隱私政策在企業(yè)數(shù)據(jù)合規(guī)實(shí)踐中的功能定位

摘要：互聯(lián)網(wǎng)企業(yè)往往通過隱私政策傳達(dá)對消費(fèi)者數(shù)據(jù)隱私的尊重，但一來很少有人點(diǎn)開并完整地閱讀它，且面對給定的隱私政策無法討價(jià)還價(jià)，二來消費(fèi)者也難以判斷隱私政策的合規(guī)性如何，三來政府監(jiān)管機(jī)構(gòu)能否以及如何對隱私政策進(jìn)行執(zhí)法尚不清晰，使得隱私政策并未發(fā)揮它應(yīng)有的功能。實(shí)際上，隱私政策對內(nèi)是企業(yè)治理規(guī)范，是企業(yè)積極主動地?fù)肀щ[私、承擔(dān)社會責(zé)任的體現(xiàn)，對外則是溝通消費(fèi)者與企業(yè)數(shù)據(jù)處理行為的橋梁，是政府監(jiān)管的重要內(nèi)容。隱私政策文本不僅要體現(xiàn)法律遵從性，更要落實(shí)到企業(yè)數(shù)據(jù)合規(guī)實(shí)踐中，在企業(yè)、政府、行業(yè)與消費(fèi)者之間形成良性互動，搭建數(shù)字經(jīng)濟(jì)時(shí)代隱私保護(hù)的共同體。

關(guān)鍵詞：隱私政策;數(shù)據(jù)合規(guī);公司治理;社會責(zé)任

基金項(xiàng)目：河南省哲學(xué)社會科學(xué)規(guī)劃項(xiàng)目“大數(shù)據(jù)企業(yè)數(shù)據(jù)合規(guī)機(jī)制研究”（2020BFX005）;司法部國家法治與法學(xué)理論研究一般項(xiàng)目“個人數(shù)據(jù)的法律保護(hù)研究”（17SFB2005）

中圖分類號：D922.16 ? ?文獻(xiàn)標(biāo)識碼：A ? ?文章編號：1003-854X（2020）10-0136-09

數(shù)據(jù)合規(guī)對互聯(lián)網(wǎng)企業(yè)影響甚巨：一是關(guān)乎主動還是被動面對法律風(fēng)險(xiǎn)。事先主動采取措施避免數(shù)據(jù)合規(guī)問題，通常比應(yīng)對后續(xù)調(diào)查、負(fù)面輿論和訴訟風(fēng)險(xiǎn)低得多，且成本低廉;二是如果想成為行業(yè)領(lǐng)軍企業(yè)，那必須考慮對法律規(guī)定和商業(yè)需求做更全面的評估;三是在與政府職能部門關(guān)系方面，要考慮企業(yè)面對多大的政府執(zhí)法風(fēng)險(xiǎn);四是在不同法域，要考慮不同程度和不同模式的數(shù)據(jù)保護(hù)法律，如歐盟和美國之間的消費(fèi)者數(shù)據(jù)傳輸和共享。① 在數(shù)據(jù)合規(guī)實(shí)踐中，隱私政策是一項(xiàng)特殊的存在。隱私政策是互聯(lián)網(wǎng)企業(yè)向消費(fèi)者發(fā)布的關(guān)于個人信息收集、存儲、利用等行為的告知與解釋性聲明。除“隱私政策”外，“法律聲明及隱私政策”、“隱私保護(hù)指引”、“用戶服務(wù)協(xié)議及隱私保護(hù)政策”、“隱私權(quán)政策”、“個人信息保護(hù)政策”等皆代表相同涵義。隱私政策多以一個文本鏈接的形式存在，它像一把自帶免責(zé)屬性的尚方寶劍，為互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)合規(guī)保駕護(hù)航。早在1997年互聯(lián)網(wǎng)發(fā)展初期，時(shí)任美國總統(tǒng)的克林頓就批準(zhǔn)公布了《全球電子商務(wù)框架報(bào)告》，強(qiáng)調(diào)在保護(hù)互聯(lián)網(wǎng)隱私方面，私營企業(yè)應(yīng)當(dāng)起到主導(dǎo)作用。這既與美國保護(hù)消費(fèi)者隱私的模式交相呼應(yīng)，也深刻反映出法律的特色——徒法不足以自行。數(shù)據(jù)保護(hù)立法再完美，其實(shí)現(xiàn)也要落實(shí)到企業(yè)的數(shù)據(jù)合規(guī)實(shí)踐中，而這其中，隱私政策是重要一環(huán)。

一、隱私政策的屬性分析

我們常在互聯(lián)網(wǎng)企業(yè)網(wǎng)站或APP上發(fā)現(xiàn)“隱私政策”的鏈接。盡管少有人點(diǎn)開并完整的閱讀它，它卻在企業(yè)數(shù)據(jù)合規(guī)實(shí)踐中承擔(dān)越來越重要的角色，而這一“功能定位”要從其法律屬性談起。

（一）告知與社會承諾屬性

歐盟《一般數(shù)據(jù)保護(hù)條例》第5條第1款規(guī)定處理個人數(shù)據(jù)應(yīng)遵循合法、合理和透明三原則，如果說合法性和合理性尚能做到有“跡”可循，那透明性如何實(shí)現(xiàn)？答曰：以法定義務(wù)形式實(shí)現(xiàn)?；诰薮蟮闹R與資本鴻溝，數(shù)據(jù)主體不可能主動獲取詳細(xì)透明的企業(yè)數(shù)據(jù)處理行為，企業(yè)需承擔(dān)信息披露的法定義務(wù)。原因很簡單，“與買方占有相關(guān)信息的情況相比，當(dāng)賣方占有相關(guān)信息時(shí)，社會對信息披露義務(wù)的需求更強(qiáng)烈。”② 唯有讓公眾知情，消費(fèi)者才能放心地交由企業(yè)收集、處理其個人數(shù)據(jù)。不僅在歐洲，美國雖沒有統(tǒng)一的數(shù)據(jù)保護(hù)法，但聯(lián)邦貿(mào)易委員會卻創(chuàng)制規(guī)則，要求企業(yè)提供在消費(fèi)者看來有價(jià)值的信息，而不僅僅是禁止誤導(dǎo)性說明。這種規(guī)則被稱作“強(qiáng)制告知”，即使企業(yè)并沒有被指控為虛假說明，它們?nèi)杂锌赡鼙灰髨?zhí)行強(qiáng)制告知。③ 在此意義上，隱私政策正是企業(yè)收集、利用個人數(shù)據(jù)“告知”義務(wù)的體現(xiàn)。

當(dāng)然，告知并不僅僅是透明性原則的體現(xiàn)，它還與社會承諾相連。一方面，互聯(lián)網(wǎng)經(jīng)濟(jì)是信任經(jīng)濟(jì)。2012年，美國總統(tǒng)奧巴馬發(fā)表的《網(wǎng)絡(luò)環(huán)境下消費(fèi)者數(shù)據(jù)隱私保護(hù)》工作報(bào)告指出：“信任對于維持網(wǎng)絡(luò)技術(shù)給美國和世界其他國家?guī)淼纳鐣?jīng)濟(jì)效益至關(guān)重要。正是基于消費(fèi)者對互聯(lián)網(wǎng)企業(yè)公平和負(fù)責(zé)任地處理個人信息的信任，消費(fèi)者才選擇在互聯(lián)網(wǎng)上展示他們的活力、參與政治活動、建立和發(fā)展網(wǎng)絡(luò)友情和從事商業(yè)活動?！雹?企業(yè)只有獲取并維持市場上消費(fèi)者的信任，才能繼續(xù)在數(shù)字經(jīng)濟(jì)領(lǐng)域生存和發(fā)展。而經(jīng)由隱私政策完成的“告知”正是獲取消費(fèi)者“信任”的最佳途徑，同時(shí)，隱私政策也由“告知”形成“社會承諾”，因?yàn)橹挥谐兄Z，才能贏得社會信任。另一方面，隱私政策的社會承諾屬性還是企業(yè)社會責(zé)任的體現(xiàn)。社會責(zé)任是企業(yè)管理的一個基本要素，“企業(yè)管理者不像從前那樣僅僅代表所有者的單方利益;他們越來越多地基于受托人角色行使職能，……今天，每家公司的高層主管不僅對股東負(fù)責(zé)，還對企業(yè)成員、消費(fèi)者和公眾負(fù)責(zé)?！雹?當(dāng)越來越多的公眾關(guān)注其數(shù)據(jù)隱私時(shí)，企業(yè)就必須對此作出回應(yīng)，隱私政策也不再是純粹的閱讀文本，而是向功能文本轉(zhuǎn)變。換言之，隱私政策就是企業(yè)向消費(fèi)者作出保障其數(shù)據(jù)權(quán)利的社會承諾。即便消費(fèi)者不怎么閱讀隱私政策，隱私政策也成為監(jiān)管機(jī)構(gòu)、隱私權(quán)民權(quán)組織及社會媒體聚焦打量的重點(diǎn)。如果一個企業(yè)真心實(shí)意地遵守這些政策條款，那么可以得出結(jié)論：他們表現(xiàn)出了對公民隱私權(quán)的尊重。⑥

