隨著數(shù)據(jù)價(jià)值的增長(zhǎng)，企業(yè)間圍繞個(gè)人信息的競(jìng)爭(zhēng)愈發(fā)激烈，在此背景下，各國(guó)監(jiān)管部門陸續(xù)出臺(tái)相關(guān)法律法規(guī)，強(qiáng)化數(shù)據(jù)、信息領(lǐng)域的監(jiān)管措施。

近日，泰國(guó)數(shù)字經(jīng)濟(jì)與社會(huì)部下發(fā)公告稱，已推遲兩年施行的《個(gè)人數(shù)據(jù)隱私保護(hù)法》（PDPA，Personal Data Protection Act ）已于今年6月1日起生效，以確保民眾個(gè)人信息不被濫用。

具體而言，PDPA規(guī)定信息處理者在處理、收集或披露個(gè)人數(shù)據(jù)前必須獲得數(shù)據(jù)所有者的同意，且必須告知其使用信息的目的。在此過程中，數(shù)據(jù)所有者享有知情權(quán)、信息訪問權(quán)、信息更正權(quán)、信息轉(zhuǎn)移權(quán)、信息擦除權(quán)等權(quán)力。

此外，該法案確立了兩類信息，即包括姓名、地址、電子郵件地址、電話號(hào)碼、身份證號(hào)碼等信息在內(nèi)的一般信息；以及有關(guān)種族、性別、宗教、健康、生物識(shí)別和政治的敏感信息。

若企業(yè)未能遵守PDPA，則可能面臨高達(dá)500萬(wàn)泰銖（或全球營(yíng)業(yè)額4%）的罰款，還可能面臨長(zhǎng)達(dá)一年的監(jiān)禁。

據(jù)悉，PDPA早在2019年5月便已出臺(tái)，并于泰國(guó)皇家政府公報(bào)上發(fā)布。只是，作為泰國(guó)首部關(guān)于個(gè)人信息保護(hù)的綜合性法律，PDPA受新冠疫情影響先后經(jīng)歷了兩次推遲，直至今年才正式施行。但綜合泰國(guó)政治、經(jīng)濟(jì)環(huán)境，或許PDPA施行背后的原因遠(yuǎn)不及此。

泰國(guó)立法背后的邏輯

眾所周知，西方國(guó)家對(duì)民眾隱私的重視程度普遍較高，而泰國(guó)此前同亞洲許多國(guó)家一樣，在相關(guān)法律機(jī)制建設(shè)方面略顯不足。

基于經(jīng)濟(jì)面貌差異，這本無(wú)可厚非。然而，受全球新冠疫情影響，電商行業(yè)在東南亞地區(qū)增長(zhǎng)迅猛。

據(jù)《東南亞：數(shù)字化轉(zhuǎn)型的主場(chǎng)》報(bào)告顯示，新冠疫情改變了該地區(qū)消費(fèi)者原有的購(gòu)買模式，2021年，將網(wǎng)購(gòu)作為主要購(gòu)物渠道的人數(shù)同比增長(zhǎng)35%，電商網(wǎng)站平均瀏覽量更是同比增長(zhǎng)52%，電商交易總額激增至2020年的1.8倍。

顯然，新冠肺炎疫情對(duì)泰國(guó)電商起到了提振作用。與此同時(shí)，與日俱增的電商數(shù)據(jù)也對(duì)該國(guó)的信息安全提出了更高的要求。

2021年10月，泰國(guó)銀行 (BoT) 曾公開表示，僅10月上半月，便有超10000張?zhí)﹪?guó)借記卡及信用卡賬戶遭盜刷，涉及金額約1.3億泰銖。事后，泰國(guó)警方稱此次大規(guī)模盜刷事件很可能是因用戶將支付賬戶綁定到各類App所致。

據(jù)泰國(guó)信息技術(shù)犯罪偵查中心（PCT Police）披露，2022年4月中上旬，網(wǎng)絡(luò)詐騙與網(wǎng)購(gòu)糾紛案件占據(jù)了該國(guó)網(wǎng)絡(luò)案件總數(shù)的94%。

顯然，由于缺乏相關(guān)法律層面的保護(hù)，信息泄漏、身份盜竊乃至盜刷、欺詐等問題，已然成為了泰國(guó)數(shù)字經(jīng)濟(jì)發(fā)展的桎梏?；诖?，推進(jìn)PDPA，保護(hù)該國(guó)消費(fèi)者權(quán)益勢(shì)在必行。

