20年前，歐盟1995年個(gè)人數(shù)據(jù)保護(hù)指令獨(dú)領(lǐng)風(fēng)騷，對(duì)全球立法產(chǎn)生深遠(yuǎn)影響。除歐盟28個(gè)成員國之外，包括亞太、北美、拉丁美洲等各國都紛紛效仿歐盟模式建立個(gè)人數(shù)據(jù)保護(hù)法律體系。這一體系確立了當(dāng)今數(shù)據(jù)產(chǎn)業(yè)所適用的核心規(guī)則——個(gè)人數(shù)據(jù)保護(hù)規(guī)則，為個(gè)人數(shù)據(jù)的合法收集、利用建立了基本法律秩序。

今天，針對(duì)成員國個(gè)人數(shù)據(jù)保護(hù)法律碎片化問題，以及云計(jì)算、移動(dòng)互聯(lián)網(wǎng)、大數(shù)據(jù)不斷帶來的法律適用挑戰(zhàn)，歐盟對(duì)1995年指令進(jìn)行了大刀闊斧的改革。新規(guī)繼續(xù)堅(jiān)守保護(hù)公民基本權(quán)利理念，全面提升個(gè)人數(shù)據(jù)保護(hù)力度，開創(chuàng)性引入數(shù)據(jù)可攜權(quán)、被遺忘權(quán)；對(duì)數(shù)據(jù)控制者、處理者建立了更為嚴(yán)苛的監(jiān)管要求，并特別針對(duì)大數(shù)據(jù)背景下的數(shù)據(jù)分析、畫像活動(dòng)，制定了詳細(xì)的法律規(guī)制。

新規(guī)能否像20年前一樣，產(chǎn)生示范效應(yīng)，引導(dǎo)全球重建大數(shù)據(jù)背景下數(shù)據(jù)保護(hù)規(guī)則，各方拭目以待。

一、歐盟數(shù)據(jù)保護(hù)新規(guī)指日可待

2015年12月15日，歐委會(huì)發(fā)布消息稱，歐委會(huì)與歐洲議會(huì)，歐盟理事會(huì)三方機(jī)構(gòu)在立法進(jìn)程的最后階段就歐盟數(shù)據(jù)保護(hù)改革達(dá)成一致。這意味著，在接近四年的協(xié)商談判之后，核心改革成果——歐盟數(shù)據(jù)保護(hù)總規(guī)（general data protection regulation，GDPR）即將正式頒布。

根據(jù)歐盟《里斯本條約》所確立的立法程序，歐盟立法涉及三大機(jī)構(gòu)：

歐洲委員會(huì)，由公務(wù)員精英群體構(gòu)成，是歐盟執(zhí)行機(jī)構(gòu)，他們不代表所屬成員國，而是服務(wù)于歐盟整體利益。此次數(shù)據(jù)保護(hù)草案即由歐委會(huì)在2012年1月提出；

歐盟議會(huì)，由歐盟公民直接選舉產(chǎn)生的議員組成，代表全歐公民利益。歐盟議會(huì)于2014年3月高票通過《數(shù)據(jù)保護(hù)總規(guī)》草案；

歐盟理事會(huì)，由成員國相關(guān)行業(yè)、領(lǐng)域的部長組成，是歐盟政治機(jī)構(gòu)，代表各成員國利益。因此區(qū)別于其他兩家機(jī)構(gòu)，歐盟理事會(huì)的立法意見一般分歧較大。例如，在數(shù)據(jù)保護(hù)領(lǐng)域，英國、愛爾蘭政策相對(duì)寬松，而德國、意大利、西班牙則較為嚴(yán)格。歐盟理事會(huì)于2015年6月通過《數(shù)據(jù)保護(hù)總規(guī)》草案。

每個(gè)機(jī)構(gòu)通過的草案版本均有一些差異，但從內(nèi)容以及三方終于達(dá)成一致協(xié)議看，三家機(jī)構(gòu)對(duì)于基本制度的分歧逐步縮小甚至消弭。

