從EDPS 2019年工作報告看歐盟數據保護

魏書音 孫舒揚 周千荷

2020年3月，歐洲數據保護專員公署（EDPS）發布2019年工作報告，總結了執法調查、政策咨詢、技術研發、國際合作等各項數據保護工作的進展情況。EDPS全面深入推進數據保護工作，通過采用將個人數據保護意識和文化融入歐盟社會經濟發展事務、實現數據保護與其他個人權益協調發展、引導國際議題和規則等方式，確保歐盟數據保護規則的有效實施和推廣。

EDPS數據保護工作經驗

（一）管理與服務并重，將個人數據保護意識和文化融入歐盟社會經濟發展事務。一是開展專項調查、審查評估、發布臨時禁令，及時發現并處置歐盟機構在個人數據安全相關事務處理、使用大型數據系統方面存在的問題，督促整改未經同意的第三方跟蹤等問題，探索個人數據保護的最佳實踐。其中，對歐盟機構使用微軟產品和服務的調查促成了海牙論壇的建立，推進研究創建標準合同，以拒絕大型IT服務提供商的格式條款，強化了歐盟機構對IT服務和產品的安全控制。

二是參與個人數據安全相關政策制定，提供咨詢和指導意見，幫助歐盟機構將個人數據安全、隱私權保護納入政策設計考量范圍，并實現融入立法。

三是鼓勵歐盟機構內部發展問責文化，確保各機構不僅遵守數據保護規則，還能證明其遵守行為規范;同時，還要認識到，即使是合法處理個人數據也可能導致侵犯個人權利，需審慎考量。

四是發布政策評估和執法監管工具，深入推進數據保護規則實施。比如，公布《個人數據保護比例原則指南》，幫助評估擬議中的歐盟政策是否符合《基本權利憲章》中關于隱私和個人數據基本權利的規定;發布關于控制器、處理器和聯合控制器概念的指南，澄清控制器、處理器和聯合控制人員范圍、義務分配和各自責任，幫助歐盟機構工作人員更好地理解其角色并遵守數據保護規則;建立新數據安全規則的多人協作寫作系統（Wiki），創建新法律注釋版本，鼓勵EDPS內部分享并向歐盟機構開放，確保以統一的方法監督和執行歐盟數據保護規則。

五是通過專項培訓、交流討論等方式，增強歐盟機構有關崗位人員的個人數據保護知識和意識，提高安全風險感知能力。

六是利用社會力量監督數據收集和使用行為。向社會發布網站證據收集器，為成員國數據保護機構、隱私專業人士、數據控制器和網站開發人員提供工具，收集個人數據處理的自動證據。

（二）深入合作，促進個人數據保護最佳實踐共享以及與其他執法監管業務的協調發展?？紤]到個人數據保護規則可能會影響消費者保護、邊境安全等其他執法監管業務的執行，EDPS在確保數據保護規則實施的同時，兼顧了其他安全和發展問題，與相關機構深入合作，用務實和平衡的態度處理沖突關系，促進各項安全規則的統一協調。

一是促進與消費者保護、競爭監管機構間的交流。統籌協調個人數據保護與其他個人權利保護的關系，解決監管規則間的沖突和矛盾，探索實現個人利益最大化的途徑。比如，2016年推出的數字清算中心，是由消費者保護、競爭和數據保護領域的監管機構自愿組成網絡，共享監管信息，并討論從個人利益出發執行規則的最佳實踐，促進歐盟基本權利規則能夠統一執行。

