默認標題_公眾號封面首圖_2020-06-15-0(1).png

自2018年5月25日生效以來，歐盟數(shù)據(jù)保護條例（GDPR）已經(jīng)走過了2年歷程。這期間，圍繞條例實施效果，存在問題，已有許多第三方開展了相關的評估報告（如：來自美國國家經(jīng)濟研究局（NBER）的報告）。相比之下，來自執(zhí)法第一線歐盟各成員國監(jiān)管機構的聲音較少。

實際上，從2019年下半年開始，歐盟委員會和歐盟理事會便組織各成員國監(jiān)管機構開展執(zhí)法回顧總結，并收到19份各國報告，[1]歐盟理事會在此基礎上，發(fā)布了《關于GDPR適用的立場與發(fā)現(xiàn)》報告。[2]

本文通過對19份成員國報告和歐盟理事會報告的詳細分析和對比，提煉了歐盟內部關于GDPR具體實施中的問題、經(jīng)驗和相關反思，以供參考。

GDPR的一大特色是其賦予數(shù)據(jù)主體各項權能：訪問權、更正權與刪除權等等，但在實踐執(zhí)法落地中，強大的數(shù)據(jù)權利也給監(jiān)管機構帶來煩惱。

GDPR第77條規(guī)定：每個數(shù)據(jù)主體都有向監(jiān)管機構進行申訴的權利。只要數(shù)據(jù)主體認為對其個人數(shù)據(jù)的處理違反了相關規(guī)定就可以向數(shù)據(jù)保護機構進行投訴。奧地利和保加利亞均在報告中指出：過低的投訴門檻和大量重復投訴已經(jīng)嚴重妨礙了監(jiān)管部門的正常運作。據(jù)歐盟內部統(tǒng)計，GDPR實施一年來，監(jiān)管機構接收處理的行政案件達到27萬件，包括14萬件投訴，近9萬件數(shù)據(jù)泄露。[3]

處理數(shù)據(jù)泄露通知案件的負擔尤甚，因為其涉及復雜的調查過程。GDPR第33、34條對數(shù)據(jù)泄露通知規(guī)定了嚴苛要求，包括通知時限和具體通知內容，但卻沒有規(guī)定通知的觸發(fā)門檻，這意味著任何數(shù)量規(guī)模的數(shù)據(jù)泄露都可以觸發(fā)后續(xù)通知要求。數(shù)據(jù)主體也因此可以向監(jiān)管機構提出投訴，在實踐中這帶來了龐大的工作量。正如德國報告指出：數(shù)據(jù)保護部門很可能這些投訴報告壓垮，建議提高相關投訴報告門檻。

監(jiān)管機構負擔問題在歐盟數(shù)據(jù)保護委員會（EDPB）2019年2月發(fā)布的評估報告中也有所反映，該報告指出：大多數(shù)國家表示他們需要增加30%-50%的執(zhí)法預算，有的甚至要求增加100%，同時需要更多的專業(yè)人員，但幾乎沒有國家能夠滿足數(shù)據(jù)保護機構提出的預算與人力要求。[4]

歐盟多個成員國報告都提到了GDPR給中小企業(yè)施加過多義務的問題。如德國指出：對于其核心業(yè)務并不是數(shù)據(jù)處理活動的中小企業(yè)、協(xié)會等機構，應當簡化GDPR中規(guī)定的數(shù)據(jù)處理記錄、設立數(shù)據(jù)保護官（DPO）等義務。這一問題至關重要，特別是考慮到：在歐洲，99%以上的企業(yè)是中小型企業(yè)（員工少于250人的企業(yè)）。[5]

對于雇員人數(shù)少于250人的企業(yè)，雖然GDPR豁免了其記錄數(shù)據(jù)處理活動的要求，但同時又對豁免的適用予以了嚴格限定，即不但需要滿足雇員人數(shù)低于250人的要求，還要求該機構的數(shù)據(jù)處理活動是偶然性的，非常態(tài)化的。這一額外的限定，使得該豁免形同虛設。

荷蘭監(jiān)管機構在執(zhí)法實踐發(fā)現(xiàn)：即使最小規(guī)模的企業(yè)，由于也普遍采用了軟件方式來收集處理相關數(shù)據(jù)，也因此幾乎所有的數(shù)據(jù)處理活動都是結構化的，而非GDPR豁免所要求的偶然數(shù)據(jù)處理。即使處理的個人數(shù)據(jù)量非常有限（例如，僅涉及客戶/雇員的數(shù)據(jù)），這種處理仍具有持續(xù)性，而非偶然性。

