歐盟法院“安全港協議”無效案對我國網絡數據隱私保護的啟示

曹雯雯

[摘 要]在美國政府大規模監聽活動被曝光后，歐盟法院（ECJ）周二做出里程碑式的裁決，推翻了一項有關歐美間數據傳輸方面的協議。此前根據該協議，成千上萬家企業能夠輕松地將個人資料從歐洲傳送至美國，這一裁定不僅對臉書、谷歌、亞馬遜等美國互聯網巨頭影響重大，更對一個國家將制定怎樣的法律以及兩國或多國之間簽署怎樣的協議來保護數據傳輸以實現隱私保護有著深遠意義。

[關鍵詞]歐盟；安全港協議案；數據傳輸；隱私保護

[中圖分類號]D99 [文獻標識碼] A [文章編號] 1009 — 2234（2016）05 — 0057 — 02

1 安全港協議案

安全港協議，是指在2000年12月，美國商業部就跟歐洲聯盟簽訂了一份名為“安全港”（Safe Harbor）的協議。安全港協議的要求是如果企業通過網絡收集個人的數據那么該企業就必須將收集數據一事告知當事人， 并承諾會對數據做適當處分，在得到當事人同意的情況下，才能將數據傳遞給第三方。安全港協議確立了美國和歐聯之間隱私手續的框架。參與協議的15個成員國中簽署協議的企業都必須服從協議， 這意味著這些企業必須經個人授權后才能被第三方進行使用與轉移， 其中超過4000家數據相關的美國企業都簽署了這一協議， 而未加入安全港的企業也必須單獨從各個歐洲國家獲取授權方能得到歐洲法律的認可。

1.1 案情簡介

一位名叫Schrems的奧地利公民自2008年以來就在使用Facebook，他發現Facebook在愛爾蘭的分支機構將收集的他的個人數據傳輸到了Facebook在美國的服務器。2013年發生的斯諾登事件增強了歐洲國家對美國隱私保護的懷疑，他因此向愛爾蘭數據保護委員會提出申訴，聲稱考慮到大規模的政府監控，美國并沒有對轉移到其國內的個人數據提供充分的保護，并要求該機構行使法定權力禁止愛爾蘭分公司將他的個人數據轉移到美國。愛爾蘭數據保護委員會否決了他的申訴，認為根據歐委會于2000年7月26日通過的“2000/520號歐盟決定”，安全港協議對個人數據提供了充分保護。于是，他向愛爾蘭高等法院提起了訴訟。愛爾蘭高等法院認為，監控和攔截被轉移到美國的個人數據事關公共利益，而斯諾登事件表明美國國家安全局（NSA）等聯邦機構過度濫用了其職能，致使歐盟民眾的權利得不到有效保護。一旦個人數據被轉移到美國，在大規模以及不加選擇的監控和攔截過程中，NSA、FBI等聯邦機構就可能侵入這些數據，所以美國對個人數據沒能夠提供充分保護。由于該案涉及到了歐委會的“2000/520號歐盟決定”的效力問題，而只有歐盟法院對歐盟法律的效力擁有最終發言權，所以愛爾蘭高等法院提請歐盟法院對相關法律問題做出初步裁決。這才有了2015年10月6日的那份無效判決。

1.2 判決結果

歐洲法院判決的主要調查結果如下（引號表示從裁決摘錄）：

“國家監管當局的獨立性的保證是為了確保符合有關個人保護的條款監測的有效性和可靠性。”監管當局的權力包括“有效有權的干預，如對數據的處理實行短期或永久禁令，并有權提請法律訴訟。”安全港計劃“并不能阻止個人就已經轉移到或即將轉移到第三國的個人數據問題像國家監管當局提出索賠要求，他們的索賠權利和自由受到保護。”“全國法院可以考慮安全港計劃的有效性，但只有歐洲法院可以宣布它是無效的。組織自我認證的安全港計劃下被允許“忽視”安全港原則，以符合美國的國家安全，公共利益，或執法要求。安全港計劃“不符合要求”，以保護個人數據的歐盟數據保護指令所要求的“足夠”標準，是“相應無效”。安全港認證的組織應注意，還有其他的選擇，以將個人數據傳輸到美國，包括明示同意和使用綁定公司規則或歐盟批準的示范條款協議。使用安全港認證的供應商的組織可能希望與他們的供應商討論這些其他的選擇。