（二）服務(wù)協(xié)議屬性

隨著隱私政策由單純的“內(nèi)容介紹型”向復(fù)合的“告知承諾型”轉(zhuǎn)變，隱私政策的服務(wù)協(xié)議屬性日益被學(xué)者們認(rèn)可，國外如Scott Killingsworth認(rèn)為企業(yè)隱私政策是網(wǎng)站與用戶間的合同⑦，國內(nèi)如談詠梅等認(rèn)為隱私政策“是建立在雙方合意基礎(chǔ)上的協(xié)議，是網(wǎng)絡(luò)服務(wù)合同不可缺少的一部分”。⑧ 很多企業(yè)隱私政策文本上旗幟鮮明地表明了這一點(diǎn)，如《酷狗隱私政策》“本隱私政策為《酷狗用戶服務(wù)協(xié)議》的重要組成部分”，《58同城隱私政策》、《拼多多隱私權(quán)政策》證明文本中亦有相同或相似表述。司法實(shí)踐也基本認(rèn)可合同屬性，如“盧星與小米科技有限責(zé)任公司網(wǎng)絡(luò)購物合同糾紛”案中，法院就將小米隱私政策視為合同。⑨

這個判斷在總體方向上沒什么問題，但須注意以下四點(diǎn)：第一，隱私政策文本用語必須清晰直白、簡潔易懂，充斥著法律術(shù)語且晦澀難懂的隱私政策文本不能簡單認(rèn)定為服務(wù)協(xié)議。如2009年初，F(xiàn)acebook的律師團(tuán)隊(duì)對網(wǎng)站的保密條款做了他們認(rèn)為很細(xì)微的變動，這些文件充斥著大量法律術(shù)語，他們認(rèn)為用戶幾乎不會去認(rèn)真閱讀這些條款。但一些用戶還是注意到了這些修訂，并很快成立了一個“反對新服務(wù)條款者”的小組，成員達(dá)到12萬。扎克伯格被迫取消新版本，并保證以后在制定網(wǎng)站相關(guān)文件時(shí)使用大家都能理解的語言，確保條款反映出用戶的原則和價(jià)值⑩;第二，隱私政策不能泛泛而談、空洞無物，隱私政策至少應(yīng)當(dāng)闡明數(shù)據(jù)收集的種類與目的、數(shù)據(jù)利用的限制以及數(shù)據(jù)主體的各項(xiàng)權(quán)利，否則難以認(rèn)定其協(xié)議屬性。如美國在一起涉及航空公司非法共享乘客信息的案件中，對其隱私政策的合同屬性不予認(rèn)可，理由是過于寬泛的聲明并不構(gòu)成合同條款;第三，對隱私政策表示“理解”并“同意”的方式不同，也影響著隱私政策的合同屬性認(rèn)定。一般而言，網(wǎng)絡(luò)上表達(dá)同意的情形分兩種：點(diǎn)擊生效（明示）和瀏覽生效（默認(rèn)）。 前者經(jīng)由點(diǎn)擊“我同意”或“我接受”按鈕，而按鈕又在文本的最下方，往往需要滑動頁面，這個過程明確傳達(dá)了“知情同意”的味道。而后者無論在程序上還是在實(shí)質(zhì)上，都無法體現(xiàn)真正的“知情同意”，法院也會認(rèn)為隱私政策僅僅是一份聲明，而不具備協(xié)議屬性;第四，理想中的隱私政策與用戶服務(wù)協(xié)議并不沖突，但現(xiàn)實(shí)中有很多例外情形，如《小米商城隱私政策》就規(guī)定，“如果您同意了適用的用戶協(xié)議，并且此類用戶協(xié)議和本隱私政策之間存在不一致，將以此類用戶協(xié)議為準(zhǔn)”。還有一些巨型網(wǎng)絡(luò)公司如百度、騰訊，往往有一個總的隱私政策和各產(chǎn)品/服務(wù)的單行隱私政策，此時(shí)，各產(chǎn)品的隱私政策多優(yōu)先適用。當(dāng)然，企業(yè)對隱私政策和用戶協(xié)議效力大小的自行認(rèn)定并不一定就是最終結(jié)果，但從法理上講，“有利于數(shù)據(jù)主體保護(hù)的條款優(yōu)先”。

（三）公司治理規(guī)范

成熟的大型公司有一個特點(diǎn)，它們有能力擁有“政治和專門制定政策的機(jī)構(gòu)，使它們擺脫日常運(yùn)營中的真實(shí)難題，從足夠長遠(yuǎn)的角度看待問題，并考慮到組織與社會的關(guān)系?！?企業(yè)的隱私官員（或法律總顧問）必須參與到公司制定戰(zhàn)略決策的過程中去，如果沒有，那這個企業(yè)就是在自尋煩惱。沒有人會為隱私付費(fèi)，這曾經(jīng)是真的，但情況正在發(fā)生變化。2000年的一項(xiàng)研究發(fā)現(xiàn)，如果消費(fèi)者覺得自己的隱私受到了保護(hù)，他們每年會增加60億美元的互聯(lián)網(wǎng)消費(fèi)。 來自卡內(nèi)基·梅隆大學(xué)的研究結(jié)果也表明，隱私很可能成為數(shù)字時(shí)代企業(yè)的一項(xiàng)重要競爭優(yōu)勢：“與認(rèn)為消費(fèi)者不大可能為隱私付費(fèi)的常規(guī)觀點(diǎn)相反，消費(fèi)者可能會愿意支付額外費(fèi)用來保護(hù)隱私。我們的研究結(jié)果還表明，那些運(yùn)用技術(shù)手段展現(xiàn)其正面隱私政策態(tài)度的企業(yè)可能會由此獲得競爭優(yōu)勢。” 可見，消費(fèi)者面對日益嚴(yán)重的隱私危機(jī)，他們已經(jīng)做好準(zhǔn)備為隱私付費(fèi)。“棱鏡門”爆發(fā)后，原先名不見經(jīng)傳的網(wǎng)絡(luò)搜索引擎DuckDuckGo瞬間爆紅，搜索量增長達(dá)30%以上，其賣點(diǎn)正是“從不追蹤用戶”且“從不過濾信息”。雖然搜索結(jié)果針對性方面有所欠缺，卻贏得了諸多隱私敏感用戶的支持。

