默認(rèn)標(biāo)題_公眾號(hào)封面首圖_2020-06-15-0(1).png

自2018年5月25日生效以來(lái)，歐盟數(shù)據(jù)保護(hù)條例（GDPR）已經(jīng)走過(guò)了2年歷程。這期間，圍繞條例實(shí)施效果，存在問(wèn)題，已有許多第三方開(kāi)展了相關(guān)的評(píng)估報(bào)告（如：來(lái)自美國(guó)國(guó)家經(jīng)濟(jì)研究局（NBER）的報(bào)告）。相比之下，來(lái)自執(zhí)法第一線(xiàn)歐盟各成員國(guó)監(jiān)管機(jī)構(gòu)的聲音較少。

實(shí)際上，從2019年下半年開(kāi)始，歐盟委員會(huì)和歐盟理事會(huì)便組織各成員國(guó)監(jiān)管機(jī)構(gòu)開(kāi)展執(zhí)法回顧總結(jié)，并收到19份各國(guó)報(bào)告，[1]歐盟理事會(huì)在此基礎(chǔ)上，發(fā)布了《關(guān)于GDPR適用的立場(chǎng)與發(fā)現(xiàn)》報(bào)告。[2]

本文通過(guò)對(duì)19份成員國(guó)報(bào)告和歐盟理事會(huì)報(bào)告的詳細(xì)分析和對(duì)比，提煉了歐盟內(nèi)部關(guān)于GDPR具體實(shí)施中的問(wèn)題、經(jīng)驗(yàn)和相關(guān)反思，以供參考。

GDPR的一大特色是其賦予數(shù)據(jù)主體各項(xiàng)權(quán)能：訪(fǎng)問(wèn)權(quán)、更正權(quán)與刪除權(quán)等等，但在實(shí)踐執(zhí)法落地中，強(qiáng)大的數(shù)據(jù)權(quán)利也給監(jiān)管機(jī)構(gòu)帶來(lái)煩惱。

GDPR第77條規(guī)定：每個(gè)數(shù)據(jù)主體都有向監(jiān)管機(jī)構(gòu)進(jìn)行申訴的權(quán)利。只要數(shù)據(jù)主體認(rèn)為對(duì)其個(gè)人數(shù)據(jù)的處理違反了相關(guān)規(guī)定就可以向數(shù)據(jù)保護(hù)機(jī)構(gòu)進(jìn)行投訴。奧地利和保加利亞均在報(bào)告中指出：過(guò)低的投訴門(mén)檻和大量重復(fù)投訴已經(jīng)嚴(yán)重妨礙了監(jiān)管部門(mén)的正常運(yùn)作。據(jù)歐盟內(nèi)部統(tǒng)計(jì)，GDPR實(shí)施一年來(lái)，監(jiān)管機(jī)構(gòu)接收處理的行政案件達(dá)到27萬(wàn)件，包括14萬(wàn)件投訴，近9萬(wàn)件數(shù)據(jù)泄露。[3]

處理數(shù)據(jù)泄露通知案件的負(fù)擔(dān)尤甚，因?yàn)槠渖婕皬?fù)雜的調(diào)查過(guò)程。GDPR第33、34條對(duì)數(shù)據(jù)泄露通知規(guī)定了嚴(yán)苛要求，包括通知時(shí)限和具體通知內(nèi)容，但卻沒(méi)有規(guī)定通知的觸發(fā)門(mén)檻，這意味著任何數(shù)量規(guī)模的數(shù)據(jù)泄露都可以觸發(fā)后續(xù)通知要求。數(shù)據(jù)主體也因此可以向監(jiān)管機(jī)構(gòu)提出投訴，在實(shí)踐中這帶來(lái)了龐大的工作量。正如德國(guó)報(bào)告指出：數(shù)據(jù)保護(hù)部門(mén)很可能這些投訴報(bào)告壓垮，建議提高相關(guān)投訴報(bào)告門(mén)檻。