另一方面，PDPA的落地似乎也與泰國(guó)同歐盟貿(mào)易伙伴關(guān)系的重啟有關(guān)。

泰國(guó)與歐盟的自由貿(mào)易協(xié)定談判始于2013年，然而就在談判開啟一年后，泰國(guó)發(fā)生軍事政變，使其同歐盟關(guān)系破裂，貿(mào)易談判也就此取消。直至2021年6月，歐盟才決定同政局相對(duì)穩(wěn)定的泰國(guó)恢復(fù)貿(mào)易談判。

在這一系列談判中，泰國(guó)除需滿足歐盟對(duì)勞工、環(huán)境、知識(shí)產(chǎn)權(quán)方面的要求外，泰國(guó)企業(yè)還需滿足歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）的要求。后者作為一項(xiàng)歐盟法律，旨在確保企業(yè)處理個(gè)人數(shù)據(jù)層面的合規(guī)性。

或許正因急于同歐盟達(dá)成貿(mào)易協(xié)定，疊加國(guó)內(nèi)民眾隱私保護(hù)需求，泰國(guó)政府才會(huì)將擱置兩年的PDPA正式啟用。

值得注意的是，PDPA除適用于從所有在泰國(guó)收集個(gè)人數(shù)據(jù)的個(gè)人、企業(yè)和網(wǎng)站外，也適用于向泰國(guó)民眾提供服務(wù)、販?zhǔn)凵唐返暮Ｍ馄髽I(yè)。阿里云計(jì)算服務(wù)部門上月剛于泰國(guó)建立數(shù)據(jù)中心。

對(duì)此，阿里巴巴泰國(guó)國(guó)家經(jīng)理Tyler Qiu稱其已然符合PDPA及泰國(guó)銀行發(fā)布的金融監(jiān)管指南。顯然，阿里已對(duì)泰國(guó)新的監(jiān)管環(huán)境做足應(yīng)對(duì)，但據(jù)泰國(guó)工業(yè)聯(lián)合會(huì)董事會(huì)董事Pranontha Titavunno透露，有相當(dāng)一部分的泰國(guó)本土中小企業(yè)，并沒有準(zhǔn)備好迎接PDPA的到來(lái)。

隱私保護(hù)之外，監(jiān)管對(duì)企業(yè)的制衡

目前，泰國(guó)有大約300萬(wàn)家中小企業(yè)和初創(chuàng)企業(yè)，每年為該國(guó)GDP貢獻(xiàn)約35%。

而根據(jù)泰國(guó)2022-2026年國(guó)家社會(huì)和經(jīng)濟(jì)發(fā)展計(jì)劃，中小企業(yè)對(duì)泰國(guó)GDP的貢獻(xiàn)占比有望提升至50%。顯然，中小企業(yè)已然成為了泰國(guó)經(jīng)濟(jì)增長(zhǎng)的重要引擎。

盡管PDPA因疫情原因已延后兩年施行，兩年間泰國(guó)政府也圍繞該法案進(jìn)行了廣泛宣傳，但泰國(guó)貿(mào)易委員會(huì)與泰國(guó)商會(huì)大學(xué)的聯(lián)合調(diào)查顯示，接受采訪的近4000家企業(yè)中，僅有8%的企業(yè)表示業(yè)務(wù)已滿足PDPA要求，而高達(dá)31%的企業(yè)表示尚未開展合規(guī)流程，多數(shù)困于合規(guī)的企業(yè)正是中小型企業(yè)。

顯然，PDPA對(duì)數(shù)據(jù)、信息的合規(guī)要求將提升企業(yè)的運(yùn)營(yíng)成本，尤其是在疫情波及下，實(shí)力本就不雄厚的中小企業(yè)很可能無(wú)法負(fù)擔(dān)合規(guī)所需成本。

此外，2020年，大華銀行曾針對(duì)東盟中小企業(yè)數(shù)字化轉(zhuǎn)型展開研究，數(shù)據(jù)顯示58%的東盟中小企業(yè)正在采用數(shù)字營(yíng)銷手段應(yīng)對(duì)市場(chǎng)競(jìng)爭(zhēng)環(huán)境。