《數(shù)據(jù)保護(hù)總規(guī)》預(yù)計(jì)將在2016年年初正式頒布。由于草案對(duì)當(dāng)下的數(shù)據(jù)保護(hù)制度進(jìn)行了重大改革，產(chǎn)業(yè)界、數(shù)據(jù)監(jiān)管機(jī)構(gòu)、消費(fèi)者都需要充分時(shí)間消化與準(zhǔn)備，為此草案規(guī)定，總規(guī)將在正式頒布兩年之后生效執(zhí)行。

二、新規(guī)將帶來哪些重大變革？

自2012年歐委會(huì)提出《草案》之時(shí)，其所確立的一系列嚴(yán)苛制度即震動(dòng)產(chǎn)業(yè)界，引發(fā)全球高度關(guān)注。美國互聯(lián)網(wǎng)巨頭均前往布魯塞爾進(jìn)行立法游說。歐洲議會(huì)共計(jì)收到4400多份相關(guān)修正意見，在歐盟立法史上也屬罕見。

究其原因，一方面歐洲是坐擁5億人口且經(jīng)濟(jì)發(fā)達(dá)的巨大市場，該市場的監(jiān)管政策本身即對(duì)產(chǎn)業(yè)有舉足輕重的影響，另一方面，《草案》本身對(duì)適用范圍極大擴(kuò)展，不僅直接影響歐盟境內(nèi)企業(yè)，還將適用于歐洲境外企業(yè)，歐盟以外的國家與企業(yè)不可能置身事外。

以下細(xì)數(shù)草案帶來的重大變革：

（一）“統(tǒng)一法規(guī)，統(tǒng)一標(biāo)準(zhǔn)”

今后歐盟數(shù)據(jù)保護(hù)立法將由指令（directive）上升為法規(guī)（regulation）。按照歐盟立法機(jī)制，歐盟指令需要成員國以制定本國法律的方式予以轉(zhuǎn)化，因此1995年指令帶來的結(jié)果是28個(gè)成員國對(duì)數(shù)據(jù)保護(hù)的碎片化法律體系。與指令不同，歐盟法規(guī)生效后將直接適用各成員國，這將徹底解決成員國之間的法律制度差異問題。

（二）跨境提供服務(wù)同樣適用歐盟法規(guī)

1995年指令適用屬地原則，即在歐盟有設(shè)立機(jī)構(gòu)，或者是通過歐盟境內(nèi)的設(shè)備處理數(shù)據(jù)才適用歐盟數(shù)據(jù)保護(hù)法。如果公司跨境提供服務(wù)，則可規(guī)避歐盟法律適用。針對(duì)這一問題，歐盟新規(guī)大大擴(kuò)展了其適用范圍。規(guī)定即使數(shù)據(jù)控制者在歐盟境內(nèi)沒有設(shè)立機(jī)構(gòu)，但其在跨境提供商品或服務(wù)的過程中，收集處理歐盟居民數(shù)據(jù)，則應(yīng)當(dāng)適用歐盟數(shù)據(jù)保護(hù)法規(guī)，并需要在歐盟境內(nèi)指派特定代表負(fù)責(zé)數(shù)據(jù)合規(guī)事宜。這一規(guī)定將覆蓋絕大多數(shù)通過跨境方式提供服務(wù)的企業(yè)，這其中包括美國、中國等互聯(lián)網(wǎng)公司。

（三）外圍IT廠商也將受到新規(guī)影響

新規(guī)建立了“隱私保護(hù)設(shè)計(jì)”制度（Privacy by design，PbD）。要求產(chǎn)品或服務(wù)的整個(gè)生命周期都貫穿隱私和數(shù)據(jù)保護(hù)，包括從最早的設(shè)計(jì)階段，到產(chǎn)品投放市場、使用直至最終停止使用，都將考慮數(shù)據(jù)保護(hù)合規(guī)因素。正是這一制度將IT廠商間接納入新規(guī)體系之下。

