院解释了归属于特定媒体文件的哈希值。“CSEAM内容的每一个组成部分，无论是视频帧还是图像，抑或两者的多个组合，都带有一个以字母数字形式呈现的唯一数字数据指纹标识符，这被称为该材料的‘哈希’标识符。任何特定内容的哈希标识符都保持其唯一性，无论它在哪里上传或由谁上传，”它指出。

它进一步表示，所有已识别的CSEAM都应进行哈希处理，其标识符应添加到“被称为‘哈希列表’的整合数据库”中，该数据库随后将“用于交叉核对所有其他内容，无论是在同一平台上还是在另一平台上。”

每当出现自动检测时，平台的算法应自动删除相关内容。

为防止规避，最高法院表示可以使用“感知哈希”，它利用“内容的视听特征。诸如颜色编码、对象构成、音频提示等特征”，为特定媒体文件生成哈希值。

最高法院指出，除了《IT规则》下的尽职调查框架（该框架规定了未定义的“合理努力”）以及2026年2月修正案中的下架要求外，印度没有处理哈希值和URL数据库的法定条款：

“据我们所知，印度不存在此类条款，要求社交媒体中介机构采用哈希或URL列表工具，至少达不到其他司法管辖区所见的同等程度。”——最高法院

国家数据库将便于CSEAM的检测与移除；可能依托Sahyog门户建设

为使哈希与URL数据库能够被其他中介机构访问并实现互操作，最高法院建议建立一个实时数据库，参照美国国家失踪与受虐儿童中心（NCMEC）式的实时数据库模式，以促进各中介机构之间的协调：

“换言之，中介机构将能够将自身平台上的内容与整个数据库进行交叉核对，而不仅仅是对照它们过去曾经遇到过的内容。值得注意的是，此类数据库不会包含有害材料本身，而只包含可用于识别该材料的哈希标识符和URL。”

最高法院承认，通过Sahyog门户，“在正确方向上已经取得了一些进展”，该门户旨在“简化和自动化包括CSEAM在内的非法内容的举报和移除流程”。它进一步补充说，Sahyog门户可以成为“构建哈希与URL列表数据库的自然基础”。

最高法院的推理是：

“我们之所以这样说，是因为一个仅负责转交个人举报和下架通知的通用门户，与一个汇集所有经确认属于CSEAM材料的哈希标识符和URL的门户之间，存在明显区别。前者仅在每一起CSEAM事件被举报时才对其采取行动。而后者确保此类材料一经识别，便能在所有平台上被持续检测和移除，无需等待再次被举报。”——最高法院

为建设和运行该国家数据库所概述的标准操作程序（SOP）：

最高法院概述了以下SOP：

收集所有用户或平台与CSAM/CSEAM内容相关的投诉和举报。

对内容进行核实，不得仅因内容被标记为CSEAM便以机械方式更新数据库。然而，法院并未明确识别CSAM/CSEAM内容的具体流程/标准。

由人工对相关系统标记的内容进行评估。

哈希标识符和URL应录入数据库。此项工作必须在人工核验环节完成后才能进行。

“未知来源”与“已知来源”：当相关内容来自“已知来源”时，中介机构应“立即禁用并移除该内容，无需等待其自身的任何进一步核验”。然而，如果内容来自未知来源，则中介机构应添加哈希值和URL。

未知来源：“所有在哈希与URL列表数据库中无对应匹配、但仍被检测到并随后依据中介机构自身工具和机制予以移除的材料。”

“已知来源”：“中介机构依据与哈希与URL列表数据库中已有条目匹配成功而移除的所有此类材料。”

供参考，以下是各自国家中的类似数据库：NCMEC行业哈希共享平台（美国）、IWF图像哈希列表（英国）、政府所有的儿童虐待图像数据库（英国）、Project Arachnid（加拿大）、即时图像识别与哈希校验服务（韩国）、CNCPO“黑名单”（意大利）、数字儿童剥削过滤系统（新西兰）。