隱私政策對外是溝通消費(fèi)者信任與達(dá)成協(xié)議的橋梁，對內(nèi)則是公司治理的重要規(guī)范。首先，隱私政策是企業(yè)合規(guī)風(fēng)險(xiǎn)評估的重要指標(biāo)。“成功的隱私保護(hù)不是通過證明他人享有統(tǒng)治權(quán)和同意權(quán)來衡量的，而是在實(shí)際生活中預(yù)防實(shí)質(zhì)損害，例如，防止數(shù)據(jù)泄露，以讓人信賴的方式保護(hù)那些處于岌岌可危狀態(tài)的信息?！送猓朔N做法已經(jīng)將隱私從一個遵循法規(guī)的活動轉(zhuǎn)向風(fēng)險(xiǎn)評估的步驟，要求企業(yè)在做出有關(guān)產(chǎn)品設(shè)計(jì)、市場準(zhǔn)入和政策發(fā)展的決策時(shí)嵌入隱私。” 在網(wǎng)絡(luò)與數(shù)字經(jīng)濟(jì)情境中談隱私保護(hù)，必然要求企業(yè)擁有一個動態(tài)的、前瞻性的隱私展望：它不僅僅是法令和規(guī)章，而越來越成為企業(yè)發(fā)展風(fēng)險(xiǎn)管理實(shí)踐的一部分。其次，隱私政策督促企業(yè)自產(chǎn)品/服務(wù)設(shè)計(jì)之初就嵌入隱私。該理念最早由加拿大信息及隱私專員安·卡沃基安提出，并逐漸成為美國聯(lián)邦貿(mào)易委員會倡導(dǎo)的商業(yè)及政策制定框架的基礎(chǔ)。 企業(yè)層面的決策是避免隱私受到侵害的最佳途徑，就此而言，隱私保護(hù)是一段旅程而不是終點(diǎn)，隱私討論必須要從合規(guī)辦公室轉(zhuǎn)移至整個公司開發(fā)新產(chǎn)品和服務(wù)的過程中。 邁阿密大學(xué)邁克爾·弗魯姆金教授提出一個有趣的想法：要求政府和大數(shù)據(jù)依托企業(yè)仿照環(huán)境影響報(bào)告，擬定隱私影響條款。這既有助于告知公眾數(shù)據(jù)收集的內(nèi)容和原因、數(shù)據(jù)存儲和使用的方式，也會鼓勵決策者在任何項(xiàng)目開發(fā)的早期階段就考慮隱私的問題。 再次，隱私政策還可能是企業(yè)進(jìn)行數(shù)據(jù)跨境轉(zhuǎn)移、拓展國際業(yè)務(wù)的必備要件。2016年，歐美就個人數(shù)據(jù)跨境轉(zhuǎn)移達(dá)成“歐盟—美國隱私盾”協(xié)議，相比之前的安全港協(xié)議，其進(jìn)步之處在于企業(yè)需承擔(dān)更強(qiáng)義務(wù)。美國企業(yè)一旦提交加入隱私盾的申請和確認(rèn)書，就應(yīng)當(dāng)完全遵守其中的各項(xiàng)隱私原則，公開企業(yè)隱私政策，接受美國商務(wù)部、聯(lián)邦貿(mào)易委員會等有權(quán)部門的監(jiān)督和執(zhí)法。 可見，數(shù)據(jù)保護(hù)水平相對較低地區(qū)的大數(shù)據(jù)企業(yè)要想走出國門，離不開完善且合規(guī)的隱私政策。

（四）行業(yè)自律規(guī)范

從發(fā)展歷程看，市場對消費(fèi)者個人數(shù)據(jù)的態(tài)度呈現(xiàn)出一個由無視到尊重、由恣意到規(guī)制、由混亂到有序的過程，在這個過程中，行業(yè)自律占據(jù)重要地位。大數(shù)據(jù)時(shí)代，消費(fèi)者數(shù)據(jù)資源的挖掘與利用成為數(shù)據(jù)經(jīng)濟(jì)發(fā)展的“石油”，但這一過程不能以公民隱私為代價(jià)。面對法律越發(fā)嚴(yán)格限制的威脅時(shí)，各行業(yè)往往會承諾進(jìn)行自我監(jiān)管。原因有二：其一，市場的特殊地位。市場既是消費(fèi)者數(shù)據(jù)隱私的潛在威脅者，又是數(shù)據(jù)保護(hù)的前沿實(shí)踐者。早有學(xué)者指出：“非官方手段在保護(hù)個人隱私方面往往更加高效、敏感。這一點(diǎn)在保護(hù)隱私權(quán)的具體例子中已得到證實(shí)——通過科技手段、市場、行業(yè)自律、企業(yè)競爭以及個人判斷，人們可以獲得相當(dāng)周全的隱私權(quán)保護(hù)?！?其二，行業(yè)自律可降低企業(yè)生存與發(fā)展中的風(fēng)險(xiǎn)。企業(yè)決定自律可能會因?yàn)閾?dān)心消費(fèi)者的抵制，更可能是出于擔(dān)心政府的規(guī)制比自我約束更加繁重。美國聯(lián)邦貿(mào)易委員會曾于1998年公布了一個調(diào)查報(bào)告，認(rèn)為有必要進(jìn)行正式立法以確?；ヂ?lián)網(wǎng)隱私得到保護(hù)，并提出了立法構(gòu)想。但該意見遭到美國企業(yè)界的強(qiáng)烈反對，他們強(qiáng)調(diào)到2000年，美國制定隱私政策的網(wǎng)站已經(jīng)增加到90%，這說明情況比聯(lián)邦貿(mào)易委員會進(jìn)行調(diào)查時(shí)已得到極大的改善。當(dāng)然，企業(yè)界也深知網(wǎng)站自我規(guī)范的實(shí)現(xiàn)是一個問題，可行的辦法就是成立自律組織，對網(wǎng)站隱私政策進(jìn)行必要監(jiān)督。2008年，世界上一些主要的網(wǎng)絡(luò)公司簽署了《全球網(wǎng)絡(luò)倡議》，它要求簽署公司和其他組織“遵守并保護(hù)用戶對言論自由和隱私的權(quán)利”。 2012年，我國百度、奇虎360、騰訊等12家搜索引擎企業(yè)在北京簽署了《互聯(lián)網(wǎng)搜索引擎服務(wù)自律公約》，聲明搜索企業(yè)有義務(wù)保護(hù)用戶隱私和個人信息安全。

制定隱私規(guī)則是行業(yè)自律的主要措施，而這些規(guī)則又要求互聯(lián)網(wǎng)企業(yè)發(fā)布并遵守隱私政策。如美國直銷協(xié)會、在線隱私聯(lián)盟和網(wǎng)絡(luò)廣告促進(jìn)會等皆為其成員制定隱私規(guī)則或隱私指引，要求成員企業(yè)發(fā)布并遵守隱私政策。網(wǎng)站必須全面告知消費(fèi)者關(guān)于個人數(shù)據(jù)處理的行為，包括數(shù)據(jù)收集的種類、用途、存儲期限以及是否與第三方共享、轉(zhuǎn)移等等。對這些團(tuán)體而言，自律意味著有一個明確的隱私政策，并在企業(yè)進(jìn)行初次或二次三次個人數(shù)據(jù)處理時(shí)，給消費(fèi)者提供選擇性退出的機(jī)會。 通過對國內(nèi)一些互聯(lián)網(wǎng)企業(yè)隱私政策文本的閱讀發(fā)現(xiàn)，隱私政策與產(chǎn)品/服務(wù)、場景的結(jié)合越來越緊密，如在線購物類的隱私政策比較接近、社交交友類的隱私政策也相對趨同，這一方面表明隱私政策呈現(xiàn)類型化、個性化、定制化的趨勢，也表明自律規(guī)范正在潛移默化地影響著企業(yè)數(shù)據(jù)處理行為。

二、隱私政策是企業(yè)數(shù)據(jù)合規(guī)從文本到實(shí)踐的連接點(diǎn)

隱私之于信息經(jīng)濟(jì)，如同消費(fèi)者權(quán)益保護(hù)和環(huán)境問題之于20世紀(jì)的工業(yè)社會。 可見，隱私正是信息社會“木桶理論”中的那塊“短板”，互聯(lián)網(wǎng)經(jīng)濟(jì)的規(guī)模、效益，將最終取決于消費(fèi)者的隱私保護(hù)水平。那么，作為普通消費(fèi)者唯一能接觸到的隱私政策，在互聯(lián)網(wǎng)經(jīng)濟(jì)中又處于什么地位，或者說，承擔(dān)何種功能呢？

（一）數(shù)據(jù)隱私法要貫徹到隱私政策文本中

網(wǎng)絡(luò)環(huán)境下，法律和技術(shù)對消費(fèi)者數(shù)據(jù)保護(hù)都有著重要作用。但“與通過法律界定信息收集者與信息提供者權(quán)利義務(wù)關(guān)系的調(diào)整方式相比，在法律上強(qiáng)制性要求技術(shù)措施在設(shè)計(jì)上必須包含信息隱私保護(hù)的技術(shù)效果將是一個更直接、更有效的方法。”換句話說，法律塑造特定的隱私實(shí)踐，它們構(gòu)成了隱私方法的“起點(diǎn)”，或者是隱私三角形的“底邊”。關(guān)注消費(fèi)者隱私，首先應(yīng)關(guān)注隱私實(shí)踐的法律遵從性問題。如果將隱私政策視為一種具體隱私實(shí)踐的話，那首先要做的，就是將數(shù)據(jù)保護(hù)法中的義務(wù)性規(guī)范貫徹到隱私政策文本中。通過對美國和歐盟的互聯(lián)網(wǎng)經(jīng)濟(jì)政策和數(shù)據(jù)保護(hù)法進(jìn)行梳理，也能發(fā)現(xiàn)這個趨勢。