新規(guī)要求設(shè)備生產(chǎn)，IT廠商所提供的解決方案能夠使得其客戶符合用戶數(shù)據(jù)保護(hù)合規(guī)要求。在過去，IT廠商，包括軟件商，系統(tǒng)集成商，數(shù)據(jù)分析商，從未在服務(wù)合同中考慮過客戶的個(gè)人數(shù)據(jù)保護(hù)問題，但在新規(guī)生效后，這將是IT廠商面臨的新課題。落實(shí)隱私保護(hù)設(shè)計(jì)制度要求，意味著各類涉及用戶個(gè)人數(shù)據(jù)的產(chǎn)品或和業(yè)務(wù)線，在業(yè)務(wù)設(shè)計(jì)的最初階段，就需要與IT廠商充分協(xié)商，并通過技術(shù)、合同、管理等措施落實(shí)合規(guī)要求。

（四）全面引入新型權(quán)利，增強(qiáng)用戶對(duì)個(gè)人數(shù)據(jù)“控制力”

在技術(shù)發(fā)展造成現(xiàn)有立法滯后的情形下，新規(guī)對(duì)數(shù)據(jù)主體的權(quán)利進(jìn)行了補(bǔ)充、完善，其中最引入注目的是“數(shù)據(jù)可攜權(quán)”，“被遺忘權(quán)”。盡管這兩項(xiàng)權(quán)利備受爭議，但從歐委會(huì)公布的消息看，這兩項(xiàng)權(quán)利被保留在法規(guī)最終版本中。

“個(gè)人數(shù)據(jù)可攜權(quán)”，是指用戶可以無障礙的將其個(gè)人數(shù)據(jù)以及其他數(shù)據(jù)資料從一個(gè)信息服務(wù)提供者處轉(zhuǎn)移至另外一個(gè)信息服務(wù)提供者。例如facebook的用戶可以將其帳號(hào)中的照片以及其他資料轉(zhuǎn)移到其他社交網(wǎng)絡(luò)服務(wù)提供商。該規(guī)定要求不僅限于社交網(wǎng)絡(luò)服務(wù)，還包括云計(jì)算、網(wǎng)絡(luò)服務(wù)以及智能手機(jī)應(yīng)用等自動(dòng)數(shù)據(jù)處理系統(tǒng)。信息控制者不僅無權(quán)干涉信息主體的此項(xiàng)權(quán)利，還需要配合用戶提供數(shù)據(jù)文本。數(shù)據(jù)可攜權(quán)的出現(xiàn)不僅強(qiáng)化了用戶對(duì)個(gè)人信息的管理、控制，更有利于用戶充分實(shí)現(xiàn)對(duì)信息服務(wù)的選擇權(quán)。

“被遺忘權(quán)”，當(dāng)用戶不再希望個(gè)人數(shù)據(jù)被處理并且數(shù)據(jù)控制者已經(jīng)沒有合法理由保存該數(shù)據(jù)，用戶有權(quán)要求刪除數(shù)據(jù)。在歐洲法院裁決《歐盟數(shù)據(jù)指令》無效的大背景下，歐盟各國陸續(xù)通過立法縮短數(shù)據(jù)留存的時(shí)間，從過去的六個(gè)月甚至2年縮短到數(shù)周。這意味著用戶能夠?qū)崿F(xiàn)“遺忘權(quán)”的機(jī)會(huì)大大增加。

（五）“數(shù)據(jù)保護(hù)官”為法定標(biāo)配

為保證企業(yè)有效實(shí)施法規(guī)。歐盟要求數(shù)據(jù)控制者必須設(shè)立數(shù)據(jù)保護(hù)官“data protection officer”。事實(shí)上，歐美大型企業(yè)中設(shè)置專門隱私保護(hù)官已是普遍現(xiàn)象。這一崗位并不是虛職，歐盟成員國的立法，有的明確規(guī)定了數(shù)據(jù)保護(hù)官的法定職責(zé)，在企業(yè)違法情況下，數(shù)據(jù)保護(hù)官將被追究法律責(zé)任。

（六）“同意”必須是明示的，且用戶可撤銷

1995年指令第2條并沒有規(guī)定同意應(yīng)當(dāng)是“明示同意”還是“默認(rèn)同意”，此次新規(guī)對(duì)該問題予以回應(yīng)。 “同意”必須是明示的“同意”，而不得被推定為“同意”。一個(gè)有效合法的同意，其要件包括：用戶必須被告知充分的相關(guān)信息，自由地做出明確同意的意思表示，不得附帶任何條件。更重要的是，數(shù)據(jù)控制者必須告知用戶，用戶有權(quán)撤銷同意。

