淺說歐盟個人信息保護

楊瀟航

（斯旺西大學(xué)，英國 威爾士 SA1 3QS）

一、背景

隨著互聯(lián)網(wǎng)的日益發(fā)達(dá)，特別是從1990年開始，由于計算機的廣泛被使用，以及互聯(lián)網(wǎng)的出現(xiàn)，數(shù)據(jù)的收集、處理以及使用都發(fā)生了革命性的變化，這如同CATE所說的那樣：我們目睹了數(shù)字?jǐn)?shù)據(jù)的爆炸式增長。伴隨著這樣的改變，個人數(shù)據(jù)的收集也發(fā)生了根本性的變化，從以往的手動編寫、定期歸檔等繁瑣步驟，演變成了現(xiàn)在的電子收集和電子搜索。這樣的演變無疑給人們的生活帶來了巨大的便利，能使得人們的個人數(shù)據(jù)更廣泛和便利得到了流通，特別是在人才引進(jìn)和就業(yè)方面，招聘者能更加快捷檢索到符合自己公司所需要的人才。對于就業(yè)者來說，及時更新自己在網(wǎng)上的個人數(shù)據(jù)，也能更快地吸引招募者，使得畢業(yè)生在畢業(yè)后能更快就業(yè)，讓社會人才得到了充分的利用。甚至個人數(shù)據(jù)更能發(fā)揮在我們生活的方方面面，例如，在電子交易廣泛的現(xiàn)代社會，電商的廣泛出現(xiàn)，越來越多的人使用網(wǎng)絡(luò)購物，在這些購物網(wǎng)站上注冊賬戶，填寫自己的個人資料（包括實名注冊，地址和聯(lián)系電話），而電商平臺通過這些顧客購物或者搜索的愛好，給這些賬戶推薦相似或者相同的產(chǎn)品，以此在滿足客戶需求的同時，也使得自己的銷售最大化。

二、一般數(shù)據(jù)保護規(guī)則的出現(xiàn)和原則

伴隨著犯罪的發(fā)生，以及社會的需求，雖然在早些年里，歐盟的一些國家出現(xiàn)了屬于自己的法律來保護個人數(shù)據(jù)，例如在1998年英國就通過了DPA 1998，以及法國和愛爾蘭也制定了自己國家的數(shù)據(jù)保護法，隨后其他國家也紛紛效仿。這是一個很好的開始，但是問題也很明顯，因為歐盟地區(qū)擁有眾多國家，雖然看似是獨立的，但它們也是一個聯(lián)盟，不管是在交流、經(jīng)濟等方面都有密切的聯(lián)系，那么如果每個國家都擁有屬于自己獨立的個人數(shù)據(jù)保護法，當(dāng)國與國之間，因個人數(shù)據(jù)產(chǎn)生分歧的時候，就很難得到協(xié)調(diào)。所以之后出版了《2018 年一般數(shù)據(jù)保護規(guī)則》（GDPR），來規(guī)范歐盟地區(qū)，規(guī)范各個國家對個人數(shù)據(jù)的保護，實際情況是，GDPR是為了調(diào)整各組織在處理每個區(qū)域數(shù)據(jù)時，要求遵循GDPR的法律要求。雖然它不像20世紀(jì)70年代數(shù)據(jù)法得到了真正的革命，但是，它在規(guī)范歐盟各個國家的個人數(shù)據(jù)法上起到了關(guān)鍵的作用。［1］

關(guān)于GDPR的理解對于歐盟國家的影響，與其說它是一部完整的法條，不如說它更像是一種法條和指令，它在確定規(guī)則的同時也延續(xù)了原則，也就是說其他歐盟國家是允許制定自己國家的個人數(shù)據(jù)法的，但是必須遵循GDPR的指令標(biāo)準(zhǔn)。其他國家在制定自己的法律時，不能比它的最低標(biāo)準(zhǔn)還要低，例如第8條（1），關(guān)于兒童同意的條件中有著一定的說明，該條令指出，未滿16周歲的兒童，只有在獲得父母責(zé)任持有者的同意或授權(quán)時才合法。會員國可通過法律規(guī)定較低年齡，但此種較低年齡不得低于13歲。

對于GDPR來說，它有著幾個重要的原則，而這幾個原則也是對歐盟各個國家影響最深的，因為歐盟的國家想要立法，就必須遵循這些原則，因為原則是不能被打破的，同時原則就是最低標(biāo)準(zhǔn)的另外一種詮釋。它們位于第二章，也是第5條。關(guān)于對它們的理解，可以詳細(xì)了解到對于個人數(shù)據(jù)的收集，利用，保護以及后期的更新刪除的準(zhǔn)則。首先提出的就是，個人數(shù)據(jù)必須合法、公平和透明的方式處理，作為法律準(zhǔn)則的要求，最低的“門檻”應(yīng)該就是合法了。對于收集公民的個人資料應(yīng)該是采取的合法手段，詳細(xì)的合法性可以看到第6條的相關(guān)規(guī)定，而第6條總結(jié)性來說，個人數(shù)據(jù)的收集和處理，是為了給數(shù)據(jù)主題或者另外一個自然人帶來切身的利益，或者是為了執(zhí)行公共利益所必要的，但是這些利益和這些必要行為不能和自愿相沖突，也就是說，收集數(shù)據(jù)的手段必須是自愿性質(zhì)的，而不是通過職權(quán)進(jìn)行的一種強迫行為。并且，在收集這些數(shù)據(jù)的過程必須是透明的?？紤]到一些個人隱私數(shù)據(jù)的收集，例如性取向、宗教以及政治傾向等敏感問題時，需要滿足一定的條件時才能收集，否則是不合法的。［2］第二個原則在與目的的限制性，也就是說，當(dāng)控制機構(gòu)在向數(shù)據(jù)主體收集數(shù)據(jù)時，應(yīng)該詳細(xì)說明收集數(shù)據(jù)的目的，等同于說需要收集哪些數(shù)據(jù)。以及收集這些數(shù)據(jù)之后，后續(xù)的處理必須是合法的，同時也要符合之前所提到的目的。限制性原則基本上主要分以上兩點。也就是說，控制人員應(yīng)該將收集的數(shù)據(jù)在目的范圍內(nèi)使用，不能超出這個目的，不然就是不合法的。同時也不能誘導(dǎo)數(shù)據(jù)主體，在收集完數(shù)據(jù)之后用作和收集時完全不同的目的。

