從EDPS 2019年工作報告看歐盟數(shù)據(jù)保護(hù)

魏書音 孫舒揚 周千荷

2020年3月，歐洲數(shù)據(jù)保護(hù)專員公署（EDPS）發(fā)布2019年工作報告，總結(jié)了執(zhí)法調(diào)查、政策咨詢、技術(shù)研發(fā)、國際合作等各項數(shù)據(jù)保護(hù)工作的進(jìn)展情況。EDPS全面深入推進(jìn)數(shù)據(jù)保護(hù)工作，通過采用將個人數(shù)據(jù)保護(hù)意識和文化融入歐盟社會經(jīng)濟(jì)發(fā)展事務(wù)、實現(xiàn)數(shù)據(jù)保護(hù)與其他個人權(quán)益協(xié)調(diào)發(fā)展、引導(dǎo)國際議題和規(guī)則等方式，確保歐盟數(shù)據(jù)保護(hù)規(guī)則的有效實施和推廣。

EDPS數(shù)據(jù)保護(hù)工作經(jīng)驗

（一）管理與服務(wù)并重，將個人數(shù)據(jù)保護(hù)意識和文化融入歐盟社會經(jīng)濟(jì)發(fā)展事務(wù)。一是開展專項調(diào)查、審查評估、發(fā)布臨時禁令，及時發(fā)現(xiàn)并處置歐盟機(jī)構(gòu)在個人數(shù)據(jù)安全相關(guān)事務(wù)處理、使用大型數(shù)據(jù)系統(tǒng)方面存在的問題，督促整改未經(jīng)同意的第三方跟蹤等問題，探索個人數(shù)據(jù)保護(hù)的最佳實踐。其中，對歐盟機(jī)構(gòu)使用微軟產(chǎn)品和服務(wù)的調(diào)查促成了海牙論壇的建立，推進(jìn)研究創(chuàng)建標(biāo)準(zhǔn)合同，以拒絕大型IT服務(wù)提供商的格式條款，強化了歐盟機(jī)構(gòu)對IT服務(wù)和產(chǎn)品的安全控制。

二是參與個人數(shù)據(jù)安全相關(guān)政策制定，提供咨詢和指導(dǎo)意見，幫助歐盟機(jī)構(gòu)將個人數(shù)據(jù)安全、隱私權(quán)保護(hù)納入政策設(shè)計考量范圍，并實現(xiàn)融入立法。

三是鼓勵歐盟機(jī)構(gòu)內(nèi)部發(fā)展問責(zé)文化，確保各機(jī)構(gòu)不僅遵守數(shù)據(jù)保護(hù)規(guī)則，還能證明其遵守行為規(guī)范;同時，還要認(rèn)識到，即使是合法處理個人數(shù)據(jù)也可能導(dǎo)致侵犯個人權(quán)利，需審慎考量。

四是發(fā)布政策評估和執(zhí)法監(jiān)管工具，深入推進(jìn)數(shù)據(jù)保護(hù)規(guī)則實施。比如，公布《個人數(shù)據(jù)保護(hù)比例原則指南》，幫助評估擬議中的歐盟政策是否符合《基本權(quán)利憲章》中關(guān)于隱私和個人數(shù)據(jù)基本權(quán)利的規(guī)定;發(fā)布關(guān)于控制器、處理器和聯(lián)合控制器概念的指南，澄清控制器、處理器和聯(lián)合控制人員范圍、義務(wù)分配和各自責(zé)任，幫助歐盟機(jī)構(gòu)工作人員更好地理解其角色并遵守數(shù)據(jù)保護(hù)規(guī)則;建立新數(shù)據(jù)安全規(guī)則的多人協(xié)作寫作系統(tǒng)（Wiki），創(chuàng)建新法律注釋版本，鼓勵EDPS內(nèi)部分享并向歐盟機(jī)構(gòu)開放，確保以統(tǒng)一的方法監(jiān)督和執(zhí)行歐盟數(shù)據(jù)保護(hù)規(guī)則。

五是通過專項培訓(xùn)、交流討論等方式，增強歐盟機(jī)構(gòu)有關(guān)崗位人員的個人數(shù)據(jù)保護(hù)知識和意識，提高安全風(fēng)險感知能力。

六是利用社會力量監(jiān)督數(shù)據(jù)收集和使用行為。向社會發(fā)布網(wǎng)站證據(jù)收集器，為成員國數(shù)據(jù)保護(hù)機(jī)構(gòu)、隱私專業(yè)人士、數(shù)據(jù)控制器和網(wǎng)站開發(fā)人員提供工具，收集個人數(shù)據(jù)處理的自動證據(jù)。