先看美國。2010年奧巴馬政府發(fā)布《總統(tǒng)的隱私藍(lán)圖》和《消費(fèi)者隱私權(quán)人權(quán)法案》，由商務(wù)部推動的互聯(lián)網(wǎng)政策任務(wù)組，負(fù)責(zé)協(xié)調(diào)各政府機(jī)構(gòu)，全面審查其描述的“在隱私政策、版權(quán)、全球自由信息流動、網(wǎng)絡(luò)安全和互聯(lián)網(wǎng)經(jīng)濟(jì)中的創(chuàng)新之間的關(guān)系”。 2011年《商業(yè)隱私權(quán)利法案》力圖“公平協(xié)調(diào)處理保護(hù)消費(fèi)者免遭未經(jīng)授權(quán)的跟蹤和允許企業(yè)機(jī)動靈活地提供新的服務(wù)和技術(shù)這二者之間的矛盾沖突。在該法案約束之下，公司必須依法對其收集和使用私人信息的途徑和方法做清晰表述，同時(shí)向消費(fèi)者提供選擇性拒絕任何未經(jīng)授權(quán)的信息收集行為之權(quán)限?！?2012年2月，奧巴馬又簽署白宮發(fā)布的工作報(bào)告《網(wǎng)絡(luò)環(huán)境下消費(fèi)者數(shù)據(jù)隱私保護(hù)》，介紹消費(fèi)者隱私權(quán)利法案七項(xiàng)原則的同時(shí)，敦促多方利益主體參與推動，盡快形成執(zhí)行細(xì)則。《兒童網(wǎng)絡(luò)隱私保護(hù)法》更進(jìn)一步，明確規(guī)定了面向家長的網(wǎng)站隱私聲明中必須具備的要素，其目的在于避免出現(xiàn)那種不容討價(jià)還價(jià)的隱私聲明和用戶同意。通過指出可接受的隱私聲明的主要框架，該法踏出了解決信息不對稱問題的第一步。 2018年美國《加州消費(fèi)者隱私法案》不僅規(guī)定企業(yè)在線收集加州消費(fèi)者數(shù)據(jù)前，必須先發(fā)布網(wǎng)站隱私聲明，而且詳列了企業(yè)應(yīng)當(dāng)主動披露的事項(xiàng)和應(yīng)消費(fèi)者要求應(yīng)當(dāng)披露的事項(xiàng)。

再看歐盟。《一般數(shù)據(jù)保護(hù)條例》兩個條款與企業(yè)隱私政策息息相關(guān)：第12條是基于數(shù)據(jù)處理的透明性原則，要求企業(yè)用“簡潔、透明、易懂和易于獲取”的書面形式，以清晰和直白的語言，向數(shù)據(jù)主體提供詳細(xì)的隱私通知，披露數(shù)據(jù)控制者的身份和聯(lián)系方式、數(shù)據(jù)保護(hù)官的聯(lián)系方式、數(shù)據(jù)處理目的、數(shù)據(jù)處理法律依據(jù)、數(shù)據(jù)控制者或第三方的正當(dāng)利益、數(shù)據(jù)接收者的類型、數(shù)據(jù)存儲期限、數(shù)據(jù)主體權(quán)利等;第47條則指向有約束力的公司規(guī)則，其性質(zhì)與公司隱私政策等同，可視為有效服務(wù)協(xié)議的組成部分。除明確賦予數(shù)據(jù)主體可執(zhí)行的數(shù)據(jù)權(quán)利外，有約束力的公司規(guī)則應(yīng)當(dāng)至少明確：企業(yè)集團(tuán)或其他經(jīng)濟(jì)主體及其聯(lián)系方式、有關(guān)數(shù)據(jù)轉(zhuǎn)移的規(guī)定、規(guī)則的法律約束效力、對一般數(shù)據(jù)保護(hù)原則的適用、責(zé)任承擔(dān)及免除情形、如何將公司規(guī)則提供給數(shù)據(jù)主體、數(shù)據(jù)保護(hù)官的任務(wù)、申訴程序、公司內(nèi)部如何實(shí)現(xiàn)對規(guī)則的遵守等等。

除互聯(lián)網(wǎng)經(jīng)濟(jì)政策和數(shù)據(jù)保護(hù)法試圖將其精神和義務(wù)性規(guī)范貫徹到企業(yè)隱私政策外，數(shù)據(jù)保護(hù)或執(zhí)法機(jī)構(gòu)也不斷推進(jìn)隱私政策的完善。如美國聯(lián)邦貿(mào)易委員會很早就根據(jù)反不正當(dāng)競爭法理論敦促企業(yè)發(fā)布網(wǎng)站隱私聲明，而如果企業(yè)未能遵守自身的通知、規(guī)程和聲明，在大多數(shù)情況下會因?yàn)檫`反包括反不正當(dāng)競爭法和侵權(quán)法（虛假陳述）在內(nèi)的多種法律而遭受處罰。 美國商務(wù)部也不甘落后，在1998年發(fā)布的《隱私權(quán)保護(hù)的有效自律規(guī)范》草案中，強(qiáng)調(diào)為保證自律規(guī)范的實(shí)施效果，監(jiān)管部門有權(quán)驗(yàn)證企業(yè)在實(shí)踐方面是否遵守隱私政策。如果企業(yè)不執(zhí)行隱私政策，則應(yīng)承擔(dān)相應(yīng)后果。 2010年又發(fā)布了題為“網(wǎng)絡(luò)經(jīng)濟(jì)中的商業(yè)數(shù)據(jù)隱私與創(chuàng)新：一個動態(tài)的政策框架”的隱私報(bào)告，該框架的可取之處包括：重構(gòu)“公平市場信息實(shí)踐原則”，行業(yè)隱私政策的標(biāo)準(zhǔn)化，成立直接與聯(lián)邦貿(mào)易委員會展開合作的隱私政策辦公室，……等等。

問題探討到這里，不禁要問：即使將對政策和法律的遵從性內(nèi)化進(jìn)企業(yè)的隱私政策中，隱私政策真的能發(fā)揮其規(guī)制企業(yè)數(shù)據(jù)處理行為的功效嗎？畢竟，幾乎沒有人有時(shí)間、精力或者決心瀏覽一遍各不相同的隱私政策。更尖刻的評論指出：“只有在臆想的世界中用戶才真正閱讀這些通知的內(nèi)容并在表明其同意之前真的理解其含義?！ㄖ屯庠诜?wù)者和用戶之間形成了一個不平等的有關(guān)隱私的談判平臺?！@是一種市場失效?！?的確，隱私政策在發(fā)揮其“告知與同意”的功能上效果大打折扣，但萬不可忘記，企業(yè)隱私政策還有其“規(guī)范”功能，還能因其承諾屬性和合同屬性成為監(jiān)管機(jī)構(gòu)的執(zhí)法對象——“除了法律可能具有的規(guī)定之外，它們還設(shè)定了商業(yè)使用數(shù)據(jù)的界限，根據(jù)消費(fèi)者保護(hù)法規(guī)確定了可實(shí)施的法律責(zé)任。它們對信息披露的要求可以迫使公司對它們的隱私實(shí)踐進(jìn)行評估，并在其對消費(fèi)者信息的處理中強(qiáng)調(diào)紀(jì)律?！?換言之，企業(yè)絕不會因發(fā)布隱私政策就自動獲得了數(shù)據(jù)處理的正當(dāng)性，這僅僅是一個開始，隱私政策也絕不是一份束之高閣的宣示性材料，而是企業(yè)數(shù)據(jù)合規(guī)從文本到實(shí)踐的連接點(diǎn)。

（二）隱私政策終要落實(shí)到企業(yè)隱私實(shí)踐中

“從設(shè)計(jì)著手隱私”理論“把隱私看作一個商業(yè)問題而不是依從性問題，達(dá)到隱私保護(hù)和承諾功能的雙贏”。 互聯(lián)網(wǎng)企業(yè)擁抱大數(shù)據(jù)時(shí)代的正確姿勢絕非眼中只有數(shù)據(jù)收集和挖掘利用，而是要把隱私看作默認(rèn)需求，主動而非被動地將隱私嵌入到產(chǎn)品/服務(wù)設(shè)計(jì)中，實(shí)現(xiàn)數(shù)字經(jīng)濟(jì)和隱私保護(hù)的正和博弈。而在此過程中，出臺并將隱私政策落實(shí)到企業(yè)隱私實(shí)踐中去是至關(guān)重要的一步。

