歐美《隱私保護協(xié)議》正式生效，有哪些新規(guī)？

大數(shù)據(jù) 數(shù)據(jù)隱私歐盟

車品覺 | 2016-08-16 16:20

【數(shù)據(jù)猿導(dǎo)讀】 2015年10月，歐盟最高司法機構(gòu)歐洲法院廢除了《安全港協(xié)議》(Safe Harbor)。2016年2月，歐盟和美國宣布達成《隱私保護協(xié)議》(Privacy Shield)。今年7月，該協(xié)議正式生效。我們來看看這項協(xié)議有什么新規(guī)定

導(dǎo)讀：

《隱私保護協(xié)議》認證的機構(gòu)“只有在服務(wù)于(最初或相符)處理目的的期限內(nèi)”才能保留個人信息，但如果相關(guān)信息不是“已識別或可識別個人身份的形式”，那么機構(gòu)就能無限期地保留這些信息。個人身份在數(shù)據(jù)集中是否可識別，這取決于機構(gòu)或其他任何第三方能否通過“他們有可能利用(要考慮識別身份所需的費用和時間、處理時的可用技術(shù)等等)的身份識別手段和保留的數(shù)據(jù)形式”來識別個人身份。

《隱私保護協(xié)議》最重要的創(chuàng)新之一是擴大了個人信息再次轉(zhuǎn)移給第三方的責(zé)任，比《安全港協(xié)議》的要求更加嚴厲，這在再次轉(zhuǎn)移責(zé)任原則中有所描述。《隱私保護協(xié)議》認證的機構(gòu)可以把數(shù)據(jù)轉(zhuǎn)移給第三方，但前提是這種轉(zhuǎn)移必須受到合同的約束，無論第三方是否也是《隱私保護協(xié)議》認證的機構(gòu)。合同必須把處理活動限制在數(shù)據(jù)主體同意的條款范圍內(nèi)，并使第三方遵守《隱私保護協(xié)議》認證的機構(gòu)承諾遵守的那些標(biāo)準(zhǔn)。

GDPR將在兩年內(nèi)正式生效，屆時將適用于任何一家處理歐盟居民個人數(shù)據(jù)或者監(jiān)督歐盟居民行為的機構(gòu)，不管這些機構(gòu)位于世界的哪個角落。GDPR規(guī)定的義務(wù)比《隱私保護協(xié)議》更加嚴格。因此，在兩年內(nèi)，受到GDPR約束的美國機構(gòu)將不得不履行GDPR更嚴格的義務(wù)。

原文翻譯：

2015年10月，歐盟最高司法機構(gòu)歐洲法院廢除了《安全港協(xié)議》(Safe Harbor)。

2016年2月，歐盟和美國宣布達成《隱私保護協(xié)議》(Privacy Shield)。

今年7月，該協(xié)議正式生效。美國商務(wù)部長佩妮·普里茲克(Penny Pritzker)表示，從8月1日開始，想要將歐盟數(shù)據(jù)轉(zhuǎn)移到美國的機構(gòu)可以申請認證。

《隱私保護協(xié)議》臨時文本在今年3月發(fā)布，相對于《安全港協(xié)議》作出了一些操作上的修改。這些修改包含在協(xié)議框架的附件二中，在原則中也有所描述。此后，《隱私保護協(xié)議》經(jīng)過了第29條工作組、歐洲議會、歐盟數(shù)據(jù)保護專員和第31條委員會的審查。7月發(fā)布的新文本試圖解決審查過程中出現(xiàn)的很多擔(dān)憂。

最重要的變化涉及到美國國家安全機構(gòu)使用歐盟數(shù)據(jù)的棘手問題，基本上不會對參與數(shù)據(jù)轉(zhuǎn)移的公司造成影響。例如，新文本就信號情報的大量收集問題作出了更多的保證和澄清。對于想要申請《隱私保護協(xié)議》自我認證的公司來說，新文本中有幾個值得注意的變化。特別需要注意的是，新文本闡明了有關(guān)個人信息二次處理、保留期限和再次轉(zhuǎn)移的標(biāo)準(zhǔn)。

關(guān)于二次處理的更詳細闡述

《隱私保護協(xié)議》規(guī)定，機構(gòu)只能處理“與處理目的有關(guān)”的個人信息，而且“對個人信息的處理方式不得與收集這些信息或隨后獲得相關(guān)個人授權(quán)的目的相矛盾”。該規(guī)定包含在數(shù)據(jù)完整性和目的限制原則中。

批評者擔(dān)心，只要與處理目的相關(guān)以及不存在相矛盾的情況就允許處理，這可能導(dǎo)致過于寬泛的理解和實踐。因此，新文本添加了與處理目的相符的處理活動的例子。是否相符取決于具體情況，但可能包括“合理地服務(wù)于客戶關(guān)系、合規(guī)和法律方面的考慮、審計、安全和欺詐防范、保護或捍衛(wèi)機構(gòu)法律權(quán)利或者在特定的信息收集背景下與理性主體的預(yù)期相符的其他目的”。