歐盟法院于10月6日，宣布與“美國-歐盟安全港協議”（US-EU Safe Harbor Scheme）有關的“2000/520號歐盟決定”（Safe Harbor Decision）無效。歐盟法院在判決書中指出，“美國的國家安全、公共利益和執法需求都優先于‘安全港協議，從而使得企業在面對上述情況時，勢必會漠視‘安全港協議中的隱私保護條款。‘安全港協議并不能約束政府機構的數據審查行為，不能起到充分保護歐洲公民隱私的作用，因而它是無效的。”顯然，這份無效判決對已經存在了15年之久的美歐安全港協議的效力帶來了重大挑戰。成員國數據監管機構可以因此禁止美國公司在美國收集、存儲其國民的個人數據，哪怕美國公司通過了安全港認證。

1.3 案件影響

《安全港協議》的失效可能會迫使美國互聯網企業和信用卡公司重新制定數據存儲方案，將歐盟用戶的個人數據存儲在歐洲，但相關技術上的調整會消耗大量時間和資金，最終造成部分企業因其中提高的成本而撤離歐洲。同一天，美國商務部也給出表態，稱對這一裁決表示失望，因為《安全港協議》的失效會對雙方的經濟發展造成阻礙。對于正在進行《跨大西洋貿易與投資伙伴關系協議》談判的歐美雙方，這一裁決有可能會拖累談判的進程。事實上，歐盟方面也作出了相同表態，除了前面提到的歐委會副主席蒂默曼斯，歐委會司法專員朱洛娃也公開表示，希望歐美雙方的數據傳輸能夠盡快恢復正常，因為它是經濟發展的中堅力量。據統計，歐盟公民個人數據在2011年的價值就已經達到3150億歐元，預計到2020年，這一價值將會瘋漲到一萬億歐元，對歐美雙方都是數量可觀的重要經濟資源。

2 “安全港協議案”對我國網絡信息隱私保護的啟示

2.1 數據傳輸對網絡信息隱私保護的威脅

當前，我國對大數據的保護能力還十分有限，數據被惡意使用的現象仍然難以掌控。我國個人和企業對于數據資源的保護意識，還比較薄弱。隨著電子商務、社交網絡、物聯網、云計算、以及移動互聯網的全面普及，我國數據資源與全球的數據資源一樣，正在呈現爆發性、多樣性的增長態勢。但是，由于對數據保護認識的不足，以及對個人電腦安全防護的不當，個人或企業的隱私數據暴露在互聯網上的現象十分普遍。2011年，我國最大程序員網站的600萬個人信息和郵箱密碼被黑客公開，進而引發了連鎖的泄密事件。2013年，中國人壽80萬客戶的個人保單信息發現被泄露。這些事件都凸顯出在大數據時代，信息安全管理所面臨的、前所未有的挑戰。數據的爆炸式增長，數據來源的極其豐富和數據類型的多種多樣，使數據存儲量更龐大，對數據展現的要求更高。而目前我國傳統的數據庫，還難以存儲如此巨大的數據量。在大數據的分析處理方面，由于針對具體的應用類型，需要采用不同的處理方式，因此必須通過建立高級大數據的分析模型，來實現快速抽取大數據的核心數據、高效分析這些核心數據并從中發現價值，而這些數據分析能力我國還很欠缺。