而數(shù)字營(yíng)銷涉及用戶畫像、大數(shù)據(jù)處理等領(lǐng)域，雖有合規(guī)風(fēng)險(xiǎn)，但也是營(yíng)銷預(yù)算有限的中小企業(yè)獲客的關(guān)鍵。以泰國(guó)旅游行業(yè)為例，倘若中小企業(yè)無(wú)法利用現(xiàn)有客戶數(shù)據(jù)展開精準(zhǔn)營(yíng)銷，很可能會(huì)被淹沒在大型旅游企業(yè)鋪天蓋地的宣傳之中。

也就是說(shuō)，PDPA的施行很可能會(huì)對(duì)本就捉襟見肘的中小型企業(yè)帶來(lái)第二重困擾，倘若采取“一刀切”的施行模式，對(duì)將經(jīng)濟(jì)增長(zhǎng)重任托付于中小企業(yè)的泰國(guó)而言并不是一則好消息。

而面對(duì)上述矛盾，泰國(guó)政府正在尋求可能的解決方案。據(jù)泰國(guó)個(gè)人數(shù)據(jù)保護(hù)委員會(huì)主席Thienchai Na Nakorn透露，過渡時(shí)期政府或?qū)⒊雠_(tái)附屬法規(guī)，幫助中小企業(yè)渡過難關(guān)。

盡管目前泰國(guó)政府尚未拿出相關(guān)方案，但根據(jù)業(yè)內(nèi)猜測(cè)，泰國(guó)或許將給予中小企業(yè)一定的寬限期，在此期間企業(yè)或只需滿足最低的合規(guī)要求。

對(duì)此，泰國(guó)個(gè)人數(shù)據(jù)保護(hù)委員會(huì)成員Paiboon Amornpinyokiat從側(cè)面給出了印證，表示PDPA施行的第一年，政府監(jiān)管重心將落于敦促與警告，而非處罰。且涉及信息數(shù)量較少的小企業(yè)或?qū)⒚庥诒O(jiān)管。

因此，泰國(guó)政府加速政策施行的同時(shí)，也對(duì)受合規(guī)影響較強(qiáng)的中小企業(yè)給予了一定程度的保護(hù)，同樣的邏輯也體現(xiàn)在我國(guó)去年出臺(tái)的《個(gè)人信息保護(hù)法》中。

中國(guó)《個(gè)人信息保護(hù)法》中明確表示：“針對(duì)小型個(gè)人信息處理者、處理敏感個(gè)人信息以及人臉識(shí)別、人工智能等新技術(shù)、新應(yīng)用，制定專門的個(gè)人信息保護(hù)規(guī)則、標(biāo)準(zhǔn)。”相反，大型個(gè)人信息處理者（包括提供重要互聯(lián)網(wǎng)平臺(tái)服務(wù)、用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的個(gè)人信息處理者），應(yīng)當(dāng)承擔(dān)額外的個(gè)人信息保護(hù)義務(wù)。

由此可見，無(wú)論是泰國(guó)政府將出臺(tái)的附屬條例，還是我國(guó)《個(gè)人信息保護(hù)法》正文對(duì)于大、小型企業(yè)的差異化治理措施，均體現(xiàn)出了政府在保護(hù)個(gè)人信息的同時(shí)，對(duì)大型企業(yè)、小微企業(yè)差異化治理的態(tài)度。不過，就先行頒布相關(guān)法規(guī)的歐美地區(qū)現(xiàn)狀來(lái)看，此類保護(hù)與制衡是否有效，或許仍需打上一個(gè)問號(hào)。

嚴(yán)苛與寬松，歐美法律的差異化治理

生效于2018年5月25日的《通用數(shù)據(jù)保護(hù)條例》（ GDPR）是一項(xiàng)歐盟法律，作為1995年《數(shù)據(jù)保護(hù)指令 》（DPD）的補(bǔ)充，旨在確保公司在合法基礎(chǔ)上處理個(gè)人數(shù)據(jù)，同時(shí)確保其安全性、隱私性和機(jī)密性。由于頒布時(shí)間較早且體系成熟，GDPR被許多擬定信息保護(hù)法律的國(guó)家視為參考標(biāo)準(zhǔn)。