（二）深入合作，促進(jìn)個人數(shù)據(jù)保護(hù)最佳實踐共享以及與其他執(zhí)法監(jiān)管業(yè)務(wù)的協(xié)調(diào)發(fā)展。考慮到個人數(shù)據(jù)保護(hù)規(guī)則可能會影響消費者保護(hù)、邊境安全等其他執(zhí)法監(jiān)管業(yè)務(wù)的執(zhí)行，EDPS在確保數(shù)據(jù)保護(hù)規(guī)則實施的同時，兼顧了其他安全和發(fā)展問題，與相關(guān)機(jī)構(gòu)深入合作，用務(wù)實和平衡的態(tài)度處理沖突關(guān)系，促進(jìn)各項安全規(guī)則的統(tǒng)一協(xié)調(diào)。

一是促進(jìn)與消費者保護(hù)、競爭監(jiān)管機(jī)構(gòu)間的交流。統(tǒng)籌協(xié)調(diào)個人數(shù)據(jù)保護(hù)與其他個人權(quán)利保護(hù)的關(guān)系，解決監(jiān)管規(guī)則間的沖突和矛盾，探索實現(xiàn)個人利益最大化的途徑。比如，2016年推出的數(shù)字清算中心，是由消費者保護(hù)、競爭和數(shù)據(jù)保護(hù)領(lǐng)域的監(jiān)管機(jī)構(gòu)自愿組成網(wǎng)絡(luò)，共享監(jiān)管信息，并討論從個人利益出發(fā)執(zhí)行規(guī)則的最佳實踐，促進(jìn)歐盟基本權(quán)利規(guī)則能夠統(tǒng)一執(zhí)行。

二是與歐盟各機(jī)構(gòu)密切合作，深入評估歐盟擬出臺的政策、采用大規(guī)模信息技術(shù)數(shù)據(jù)庫是否符合歐盟個人數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)。比如，歐洲旅行信息和授權(quán)系統(tǒng)將于2021年正式投入使用，勢必會增加進(jìn)入歐盟境內(nèi)的額外邊境檢查，可能涉及隱私問題。同時，數(shù)據(jù)處理操作還涉及控制器之間的數(shù)據(jù)交換，數(shù)據(jù)庫中的個人數(shù)據(jù)受不同數(shù)據(jù)保護(hù)框架監(jiān)管，個人很難有效行使其數(shù)據(jù)保護(hù)權(quán)利。EDPS與邊境管理機(jī)構(gòu)合作，通過系統(tǒng)設(shè)計將數(shù)據(jù)保護(hù)原則貫徹到數(shù)據(jù)庫設(shè)計開發(fā)中，以確保在整個開發(fā)過程中系統(tǒng)都內(nèi)置數(shù)據(jù)保護(hù)機(jī)制，通過適當(dāng)控制降低風(fēng)險。比如，《布達(dá)佩斯網(wǎng)絡(luò)犯罪公約》中關(guān)于改進(jìn)收集刑事案件電子證據(jù)的合作、促進(jìn)執(zhí)法部門與服務(wù)提供商直接跨境合作的內(nèi)容，主張設(shè)定詳細(xì)保障措施，以確保落實目的限制等數(shù)據(jù)保護(hù)原則。對于跨境獲取電子證據(jù)的歐盟—美國協(xié)議，建議歐盟要求美國司法當(dāng)局盡早參與收集電子證據(jù)的程序，審查對方提供證據(jù)的要求是否符合基本權(quán)利，并適時提出拒絕理由。

三是加強與成員國之間的監(jiān)管協(xié)調(diào)，促進(jìn)成員國在邊境安全、刑事案件處理等重點領(lǐng)域的數(shù)據(jù)安全監(jiān)管交流。建立專門的監(jiān)管協(xié)調(diào)小組，與成員國數(shù)據(jù)監(jiān)管機(jī)構(gòu)合作，確保兩級監(jiān)管工作的一致性。2019年，又進(jìn)一步組建了協(xié)調(diào)監(jiān)督委員會，取代各個獨立監(jiān)督協(xié)調(diào)小組，為歐盟大型IT系統(tǒng)提供統(tǒng)一監(jiān)管模式。歐洲刑警組織的數(shù)據(jù)保護(hù)合作委員會分享數(shù)據(jù)安全監(jiān)管信息和檢查結(jié)果，重點關(guān)注成員國向歐洲刑警組織發(fā)送的大型數(shù)據(jù)集、未成年犯罪嫌疑人的數(shù)據(jù)處理等。

