數(shù)據(jù)領(lǐng)域的《多德—弗蘭克法案》

路德維希·西格爾

洗耳恭聽(tīng)歐盟保護(hù)數(shù)據(jù)的嚴(yán)苛新規(guī)吧

還記得新世紀(jì)伊始險(xiǎn)些給全世界電腦釀成災(zāi)難的Y2K（也稱“千年蟲”）問(wèn)題嗎？人們預(yù)測(cè)，由于很多老式電腦的軟件用兩位數(shù)表示年份，2000年和1900年沒(méi)有分別，很多電腦可能于1999年12月31日午夜陷入崩潰。整個(gè)計(jì)算機(jī)行業(yè)都投入進(jìn)來(lái)應(yīng)對(duì)這一問(wèn)題（當(dāng)時(shí)《經(jīng)濟(jì)學(xué)人》甚至推出了一整期專題報(bào)道）。在那場(chǎng)事件中中招的電腦并不多，Y2K由此成為了一個(gè)代名詞，用來(lái)形容險(xiǎn)些釀成的災(zāi)難。

現(xiàn)在又來(lái)了一個(gè)讓全世界公司憂心忡忡、撓頭不已的縮略詞：GDPR（“一般數(shù)據(jù)保護(hù)管理規(guī)范”的縮寫），這是歐盟新推出的隱私保護(hù)法。人們擔(dān)心這一規(guī)范會(huì)使手機(jī)和處理個(gè)人信息復(fù)雜到讓人無(wú)法承受的地步。軟件開(kāi)發(fā)商、咨詢公司和其他相關(guān)方再一次紛紛求饒懇請(qǐng)歐盟高抬貴手。不過(guò)這次，狼可能真的要來(lái)了。無(wú)論喜歡與否，GDPR都要來(lái)了，這將是2018年（確切時(shí)間是5月25日）生效的最為重要的立法之一。

歐盟用了五年多的時(shí)間才走完錯(cuò)綜復(fù)雜的決策流程，讓28個(gè)成員國(guó)就GDPR達(dá)成共識(shí)，這一規(guī)范協(xié)調(diào)了歐盟各國(guó)的隱私保護(hù)法，修訂了1995年通過(guò)的數(shù)據(jù)保護(hù)法令。最終面世的成果和《多德-弗蘭克法案》不盡相同，后者是2010年美國(guó)國(guó)會(huì)通過(guò)的一個(gè)長(zhǎng)達(dá)2300頁(yè)的法律文件，目的在于監(jiān)管華爾街，避免再次發(fā)生金融危機(jī)。不過(guò)，按照布魯塞爾自由大學(xué)克里斯托弗·庫(kù)勒的說(shuō)法，長(zhǎng)達(dá)87頁(yè)、包含99個(gè)條款的GDPR仍然是“歐盟史上制定的最復(fù)雜的規(guī)范”。目前庫(kù)勒正在協(xié)調(diào)一個(gè)20人的數(shù)據(jù)保護(hù)專家組為該規(guī)范擬定解釋條例，內(nèi)容預(yù)計(jì)超過(guò)2000頁(yè)。

管理規(guī)范如此復(fù)雜是有原因的。個(gè)人數(shù)據(jù)比貨幣及金融產(chǎn)品的界定要難得多。有很多問(wèn)題需要解決。數(shù)據(jù)應(yīng)該如何收集？誰(shuí)有權(quán)訪問(wèn)？數(shù)據(jù)可以用于何種用途？最為重要的是，誰(shuí)對(duì)數(shù)據(jù)擁有最終的掌控權(quán)？

從理論上講，在歐洲這一問(wèn)題的答案一直很明確。隱私權(quán)被視為基本人權(quán)，一個(gè)人對(duì)于個(gè)人數(shù)據(jù)的所有權(quán)當(dāng)然也應(yīng)如此（在美國(guó)，情況還有待進(jìn)一步商榷）。然而從實(shí)踐上看，人們?cè)缇褪チ藢?duì)數(shù)據(jù)的控制權(quán)，尤其是對(duì)網(wǎng)絡(luò)數(shù)據(jù)的控制權(quán)。舉例來(lái)說(shuō)，要想使用大多數(shù)應(yīng)用，用戶必須同意繁冗的法律條款，這其中往往要求用戶讓渡大部分的隱私權(quán)。GDPR的核心理念就是幫個(gè)人用戶奪回對(duì)隱私的掌控權(quán)。

如今同意條款中收集使用個(gè)人數(shù)據(jù)的用途必須不存疑義、明確具體，也就是說(shuō)，“您的數(shù)據(jù)將被用于提升我們的服務(wù)”之類的萬(wàn)金油條款行不通了。用戶可以要求拷貝與自己相關(guān)的數(shù)據(jù)，或者（根據(jù)“可遺忘權(quán)”）要求刪除信息，抑或（根據(jù)“可轉(zhuǎn)移權(quán)”）把數(shù)據(jù)轉(zhuǎn)移到其他服務(wù)機(jī)構(gòu)。違反任何一條規(guī)定都將面臨重罰：最高2000萬(wàn)歐元（2400萬(wàn)美元），或全球年銷售額的4%，兩者取其金額更高的。

影響將波及全球

從跨國(guó)公司到慈善機(jī)構(gòu)的經(jīng)理們都將不得不殫精竭慮確保自己不觸碰GDPR紅線。尤其是小型公司對(duì)監(jiān)管帶來(lái)的壓力頗多微詞，有的甚至警告GDPR會(huì)導(dǎo)致其破產(chǎn)。大公司也稱這一立法會(huì)增加數(shù)據(jù)相關(guān)新技術(shù)的研發(fā)難度，使歐洲處于劣勢(shì)。兩者說(shuō)的都沒(méi)錯(cuò)。在倡導(dǎo)隱私保護(hù)的德國(guó)政要的大力推動(dòng)下， GDPR步子邁得確實(shí)太大，想要規(guī)范的東西太多。庫(kù)勒預(yù)測(cè)“規(guī)范實(shí)施的前幾年會(huì)一地雞毛”，出現(xiàn)一大波訴訟。更雪上加霜的是，歐盟還在醞釀推出新的針對(duì)在線服務(wù)的《e隱私管理規(guī)范》。

GDPR飽受爭(zhēng)議還有其他原因。原因之一是它的跨地域性。GDPR不僅會(huì)適用于歐盟，還將適用于處理歐盟公民個(gè)人信息的所有地域來(lái)源。有些人擔(dān)心這種數(shù)據(jù)保護(hù)的做法是逆時(shí)代而動(dòng)。在需要海量數(shù)據(jù)信息的人工智能時(shí)代，采集信息時(shí)通告用戶、使用信息前征得同意已經(jīng)不再具有可行性。非但如此，牛津大學(xué)的維克托·邁爾-舍恩伯格認(rèn)為，這會(huì)成為創(chuàng)新的障礙。他的觀點(diǎn)是，政府應(yīng)該做的不是管控?cái)?shù)據(jù)采集，而是將有損用戶使用信息的行為定為非法，比如針對(duì)特定數(shù)據(jù)類型的用戶提供歧視性服務(wù)。如果Y2K事件時(shí)人們僥幸逃過(guò)一劫，GDPR恐怕會(huì)釀成大禍。

（翻譯：付文慧，審譯：康娟）endprint