1. 隱私官員職業(yè)化

隱私官員職業(yè)化是企業(yè)數(shù)據(jù)合規(guī)實(shí)踐的第一步，稱呼或職能部門設(shè)置上可能有所不同，有的直接由法務(wù)部或其他部門人員兼任。世界范圍內(nèi)，德國是首個引入數(shù)據(jù)保護(hù)官概念的國家，旨在通過企業(yè)自我任命的隱私保護(hù)者來推進(jìn)企業(yè)的自我監(jiān)督，從20世紀(jì)70年代起，企業(yè)就負(fù)有法定義務(wù)任命數(shù)據(jù)保護(hù)官。在國內(nèi)而言，360公司是國內(nèi)首家設(shè)置首席隱私官（CPO）的大型互聯(lián)網(wǎng)企業(yè)，CPO負(fù)責(zé)處理360軟件產(chǎn)品可能涉及到用戶個人信息的各項(xiàng)事務(wù)，包括規(guī)劃和制定公司的隱私政策、審核各產(chǎn)品的用戶使用協(xié)議、監(jiān)督各產(chǎn)品的工作原理和信息處理機(jī)制等。

歐盟《一般數(shù)據(jù)保護(hù)條例》第37條規(guī)定了數(shù)據(jù)控制者或處理者“應(yīng)當(dāng)”或“可以”委任數(shù)據(jù)保護(hù)官的情形，并在第38條規(guī)定了數(shù)據(jù)保護(hù)官的職位保障。隱私官員職業(yè)化的重要性在于，他們可以向不同的外部利益相關(guān)者傳輸消費(fèi)者隱私期待的力量，并且作為企業(yè)和外部利益相關(guān)者“最佳實(shí)踐方式”的聯(lián)系橋梁，這一點(diǎn)可以通過《一般數(shù)據(jù)保護(hù)條例》第39條“數(shù)據(jù)保護(hù)官的任務(wù)”體現(xiàn)出來。數(shù)據(jù)保護(hù)官不僅對企業(yè)數(shù)據(jù)處理行為進(jìn)行隱私風(fēng)險(xiǎn)評估、職員隱私保護(hù)意識和崗位培訓(xùn)、制定并監(jiān)督遵守隱私政策，還要與監(jiān)管機(jī)構(gòu)進(jìn)行合作，充當(dāng)監(jiān)管機(jī)構(gòu)的聯(lián)系人。可見，數(shù)據(jù)保護(hù)官職位雖為企業(yè)所設(shè)，其職責(zé)或者說利益指向并不是“一切為了企業(yè)”，而是充當(dāng)監(jiān)管機(jī)構(gòu)、企業(yè)以及消費(fèi)者三方的協(xié)調(diào)、聯(lián)絡(luò)角色。當(dāng)然，企業(yè)最初設(shè)立隱私官員的初衷是復(fù)雜的，有的是為了遵守法律，有的是為了樹立標(biāo)桿形象，但不管怎樣，“結(jié)構(gòu)決定功能”，“如果能夠從結(jié)構(gòu)上構(gòu)筑信息控制者積極主動作為的組織體系，就完全有可能改變其行為方式，使個人信息保護(hù)成為其內(nèi)生機(jī)制的一部分?！?隱私官員的職業(yè)化會逐漸釋放其“結(jié)構(gòu)性”紅利，隨著設(shè)置隱私官員的企業(yè)數(shù)量的增加，我們看到用戶隱私在企業(yè)的生存和發(fā)展中占據(jù)日益重要的地位。隱私官員也開始有了自己的組織，即國際隱私專家協(xié)會。

2. 隱私政策標(biāo)準(zhǔn)化和技術(shù)化

面對形形色色的各類企業(yè)隱私政策，有心人會思考有沒有“標(biāo)準(zhǔn)版”的隱私政策呢？如果有，那消費(fèi)者就不必?fù)?dān)心因無心看冗長的隱私政策而錯過了自己的最佳選擇。原因很簡單，“消費(fèi)者一般都?xì)g迎標(biāo)準(zhǔn)：他們不必面對本想選擇勝利者卻選擇了失敗者的風(fēng)險(xiǎn)。在單一的網(wǎng)絡(luò)或無縫互聯(lián)的網(wǎng)絡(luò)中，他們可以享受最大的網(wǎng)絡(luò)效應(yīng)?！?隱私政策是否可以標(biāo)準(zhǔn)化呢？答案是能也不能。說“不能”是因?yàn)榛ヂ?lián)網(wǎng)企業(yè)所提供的產(chǎn)品/服務(wù)千差萬別，所需收集和使用的數(shù)據(jù)類型也各有不同，自然做不到隱私政策的標(biāo)準(zhǔn)化;而說“能”則基于數(shù)據(jù)保護(hù)原則的同質(zhì)以及隱私政策文本結(jié)構(gòu)的趨同，這更多地體現(xiàn)為一個技術(shù)問題。

還有另外一種理解隱私政策標(biāo)準(zhǔn)化的思路，是與隱私政策貫徹落實(shí)的技術(shù)化聯(lián)系在一起的。原理如下：政府要求企業(yè)張貼隱私政策，但是，并不是每位用戶都會閱讀這些隱私政策，即使閱讀了，用戶又能記住多少企業(yè)的隱私政策呢？你能清楚地分辨提供不同產(chǎn)品/服務(wù)的企業(yè)所提供的隱私政策有何區(qū)別嗎？在這里，政府忽略了一件事，它沒有要求隱私政策應(yīng)當(dāng)為計(jì)算機(jī)所識別。而一旦隱私政策可以被計(jì)算機(jī)所識別，那發(fā)展P3P的前景就光明了。P3P（Platform of Privacy Preferences Project）又稱為隱私偏好平臺項(xiàng)目，由萬維網(wǎng)聯(lián)盟開發(fā)，能將用戶偏好與網(wǎng)站隱私政策進(jìn)行比對。P3P協(xié)議包括引導(dǎo)瀏覽器的規(guī)則，引導(dǎo)瀏覽器讀取和解析網(wǎng)站的隱私政策，同時(shí)，用戶的偏好將被嵌入瀏覽器，這樣，P3P只允許用戶在與其偏好一致的網(wǎng)站上提供個人數(shù)據(jù)。當(dāng)用戶進(jìn)入數(shù)據(jù)收集范圍超出其意愿提供的信息范圍的網(wǎng)站時(shí)，或進(jìn)入擁有讓用戶感到不適的隱私政策的網(wǎng)站時(shí)，瀏覽器將會向用戶提供警告。 換句話講，網(wǎng)站通過P3P協(xié)議提交一個請求，我們將其視為有約束力的要約。如果用戶接受了該要約，則合同成立。 可見，P3P最大的好處就是推動隱私政策的簡化和標(biāo)準(zhǔn)化，因?yàn)殡[私政策必須以機(jī)器可讀格式存儲，而不能用晦澀難懂的法律術(shù)語來表達(dá)。 當(dāng)然，P3P也不是萬能鑰匙，它無法保證隱私政策的執(zhí)行，也無權(quán)追查那些故意違背隱私政策的企業(yè)。但不管怎樣，P3P代表了一代試圖通過技術(shù)手段讓用戶披露自己個人信息的控制能力與網(wǎng)站隱私政策共生的努力，隨著P3P這樣的互聯(lián)網(wǎng)技術(shù)架構(gòu)進(jìn)一步成熟，更有可能在消費(fèi)者隱私保護(hù)和經(jīng)濟(jì)效率之間達(dá)致平衡。

3. 隱私政策問責(zé)制

當(dāng)前，整個數(shù)據(jù)保護(hù)法或者說隱私規(guī)范的重心正在轉(zhuǎn)向問責(zé)，“知情與同意”模式僅有助于數(shù)據(jù)初次收集的“合法化”，但數(shù)據(jù)資源的價(jià)值多體現(xiàn)在二級用途上。所以，我們需要設(shè)立一個不一樣的隱私保護(hù)模式，這個模式應(yīng)該更著重于數(shù)據(jù)使用者為其行為承擔(dān)責(zé)任，而不是將重心放在收集數(shù)據(jù)之初取得個人同意上。 再則，將責(zé)任從民眾轉(zhuǎn)移到數(shù)據(jù)控制者也存在充足的理由，因?yàn)閿?shù)據(jù)控制者比民眾更明白如何利用數(shù)據(jù)以及從中受益。