監(jiān)管機(jī)構(gòu)負(fù)擔(dān)問(wèn)題在歐盟數(shù)據(jù)保護(hù)委員會(huì)（EDPB）2019年2月發(fā)布的評(píng)估報(bào)告中也有所反映，該報(bào)告指出：大多數(shù)國(guó)家表示他們需要增加30%-50%的執(zhí)法預(yù)算，有的甚至要求增加100%，同時(shí)需要更多的專(zhuān)業(yè)人員，但幾乎沒(méi)有國(guó)家能夠滿(mǎn)足數(shù)據(jù)保護(hù)機(jī)構(gòu)提出的預(yù)算與人力要求。[4]

歐盟多個(gè)成員國(guó)報(bào)告都提到了GDPR給中小企業(yè)施加過(guò)多義務(wù)的問(wèn)題。如德國(guó)指出：對(duì)于其核心業(yè)務(wù)并不是數(shù)據(jù)處理活動(dòng)的中小企業(yè)、協(xié)會(huì)等機(jī)構(gòu)，應(yīng)當(dāng)簡(jiǎn)化GDPR中規(guī)定的數(shù)據(jù)處理記錄、設(shè)立數(shù)據(jù)保護(hù)官（DPO）等義務(wù)。這一問(wèn)題至關(guān)重要，特別是考慮到：在歐洲，99%以上的企業(yè)是中小型企業(yè)（員工少于250人的企業(yè)）。[5]

對(duì)于雇員人數(shù)少于250人的企業(yè)，雖然GDPR豁免了其記錄數(shù)據(jù)處理活動(dòng)的要求，但同時(shí)又對(duì)豁免的適用予以了嚴(yán)格限定，即不但需要滿(mǎn)足雇員人數(shù)低于250人的要求，還要求該機(jī)構(gòu)的數(shù)據(jù)處理活動(dòng)是偶然性的，非常態(tài)化的。這一額外的限定，使得該豁免形同虛設(shè)。

荷蘭監(jiān)管機(jī)構(gòu)在執(zhí)法實(shí)踐發(fā)現(xiàn)：即使最小規(guī)模的企業(yè)，由于也普遍采用了軟件方式來(lái)收集處理相關(guān)數(shù)據(jù)，也因此幾乎所有的數(shù)據(jù)處理活動(dòng)都是結(jié)構(gòu)化的，而非GDPR豁免所要求的偶然數(shù)據(jù)處理。即使處理的個(gè)人數(shù)據(jù)量非常有限（例如，僅涉及客戶(hù)/雇員的數(shù)據(jù)），這種處理仍具有持續(xù)性，而非偶然性。

因此，荷蘭、丹麥、德國(guó)等均主張應(yīng)該給予中小型企業(yè)更多的豁免，將GDPR序言第13條“在實(shí)施本條例時(shí)考慮到微型、小型和中型企業(yè)的具體需要”落到實(shí)處。

特別是考慮到GDPR適用于各類(lèi)型的數(shù)據(jù)處理活動(dòng)，理論上即使是自然人，也可以作為數(shù)據(jù)控制或處理者接受GDPR規(guī)制，對(duì)于小微企業(yè)來(lái)說(shuō)這種過(guò)高的合規(guī)成本很可能就此扼殺了創(chuàng)業(yè)發(fā)展機(jī)會(huì)。因此，歐盟理事會(huì)也進(jìn)一步反思：數(shù)據(jù)保護(hù)機(jī)構(gòu)應(yīng)盡積極為中小企業(yè)提供各種咨詢(xún)建議服務(wù)，簡(jiǎn)化其數(shù)據(jù)處理記錄流程，減少其數(shù)據(jù)合規(guī)成本。

