Loading
2018-07-09 11:00:00
從小米Yeelight在歐洲上線受阻說起
近日來，諸多互聯(lián)網(wǎng)企業(yè)都不約而同地搞起了“大動(dòng)作”：包括騰訊在內(nèi)的各大互聯(lián)網(wǎng)企業(yè)紛紛更新用戶協(xié)議、隱私政策；美國(guó)《洛杉磯時(shí)報(bào)》《New York Daily News》等媒體機(jī)構(gòu)突然停止對(duì)歐盟地區(qū)提供服務(wù)；Steam開始對(duì)16歲以下歐洲玩家做出額外限制，甚至添加了“一鍵刪除賬號(hào)”功能；我國(guó)以收集用戶習(xí)慣數(shù)據(jù)為特色功能的小米智能硬件生態(tài)鏈旗下智能燈Yeelight也于5月23日晚宣布停止為歐洲用戶提供服務(wù)。
這些“大動(dòng)作”的產(chǎn)生都與個(gè)人數(shù)據(jù)保護(hù)領(lǐng)域一項(xiàng)“大事件”有關(guān)--《通用數(shù)據(jù)管理?xiàng)l例》（General Data Protection Regulation 簡(jiǎn)稱GDPR）的全面生效。GDPR一經(jīng)生效便在世界范圍內(nèi)掀起了軒然大波，在目前的情勢(shì)下，有的企業(yè)積極調(diào)整、嚴(yán)陣以待，也有企業(yè)畏懼合規(guī)風(fēng)險(xiǎn)，撤出市場(chǎng)，更有為數(shù)不少的企業(yè)身處險(xiǎn)境而不自知。可以預(yù)見的是，GDPR所帶來的個(gè)人數(shù)據(jù)規(guī)制浪潮將為全球互聯(lián)網(wǎng)企業(yè)的發(fā)展帶來極大的機(jī)遇與挑戰(zhàn)。
二、GDPR是什么？
“史上最嚴(yán)數(shù)據(jù)保護(hù)條例” “用戶數(shù)據(jù)憲章”
2018年5月正式生效的《通用數(shù)據(jù)保護(hù)條例》（GDPR）是歐盟委員會(huì)醞釀多年的一部數(shù)據(jù)保護(hù)法令，旨在通過規(guī)范數(shù)據(jù)處理行為，保護(hù)個(gè)人用戶的數(shù)據(jù)隱私。該法規(guī)因其監(jiān)管內(nèi)容之細(xì)，適用范圍之廣，懲罰力度之強(qiáng)而一經(jīng)出臺(tái)即被媒體稱為“史上最嚴(yán)數(shù)據(jù)保護(hù)條例”。對(duì)此最直觀的表現(xiàn)便是：在GDPR生效的第一天，F(xiàn)acebook和谷歌便被控強(qiáng)迫用戶同意共享數(shù)據(jù)而面臨數(shù)十億歐元的罰款危機(jī)。而在其生效短短數(shù)十日內(nèi)，已經(jīng)有幾十家公司被投訴而開始被監(jiān)管機(jī)構(gòu)調(diào)查。
GDPR針對(duì)新時(shí)代下大數(shù)據(jù)、云計(jì)算等商業(yè)新生態(tài)對(duì)個(gè)人數(shù)據(jù)的沖擊與威脅，建立起強(qiáng)大而統(tǒng)一的數(shù)據(jù)保護(hù)框架。從具體內(nèi)容上看，GDPR中主要有以下重要規(guī)定：
①六個(gè)基本原則：在設(shè)計(jì)個(gè)人數(shù)據(jù)利用的問題上，數(shù)據(jù)控制者與處理者必須遵循合法、合理、透明原則，目的限制原則，最小化適用原則，準(zhǔn)確使用原則，限期留存原則，安全使用原則。
②六大合法性基礎(chǔ)：我國(guó)立法當(dāng)中主要以用戶的同意作為認(rèn)定數(shù)據(jù)處理合法的標(biāo)準(zhǔn)，而GDPR在此基礎(chǔ)上完善了對(duì)“主體同意”的確認(rèn)方法，并在此之外補(bǔ)充了“為履行法定義務(wù)”“為實(shí)現(xiàn)公共利益”“為實(shí)現(xiàn)用戶的合同目的”“為用戶的核心利益”“為追求企業(yè)或第三方所追求的正大利益”五個(gè)認(rèn)定標(biāo)準(zhǔn)。
③較為完備的主體權(quán)利：用戶對(duì)其自身數(shù)據(jù)信息享有知情權(quán)、變更權(quán)、被遺忘權(quán)等重要權(quán)利，同時(shí)與權(quán)利相匹配的，GDPR還提供了充分的權(quán)利救濟(jì)方式。