在企業(yè)數(shù)據(jù)合規(guī)的問責(zé)體系中，隱私政策地位凸顯。政府“懷疑”與“巡視”的目光常聚焦于企業(yè)隱私政策，企業(yè)數(shù)據(jù)處理行為的合規(guī)性論證也“求助”于隱私政策，消費(fèi)者數(shù)據(jù)安全與隱私保護(hù)的訴求也仰賴于隱私政策，如此，政府、企業(yè)與消費(fèi)者不約而同地將視線轉(zhuǎn)向隱私政策。以數(shù)據(jù)安全為例，之前企業(yè)可能不太會斥巨資、花大力氣來研發(fā)、改進(jìn)數(shù)據(jù)安全防護(hù)技術(shù)、認(rèn)證安全保護(hù)等級、制定安全事件應(yīng)急預(yù)案，但一旦讓企業(yè)為數(shù)據(jù)泄露負(fù)責(zé)，結(jié)果可能會向好的方向發(fā)展。企業(yè)在大規(guī)模信息泄露事件中固然是受害者，但絕不是無辜的受害者，真正無辜受害的是消費(fèi)者。2017年Uber數(shù)據(jù)泄露事件中，5000萬乘客的姓名、電郵和電話被盜;同年美國知名信用機(jī)構(gòu)Equifax遭到黑客攻擊，大約1.43億用戶敏感信息泄露;2018年Facebook發(fā)生數(shù)據(jù)泄露丑聞，超8700萬用戶信息外泄。一系列安全事件中，企業(yè)存在過錯（至少是重大過失）的情形比比皆是，比如Uber曾經(jīng)花10萬美元向黑客買封口費(fèi)，F(xiàn)acebook授權(quán)政治數(shù)據(jù)分析公司Cambridge Analytica收集用戶信息。2017年國內(nèi)暗網(wǎng)市場知名供應(yīng)商雙旗拋售10億條從中國互聯(lián)網(wǎng)巨頭盜取的大量數(shù)據(jù)（包括網(wǎng)易、騰訊控股、TOM集團(tuán)、新浪、搜狐公司等），有些數(shù)據(jù)是明文呈現(xiàn)，有些是很容易就能破解的MD5散列值?？梢?，企業(yè)并沒有重視數(shù)據(jù)安全保護(hù)，而這就是企業(yè)承擔(dān)責(zé)任的原罪。之前，大規(guī)模數(shù)據(jù)泄露所需要付出的代價(jià)，都由數(shù)據(jù)被泄露的人承擔(dān)了，在經(jīng)濟(jì)學(xué)上，這被稱為外在性（Externality）：某個決定的后果不由決策人承擔(dān)。外在性限制了公司提升自身安全性的動力。 現(xiàn)在，是時(shí)候通過提高數(shù)據(jù)泄露的成本，讓企業(yè)花費(fèi)更多力氣去保護(hù)消費(fèi)者的數(shù)據(jù)隱私了。

三、面向企業(yè)隱私政策的執(zhí)法

通過隱私政策實(shí)現(xiàn)數(shù)據(jù)合規(guī)離不開“面向企業(yè)隱私政策的執(zhí)法”，因?yàn)槭袌龅奶煨允侵鹄?，你不可能讓一個“利潤至上”的企業(yè)自縛手腳。

（一）對隱私政策進(jìn)行執(zhí)法的必要性

互聯(lián)網(wǎng)企業(yè)可能會引用“買者自負(fù)”原則，聲明用戶自愿簽署這種浮士德式交易。隱私政策文本中也存在諸多免責(zé)條款，如《酷狗隱私政策》7.5條就列明四種情形下酷狗不承擔(dān)任何責(zé)任。但問題在于，不管隱私政策文本中列明的免責(zé)條款合法性及合理性有多少，企業(yè)對自身處理消費(fèi)者個人數(shù)據(jù)的行為要負(fù)起責(zé)任來。換句話講，企業(yè)主一直強(qiáng)調(diào)的“知情同意”并不是所有數(shù)據(jù)處理行為的免責(zé)金牌。一直被詬病的用戶服務(wù)協(xié)議之“格式合同”屬性在消費(fèi)者與企業(yè)資源與能力上的巨大差異面前盡覽無疑。梅迪庫斯講過，“私法自治作為一種形式上的人人平等的自由，沒有顧及到實(shí)際上并非人人平等的事實(shí)。人與人之間在財(cái)產(chǎn)、體能和精神能力，在市場地位和掌握信息以及在其他許多方面，到處都存在著差異?！?人與人之間尚且如此，更何況人與企業(yè)。無論對隱私政策賦予何種屬性以規(guī)范企業(yè)的數(shù)據(jù)處理行為，消費(fèi)者點(diǎn)擊同意隱私政策的過程都是在一個雙方地位不對等的平臺上。

隱私已經(jīng)成為數(shù)字經(jīng)濟(jì)良性、健康發(fā)展的重大挑戰(zhàn)，隱私問題得不到解決，數(shù)字經(jīng)濟(jì)的高樓大廈終歸建基于砂礫之上。對隱私政策進(jìn)行執(zhí)法，是當(dāng)前可行的重要數(shù)據(jù)保護(hù)實(shí)踐路徑。一方面，數(shù)據(jù)（個人信息）保護(hù)法遲遲未能出臺，個人面對無處不在的數(shù)據(jù)收集與處理又無能為力，只有將希冀的目光轉(zhuǎn)向企業(yè)及其隱私政策。即使相關(guān)法律出臺，其最終落實(shí)還是要看企業(yè)的數(shù)據(jù)合規(guī)實(shí)踐。再者，有遠(yuǎn)見的企業(yè)高管也愿意將數(shù)據(jù)合規(guī)打造成品牌或榮譽(yù)，成為新的客戶增長點(diǎn)。在這其中，隱私政策作為溝通企業(yè)與消費(fèi)者的隱私橋梁，對雙方都有特別的意義。對消費(fèi)者而言，隱私政策是目前可見的、能接觸到的數(shù)據(jù)保護(hù)的最重要一根稻草，淳樸的消費(fèi)者認(rèn)為隱私政策體現(xiàn)出了企業(yè)對消費(fèi)者的尊重;對企業(yè)而言，隱私政策不僅是數(shù)據(jù)合規(guī)的需要，更是戰(zhàn)略發(fā)展的需要，消費(fèi)者所需即企業(yè)改進(jìn)的方向。另一方面，隱私政策公布后，企業(yè)會認(rèn)真遵循嗎？企業(yè)的天性是逐利，而消費(fèi)者數(shù)據(jù)將是決定未來誰能成為贏家的決定性因素，所以企業(yè)絕不會放過任何能獲取到的數(shù)據(jù)。事實(shí)也確實(shí)如此，斯坦福大學(xué)主持的一項(xiàng)研究發(fā)現(xiàn)，“在64家作為研究對象的擁有線上廣告業(yè)務(wù)的公司（包括谷歌、雅虎、美國在線和微軟）中，有一半在持續(xù)開展數(shù)字跟蹤活動，即便對象用戶已經(jīng)點(diǎn)選了不被跟蹤選項(xiàng)。因此，即使用戶已經(jīng)就隱私問題積極主動地采取了前攝性措施，也不代表那些收集者們針對用戶的信息收集行為就將被真正阻止?！?原因很簡單，單純依靠自由市場機(jī)制來扭轉(zhuǎn)隱私侵害的趨勢是不太可能的，“在控制掠奪性收集信息的問題上，信息商品交易的回報(bào)和營銷利潤太高，單純依靠市場的力量難以實(shí)現(xiàn)這種控制?！?所以，必須在自由市場之外，有強(qiáng)有力的政府監(jiān)管介入，以糾正當(dāng)前隱私保護(hù)市場的失靈。

萊斯格教授認(rèn)為，真正有效社會規(guī)范的前提條件是，“社會規(guī)范的實(shí)施群體必須包括那些被規(guī)制行為的成本負(fù)擔(dān)者。換句話說，建立社會規(guī)范進(jìn)行自我規(guī)制的行業(yè)并不承擔(dān)使用所獲信息的成本。成本——消費(fèi)者的隱私是由個體而非公司來承擔(dān)的，而消費(fèi)者并不是社會規(guī)范的制定者?！?斯皮內(nèi)洛也指出，企業(yè)間的“數(shù)據(jù)銷售或交換給數(shù)據(jù)主體強(qiáng)加了一個成本：出售他或她的信息導(dǎo)致隱私的喪失。這一成本不是由交易雙方來承擔(dān)，而是由數(shù)據(jù)主體不情愿地承擔(dān)了?！?如何改變這種默認(rèn)規(guī)則，讓企業(yè)真正擔(dān)負(fù)起數(shù)據(jù)處理行為的責(zé)任來，唯有依靠隱私政策從文本到實(shí)踐功能的轉(zhuǎn)變。隱私政策絕不是企業(yè)逃避合規(guī)義務(wù)的盾牌，而是企業(yè)承擔(dān)數(shù)據(jù)保護(hù)社會承諾、社會責(zé)任的體現(xiàn)，是消費(fèi)者尋求隱私保護(hù)的信賴規(guī)范，從而，隱私政策毫無疑問應(yīng)成為數(shù)據(jù)合規(guī)實(shí)踐中監(jiān)管機(jī)構(gòu)的重要執(zhí)法對象。

