歐盟與美國關于跨境個人數據保護研究

楊秋霞

摘 要：本文希望通過分析歐盟與美國關于跨境個人數據保護的法律，雙方簽訂的新舊協議涉及的個人數據保護的對比，為我國的跨境數據保護帶來一些啟示，為我國的跨境信息交換立法提供一個新的方向。

關鍵詞：跨境數據 個人 歐盟

一、歐盟與美國關于跨境個人數據的保護現狀

聯合國跨國公司中心對跨境數據流動的定義是，跨越國家對存儲在計算機中的機器可讀的數據進行處理、存儲和檢索。在互聯網和大數據產業時代下，我們在網站上注冊的資料，在商場隨手登記的電話號碼，在網絡上搜索的詞條等大部分數據都包含個人信息，促進了商家的獲利和消費者的需求。大數據時代開啟了一場尋寶游戲，而人們對于數據的看法以及對于由因果關系向相關關系轉化時釋放出來的潛在價值的態度，正是主宰這場游戲的關鍵。對于企業而言，利用大數據分析得出商機，能帶來更有針對性的創收。對于用戶而言，個人數據信息被暗地收集、濫用并盈利卻是令人惱怒。例如網上受人詬病的人肉搜索，利用網絡搜索詞條和登錄網站的頻率，可以找到個人的工作信息、愛好、健康情況等隱私信息。歐盟與美國作為世界上經濟昀發達的兩個經濟體，在將保護跨境個人數據安全納入法律保護范圍，兩國的立法一直走在前沿。

（一）美國

美國是典型的判例法系國家，采取分散式立法，在公共范疇內制定《信息自由法》和《隱私法案》限制政府等公權力對個人信息權利的侵犯；在金融、電信、醫療等行業領域的市場管理規則中針對不同情況規定了不同的個人信息保護條款。2014年發布《大數據：把握機遇，守護價值》，從政策調整、法律制定、法律解釋和技術革新幾個方面對大數據時代下完善公民個人數據保護提出了建議，試圖解決大數據利用與公民信息保護價值之間的沖突，以釋放大數據為經濟社會發展帶來的新動能。美國的跨境數據隱私保護策略主要靠有限的立法和行業自律，即網絡服務者的自我約束和行業協會的監督。美國是行業自律原則的倡導者，意在保證個人信息自由流動的基礎上，通過行業內部的規則和行業協會的監督來保護、完善個人數據安全，即屬于民間的網絡個人信息保護模式。

（二）歐盟

相對來說，歐盟的法律制定與美國迥然不同且要嚴格許多。歐盟以規范立法為主，將個人數據歸于基本人權。具有里程碑意義的是 1995年歐盟與歐洲議會制定通過《關于涉及個人數據處理的個人保護以及此類數據自由流動的指令》（簡稱為《歐盟數據保據護指令》），即歐盟信息數據保護框架的核心文件。同時該指令禁止歐盟成員國的某些消費數據信息流向任何沒有嚴格數據保護法律的國家，但這給該法的實施者在實施過程中產生了一定的分歧：“第一，許多《指令》條款有意無意地采用開放式條文形式，讓成員國立法、執法機關在實施過程中有較大的解釋空間；第二，《指令》未建立一個強有力的確保統一解釋的機制，雖在歐盟層面有歐盟委員會及 29條工作委員會可對《指令》進行解釋或負責執行事宜，但前者的權力僅限于成員國與第三國的之間數據流通事宜，而后者對《指令》的解釋并不具有強制執行效力，實踐中成員國數據保護機構也鮮有遵循。”

二、歐盟與美國達成的信息交換協議

（一）2000年“安全港協議”

由于美國采用的有限立法和行業自律的隱私保護政策沒有達到歐盟的“充分性保護”要求，給美國與歐盟之間的貿易與其他交流活動帶來了許多困擾。歐盟與美國找到了一種靈活的解決方式，即 2000年簽署的個人數據保護協議——安全港協議。安全港協議是指美國的企業以自愿的方式加入并承諾遵守美國與歐盟制定的個人隱私保護原則，歐盟認為這些企業符合歐盟法律標準的，可以從歐盟將個人數據轉移到這些企業，從而消除歐盟與美國間數據傳輸的障礙。安全港原則要求在進行網上數據傳輸時，先向歐盟安全港監督機構提出申請，經檢驗合格批準后方可與美國企業或者個人進行數據傳輸，對于違反安全港協議的將會受到嚴厲的制裁。但是由于一位澳大利亞的公民個人數據泄露案，歐盟法院宣布與安全港協議有關的“2000/520號歐盟決定”無效。

（二）2015年“傘形數據協議”

自 2011年起，雙方就在進行“傘形協議”的談判，意在保護調查過程中警方和司法當局之間，企業和執法部門之間的個人數據的交換。這類協議包括了航班旅客信息記錄，還有銀行數據的共享等。在長達四年的談判中，歐盟堅持歐洲公民與美國公民享有一樣的公正有效的司法補償措施，昀終雙方終于完成了傘形數據協議。協定為涵蓋歐美之間數據交換的所有領域提供法律保障，包括預防、發現、調查和起訴恐怖主義等刑事案件，特別給予了歐盟公民與美國公民享有同等的司法救濟權，即歐盟國家公民在發現其個人數據受到侵害時，能與美國公民有同等權利訴諸于法院。

（三）2016年“歐美隱私盾牌”

自安全港協議被廢除后，歐洲和美國的企業特別是依靠跨境數據轉移的行業處境艱難，如電子商務和信用卡交易無法共享消費者數據，互聯網公司無法向用戶準確推送廣告，等等。在市場與需求的推動下，歐盟與美國開始積極協商新的信息保護協定。2016年 2月歐洲委員會和美國達成新的跨大西洋數據流框架：歐盟美國隱私盾牌。根據這份新協定，傳輸到美國的必須是用于商業目的的個人數據，將會得到與在歐盟同樣的數據保護標準保護。美國政府部門承諾將嚴格履行協定中的要求，保證國家安全部門不會對這些個人數據采取任意監控或大規模監控措施。而歐盟委員會表示，歐美隱私盾牌滿足了歐洲法院裁定中的要求。與之前的協議相比，這份新協議突出以下三個重點：

1.