2.2 網絡信息隱私保護的措施

歐盟法院在判決書中指出，“美國的國家安全、公共利益和執法需求都優先于‘安全港協議，從而使得企業在面對上述情況時，勢必會漠視‘安全港協議中的隱私保護條款。‘安全港協議并不能約束政府機構的數據審查行為，不能起到充分保護歐洲公民隱私的作用，因而它是無效的。”與歐美不同，我國擁有龐大的人口資源和大數據應用市場，市場復雜度高且變化多端，使我國成為世界上最復雜的大數據國家。我國互聯網用戶，通過利用互聯網上的海量數據來提升自身的商業價值和科研價值。我國企業用戶，也已積累了大量的數據信息資產，如產品數據、運營數據和價值鏈數據等。隨著我國企業信息化系統的深入部署和逐步完善，大數據應用能力所引發的商業模式的改變，將直接影響我國企業的競爭能力。為了解決這一矛盾，結合歐美的經驗，我國應當結合自己的國情建立一套完善的法制規范管理網絡信息安全，同時結合現在科技實現對網絡安全的監管，另一方面企業也應出臺相應政策配合剛剛國家對網絡安全的保護。

2.2.1 加快制定信息化基本法律

加快制定《網絡安全法》、《電信法》、《電子商務法》、《個人信息保護法》、《政府數據開放條例》等法律法規，研究制定《信息化推進基本法》、《電子政務法》、《互聯網信息內容服務與管理法》、《密碼法》等信息化基本法律，實現信息化法律關系主要依靠基本法律支撐的結構性改變。同時，加快對不適應信息化發展的現行法律法規的修改與廢止，提高信息化立法的質量，推動信息化立法的不斷完善。

2.2.2 優化信息化執法體制與機制

改革與完善信息化執法體制，推進政府職能整合，著力解決執法權交叉、執法權限模糊、管轄權不明確等問題；加大違法行為的法律責任，改變違法成本過低現象；建立快速處理各類爭議的行政執法與司法裁判程序，迅速處理與處置各種法律爭議問題；充分利用市場機制、私法執法、信息披露等多元化執法方式，處理好行政執法與刑事執法的有效銜接，提高執法效果，形成執法合力；大力培育行業自律等社會治理機制，形成網絡社會多元治理格局。

2.2.3 大力加強信息化執法能力建設

加強現行法律在信息化環境下的立法、執法與司法解釋，充分利用好現有立法資源；加強對國家機關工作人員信息化知識培養與教育，培養復合型人才，提高信息化應用能力；推廣負面清單管理方式，將不增設新的行政許可或者其他事前管理機制作為電子商務的基本原則，為互聯網產業與電子商務發展提供寬松的制度環境；通過執法方式改革與手段創新，建立實時風險監測、預警與預測，推行過程監管，加強部門信息共享與執法合作；擴大信息化執法國際交流與合作，推動建立公正、透明國際互聯網治理體系；規范執法程序，明確裁量基準，強化執法監督，并通過嚴格的行政執法責任追究，切實解決執法不作為、亂作為與執法謀私等現象。

2.2.4 開展網絡社會自覺守法意識宣傳與教育

以多種形式開展信息化法律宣傳教育，弘揚法治價值，促進社會公平正義，處理好維穩與維權的關系；提倡文明上網、理性上網、公平競爭、合法經營、規范執法，減少或杜絕選擇性執法現象；全面樹立“網絡無邊界、法律無死角”觀念，提高全社會自覺守法意識。

〔參 考 文 獻〕

〔1〕馬芳.美歐跨境信息《安全港協議》的存廢及影響〔J〕. 中國信息安全.2015，（11）.

〔2〕王輝.歐盟與美國達成“信息安全港”協議〔J〕.全球科技經濟瞭望.2000，（11）.

〔3〕張新寶.隱私權的法律保護〔M〕.北京：群眾出版社.1997：67.

〔4〕姜振穎.論隱私權及其法律保護〔J〕.開封：河南大學學報：社科版，2004，（05）：51.

〔責任編輯：陳玉榮〕