（二）對隱私政策進(jìn)行執(zhí)法的類型

對隱私政策進(jìn)行執(zhí)法的類型主要有兩種：一是對企業(yè)的數(shù)據(jù)處理行為是否符合企業(yè)發(fā)布的隱私政策進(jìn)行執(zhí)法;二是對企業(yè)發(fā)布的隱私政策是否合乎數(shù)據(jù)（隱私）保護(hù)法進(jìn)行執(zhí)法。

先看第一種。美國Toysmart公司是一家從事網(wǎng)上銷售幼教玩具的公司，其隱私政策曾承諾：“您可以放心，您的信息永遠(yuǎn)不會與第三方共享”。然而天有不測風(fēng)云，公司倒閉了。在破產(chǎn)清算程序中，Toysmart公司打算出售它的消費(fèi)者信息。該事件引發(fā)了隱私倡導(dǎo)者的強(qiáng)烈批評，美國聯(lián)邦貿(mào)易委員會也起訴該公司違背隱私承諾，是一種不公平、欺詐行為。 后來，Toysmart公司與聯(lián)邦貿(mào)易委員會達(dá)成和解協(xié)議：禁止Toysmart公司將消費(fèi)者個人信息作為資產(chǎn)單獨(dú)出售;Toysmart只能將公司與消費(fèi)者信息打包出售給有資格的買家;有資格的買家必須遵守Toysmart之前制定的隱私聲明，如果要改變信息收集和使用方式的話必須事先征求消費(fèi)者的明示同意。谷歌和Facebook也先后遭遇過類似的執(zhí)法。2010年2月，谷歌推出一項(xiàng)社交服務(wù)（Google Buzz），Buzz推出的當(dāng)天，Gmail用戶就收到郵件勸說他們使用新服務(wù)，并給予兩個選項(xiàng)“看看Buzz”和“不，去我的收件箱”。然而，即便選擇了后者的用戶仍然被納入了其社交網(wǎng)絡(luò)之中，選擇了“看看Buzz”的用戶也并未被明確告知：他們郵件中的常用聯(lián)系人名單將會默認(rèn)公開出現(xiàn)在Buzz社交網(wǎng)絡(luò)中。該服務(wù)引發(fā)了谷歌用戶的大量投訴，而當(dāng)時(shí)谷歌的隱私政策聲稱：“當(dāng)您使用一項(xiàng)需要注冊的服務(wù)時(shí)，我們會要求您提供個人信息。如果我們以不同于收集時(shí)的目的使用這些信息，我們會在使用之前征求您的同意”。Facebook也曾因未能遵守隱私政策而遭到聯(lián)邦貿(mào)易委員會的起訴，聯(lián)邦貿(mào)易委員會列舉了一些Facebook違背其隱私政策的事例，如Facebook曾更改網(wǎng)站設(shè)置，將原本設(shè)置為私人信息的內(nèi)容改為公開，卻未曾告知消費(fèi)者，也沒有事先獲得授權(quán)。對上述事件分析可見，美國聯(lián)邦貿(mào)易委員會執(zhí)法的依據(jù)正是互聯(lián)網(wǎng)企業(yè)自身發(fā)布的隱私政策。根據(jù)《聯(lián)邦貿(mào)易委員會法》第五條，聯(lián)邦貿(mào)易委員會有禁止不公平和欺詐性商業(yè)行為的職權(quán)，聯(lián)邦貿(mào)易委員會正是通過對該條的充分解釋和援引，對企業(yè)隱私政策進(jìn)行執(zhí)法。在具體案件中，“被認(rèn)為是具有誤導(dǎo)性或欺騙性的行為包括錯誤的口頭或書面表述，誤導(dǎo)性的報(bào)價(jià)，未經(jīng)充分披露而出售有風(fēng)險(xiǎn)或系統(tǒng)缺陷的產(chǎn)品，未披露傳銷信息，使用引誘和轉(zhuǎn)換的方法，未履行所承諾的服務(wù)，未實(shí)現(xiàn)擔(dān)保義務(wù)”，都被認(rèn)為是對第五條的違反。

再看第二種。如果將第一種視為企業(yè)遵循所承諾規(guī)范的話，那第二種就是對所遵循的規(guī)范的合法性進(jìn)行審查。歐美基于不同的數(shù)據(jù)保護(hù)模式，對這兩種執(zhí)法類型各有側(cè)重。美國以分散立法和行業(yè)自律為主的消費(fèi)者隱私保護(hù)模式更側(cè)重于第一種類型的執(zhí)法，因?yàn)閬碜酝瑯I(yè)成員和市場的巨大競爭壓力使得企業(yè)大多數(shù)情況下信守承諾;相比之下，采取統(tǒng)一立法模式的歐盟更側(cè)重于第二種執(zhí)法。如西班牙與法國的企業(yè)很大程度上將隱私職能作為遵守確定的法律命令，哪怕自己懷疑做不到也要嚴(yán)格執(zhí)行。 在此理念下，企業(yè)遵守隱私政策是企業(yè)數(shù)據(jù)合規(guī)實(shí)踐的應(yīng)有之意，而在此之前，隱私政策首先要合規(guī)。所以，面對谷歌2012年更新隱私政策，將60余種產(chǎn)品/服務(wù)的隱私政策打通之事件，歐盟和美國表現(xiàn)極為不同。美國聯(lián)邦貿(mào)易委員會不僅未對谷歌的新隱私政策作出處罰，加利福尼亞州的聯(lián)邦地方法院甚至在隱私組織EPIC對聯(lián)邦貿(mào)易委員會的不作為告上法庭的案件中作出裁決：雖然法院承認(rèn)谷歌改變隱私政策給消費(fèi)者隱私帶來的問題的嚴(yán)重性，但法院沒有權(quán)力強(qiáng)制聯(lián)邦貿(mào)易委員會進(jìn)行執(zhí)法。 但在歐洲，情況卻截然不同，西班牙、英國、德國、意大利、法國、荷蘭等國都對谷歌新隱私政策展開調(diào)查。據(jù)英國《衛(wèi)報(bào)》網(wǎng)站2013年12月20日報(bào)道，西班牙隱私監(jiān)察委員會對谷歌在未提前告知用戶、未給出合理理由、未取得用戶同意的前提下，將不同在線服務(wù)的隱私政策進(jìn)行整合從而獲取用戶個人信息的行為作出90萬歐元的處罰。據(jù)英國路透社2014年1月8日報(bào)道，法國國家信息自由委員會對谷歌罰款15萬歐元，其理由是：谷歌將60款隱私政策打通的行為，并未給用戶提供退出此方案的選項(xiàng)，并且谷歌也沒有向法國用戶充分告知個人數(shù)據(jù)被處理的情況，也未明確告知處理這些數(shù)據(jù)的目的。更嚴(yán)重的處罰發(fā)生在《一般數(shù)據(jù)保護(hù)條例》生效后的2019年1月21日，法國國家信息自由委員會向谷歌開出了5000萬歐元的罰款。其理由是：谷歌在兩個方面違反了《一般數(shù)據(jù)保護(hù)條例》，一是未滿足透明度和信息相關(guān)要求（數(shù)據(jù)最小化），二是沒有為其數(shù)據(jù)處理流程獲得法律依據(jù)。在涉及隱私政策部分，法國國家信息自由委員會指出，用戶許可不夠具體，因?yàn)楣雀枰蟊仨毻耆怆[私政策中的服務(wù)條款和數(shù)據(jù)處理?xiàng)l款，而非區(qū)分各種不同目的（如個性化廣告或語音識別等）來同意各項(xiàng)條款。

需要指出的是，歐盟與美國關(guān)于前述兩種類型的執(zhí)法側(cè)重只是相對而言，隨著數(shù)據(jù)國際傳輸和保護(hù)的趨勢增強(qiáng)，兩種執(zhí)法模式可能都會出現(xiàn)。比如歐盟與美國達(dá)成的隱私盾項(xiàng)目，美國商務(wù)部會審核申請加入該項(xiàng)目企業(yè)提交的加入申請和隱私聲明，包括隱私聲明是否與隱私盾原則相悖，歐洲數(shù)據(jù)保護(hù)機(jī)關(guān)可以要求企業(yè)履行合規(guī)義務(wù)，民事原告可以把企業(yè)告到法院。 盡管隱私盾協(xié)議已于2020年7月16日被歐盟法院認(rèn)定無效（用于保護(hù)數(shù)據(jù)隱私的標(biāo)準(zhǔn)格式條款仍合法），但相信在美國與歐盟開啟討論、籌備的新制度中，隱私政策仍是數(shù)據(jù)監(jiān)管的重要對象。從本質(zhì)上講，對企業(yè)隱私政策的執(zhí)法與數(shù)據(jù)（隱私）保護(hù)的政府監(jiān)管是一脈相承的，前者是后者的重要組成部分。在數(shù)據(jù)合規(guī)實(shí)踐中，我們必須對企業(yè)經(jīng)營有明確的態(tài)度，制定一套被廣泛接受的標(biāo)準(zhǔn)讓企業(yè)遵守，不能讓企業(yè)將自己視為自身社會責(zé)任的唯一裁決人。