增強了企業義務和責任。安全港協議中加入協議的企業對于履行義務并不熱衷，且歐委會無權限制各成員國的監督機構，導致企業自覺性不夠。而在歐美隱私盾牌，美國公司有重大的責任和嚴格的執法行動去保護從歐洲轉移過來的公民個人數據：從歐洲輸入的個人數據，美國公司將必須保護好且使個人權利得到保障。商務部將監控這些公司自己發布的具備法律效力的承諾，聯邦委員會監控這些公司是否遵守歐洲數據處理局的決定。

2.

明確了美國政府的保障措施和透明度義務。這是第一次美國給出書面保證，美國已經排除了之前不分青紅皂白地對轉移到美國的個人數據進行監視，因公共當局執法和國家安全而獲取的數據會受到明顯的限制。美國國務院將設立一個新的監察使職位，以處理歐盟數據保護機構轉交的投訴及查詢。一旦美國代理商超出范圍訪問個人數據，該監察使將做出相應補救措施。協議規定每年將會有一個定期的聯合審查，歐洲委員會和美國商務部將實施此審查并邀請國際情報專家和歐洲數據保護當局進行評審。雙方還將制定一個替代性糾紛解決機制來化解爭端，并每年對協議進行聯合審查，定期反饋監管信息。這是美國首度承諾官方機構保護國家安全的行動將受到明確的監管機制所規限，體現出美國的“讓步”。

3.著重強調了數據主體的救濟機制。任何公民只要認為他們的數據已經被濫用，根據新的協定告知的救濟方案與路徑，公民可以對企業申訴，公司要在 45天的期限內對申訴做出答復。此外，公民將獲得免費的替代性糾紛解決方式。歐洲數據處理局可以委托商業部門和聯邦貿易委員會處理投訴，對于國家情報局可能存取的數據提出的投訴，將設立新的監察員處理。數據主體的個人數據保護救濟機制是該協定昀突出的功能，相對于“安全港協議”七原則和對于司法補償延而不決的“傘形協議”，歐洲公民第一次有明確、便捷的救濟路徑對傳輸其個人數據的美國企業提出投訴，提高了跨境個人數據流動糾紛解決的有效性。

三、對我國數據跨境流動規制的借鑒

數據的跨境流動已成星火燎原之勢，而我國對于跨境個人數據的保護還在起步階段，現有的法律法規無法跟上日新月異的數據跨境流動趨勢，給對外交流，貿易合作，技術革新等帶來了困擾。根據歐美兩國確立的個人數據跨境流動歷程，筆者對我國的跨境個人數據保護提出以下幾方面建議：

（一）明確可流動個人數據跨境和管理模式

對跨境個人數據進行分類規制，建立隱私等級。政府部門可將個人數據分級為禁止出境流動信息、限制流動信息和個人敏感信息，賦予數據主體選擇的權利，對不涉及國家安全和公共利益的個人數據，參考歐美隱私盾牌的隱私原則，采取數據主體實質同意模式，告知傳輸出境的對象、用途和存留時間，是否有權利撤回該個人數據，是否向第三方轉移，由數據主體自由選擇是否予以傳輸出境，有權利更正、補充、刪除其個人數據。

（二）完善相關跨境個人數據保護措施

可借鑒美國行業自律與歐盟以立法為主的個人數據保護模式，制定出系統的符合我國當下及未來跨境個人數據發展趨勢的法律法規。建立專門的數據保護機構、數據評估機構和獨立的監管部門，對我國離境個人數據進行安全評估及備份，實施本地化存儲；對傳輸至我國的境外個人數據，審慎地考慮其存留期限。建立糾紛救濟機制，明確糾紛處理單位與申訴途徑，有效提高跨境個人數據的安全性和隱私性。

（三）國與國、企業之間展開合作

增強各國數據與信息共享，促進互聯網時代下政府之間、企業之間的有效合作。我國可以根據雙方或多方合作的需要，與傳輸國和企業之間商量訂立個人數據使用與保護協議，細化個人數據跨境使用與保護規則，明確規定雙方責任義務和糾紛解決辦法，共同推動個人數據保護國際標準的形成。當事國可以針對特定情況制定有利于推動數據跨境流動的國際協議，以此協議為背景，推動當事國之間的經濟發展，同時便利當事國之間的數據安全執法。

參考文獻：

[1]楊磊.國外跨境數據流動管理對我國的啟示.[DB/OL]. http：//gb.cri.cn/42071/2015/07/23/6611s5041096.htm， 2015-07-23.

[2]（英）維克托 .邁爾.舍恩伯格.大數據時代[M]. 浙江人民出版社， 2012.

[3]蔡雄山，李思羽. 美國人眼中的大數據法律問題 [DB/OL].http：//www.tisi.org/Article/lists/id/4394.ht ml， 2016-01-15.

[4]呂艷濱. 論完善個人信息保護法制的幾個問題[J]. 當代法學， 2006（1）.

[5]桂暢旎. 美歐跨境數據傳輸《隱私盾協議》前瞻[J]. 中國信息安全， 2016（3）.

[6]王玥，王颯颯.對我國數據跨境流動規制的一點思考[J].中國信息安全， 2016（3）.