三、案例分析

在著名的案件Google Spain v AEPD and Mario Costeja González中，該案的裁決被稱為所謂的被遺忘的權(quán)利，盡管法院并沒明確指出該項權(quán)利，而使用歐盟基本權(quán)利憲章中的第七條和第八條進(jìn)行的取代。案件的事實是，1998年，西班牙在報紙上發(fā)布了兩個公告來吸引投標(biāo)人，設(shè)計社會保障債務(wù)而被迫出售的財產(chǎn)。但是直到2009年，Mario在GOOGLE搜索他的相關(guān)資料后，仍然可以搜索到當(dāng)時關(guān)于自己的相關(guān)數(shù)據(jù)，并且出售已經(jīng)在幾年前就完成，已經(jīng)不再適用了，所以在2010年2月，他與GOOGLE在西班牙的子公司聯(lián)系，要求刪除那些數(shù)據(jù)。子公司將該事件向在美國的總公司反映，之后Mario也向AEPD提出了申訴，AEPD的局長也呼吁GOOGLE刪除數(shù)據(jù)。但是GOOGLE提出了反訴，認(rèn)為首先是管轄范圍問題，自己不在歐盟地區(qū)，子公司不承擔(dān)責(zé)任，其次GOOGLE認(rèn)為自己只是第三方，不是數(shù)據(jù)控制者，并認(rèn)為當(dāng)事人（MARIO）無權(quán)要求合法出版的資料。但是最后法官認(rèn)為：Google Inc.和Google Spain應(yīng)該被視為一個單一的經(jīng)濟單位。允許數(shù)據(jù)主體請求刪除數(shù)據(jù)，即使信息不一定對數(shù)據(jù)主體有害。從該案中可以看到，MARIO在登記自己的數(shù)據(jù)的時候，根據(jù)的目的是很明確的，也就是作為投標(biāo)人進(jìn)行投標(biāo)，但是之后，出售已經(jīng)完成，也就是目的已經(jīng)完成，那么根據(jù)GDPR的原則存儲限制，在保留期屆滿后，有關(guān)的個人資料應(yīng)予刪除或銷毀，而刪除或銷毀的時間，似乎也能從該案件中出，Mario在出售之后就本應(yīng)該被刪除的數(shù)據(jù)，而在目的達(dá)成的幾年后依舊能在GOOGLE上搜索到，所以最后法官判定，數(shù)據(jù)主體有權(quán)要求刪除數(shù)據(jù)。該案例之所以在歐盟數(shù)據(jù)保護中這么出名，因為該裁決為公眾辯護提供了重要平臺，正如Julia Powles在（Guardian）的一篇文章中所表示的，在歐盟委員會即將頒布的GDPR中考慮了該指令的改革，而這項指令是為了給公眾辯護提供平臺。［3］

四、GDPR的影響

雖然新的GDPR為媒體公司，例如報社和新聞工作公司提供了相應(yīng)的保護，給予他們一定的豁免。但是，GOOGLE公司并不被歸類為媒體公司，所以不享受一定的優(yōu)惠待遇。歐盟法院的法官裁定，因為國際公司GOOGLE是數(shù)據(jù)的收集和處理者，所以它是符合GDPR中對數(shù)據(jù)控制者的定義的。因此，該案件中，歐盟法律要求數(shù)據(jù)控制者，也就是GOOGLE公司刪除不適當(dāng)、不相關(guān)或者過期的數(shù)據(jù)，在歐盟是具有很重要的影響的，同時在全球也是有一定的重要性的。

在德國，針對個人數(shù)據(jù)的保護，考慮到人格問題，為了保護已經(jīng)定罪的罪犯的人格，德語的維基百科將刪除這些兇手的名字。德國的網(wǎng)站不再能搜索到這些檔案，首席法官Gregory Galke說，“這不是一張空頭支票”，并指出已經(jīng)考慮到罪犯改過自新的情況。

五、小結(jié)

2018年正式實施的歐盟最新GDPR，不僅使歐盟數(shù)據(jù)對象的個人數(shù)據(jù)更安全、更快捷，而且對全球范圍產(chǎn)生了廣泛而深遠(yuǎn)的影響，為大數(shù)據(jù)隱私保護時代創(chuàng)造了一個新的基準(zhǔn)。