四是建立交流平臺，促進(jìn)數(shù)據(jù)安全議題的推進(jìn)和最佳實踐的分享。與來自歐盟66個機(jī)構(gòu)和辦公室的數(shù)據(jù)安全保護(hù)官每年進(jìn)行兩次會面，與成員國數(shù)據(jù)保護(hù)機(jī)構(gòu)召開歐洲數(shù)據(jù)保護(hù)案例處理研討會，分享調(diào)查監(jiān)管經(jīng)驗，確保數(shù)據(jù)保護(hù)規(guī)則的遵守;與歐洲刑警組織數(shù)據(jù)保護(hù)團(tuán)隊召開雙月會議，提供非正式建議。

五是發(fā)展互聯(lián)網(wǎng)隱私工程網(wǎng)絡(luò)，促進(jìn)監(jiān)管機(jī)構(gòu)、研究人員和開發(fā)人員的交流，開發(fā)隱私工程問題實用解決方案，力圖將隱私規(guī)則構(gòu)建到數(shù)字工具中，促進(jìn)和推進(jìn)隱私工程的最新實踐。2019年的主要議題是，確定現(xiàn)存隱私工程的方法和最佳實踐并使其成為可共享和可用的工具，探索通過程序設(shè)計實現(xiàn)數(shù)據(jù)保護(hù)。

（三）積極引導(dǎo)國際議題和規(guī)則，推動歐盟數(shù)據(jù)保護(hù)規(guī)則成為國際主流。一是與國際合作伙伴合作，將數(shù)據(jù)保護(hù)納入國際協(xié)議主流，并確保在全球范圍內(nèi)對個人數(shù)據(jù)保護(hù)的一致性。以觀察員身份參加歐洲理事會數(shù)據(jù)保護(hù)專家組，比如《關(guān)于個人資料自動處理的保護(hù)個人公約》協(xié)商委員會、經(jīng)濟(jì)合作與發(fā)展組織數(shù)字經(jīng)濟(jì)安全和隱私工作組，旨在確保高標(biāo)準(zhǔn)的數(shù)據(jù)保護(hù)，以及有關(guān)規(guī)則與歐盟數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)的兼容性。舉辦2019年數(shù)據(jù)保護(hù)和隱私專員國際會議，與經(jīng)濟(jì)合作與發(fā)展組織合作舉辦研討會，討論如何應(yīng)對數(shù)據(jù)保護(hù)政策面臨的挑戰(zhàn)。

二是促進(jìn)全球數(shù)字倫理討論。2018年在數(shù)據(jù)保護(hù)和隱私專員國際會議上，發(fā)起了一場關(guān)于數(shù)字倫理的全球辯論;2019年尋求確保數(shù)字領(lǐng)域道德辯論繼續(xù)向前推進(jìn)，評估數(shù)據(jù)保護(hù)和隱私與在數(shù)字化世界中保留人類尊嚴(yán)的關(guān)系。

三是審查國際協(xié)議中有關(guān)數(shù)據(jù)安全規(guī)則的執(zhí)行情況。參與審查隱私盾協(xié)議執(zhí)行，主要關(guān)注政府為執(zhí)法和國家安全目的而獲取歐盟個人數(shù)據(jù)的問題，以及歐盟公民可獲得的法律救濟(jì)，強調(diào)公司對于隱私盾原則的執(zhí)行尤其數(shù)據(jù)傳輸缺乏監(jiān)督。

（四）研究具體前沿問題，關(guān)注新技術(shù)、新應(yīng)用給個人數(shù)據(jù)保護(hù)帶來的挑戰(zhàn)。一是通過設(shè)置特定議題聚焦性地解決實際問題。近年的關(guān)注點集中在人工智能、區(qū)塊鏈等新技術(shù)對數(shù)據(jù)安全的影響，比如確定工作場所監(jiān)控和數(shù)字技術(shù)對環(huán)境的影響等特定主題，并以此為焦點推出一系列網(wǎng)絡(luò)研討會，每個網(wǎng)絡(luò)研討會都將集中在會議期間確定特定的關(guān)注領(lǐng)域，以便展開更細(xì)致深入的探討。

二是促進(jìn)新技術(shù)安全有關(guān)信息的分享。專門針對數(shù)據(jù)安全官發(fā)布月度通訊，概述數(shù)據(jù)保護(hù)工作的重要發(fā)展，包括新EDPS指南、事件、歐洲案例法的更新等。推出專門出版物，提供新興技術(shù)信息，評估其對隱私和個人數(shù)據(jù)保護(hù)的影響，涉及智能音箱和虛擬助理、智能家庭中的智能電表和聯(lián)網(wǎng)汽車，2020年將關(guān)注語音助手、區(qū)塊鏈等新技術(shù)問題。