針對(duì)小型企業(yè)，GDPR給予了一定程度的保護(hù)，規(guī)定雇員人數(shù)少于250人的企業(yè)能夠免于記錄數(shù)據(jù)處理活動(dòng)，但卻對(duì)適用范圍予以嚴(yán)格限定，要求該企業(yè)所處理的數(shù)據(jù)必須是偶然性、非持續(xù)性的。

對(duì)此，荷蘭監(jiān)管機(jī)構(gòu)曾公開表示：即使是體量規(guī)模很小的企業(yè)，收集處理的相關(guān)數(shù)據(jù)也普遍是結(jié)構(gòu)化數(shù)據(jù)，這種處理仍具有持續(xù)性，并不滿足GDPR的豁免要求。而一項(xiàng)研究表示，自GDPR施行以來(lái)，小企業(yè)的利潤(rùn)及營(yíng)收降幅遠(yuǎn)大于大型企業(yè)，尤其是在科技行業(yè)：大型科技企業(yè)利潤(rùn)下降 4.6%，而小型科技企業(yè)利潤(rùn)則驟減12.%。

對(duì)于此問題，英國(guó)信息專員Elizabeth Denham曾表示，大型科技企業(yè)現(xiàn)金流充足，無(wú)需懼憚合規(guī)成本，且在技術(shù)、資源方面強(qiáng)于小型企業(yè)，更擅于使用戶同意其隱私條款。相比之下，小型企業(yè)不得不為合規(guī)更改業(yè)務(wù)模式、增加員工數(shù)，而這種過高的合規(guī)成本很可能就此扼殺了小型企業(yè)的發(fā)展機(jī)會(huì)。

顯然，GDPR并沒有維護(hù)好不同體量企業(yè)間的平衡。而從法律施行至今的效果來(lái)看，GDPR不僅沒能保護(hù)好小型企業(yè)的利益，甚至加劇了科技巨頭的壟斷地位。

針對(duì)該問題，于2020年1月1日生效的《加利福尼亞州消費(fèi)者隱私法》(CCPA) 的做法顯然有所不同。盡管CCPA僅是針對(duì)加州地區(qū)的隱私保護(hù)法律，但作為美國(guó)首部信息保護(hù)領(lǐng)域的系統(tǒng)性法案，CCPA的影響力并不局限于加州境內(nèi)。

從適用面來(lái)看，GDPR面向所有歐盟內(nèi)的企業(yè)及涉及歐盟民眾的非歐盟企業(yè)，而CCPA則有所不同，其僅針對(duì)年總收入超過2500萬(wàn)美元；購(gòu)買、出售或共享超過 50,000 名客戶、家庭或設(shè)備的個(gè)人信息；超過50%的年收入來(lái)自出售個(gè)人信息的企業(yè)。

也就是說(shuō)，CCPA在確立監(jiān)管范圍之初便合理排除了非盈利機(jī)構(gòu)和沒有達(dá)到適用門檻的中小企業(yè)兩類主體，更多傾向于大中型企業(yè)或同信息密切相關(guān)的企業(yè)。相較于GDPR，CCPA對(duì)于小微企業(yè)顯然更加公平。

然而，作為面向民眾的信息保護(hù)法律，即便法律制定部門所需考慮的維度眾多，其核心終究將落于信息保護(hù)層面。就目前來(lái)看，較為嚴(yán)苛的GDPR雖能更好地維護(hù)民眾隱私權(quán)益，但卻無(wú)法保證企業(yè)間的平衡，過低的投訴門檻也使監(jiān)管機(jī)構(gòu)難堪重負(fù)，無(wú)法有效處理大量、重復(fù)的投訴；而相對(duì)寬松的CCPA監(jiān)管主體多為大型科技公司，這也使民眾仍時(shí)常遭受各類來(lái)自小型企業(yè)營(yíng)銷信息的困擾。

無(wú)論是泰國(guó)的PDPA還是我國(guó)的《個(gè)人信息保護(hù)法》，均延續(xù)了GDPR的脈絡(luò)，即通過較為嚴(yán)苛的監(jiān)管保證民眾的信息安全。而如何確保小微企業(yè)的利益，以及減輕監(jiān)管機(jī)構(gòu)的治理壓力，或?qū)⒊蔀樾畔⒈Ｗo(hù)下一階段的命題。

來(lái)源：數(shù)據(jù)猿