相比1995年數(shù)據(jù)指令，GDPR尤為顯著的變化是極大擴(kuò)展了適用范圍。GDPR第2條規(guī)定，即使機(jī)構(gòu)在歐盟以外，但只要在提供產(chǎn)品或者服務(wù)的過(guò)程中（不論是否收費(fèi)）處理了歐盟境內(nèi)個(gè)體的個(gè)人數(shù)據(jù)，將同樣適用于條例。域外效力的延伸，顯然能夠?yàn)闅W盟用戶(hù)帶來(lái)更為完整的保護(hù)，但在實(shí)踐中卻給監(jiān)管部門(mén)帶來(lái)難題。

在此次回顧評(píng)估中，奧地利、愛(ài)沙尼亞、愛(ài)爾蘭等多國(guó)都提到：依據(jù)GDPR的要求，不在歐盟設(shè)立的控制者或處理者應(yīng)在歐盟境內(nèi)指定一名代表，但在實(shí)踐中，這一模式存在可操作性問(wèn)題。當(dāng)該代表不履行相關(guān)義務(wù)時(shí)，監(jiān)管部門(mén)無(wú)法對(duì)其進(jìn)行處罰。

GDPR生效后，為符合法律要求，有大量歐盟境外機(jī)構(gòu)委托歐盟境內(nèi)律所作為其代表。Bird&Bird、Baker McKenzie等歐盟律師事務(wù)所均提供此項(xiàng)服務(wù)。從事代表業(yè)務(wù)的Lothar Determann律師在律所的官方網(wǎng)站上直截了當(dāng)?shù)刂赋觯捍碇怀袚?dān)與數(shù)據(jù)保護(hù)機(jī)構(gòu)合作和保存處理活動(dòng)的記錄這兩項(xiàng)積極義務(wù)，即使代表沒(méi)有履行這兩項(xiàng)義務(wù)，根據(jù)GDPR的規(guī)定也不能對(duì)其進(jìn)行罰款，而只能針對(duì)雇傭其的數(shù)據(jù)控制者或處理者。雖然歐盟數(shù)據(jù)監(jiān)管機(jī)構(gòu)可以向代表發(fā)出傳票、命令和罰款，但是如果歐盟以外的法院和政府機(jī)構(gòu)并不與歐盟當(dāng)局合作，歐盟數(shù)據(jù)監(jiān)管機(jī)構(gòu)對(duì)歐盟以外公司征收的罰款在歐盟外幾乎無(wú)法執(zhí)行。[6]

正是考慮到域外效力的可執(zhí)行問(wèn)題，歐盟數(shù)據(jù)保護(hù)委員會(huì)EDPB在專(zhuān)門(mén)圍繞該問(wèn)題的指南（3/2018）中予以適度限縮[7]，認(rèn)為GDPR的適用必須是有“針對(duì)性（targeting）”。僅僅向歐盟境內(nèi)提供服務(wù)不一定受GDPR管轄，還必須有向歐盟境內(nèi)提供服務(wù)的主觀意圖。雖然這種限縮不能完全解決域外執(zhí)行問(wèn)題，但也可視為對(duì)現(xiàn)存問(wèn)題的一種反思回應(yīng)。

作為一般性的個(gè)人信息保護(hù)法律，GDPR覆蓋公私領(lǐng)域，適用各類(lèi)機(jī)構(gòu)。政府機(jī)構(gòu)適用GDPR已無(wú)爭(zhēng)議。2019年保加利亞數(shù)據(jù)保護(hù)委員會(huì)向其國(guó)家稅務(wù)局開(kāi)具了近300萬(wàn)美元的罰單，因后者沒(méi)有采取適當(dāng)?shù)谋Ｗo(hù)措施致使公民個(gè)人數(shù)據(jù)泄露。[8]