歐盟委員會的“充分決定”還進一步澄清，這些有關(guān)符合處理目標(biāo)的規(guī)定與選擇原則相輔相成。因此，“在(變更后的)新目的與最初目的存在很大差異、但仍然符合最初目的的情況下，選擇原則賦予信息主體反對(選擇退出)的權(quán)力”。但這并不意味著機構(gòu)可以利用選擇退出機制進行與目標(biāo)不一致的處理。

《隱私保護協(xié)議》對去身份化和數(shù)據(jù)保留采取“基于風(fēng)險的方法”

新文本采取“基于風(fēng)險的方法”來定義用于二次處理目的的、可識別身份的個人信息?！峨[私保護協(xié)議》認證的機構(gòu)“只有在服務(wù)于(最初或相符)處理目的的期限內(nèi)”才能保留個人信息，但如果相關(guān)信息不是“已識別或可識別個人身份的形式”，那么機構(gòu)就能無限期地保留這些信息。個人身份在數(shù)據(jù)集中是否可識別，這取決于機構(gòu)或其他任何第三方能否通過“他們有可能利用(要考慮識別身份所需的費用和時間、處理時的可用技術(shù)等等)的身份識別手段和保留的數(shù)據(jù)形式”來識別個人身份。

按照《數(shù)據(jù)保護指令》(Data Protection Directive)，這種基于風(fēng)險的框架與第29條工作組對身份可識別性的定義存在明顯沖突?！稊?shù)據(jù)保護指令》基本上對再次識別身份的風(fēng)險持零容忍態(tài)度。

《隱私保護協(xié)議》新文本允許機構(gòu)保留個人信息，但保留的“期限和程度必須合理地服務(wù)于公共利益、新聞、文學(xué)和藝術(shù)、科學(xué)或歷史研究以及統(tǒng)計分析的存檔目的”。和《通用數(shù)據(jù)保護條例》(General Data Protection Regulation，簡稱GDPR)中的研究豁免一樣，這種數(shù)據(jù)保留豁免可能會使很多處理活動合法化。

加大針對再次轉(zhuǎn)移的責(zé)任追究

《隱私保護協(xié)議》最重要的創(chuàng)新之一是擴大了個人信息再次轉(zhuǎn)移給第三方的責(zé)任，比《安全港協(xié)議》的要求更加嚴厲，這在再次轉(zhuǎn)移責(zé)任原則中有所描述?！峨[私保護協(xié)議》認證的機構(gòu)可以把數(shù)據(jù)轉(zhuǎn)移給第三方，但前提是這種轉(zhuǎn)移必須受到合同的約束，無論第三方是否也是《隱私保護協(xié)議》認證的機構(gòu)。

合同必須把處理活動限制在數(shù)據(jù)主體同意的條款范圍內(nèi)，并使第三方遵守《隱私保護協(xié)議》認證的機構(gòu)承諾遵守的那些標(biāo)準(zhǔn)。另外，認證的機構(gòu)必須“采取合理和適當(dāng)?shù)拇胧?rdquo;，確保第三方對數(shù)據(jù)的處理符合《隱私保護協(xié)議》的原則。如果第三方違反其義務(wù)，那么認證的機構(gòu)必須“采取合理和適當(dāng)?shù)拇胧柚购脱a救未經(jīng)許可的數(shù)據(jù)處理”?！峨[私保護協(xié)議》認證的機構(gòu)對第三方的數(shù)據(jù)處理行為負有責(zé)任，除非“證明自己與導(dǎo)致?lián)p害的事件無關(guān)”。

《隱私保護協(xié)議》新文本在這個框架中添加了第三方的通知義務(wù)。新文本規(guī)定，如果第三方無法再履行其責(zé)任，必須及時通知認證的機構(gòu)。這個通知義務(wù)必須在雙方的合同中寫明。

有關(guān)自動化處理的規(guī)定即將出臺

歐盟委員會的“充分決定”指出，在信貸、抵押貸款和就業(yè)等幾個特定領(lǐng)域，美國法律保護個人免于自動化處理導(dǎo)致的不利決定。但美國法律對自動化處理的監(jiān)管范圍并不比歐盟更廣。“充分決定”強調(diào)這是“需要密切監(jiān)督的領(lǐng)域”，并把討論自動化處理作為《隱私保護協(xié)議》首次年度審查的一部分。

《隱私保護協(xié)議》只有兩年的存在意義?

《隱私保護協(xié)議》通過兩個辦法來解決這個問題。首先，當(dāng)GDPR生效時，年度審查過程將允許歐盟委員會提高《隱私保護協(xié)議》規(guī)定的標(biāo)準(zhǔn)。其次，“充分決定”指出：“《隱私保護協(xié)議》的原則只適用于美國機構(gòu)進行的個人數(shù)據(jù)處理，且這些機構(gòu)進行的數(shù)據(jù)處理不屬于GDPR的范疇。”決定申請《隱私保護協(xié)議》認證的機構(gòu)應(yīng)該在兩年內(nèi)做好遵守GDPR的準(zhǔn)備。

來源：品覺

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會注明來源與作者；轉(zhuǎn)載我們原創(chuàng)內(nèi)容時，也請務(wù)必注明“來源：數(shù)據(jù)猿”與作者名稱，否則將會受到數(shù)據(jù)猿追責(zé)。