（七）違法處罰額度以企業(yè)的全球營業(yè)總額為基準(zhǔn)

新規(guī)大大提升了違法處罰力度：

第一類違規(guī)行為：沒有為用戶獲得個(gè)人數(shù)據(jù)提供相應(yīng)機(jī)制，沒有及時(shí)響應(yīng)用戶獲得個(gè)人數(shù)據(jù)的請(qǐng)求。最高將被處以全球營業(yè)總額的0.5%；

第二類違規(guī)行為：沒有合法理由，拒絕用戶刪除個(gè)人數(shù)據(jù)的請(qǐng)求；沒有建立本企業(yè)對(duì)用戶數(shù)據(jù)保護(hù)的文檔化管理，最高將被處以以全球營業(yè)總額的1%；

第三類違規(guī)行為：非法處理個(gè)人數(shù)據(jù)；沒有合法理由，拒絕用戶關(guān)于停止處理個(gè)人數(shù)據(jù)的請(qǐng)求；在數(shù)據(jù)泄露事故放生之后，沒有及時(shí)通知監(jiān)管機(jī)構(gòu)；沒有執(zhí)行隱私風(fēng)險(xiǎn)評(píng)估；沒有任命數(shù)據(jù)保護(hù)官，違法向第三國傳輸個(gè)人數(shù)據(jù)；最高將被處以全球營業(yè)總額的2%。

三、針對(duì)大數(shù)據(jù)分析、數(shù)據(jù)畫像的特別規(guī)范

歐盟對(duì)大數(shù)據(jù)帶來的個(gè)人數(shù)據(jù)保護(hù)風(fēng)險(xiǎn)做出了全面深入分析，對(duì)大數(shù)據(jù)數(shù)據(jù)畫像（profiling）、數(shù)據(jù)分析活動(dòng)做出了更為系統(tǒng)嚴(yán)密的規(guī)范。

根據(jù)草案，“數(shù)據(jù)畫像”被定義成一個(gè)內(nèi)涵豐富的概念，它是指：“任何通過自動(dòng)化方式處理個(gè)人數(shù)據(jù)的活動(dòng)，該活動(dòng)服務(wù)于評(píng)估個(gè)人的特定方面，或者專門分析及預(yù)測(cè)個(gè)人的特定方面，包括工作表現(xiàn)，經(jīng)濟(jì)狀況、位置、健康狀況、個(gè)人偏好，可信賴度或者行為表現(xiàn)等。這一概念被普遍認(rèn)為能夠覆蓋目前大多數(shù)利用個(gè)人數(shù)據(jù)的大數(shù)據(jù)分析活動(dòng)。例如對(duì)個(gè)人偏好的分析，可涵蓋市場中最普遍的大數(shù)據(jù)分析市場營銷活動(dòng)。

在對(duì)“畫像”進(jìn)行界定的基礎(chǔ)上，草案對(duì)畫像活動(dòng)予以了嚴(yán)格規(guī)范：

第一，畫像活動(dòng)必須具有法定依據(jù)或者獲得用戶明確同意因?yàn)榉ǘㄊ跈?quán)情形僅僅是少數(shù)情況，而取得用戶明確同意在產(chǎn)業(yè)界來看又難以操作，這意味著該規(guī)定將使得大數(shù)據(jù)分析活動(dòng)變得非常困難。

這將很大程度上改變當(dāng)前大數(shù)據(jù)產(chǎn)業(yè)狀況。因?yàn)榧词乖跀?shù)據(jù)保護(hù)嚴(yán)格的歐盟，依據(jù)1995年指令，數(shù)據(jù)控制者對(duì)其掌握的用戶數(shù)據(jù)進(jìn)行挖掘、分析，并不需要得到用戶的同意。而按照新規(guī)，不論所涉及數(shù)據(jù)是否敏感，都需要法定依據(jù)或者用戶的同意。

此外，如果對(duì)個(gè)人的經(jīng)濟(jì)狀況、位置、健康、個(gè)人偏好、可信賴度，信賴度或行為模式等進(jìn)行分析畫像，則應(yīng)當(dāng)在畫像之前首先開展隱私影響評(píng)估。新規(guī)對(duì)隱私影響評(píng)估做出了一整套程序安排。