目前各成員國(guó)更多關(guān)注的是司法系統(tǒng)適用GDPR的問(wèn)題。GDPR第55條第3款規(guī)定：對(duì)于法庭在其司法活動(dòng)中進(jìn)行的處理操作，監(jiān)管機(jī)構(gòu)不具有監(jiān)管職權(quán)。比利時(shí)在其評(píng)估報(bào)告中指出：這一條文容易在實(shí)踐中造成誤解，本條的立法本意是保障司法獨(dú)立，但容易被解釋為法院不受GDPR的規(guī)制，因此比利時(shí)提出：應(yīng)明確將司法系統(tǒng)納入GDPR的調(diào)整范圍，不管是行政機(jī)關(guān)、立法機(jī)關(guān)還是司法機(jī)關(guān)在處理數(shù)據(jù)時(shí)都應(yīng)視作數(shù)據(jù)控制者或處理者。

法國(guó)對(duì)比利時(shí)的這一問(wèn)題也做出了回應(yīng)，表示司法系統(tǒng)毫無(wú)疑問(wèn)也需要置于GDPR的規(guī)制之下，考慮到司法獨(dú)立問(wèn)題，可以根據(jù)GDPR序言第20條的規(guī)定，在法院內(nèi)部設(shè)立一個(gè)獨(dú)立的數(shù)據(jù)監(jiān)管機(jī)構(gòu)，保證法院受規(guī)制的同時(shí)不會(huì)影響司法的獨(dú)立性。

圍繞司法系統(tǒng)的另一問(wèn)題是，在GDPR規(guī)定的“行政-司法”雙軌規(guī)制-救濟(jì)模式中，法院和數(shù)據(jù)保護(hù)機(jī)構(gòu)的職能應(yīng)如何協(xié)調(diào)？奧地利在其報(bào)告中指出，由于數(shù)據(jù)保護(hù)機(jī)構(gòu)和法院都是完全獨(dú)立的，且遵循不同的程序守則，因此GDPR規(guī)定的這種雙重救濟(jì)模式導(dǎo)致GDPR的適用不成體系，在某些情況下數(shù)據(jù)保護(hù)機(jī)構(gòu)的決定還會(huì)與法院相沖突。

相比于GDPR中完整的行政規(guī)制體系，歐盟對(duì)于司法救濟(jì)的態(tài)度僅僅停留在認(rèn)可階段。實(shí)踐中投訴到行政監(jiān)管的案件，也只有1%左右會(huì)上訴到法院，考慮到維權(quán)的時(shí)間和經(jīng)濟(jì)成本、維權(quán)的靈活性等問(wèn)題，絕大多數(shù)的數(shù)據(jù)主體會(huì)主動(dòng)選擇行政規(guī)制模式。[9]

數(shù)據(jù)跨境流通問(wèn)題是歐盟此次GDPR評(píng)估的重點(diǎn)，歐盟理事會(huì)提出數(shù)據(jù)自由流通是GDPR的一大目標(biāo)，各成員國(guó)也就實(shí)踐中遇到具體問(wèn)題進(jìn)行了反饋。

首先，各國(guó)都肯定了GDPR設(shè)置多類(lèi)型、多層次數(shù)據(jù)跨境流動(dòng)方式的必要性：充分性決定（第45條），適當(dāng)保障措施和行為準(zhǔn)則（第46、40條），有約束力的公司規(guī)則（第47條）都有其不同的適用場(chǎng)景，需予以保持。比利時(shí)提出：充分性決定對(duì)于私營(yíng)公司數(shù)據(jù)跨境交換、簡(jiǎn)化手續(xù)和法律合規(guī)有重要意義，有助于實(shí)現(xiàn)單一（數(shù)字）市場(chǎng)的目標(biāo)，但問(wèn)題是這項(xiàng)制度屬于“正面白名單”，適用標(biāo)準(zhǔn)較高，因此沒(méi)有得到充分利用，建議進(jìn)一步擴(kuò)充“白名單”，以納入更多可以合法流動(dòng)的區(qū)域。