幾點啟示

（一）完善數(shù)據(jù)安全工作的組織領(lǐng)導(dǎo)機(jī)制。目前，我國對數(shù)據(jù)保護(hù)工作職能的劃分不夠清晰，多部門執(zhí)法不僅浪費行政資源，而且加重了企業(yè)負(fù)擔(dān)，執(zhí)法效果也不理想。為此，一是要設(shè)立或指定專門的國家數(shù)據(jù)安全保護(hù)機(jī)構(gòu)，統(tǒng)籌協(xié)調(diào)各行業(yè)領(lǐng)域的數(shù)據(jù)安全工作，指導(dǎo)各行業(yè)領(lǐng)域統(tǒng)一實施數(shù)據(jù)安全法律法規(guī)，保護(hù)個人信息的相關(guān)權(quán)利。二是對各行業(yè)領(lǐng)域主要監(jiān)管部門的數(shù)據(jù)安全保護(hù)工作進(jìn)行監(jiān)督檢查，發(fā)現(xiàn)問題及時督促改正;對涉及數(shù)據(jù)安全的新政策措施，主管部門應(yīng)提交國家數(shù)據(jù)安全保護(hù)機(jī)構(gòu)進(jìn)行審查，并可向其咨詢相關(guān)爭議問題。

（二）加強數(shù)據(jù)安全執(zhí)法能力建設(shè)。近兩年，中央網(wǎng)信辦、工業(yè)和信息化部、公安部加大了數(shù)據(jù)安全執(zhí)法檢查，尤其是組織開展了個人信息保護(hù)專項治理，但由于目前執(zhí)法工作范圍有限，還未能充分調(diào)動地方的執(zhí)法力量，同時各部門執(zhí)法標(biāo)準(zhǔn)不盡一致，致使執(zhí)法震懾效應(yīng)不足。為此，一是要廣泛開展數(shù)據(jù)安全執(zhí)法，調(diào)動各級數(shù)據(jù)安全保護(hù)機(jī)構(gòu)的積極性，加大執(zhí)法檢查力度，提升威懾力。二是通過執(zhí)法發(fā)現(xiàn)問題和矛盾，必要時通過聽證會等形式，促進(jìn)社會各界進(jìn)行充分辯論，使用“比例原則”等方法，有效平衡數(shù)據(jù)安全、個人信息權(quán)益和其他個人合法權(quán)益、社會經(jīng)濟(jì)發(fā)展等利益關(guān)系，積累解決安全與發(fā)展問題的經(jīng)驗和能力。三是統(tǒng)一執(zhí)法標(biāo)準(zhǔn)，國家數(shù)據(jù)安全保護(hù)機(jī)構(gòu)需及時出臺和更新執(zhí)法檢查標(biāo)準(zhǔn)，確保各行業(yè)領(lǐng)域、各地方執(zhí)法部門能夠采用相對統(tǒng)一的合規(guī)要求和執(zhí)法程序，防止“同案不同判”。

（三）及時追蹤響應(yīng)新技術(shù)、新業(yè)務(wù)發(fā)展中面臨的數(shù)據(jù)安全問題。近年來，歐美十分重視人工智能、區(qū)塊鏈等新技術(shù)帶來的安全問題，相關(guān)研究機(jī)構(gòu)和企業(yè)積極進(jìn)行研究和部署。為此，我國相關(guān)部門、機(jī)構(gòu)應(yīng)做好以下工作：一是要密切追蹤新技術(shù)、新應(yīng)用的安全問題，設(shè)立固定研討機(jī)制，組織相關(guān)科研機(jī)構(gòu)、從業(yè)者及時反饋最新的安全問題，研討最佳解決方案。二是積極與相關(guān)國際組織合作，搭建國際交流合作平臺，爭取在國際上形成廣泛共識，主導(dǎo)相關(guān)規(guī)則和標(biāo)準(zhǔn)的制定權(quán)和話語權(quán)。三是開展數(shù)據(jù)和個人信息保護(hù)試點示范工作，面向社會征集行業(yè)的優(yōu)秀做法和案例，尤其是那些應(yīng)對新技術(shù)、新業(yè)務(wù)帶來數(shù)據(jù)安全風(fēng)險的最佳實踐，解決安全和發(fā)展沖突等問題，充分利用技術(shù)方案化解管理困境，形成社會示范效應(yīng)。同時，還要大力推廣優(yōu)秀方案、產(chǎn)品和服務(wù)，進(jìn)一步促進(jìn)數(shù)據(jù)安全產(chǎn)品和服務(wù)產(chǎn)業(yè)的健康發(fā)展。