④嚴(yán)格的跨境傳輸：GDPR對(duì)用戶的數(shù)據(jù)信息跨境傳輸施加了嚴(yán)格的限制，其中具有代表性的是充分性認(rèn)定國(guó)家清單制度的應(yīng)用（我國(guó)不在其中）。
圖片轉(zhuǎn)自公眾號(hào)“數(shù)字通信世界”
三、GDPR和國(guó)內(nèi)企業(yè)的關(guān)系
首先，GDPR雖然是歐盟法令，但基于其確認(rèn)的長(zhǎng)臂管轄（Long arm Jurisdiction）機(jī)制，此法令的輻射范圍可以擴(kuò)張到全球。GDPR所規(guī)范的企業(yè)主要包括以下兩種：
1.設(shè)立于歐盟內(nèi)部的企業(yè)，無論其數(shù)據(jù)處理行為是否發(fā)生在歐盟
2.對(duì)歐盟內(nèi)自然人提供商品或服務(wù)的企業(yè)，無論所提供的商品或服務(wù)是否收費(fèi)
基于此，不僅我國(guó)企業(yè)在歐洲境內(nèi)設(shè)立或收購(gòu)的子公司將直接受到GDPR的規(guī)制，那些在歐洲開展國(guó)際業(yè)務(wù)而獲取了相關(guān)用戶數(shù)據(jù)的企業(yè)同樣需要遵守法令的規(guī)定。任何意圖在歐洲開拓市場(chǎng)的企業(yè)都須警惕GDPR所帶來的合規(guī)風(fēng)險(xiǎn)。GDPR并不是舶來的宣傳指引，而將是與企業(yè)生存利益直接相關(guān)的強(qiáng)制性法律規(guī)范。
除去GDPR廣泛的國(guó)際性影響之外，對(duì)于我國(guó)企業(yè)而言，迅速熟悉GDPR，完善合規(guī)工作，還有特別重大和緊急的意義。主要有以下兩個(gè)原因：
（1）從宏觀形勢(shì)上看，我國(guó)企業(yè)很有可能成為GDPR規(guī)制的重災(zāi)區(qū)
①隨著“一帶一路”戰(zhàn)略的施行與開放政策的不斷深化，國(guó)內(nèi)企業(yè)“走出去”的情形越來越常見，而人口眾多、經(jīng)濟(jì)發(fā)達(dá)的歐洲地區(qū)則是企業(yè)發(fā)展國(guó)際業(yè)務(wù)的“兵家必爭(zhēng)之地”。我國(guó)諸多企業(yè)已經(jīng)在歐洲積累了龐大的用戶群。例如國(guó)內(nèi)極為火熱的手游“王者榮耀”的海外版在上線歐洲、北美地區(qū)之后，本地注冊(cè)用戶已經(jīng)超過兩億，每日活躍用戶高達(dá)8000萬(wàn)。如此規(guī)模的用戶基礎(chǔ)除了可觀的海外收入外，也為數(shù)據(jù)合規(guī)風(fēng)險(xiǎn)埋下了伏筆。
②從GDPR的監(jiān)管邏輯上看，今后對(duì)中國(guó)企業(yè)的監(jiān)管力度可能會(huì)加強(qiáng)。對(duì)于Facebook、谷歌這樣實(shí)力強(qiáng)勁、經(jīng)驗(yàn)豐富的互聯(lián)網(wǎng)企業(yè)，監(jiān)管機(jī)關(guān)在進(jìn)行調(diào)查時(shí)的阻力大、耗時(shí)長(zhǎng)，也較難得到理想的效果。與之相比，我國(guó)國(guó)內(nèi)企業(yè)由于意識(shí)、經(jīng)驗(yàn)等方面的缺乏，無疑是較容易突破的“軟柿子”。特別是在我國(guó)企業(yè)在世界市場(chǎng)上占有率逐漸抬升的情況下，監(jiān)管機(jī)構(gòu)對(duì)中國(guó)國(guó)內(nèi)企業(yè)的重視將會(huì)將來監(jiān)管壓力的加重。
③與前述趨勢(shì)相矛盾的，目前我國(guó)企業(yè)對(duì)于用戶數(shù)據(jù)保護(hù)的自覺意識(shí)仍十分缺乏，整體合規(guī)程度低。百度CEO李彥宏在2018中國(guó)發(fā)展高層論壇上所做的關(guān)于中國(guó)網(wǎng)民“愿用隱私換便捷”的公開言論正反應(yīng)了這一點(diǎn)，而南都信息中心對(duì)企業(yè)隱私政策的測(cè)評(píng)更顯示樣本中50%的APP存在越限獲取用戶信息的情形，整體上不合規(guī)企業(yè)所占比例甚至高達(dá)80%。這樣的情勢(shì)下，若GDPR監(jiān)管機(jī)構(gòu)對(duì)國(guó)內(nèi)有關(guān)主體進(jìn)行嚴(yán)格檢查，結(jié)果可能將是十分慘烈的。