德國(guó)也支持上述觀點(diǎn)：目前，通過(guò)歐盟充分性決定的國(guó)家與地區(qū)數(shù)量偏少（僅有13個(gè)）。其中，關(guān)于日本的充分性決定中，只認(rèn)可了商業(yè)部門(mén)，而沒(méi)有為政府機(jī)構(gòu)之間的信息共享提供合法基礎(chǔ)。歐盟理事會(huì)在其總結(jié)報(bào)告中吸收了成員國(guó)的上述觀點(diǎn)，指出要繼續(xù)擴(kuò)充“白名單”，以進(jìn)一步擴(kuò)展可以合法自由流動(dòng)的區(qū)域與部門(mén)。

此外，對(duì)于“白名單”之外的其他合法流動(dòng)機(jī)制，歐盟在報(bào)告中也指出，將發(fā)布更多的標(biāo)準(zhǔn)合同模板，以滿(mǎn)足不同類(lèi)型的數(shù)據(jù)控制者和處理者的數(shù)據(jù)跨境流動(dòng)需求。

自2012年啟動(dòng)GDPR立法時(shí)，歐盟就負(fù)有著建立數(shù)字時(shí)代新秩序的雄心，對(duì)當(dāng)時(shí)的新技術(shù)應(yīng)用予以了制度回應(yīng)。例如：針對(duì)云計(jì)算業(yè)態(tài)中數(shù)據(jù)收集和處理相分離的情況，在法律主體上區(qū)分了控制者和處理者；針對(duì)數(shù)據(jù)分析，規(guī)定“畫(huà)像”條款；針對(duì)人工智能技術(shù)，規(guī)定了自動(dòng)化決策條款。然而技術(shù)的迭代發(fā)展，仍然持續(xù)帶來(lái)新問(wèn)題。最為典型的即區(qū)塊鏈技術(shù)。直到今天，圍繞該技術(shù)的GDPR適用，仍然存在極大爭(zhēng)議（詳見(jiàn)：GDPR的真實(shí)面貌,十個(gè)誤解與爭(zhēng)議）。

隨著2016年的正式公布，GDPR的制度已經(jīng)固化。相比之下，技術(shù)發(fā)展卻仍在以驚人的速度高歌猛進(jìn)。在區(qū)塊鏈之外，無(wú)人駕駛、面部識(shí)別、可穿戴設(shè)備、智能家居、醫(yī)療監(jiān)測(cè)器械、行為生物數(shù)據(jù)、無(wú)人機(jī)等一個(gè)又一個(gè)技術(shù)應(yīng)用，不斷點(diǎn)燃數(shù)據(jù)驅(qū)動(dòng)的新領(lǐng)域。對(duì)于這些新技術(shù)，是嚴(yán)格套用GDPR予以規(guī)范，還是適度平衡隱私保護(hù)與創(chuàng)新發(fā)展，是擺在歐盟面前的問(wèn)題。

正如歐盟理事會(huì)在此次評(píng)估報(bào)告中所強(qiáng)調(diào)：我們也應(yīng)該看到這些技術(shù)在某些領(lǐng)域的應(yīng)用也可能是一個(gè)巨大的優(yōu)勢(shì)，并有可能加強(qiáng)歐洲公民的隱私保護(hù)。例如：基于區(qū)塊鏈的“零知識(shí)證明技術(shù)”能夠?qū)崿F(xiàn)使用盡可能少的個(gè)人信息，同時(shí)驗(yàn)證某一特定主體的身份；[10]差異隱私技術(shù)能夠?qū)崿F(xiàn)數(shù)據(jù)集中而帶來(lái)的價(jià)值，但同時(shí)保持特定自然人身份不被識(shí)別。[11]法律的適用應(yīng)當(dāng)為技術(shù)發(fā)展留有“一定空間”，而不是完全抵制。歐盟在今年3月發(fā)布的《人工智能白皮書(shū)》，最終刪除了原本寫(xiě)入的人臉識(shí)別禁用條款，也再次體現(xiàn)了這種權(quán)衡。[12]