因此，荷蘭、丹麥、德國等均主張應該給予中小型企業(yè)更多的豁免，將GDPR序言第13條“在實施本條例時考慮到微型、小型和中型企業(yè)的具體需要”落到實處。

特別是考慮到GDPR適用于各類型的數(shù)據(jù)處理活動，理論上即使是自然人，也可以作為數(shù)據(jù)控制或處理者接受GDPR規(guī)制，對于小微企業(yè)來說這種過高的合規(guī)成本很可能就此扼殺了創(chuàng)業(yè)發(fā)展機會。因此，歐盟理事會也進一步反思：數(shù)據(jù)保護機構應盡積極為中小企業(yè)提供各種咨詢建議服務，簡化其數(shù)據(jù)處理記錄流程，減少其數(shù)據(jù)合規(guī)成本。

相比1995年數(shù)據(jù)指令，GDPR尤為顯著的變化是極大擴展了適用范圍。GDPR第2條規(guī)定，即使機構在歐盟以外，但只要在提供產(chǎn)品或者服務的過程中（不論是否收費）處理了歐盟境內個體的個人數(shù)據(jù)，將同樣適用于條例。域外效力的延伸，顯然能夠為歐盟用戶帶來更為完整的保護，但在實踐中卻給監(jiān)管部門帶來難題。

在此次回顧評估中，奧地利、愛沙尼亞、愛爾蘭等多國都提到：依據(jù)GDPR的要求，不在歐盟設立的控制者或處理者應在歐盟境內指定一名代表，但在實踐中，這一模式存在可操作性問題。當該代表不履行相關義務時，監(jiān)管部門無法對其進行處罰。

GDPR生效后，為符合法律要求，有大量歐盟境外機構委托歐盟境內律所作為其代表。Bird&Bird、Baker McKenzie等歐盟律師事務所均提供此項服務。從事代表業(yè)務的Lothar Determann律師在律所的官方網(wǎng)站上直截了當?shù)刂赋觯捍碇怀袚c數(shù)據(jù)保護機構合作和保存處理活動的記錄這兩項積極義務，即使代表沒有履行這兩項義務，根據(jù)GDPR的規(guī)定也不能對其進行罰款，而只能針對雇傭其的數(shù)據(jù)控制者或處理者。雖然歐盟數(shù)據(jù)監(jiān)管機構可以向代表發(fā)出傳票、命令和罰款，但是如果歐盟以外的法院和政府機構并不與歐盟當局合作，歐盟數(shù)據(jù)監(jiān)管機構對歐盟以外公司征收的罰款在歐盟外幾乎無法執(zhí)行。[6]

正是考慮到域外效力的可執(zhí)行問題，歐盟數(shù)據(jù)保護委員會EDPB在專門圍繞該問題的指南（3/2018）中予以適度限縮[7]，認為GDPR的適用必須是有“針對性（targeting）”。僅僅向歐盟境內提供服務不一定受GDPR管轄，還必須有向歐盟境內提供服務的主觀意圖。雖然這種限縮不能完全解決域外執(zhí)行問題，但也可視為對現(xiàn)存問題的一種反思回應。

作為一般性的個人信息保護法律，GDPR覆蓋公私領域，適用各類機構。政府機構適用GDPR已無爭議。2019年保加利亞數(shù)據(jù)保護委員會向其國家稅務局開具了近300萬美元的罰單，因后者沒有采取適當?shù)谋Ｗo措施致使公民個人數(shù)據(jù)泄露。[8]

目前各成員國更多關注的是司法系統(tǒng)適用GDPR的問題。GDPR第55條第3款規(guī)定：對于法庭在其司法活動中進行的處理操作，監(jiān)管機構不具有監(jiān)管職權。比利時在其評估報告中指出：這一條文容易在實踐中造成誤解，本條的立法本意是保障司法獨立，但容易被解釋為法院不受GDPR的規(guī)制，因此比利時提出：應明確將司法系統(tǒng)納入GDPR的調整范圍，不管是行政機關、立法機關還是司法機關在處理數(shù)據(jù)時都應視作數(shù)據(jù)控制者或處理者。