第二、對(duì)于畫像活動(dòng)，用戶必須是在充分知情下做出同意授權(quán)大數(shù)據(jù)分析的大多數(shù)場景要想滿足合規(guī)性要求，則必須取得用戶的同意。而草案對(duì)于獲取用戶同意規(guī)定了詳細(xì)的要件。用戶應(yīng)當(dāng)?shù)玫匠浞滞暾南嚓P(guān)信息，包括對(duì)用戶進(jìn)行畫像所使用的全部具體信息，畫像所服務(wù)的目的，基于數(shù)據(jù)分析所采取的評(píng)估措施，數(shù)據(jù)分析可能預(yù)見產(chǎn)生的后果，以及用戶如何選擇拒絕畫像。

除非該數(shù)據(jù)分析是服務(wù)于歷史、統(tǒng)計(jì)或者科學(xué)研究目的的情況下，數(shù)據(jù)必須予以保留。

第三、數(shù)據(jù)畫像，應(yīng)當(dāng)優(yōu)先對(duì)數(shù)據(jù)進(jìn)行匿名化處理新規(guī)要求，開展數(shù)據(jù)畫像，應(yīng)當(dāng)首先對(duì)數(shù)據(jù)進(jìn)行匿名化處理。匿名化的標(biāo)準(zhǔn)是，在符合比例原則的前提下，投入相同比例的時(shí)間、成本努力也無法恢復(fù)身份屬性。如果數(shù)據(jù)畫像在業(yè)務(wù)實(shí)踐中無法實(shí)現(xiàn)匿名化，那么則應(yīng)當(dāng)使用假名（化名）。關(guān)于假名和真實(shí)身份之間的對(duì)應(yīng)關(guān)系的信息應(yīng)當(dāng)被隔離單獨(dú)保存，以提升安全保障。

第四、特定數(shù)據(jù)的分析活動(dòng)完全被禁止即無論是否取得用戶同意，特定的數(shù)據(jù)分析活動(dòng)完全被禁止，此類數(shù)據(jù)分析活動(dòng)包括三類：

一是數(shù)據(jù)分析的結(jié)果可能導(dǎo)致對(duì)個(gè)人的歧視，這些歧視建立在對(duì)個(gè)人種族、民族、政治立場、宗教信仰、商業(yè)團(tuán)體資格、性取向、性別等因素上，或者達(dá)到同此類歧視相同的效果。

二是數(shù)據(jù)分析的結(jié)果能夠識(shí)別兒童。

三是數(shù)據(jù)分析是自動(dòng)化的，并且導(dǎo)致的評(píng)價(jià)結(jié)果將對(duì)數(shù)據(jù)主體產(chǎn)生法律上的效果或者對(duì)數(shù)據(jù)主體產(chǎn)生重大的影響。

四、新規(guī)能否重建數(shù)據(jù)保護(hù)新秩序？

盡管自上世紀(jì)70年代起，全球范圍內(nèi)掀起了個(gè)人數(shù)據(jù)保護(hù)的立法風(fēng)潮，但在信息通信技術(shù)與業(yè)務(wù)的強(qiáng)大沖擊之下，個(gè)人數(shù)據(jù)保護(hù)已經(jīng)到了名存實(shí)亡的危險(xiǎn)邊緣。個(gè)人數(shù)據(jù)保護(hù)法所確立的用戶“知情同意”原則被戲稱為互聯(lián)網(wǎng)最大謊言，利用業(yè)務(wù)協(xié)議，超出業(yè)務(wù)目的和范圍，一攬子取得用戶關(guān)于個(gè)人數(shù)據(jù)使用授權(quán)成為業(yè)界普遍做法。利用數(shù)據(jù)分析畫像，對(duì)個(gè)人進(jìn)行精準(zhǔn)化營銷，似乎成為產(chǎn)業(yè)不可阻擋的發(fā)展趨勢(shì)。

在這一時(shí)代背景下，是讓技術(shù)改變隱私、個(gè)人自由等基本價(jià)值觀念，任其一路狂奔，還是讓法律將技術(shù)鎖定在特定的發(fā)展軌道上，堅(jiān)守基本權(quán)利保護(hù)？顯然，歐盟選擇了后者。