正如兩年前GDPR生效時(shí)，我們所預(yù)言的那樣：立法文本的正式通過(guò)，并不意味著制度規(guī)范都已成熟，相反，秩序建設(shè)才剛剛拉開(kāi)序幕。面臨挑戰(zhàn)的不僅是GDPR的適用對(duì)象，也包括GDPR本身。而讓一項(xiàng)制度日臻完善的路徑，是不斷結(jié)合實(shí)踐，持續(xù)對(duì)制度本身予以客觀評(píng)估，識(shí)別問(wèn)題并總結(jié)經(jīng)驗(yàn)。

注釋?zhuān)?/span>

[1]歐盟理事會(huì)已將這19個(gè)報(bào)告匯總在一起，下文提到的各國(guó)報(bào)告都可通過(guò)查閱匯總報(bào)告獲得。Preparation of the Council position on the evaluation and review of the General Data Protection Regulation (GDPR) - Comments from Member States,https://data.consilium.europa.eu/doc/document/ST-12756-2019-REV-1/en/pdf.

[2] Council position and findings on the application of the General Data Protection Regulation (GDPR) – Adoption,https://data.consilium.europa.eu/doc/document/ST-14994-2019-REV-1/en/pdf.

[3] https://edpb.europa.eu/news/news/2019/1-year-gdpr-taking-stock_en

[4] https://www.europarl.europa.eu/meetdocs/2014_2019/plmrep/COMMITTEES/LIBE/DV/2019/02-25/9_EDPB_report_EN.pdf

[5] Harris M, Patten K, Regan E, Fjermestad J, Harris M (2012) Mobile and connected device security considerations : a dilemma for small and medium enterprise business mobility? In: AMCIS 2012

[6] See Lothar Determann , Representatives under Art. 27 of the GDPR: All your questions answered,https://tmt.bakermckenzie.com/-/media/minisites/tmt/files/2018/10/representatives-under-art-27-of-the-gdpr-iapp-2018.pdf?la=en

[7] https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en

[8] Se https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_ene Bulgaria, fines in millions for personal data breaches, https://www.lexology.com/library/detail.aspx?g=6356ed78-03c2-48d0-add2-c8848bfc60c9.

[9] https://www.europarl.europa.eu/meetdocs/2014_2019/plmrep/COMMITTEES/LIBE/DV/2019/02-25/9_EDPB_report_EN.pdf

[10]零知識(shí)證明技術(shù)指的是證明者能夠在盡可能少向驗(yàn)證者提供甚至不提供任何有用的信息的情況下，使驗(yàn)證者相信某個(gè)論斷是正確的。AHN Gail-Joon, “Zero-knowledge proofs of retrievability”, Science China (Information Sciences), Vol.10(8), 2011, pp.1608-1617.

[11]差異隱私技術(shù)指的是從統(tǒng)計(jì)數(shù)據(jù)庫(kù)查詢(xún)時(shí)，最大化數(shù)據(jù)查詢(xún)的準(zhǔn)確性，同時(shí)最大限度減少識(shí)別其記錄的機(jī)會(huì)，這種機(jī)制的核心是給查詢(xún)的結(jié)果增加一定的噪點(diǎn)。Mannhardt, Felix, “Privacy-Preserving Process Mining”, Business & information systems engineering, Vol.61(5), 2019, pp.595-614.

[12] See European Commission, White Paper on Artificial Intelligence: a European approach to excellence and trust,https://ec.europa.eu/info/publications/white-paper-artificial-intelligence-european-approach-excellence-and-trust_en

作者 | 王融騰訊研究院資深專(zhuān)家

作者 | 朱軍彪騰訊研究院助理研究員

作者 | 王 融 騰訊研究院資深專(zhuān)家

作者 | 朱軍彪 騰訊研究院助理研究員

作者 | 王融騰訊研究院資深專(zhuān)家

作者 | 朱軍彪騰訊研究院助理研究員