法國對比利時的這一問題也做出了回應，表示司法系統(tǒng)毫無疑問也需要置于GDPR的規(guī)制之下，考慮到司法獨立問題，可以根據(jù)GDPR序言第20條的規(guī)定，在法院內部設立一個獨立的數(shù)據(jù)監(jiān)管機構，保證法院受規(guī)制的同時不會影響司法的獨立性。

圍繞司法系統(tǒng)的另一問題是，在GDPR規(guī)定的“行政-司法”雙軌規(guī)制-救濟模式中，法院和數(shù)據(jù)保護機構的職能應如何協(xié)調？奧地利在其報告中指出，由于數(shù)據(jù)保護機構和法院都是完全獨立的，且遵循不同的程序守則，因此GDPR規(guī)定的這種雙重救濟模式導致GDPR的適用不成體系，在某些情況下數(shù)據(jù)保護機構的決定還會與法院相沖突。

相比于GDPR中完整的行政規(guī)制體系，歐盟對于司法救濟的態(tài)度僅僅停留在認可階段。實踐中投訴到行政監(jiān)管的案件，也只有1%左右會上訴到法院，考慮到維權的時間和經(jīng)濟成本、維權的靈活性等問題，絕大多數(shù)的數(shù)據(jù)主體會主動選擇行政規(guī)制模式。[9]

數(shù)據(jù)跨境流通問題是歐盟此次GDPR評估的重點，歐盟理事會提出數(shù)據(jù)自由流通是GDPR的一大目標，各成員國也就實踐中遇到具體問題進行了反饋。

首先，各國都肯定了GDPR設置多類型、多層次數(shù)據(jù)跨境流動方式的必要性：充分性決定（第45條），適當保障措施和行為準則（第46、40條），有約束力的公司規(guī)則（第47條）都有其不同的適用場景，需予以保持。比利時提出：充分性決定對于私營公司數(shù)據(jù)跨境交換、簡化手續(xù)和法律合規(guī)有重要意義，有助于實現(xiàn)單一（數(shù)字）市場的目標，但問題是這項制度屬于“正面白名單”，適用標準較高，因此沒有得到充分利用，建議進一步擴充“白名單”，以納入更多可以合法流動的區(qū)域。

德國也支持上述觀點：目前，通過歐盟充分性決定的國家與地區(qū)數(shù)量偏少（僅有13個）。其中，關于日本的充分性決定中，只認可了商業(yè)部門，而沒有為政府機構之間的信息共享提供合法基礎。歐盟理事會在其總結報告中吸收了成員國的上述觀點，指出要繼續(xù)擴充“白名單”，以進一步擴展可以合法自由流動的區(qū)域與部門。

此外，對于“白名單”之外的其他合法流動機制，歐盟在報告中也指出，將發(fā)布更多的標準合同模板，以滿足不同類型的數(shù)據(jù)控制者和處理者的數(shù)據(jù)跨境流動需求。

自2012年啟動GDPR立法時，歐盟就負有著建立數(shù)字時代新秩序的雄心，對當時的新技術應用予以了制度回應。例如：針對云計算業(yè)態(tài)中數(shù)據(jù)收集和處理相分離的情況，在法律主體上區(qū)分了控制者和處理者；針對數(shù)據(jù)分析，規(guī)定“畫像”條款；針對人工智能技術，規(guī)定了自動化決策條款。然而技術的迭代發(fā)展，仍然持續(xù)帶來新問題。最為典型的即區(qū)塊鏈技術。直到今天，圍繞該技術的GDPR適用，仍然存在極大爭議（詳見：GDPR的真實面貌,十個誤解與爭議）。

隨著2016年的正式公布，GDPR的制度已經(jīng)固化。相比之下，技術發(fā)展卻仍在以驚人的速度高歌猛進。在區(qū)塊鏈之外，無人駕駛、面部識別、可穿戴設備、智能家居、醫(yī)療監(jiān)測器械、行為生物數(shù)據(jù)、無人機等一個又一個技術應用，不斷點燃數(shù)據(jù)驅動的新領域。對于這些新技術，是嚴格套用GDPR予以規(guī)范，還是適度平衡隱私保護與創(chuàng)新發(fā)展，是擺在歐盟面前的問題。