4. 针对CSEAM内容设立单独的申诉渠道和指定官员，并在合规报告中按月记录：

最高法院的命令指出，每个中介机构都应：

提供一个独立、标识清晰的CSEAM类别，其名称应简单到任何人“无论年龄、识字程度或对技术的熟悉程度如何”都能理解，并可在内容的两步之内到达，以便进行申诉救济。

举报人的匿名性必须“在所有阶段”得到维护，每份举报必须在24小时内予以确认并给出参考编号。

每个中介机构还必须为CSEAM配备专门的申诉官员或团队，并接受培训以识别表面上可能并不明显的内容。

未经受过培训的官员审查，任何举报都不得结案，其审查结果必须记录并进行数字签名。

月度合规报告必须包含单独的CSEAM部分，并由MeitY指定的机构定期审计。

5. 举报格式及举报CSEAM的相关主管机构。

在最高法院建议的框架下，相关内容必须在两小时内依据尽职调查义务、法院命令或政府通知予以移除。这些案件还必须根据《POCSO规则》向特别少年警察单位（SJPU）、当地警方和/或网络犯罪门户报告。

重要的是，法院表示，他们应遵循标准的、机器可读的表格，其中包含九项指示性信息，包括哈希值或URL、材料类型、传播地点、是否描绘真实人物或为合成内容，以及如何被检测到。这是为了向该数据库、国家犯罪记录局和性犯罪者国家数据库提供数据，并帮助警方追踪网络。

6. 建议联邦政府考虑在中介责任之外施加经济处罚

目前，不遵守规定的唯一后果是丧失第79条下的安全港保护，而该保护仅在犯罪发生后对特定内容附加责任。法官席表示，这并未解决“不遵守规定的问题，而只是处理了此类违规行为之后的后果”。第79条“被证明是一项异常拙劣的条款。它过于严厉，无法适用于每一次不遵守规定的情形；又过于间接，无法对此起到威慑作用。”

法院希望“针对违规行为本身设定一套明确的后果”，因为事后起诉无法挽回损害——每一次传播、浏览和下载都“使儿童再次受害”。

法院考察了美国、英国、欧盟、澳大利亚和韩国的相关制度，这些制度均对不遵守规定的行为本身处以罚款：

美国《报告法案》（2024年）：如果平台未履行报告义务，罚款金额可能从60万美元到100万美元不等，具体取决于平台的规模/用户数量，以及是初犯还是累犯。

英国《在线安全法》：不遵守该法可能面临最高1800万欧元或全球营收10%的罚款，以较高者为准。

欧盟《数字服务法》：不遵守规定可能面临最高相当于全球年营业额6%的罚款。

7. 付费墙后的CSEAM内容需要更严格的执法

法院指出，按次付费和订阅内容“受到的审查门槛要低得多”，这使得付费墙成为传播CSEAM或其链接的“有力手段”。与此同时，平台通常会抽取一部分费用。等到此类材料被曝光时，“伤害已经造成，利润也已经赚取。”法官席将这种操作模式称为“在被禁止之前一直牟利”。

法院认为，如果CSEAM通过付费墙或订阅渠道传播，且中介从中获利，那么除任何惩罚性罚款外，该收益“应予没收并追缴”。

“不过，我们无需在此过多赘述。我们认为，就目前而言，以惩罚性罚款形式施加的处罚已足以应对眼前的紧迫需求。无论如何，对于严重且持续违规的情形，届时《信息技术法》第79条始终可作为最后手段。”——最高法院

接下来会怎样？最高法院将于12月10日再次审理此案。在此次听证会之前，联邦政府应提交一份宣誓书，回答以下问题：

中介机构目前使用哪些检测工具，以及这些工具能否在全行业部署；

该数据库是否会设在Sahyog门户内，以及该门户何时能承担这一职能；

根据第4(1)(d)条进行的五年月度审查显示了什么；

申诉上诉委员会（GAC）的命令如何执行；

对于法院在2024年提出的性教育和提高认识建议，联邦政府“这些年来”做了什么。

请使用以下案件编号跟踪此案：M.A. Nos. 2553-2554 of 2026

另请阅读：

BBC调查后，MeitY将就Instagram上推广儿童性虐待材料的广告传唤Meta

为你推荐

阅读Nikhil Pahwa的Reasoned专栏：AI如何改变我们的世界

赞助一场MediaNama活动