（2）從微觀角度上看，GDPR對(duì)企業(yè)自身發(fā)展具有重大指導(dǎo)意義
①通過推動(dòng)合規(guī)工作，規(guī)避巨額懲罰
GDPR對(duì)于違反其規(guī)定的數(shù)據(jù)控制者和處理者采取的主要救濟(jì)措施是罰款。根據(jù)GDPR的懲罰規(guī)則，違規(guī)企業(yè)將面臨最高2000W歐元或本年全球營(yíng)收4%的罰款（以二者間更高的為準(zhǔn)）。以亞馬遜為例，按照2017年的全球營(yíng)收計(jì)算，若其違反GDPR規(guī)定，則其將面臨高達(dá)71億美元的罰款。這種程度的處罰，對(duì)于任何企業(yè)都將是沉重的打擊，因此盡快實(shí)現(xiàn)GDPR框架下最低限度的合規(guī)對(duì)國(guó)內(nèi)企業(yè)而言是非常必要的。
②指導(dǎo)企業(yè)更好地適應(yīng)國(guó)內(nèi)立法趨勢(shì)
隨著國(guó)內(nèi)外法律體系的完善，其受到國(guó)內(nèi)、國(guó)際雙重規(guī)制的情形將十分普遍。可以看到，對(duì)用戶數(shù)據(jù)信息的保護(hù)是世界范圍內(nèi)立法發(fā)展的趨勢(shì)，我國(guó)近年來出臺(tái)的《網(wǎng)絡(luò)安全法》《關(guān)于處理侵犯?jìng)€(gè)人信息 解釋》《信息安全技術(shù)個(gè)人信息安全規(guī)范》也反映了我國(guó)立法對(duì)個(gè)人數(shù)據(jù)保護(hù)的重視程度在逐漸提升。
從內(nèi)容上看，對(duì)GDPR的合規(guī)管理和對(duì)國(guó)內(nèi)規(guī)制的調(diào)整是相輔相成的，對(duì)GDPR規(guī)則的了解也將有助于我國(guó)企業(yè)適應(yīng)國(guó)內(nèi)立法的要求，從而更好克服“雙重壓力”
③促進(jìn)企業(yè)競(jìng)爭(zhēng)力的提升，推動(dòng)企業(yè)戰(zhàn)略發(fā)展
在互聯(lián)網(wǎng)經(jīng)濟(jì)下，用戶對(duì)自身數(shù)據(jù)信息保護(hù)意識(shí)不斷增強(qiáng)，用戶在挑選產(chǎn)品、選擇服務(wù)時(shí)將不僅會(huì)考慮傳統(tǒng)的產(chǎn)品質(zhì)量等問題，也會(huì)逐漸關(guān)注其對(duì)自身數(shù)據(jù)信息的處理情況等新因素。而企業(yè)對(duì)GDPR的合規(guī)情況必然成為用戶考量其產(chǎn)品數(shù)據(jù)保護(hù)情況的重要客觀依據(jù)。在對(duì)此問題有所懈怠的企業(yè)也將在日趨激烈的市場(chǎng)競(jìng)爭(zhēng)中處于劣勢(shì)。
另一方面，對(duì)數(shù)據(jù)保護(hù)的國(guó)家共識(shí)和保護(hù)力度整在提升，對(duì)于個(gè)人數(shù)據(jù)信息保護(hù)情況很可能成為特定市場(chǎng)準(zhǔn)入條件與行業(yè)門檻的一部分。若企業(yè)連門檻都?jí)虿簧希透劜簧鲜找媾c擴(kuò)張了。
四、結(jié)語(yǔ)
GDPR的出臺(tái)作為個(gè)人數(shù)據(jù)保護(hù)的一個(gè)里程碑，對(duì)世界范圍內(nèi)用戶的數(shù)據(jù)信息保護(hù)具有重要的意義。而作為以盈利為主要目的的企業(yè)而言，GDPR更像是一把篩子，以合規(guī)狀況為標(biāo)準(zhǔn)對(duì)企業(yè)進(jìn)行篩選，在激烈的競(jìng)爭(zhēng)下，篩選的結(jié)果往往是“留者生，去者亡”。綜上，對(duì)GDPR的合規(guī)情況將直接影響企業(yè)的生存發(fā)展，相關(guān)企業(yè)必須保持警覺重視的態(tài)度。
在認(rèn)識(shí)到GDPR的重要性后，如何準(zhǔn)確理解GDPR中各項(xiàng)制度的內(nèi)容，又有那些合理可行的合規(guī)途徑呢?
作者將嗣后撰文予以介紹。
注：感謝實(shí)習(xí)生黃宇哲為這篇文章做的支持工作。