正如歐盟理事會在此次評估報告中所強調：我們也應該看到這些技術在某些領域的應用也可能是一個巨大的優(yōu)勢，并有可能加強歐洲公民的隱私保護。例如：基于區(qū)塊鏈的“零知識證明技術”能夠實現(xiàn)使用盡可能少的個人信息，同時驗證某一特定主體的身份；[10]差異隱私技術能夠實現(xiàn)數(shù)據(jù)集中而帶來的價值，但同時保持特定自然人身份不被識別。[11]法律的適用應當為技術發(fā)展留有“一定空間”，而不是完全抵制。歐盟在今年3月發(fā)布的《人工智能白皮書》，最終刪除了原本寫入的人臉識別禁用條款，也再次體現(xiàn)了這種權衡。[12]

正如兩年前GDPR生效時，我們所預言的那樣：立法文本的正式通過，并不意味著制度規(guī)范都已成熟，相反，秩序建設才剛剛拉開序幕。面臨挑戰(zhàn)的不僅是GDPR的適用對象，也包括GDPR本身。而讓一項制度日臻完善的路徑，是不斷結合實踐，持續(xù)對制度本身予以客觀評估，識別問題并總結經(jīng)驗。

注釋：

[1]歐盟理事會已將這19個報告匯總在一起，下文提到的各國報告都可通過查閱匯總報告獲得。Preparation of the Council position on the evaluation and review of the General Data Protection Regulation (GDPR) - Comments from Member States,https://data.consilium.europa.eu/doc/document/ST-12756-2019-REV-1/en/pdf.

[2] Council position and findings on the application of the General Data Protection Regulation (GDPR) – Adoption,https://data.consilium.europa.eu/doc/document/ST-14994-2019-REV-1/en/pdf.

[3] https://edpb.europa.eu/news/news/2019/1-year-gdpr-taking-stock_en

[4] https://www.europarl.europa.eu/meetdocs/2014_2019/plmrep/COMMITTEES/LIBE/DV/2019/02-25/9_EDPB_report_EN.pdf

[5] Harris M, Patten K, Regan E, Fjermestad J, Harris M (2012) Mobile and connected device security considerations : a dilemma for small and medium enterprise business mobility? In: AMCIS 2012

[6] See Lothar Determann , Representatives under Art. 27 of the GDPR: All your questions answered,https://tmt.bakermckenzie.com/-/media/minisites/tmt/files/2018/10/representatives-under-art-27-of-the-gdpr-iapp-2018.pdf?la=en

[7] https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en

[8] Se https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_ene Bulgaria, fines in millions for personal data breaches, https://www.lexology.com/library/detail.aspx?g=6356ed78-03c2-48d0-add2-c8848bfc60c9.

[9] https://www.europarl.europa.eu/meetdocs/2014_2019/plmrep/COMMITTEES/LIBE/DV/2019/02-25/9_EDPB_report_EN.pdf

[10]零知識證明技術指的是證明者能夠在盡可能少向驗證者提供甚至不提供任何有用的信息的情況下，使驗證者相信某個論斷是正確的。AHN Gail-Joon, “Zero-knowledge proofs of retrievability”, Science China (Information Sciences), Vol.10(8), 2011, pp.1608-1617.

[11]差異隱私技術指的是從統(tǒng)計數(shù)據(jù)庫查詢時，最大化數(shù)據(jù)查詢的準確性，同時最大限度減少識別其記錄的機會，這種機制的核心是給查詢的結果增加一定的噪點。Mannhardt, Felix, “Privacy-Preserving Process Mining”, Business & information systems engineering, Vol.61(5), 2019, pp.595-614.

[12] See European Commission, White Paper on Artificial Intelligence: a European approach to excellence and trust,https://ec.europa.eu/info/publications/white-paper-artificial-intelligence-european-approach-excellence-and-trust_en

免费韩漫无遮漫画,欧美Z0ZO人禽交欧美人禽交 ,男人激烈吮乳吃奶视频免费,GAY男同GV网站播放免费

作者 | 王融騰訊研究院資深專家

作者 | 朱軍彪騰訊研究院助理研究員

免费韩漫无遮漫画,欧美Z0ZO人禽交欧美人禽交 ,男人激烈吮乳吃奶视频免费,GAY男同GV网站播放免费

作者 | 王 融 騰訊研究院資深專家

作者 | 朱軍彪 騰訊研究院助理研究員

作者 | 王融騰訊研究院資深專家

作者 | 朱軍彪騰訊研究院助理研究員