注釋：

① 參見[美]狄樂達(dá)：《數(shù)據(jù)隱私法實(shí)務(wù)指南——以跨國公司合規(guī)為視角》，何廣越譯，法律出版社2018年版，第14—15、21、29頁。

② [美]斯蒂文·沙維爾：《法律經(jīng)濟(jì)分析的基礎(chǔ)理論》，趙海怡等譯，中國人民大學(xué)出版社2012年版，第302頁。

③ [美]理查德·A. 波斯納：《法律的經(jīng)濟(jì)分析》，蔣兆康譯，法律出版社2012年版，第546頁。

④ 周輝等：《網(wǎng)絡(luò)環(huán)境下消費(fèi)者數(shù)據(jù)的隱私保護(hù)——在全球數(shù)字經(jīng)濟(jì)背景下保護(hù)隱私和促進(jìn)創(chuàng)新的政策框架》，《網(wǎng)絡(luò)法律評論》2013年第1期。

⑤ [美]霍華德·R.鮑恩：《商人的社會責(zé)任》，肖紅軍等譯，經(jīng)濟(jì)管理出版社2015年版，第53、53頁。

⑥ [美]理查德·斯皮內(nèi)洛：《鐵籠，還是烏托邦——網(wǎng)絡(luò)空間的道德與法律》，李倫等譯，北京大學(xué)出版社2007年版，第148、145、145、145頁。

⑦ Scott Killingsworth， Minding Your Own Business： Privacy Policies in Principle and in Practice， Journal of Intellectual Property Law， 1999， 7（57）.

⑧ 談詠梅、錢小平：《我國網(wǎng)站隱私保護(hù)政策完善之建議》，《現(xiàn)代情報(bào)》2006年第1期。

⑨ 參見甘肅省天水市中級人民法院（2016）甘05民終第427號民事判決書。

⑩ [美]拉里·唐斯：《顛覆定律：指數(shù)級增長時(shí)代的新規(guī)則》，劉睿譯，浙江人民出版社2014年版，第18、101頁。

See Dyer v. Nw. Airlines Corps.， 334 F. Supp. 2d 1196， 1200 （D. N. D. 2004）.

See Deborah Davis Boykin， Survey of E-Contracting Cases： Browsewrap， Clickwrap， and Modified Clickwrap Agreements， Business Lawyer （ABA）， 2012， 257（68）.

高秦偉：《個人信息保護(hù)中的企業(yè)隱私政策及政府規(guī)制》，《法商研究》2019年第2期。

王融：《大數(shù)據(jù)時(shí)代：數(shù)據(jù)保護(hù)與流動規(guī)則》，人民郵電出版社2017年版，第73頁。

轉(zhuǎn)引自[美]布魯斯·施奈爾：《數(shù)據(jù)與監(jiān)控——信息安全的隱形之戰(zhàn)》，李先奇、黎秋玲譯，金城出版社2018年版，第187—188頁。

Janice Y. Tsai， Serge Egelamn， Lorrie Cranor， Alessandro Acquisti， the Effect of Online Privacy Information on Purchasing Behavior： An Experimental Study， Information Systems Research， 2011， 2（22）.

[美]肯尼斯·A.班貝格、迪爾德麗·K.穆麗根：《書本上的隱私和實(shí)踐中的隱私》，魏凌譯，載張民安主編《隱私權(quán)的性質(zhì)和功能》，中山大學(xué)出版社2018年版，第253、269頁。

See Stuart L. Pardau&Blake Edwards， The FTC，

the Unfairness Doctrine， and Privacy by Design： New Legal Frontiers in Cybersecurity， Journal of Business and Technology Law， 2017， 227（12）.

Michael Froomkin， Regulating Mass Surveillance As Privacy Pollution： Learning From Environmental Impact St-atements， University of Illinois Law Review， 2015， 1713.

參見中國信息通信研究院互聯(lián)網(wǎng)法律研究中心、騰信研究院法律研究中心：《網(wǎng)絡(luò)空間法治化的全球視野與中國實(shí)踐》，法律出版社2016年版，第279頁。

張民安：《公開他人私人事務(wù)的隱私侵權(quán)》，中山大學(xué)出版社2012年版，第527頁。

Quoted in James Gleick， Big Brother Is Us， New York Times， September 29， 1996.

Julie E. Cohen， DRM and Privacy， Berkeley Technology Law Journal， 2003， 609（18）.

轉(zhuǎn)引自[美]達(dá)爾·尼夫：《數(shù)字經(jīng)濟(jì)2.0：引爆大數(shù)據(jù)生態(tài)紅利》，大數(shù)據(jù)文摘翻譯組譯，中國人民大學(xué)出版社2018年版，第206頁。

Gautham Nagesh， Kerry and McCain Throw Their Weight Behind Privacy Bill of Rights， Hillicon Valley， April 12， 2011.

[美]保羅·M·施瓦茨：《網(wǎng)絡(luò)隱私權(quán)和國家》，廖嘉嫻譯，載張民安主編《公開他人私人事務(wù)的隱私侵權(quán)》，中山大學(xué)出版社2012年版，第506—508頁。

參見汪靖：《不被洞察的權(quán)利——互聯(lián)網(wǎng)精準(zhǔn)廣告與消費(fèi)者隱私保護(hù)研究》，復(fù)旦大學(xué)出版社2016年版，第143、19、175、185—186頁。

參見[美]特倫斯·克雷格等：《大數(shù)據(jù)與隱私——利益博弈者、監(jiān)管者和利益相關(guān)者》，趙亮、武青譯，東北大學(xué)出版社2016年版，第33、55—56頁。

參見吳偉光：《大數(shù)據(jù)技術(shù)下個人數(shù)據(jù)信息私權(quán)保護(hù)論批判》，《政治與法律》2016年第7期。

[美]馬克·羅滕伯格等主編：《無處安放的互聯(lián)網(wǎng)隱私》，苗淼譯，中國人民大學(xué)出版社2017年版，第170—171頁。

劉雅輝等：《大數(shù)據(jù)時(shí)代的個人隱私保護(hù)》，《計(jì)算機(jī)研究與發(fā)展》2015年第1期。

周漢華：《探索激勵相容的個人數(shù)據(jù)治理之道——中國個人信息保護(hù)法的立法方向》，《法學(xué)研究》2018年第2期。

[美]卡爾·夏皮羅、[美]哈爾·R.范里安：《信息規(guī)則：網(wǎng)絡(luò)經(jīng)濟(jì)的策略指導(dǎo)》，孟昭莉、牛露晴譯，中國人民大學(xué)出版社2017年版，第190頁。

Simpson， G.R.， the Battle Over Web Privacy， The Wall Street Journal， March 21， 2001.

William McGeveran， Programmed Privacy Promises： P3P and Web Privacy Law， New York University Law Review， 2001， 76.

[德]Christopher Kuner：《歐洲數(shù)據(jù)保護(hù)法——公司遵守與管制》，曠野、楊會永等譯，法律出版社2008年版，第42頁。

[英]維克托·邁爾—舍恩伯格、肯尼思·庫克耶：《大數(shù)據(jù)時(shí)代：生活、工作與思維的大變革》，盛楊燕、周濤譯，浙江人民出版社2013年版，第220頁。

[美]布魯斯·施奈爾：《數(shù)據(jù)與監(jiān)控——信息安全的隱形之戰(zhàn)》，李先奇、黎秋玲譯，金城出版社2018年版，第288頁。

[德]迪特爾·梅迪庫斯：《德國民法總論》，邵建東譯，法律出版社2013年版，第144頁。

Daniel. J. Solove & Woodrow Hartzog， The FTC and the New Common Law of Privacy， Columbia Law Review， 2014， 583（114）.

作者簡介：李延舜，河南大學(xué)法學(xué)院副教授，河南開封，475001。

（責(zé)任編輯 ?李 ?濤）