有觀點(diǎn)認(rèn)為：歐盟之所以堅(jiān)持?jǐn)?shù)據(jù)保護(hù)的高標(biāo)準(zhǔn)，是因?yàn)闅W盟互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展落后。誠然，這是不可否認(rèn)的現(xiàn)實(shí)，但并不是歐盟數(shù)據(jù)保護(hù)改革的全部背景。歐盟數(shù)據(jù)保護(hù)新規(guī)可以看作是歐盟對(duì)信息通信技術(shù)的深刻反思，在保護(hù)公民基本權(quán)利這一理念的指引之下，其對(duì)公民的數(shù)據(jù)權(quán)利、企業(yè)義務(wù)、保護(hù)機(jī)制進(jìn)行了全方位的革新與完善。

推動(dòng)高標(biāo)準(zhǔn)的法律制度，會(huì)增加產(chǎn)業(yè)的合規(guī)成本，也有可能對(duì)技術(shù)業(yè)務(wù)創(chuàng)新帶來抑制作用，但歐盟同時(shí)認(rèn)為，嚴(yán)格的數(shù)據(jù)保護(hù)，更高的安全保障標(biāo)準(zhǔn)和用戶信任水平，也將有利于歐盟在數(shù)字經(jīng)濟(jì)中塑造競爭優(yōu)勢(shì)。

歐盟新規(guī)將直接適用于歐盟28個(gè)成員國，覆蓋全球第一經(jīng)濟(jì)總量地區(qū)。此外，歐盟新規(guī)對(duì)適用范圍的大大延展，也將對(duì)全球產(chǎn)生直接深遠(yuǎn)影響，新規(guī)能否像1995年指令，對(duì)全球產(chǎn)生示范效應(yīng)，重建大數(shù)據(jù)時(shí)代下數(shù)據(jù)保護(hù)新秩序，我們拭目以待。

五、對(duì)我國企業(yè)的相關(guān)影響及合規(guī)清單

對(duì)于我國企業(yè)來說，不論是航空、金融等傳統(tǒng)行業(yè)內(nèi)涉及歐盟居民數(shù)據(jù)收集與處理的企業(yè)，還是互聯(lián)網(wǎng)領(lǐng)域通過設(shè)立商業(yè)實(shí)體或跨境提供服務(wù)的企業(yè)，以及相關(guān)的IT廠商，都需要對(duì)如何滿足新規(guī)要求，提前做好準(zhǔn)備。合規(guī)清單至少應(yīng)包括以下內(nèi)容：

設(shè)立數(shù)據(jù)保護(hù)官。如果企業(yè)員工超過250人，且核心業(yè)務(wù)涉及到對(duì)歐盟居民的數(shù)據(jù)處理，則應(yīng)當(dāng)設(shè)立這一崗位；

修改隱私條款、業(yè)務(wù)協(xié)議。特別是“知情同意”條款，適用明示同意原則；

為用戶提供訪問、獲取其個(gè)人數(shù)據(jù)的通道；

為用戶實(shí)現(xiàn)“數(shù)據(jù)可攜權(quán)”，“被遺忘權(quán)”建立相關(guān)配套機(jī)制；

.如果利用數(shù)據(jù)分析對(duì)用戶進(jìn)行畫像（對(duì)其個(gè)人特定方面進(jìn)行評(píng)估，如目前的互聯(lián)網(wǎng)信用評(píng)分業(yè)務(wù)），則需要：

確定是否是禁止畫像的特定領(lǐng)域。如涉及歧視，識(shí)別兒童，對(duì)用戶的評(píng)價(jià)導(dǎo)致法律上的效果或者對(duì)用戶個(gè)人有重大影響，則應(yīng)當(dāng)停止。

他合法的數(shù)據(jù)分析，是否取得用戶的明確同意。

簡而言之，相比國內(nèi)的商業(yè)實(shí)踐，國內(nèi)企業(yè)要滿足歐盟新規(guī)要求，要準(zhǔn)備好為歐盟居民提供“超國民待遇”的數(shù)據(jù)保護(hù)！

來源：瞭望智庫