二是與歐盟各機構密切合作，深入評估歐盟擬出臺的政策、采用大規模信息技術數據庫是否符合歐盟個人數據保護標準。比如，歐洲旅行信息和授權系統將于2021年正式投入使用，勢必會增加進入歐盟境內的額外邊境檢查，可能涉及隱私問題。同時，數據處理操作還涉及控制器之間的數據交換，數據庫中的個人數據受不同數據保護框架監管，個人很難有效行使其數據保護權利。EDPS與邊境管理機構合作，通過系統設計將數據保護原則貫徹到數據庫設計開發中，以確保在整個開發過程中系統都內置數據保護機制，通過適當控制降低風險。比如，《布達佩斯網絡犯罪公約》中關于改進收集刑事案件電子證據的合作、促進執法部門與服務提供商直接跨境合作的內容，主張設定詳細保障措施，以確保落實目的限制等數據保護原則。對于跨境獲取電子證據的歐盟—美國協議，建議歐盟要求美國司法當局盡早參與收集電子證據的程序，審查對方提供證據的要求是否符合基本權利，并適時提出拒絕理由。

三是加強與成員國之間的監管協調，促進成員國在邊境安全、刑事案件處理等重點領域的數據安全監管交流。建立專門的監管協調小組，與成員國數據監管機構合作，確保兩級監管工作的一致性。2019年，又進一步組建了協調監督委員會，取代各個獨立監督協調小組，為歐盟大型IT系統提供統一監管模式。歐洲刑警組織的數據保護合作委員會分享數據安全監管信息和檢查結果，重點關注成員國向歐洲刑警組織發送的大型數據集、未成年犯罪嫌疑人的數據處理等。

四是建立交流平臺，促進數據安全議題的推進和最佳實踐的分享。與來自歐盟66個機構和辦公室的數據安全保護官每年進行兩次會面，與成員國數據保護機構召開歐洲數據保護案例處理研討會，分享調查監管經驗，確保數據保護規則的遵守;與歐洲刑警組織數據保護團隊召開雙月會議，提供非正式建議。

五是發展互聯網隱私工程網絡，促進監管機構、研究人員和開發人員的交流，開發隱私工程問題實用解決方案，力圖將隱私規則構建到數字工具中，促進和推進隱私工程的最新實踐。2019年的主要議題是，確定現存隱私工程的方法和最佳實踐并使其成為可共享和可用的工具，探索通過程序設計實現數據保護。

（三）積極引導國際議題和規則，推動歐盟數據保護規則成為國際主流。一是與國際合作伙伴合作，將數據保護納入國際協議主流，并確保在全球范圍內對個人數據保護的一致性。以觀察員身份參加歐洲理事會數據保護專家組，比如《關于個人資料自動處理的保護個人公約》協商委員會、經濟合作與發展組織數字經濟安全和隱私工作組，旨在確保高標準的數據保護，以及有關規則與歐盟數據保護標準的兼容性。舉辦2019年數據保護和隱私專員國際會議，與經濟合作與發展組織合作舉辦研討會，討論如何應對數據保護政策面臨的挑戰。

二是促進全球數字倫理討論。2018年在數據保護和隱私專員國際會議上，發起了一場關于數字倫理的全球辯論;2019年尋求確保數字領域道德辯論繼續向前推進，評估數據保護和隱私與在數字化世界中保留人類尊嚴的關系。

三是審查國際協議中有關數據安全規則的執行情況。參與審查隱私盾協議執行，主要關注政府為執法和國家安全目的而獲取歐盟個人數據的問題，以及歐盟公民可獲得的法律救濟，強調公司對于隱私盾原則的執行尤其數據傳輸缺乏監督。

（四）研究具體前沿問題，關注新技術、新應用給個人數據保護帶來的挑戰。一是通過設置特定議題聚焦性地解決實際問題。近年的關注點集中在人工智能、區塊鏈等新技術對數據安全的影響，比如確定工作場所監控和數字技術對環境的影響等特定主題，并以此為焦點推出一系列網絡研討會，每個網絡研討會都將集中在會議期間確定特定的關注領域，以便展開更細致深入的探討。

二是促進新技術安全有關信息的分享。專門針對數據安全官發布月度通訊，概述數據保護工作的重要發展，包括新EDPS指南、事件、歐洲案例法的更新等。推出專門出版物，提供新興技術信息，評估其對隱私和個人數據保護的影響，涉及智能音箱和虛擬助理、智能家庭中的智能電表和聯網汽車，2020年將關注語音助手、區塊鏈等新技術問題。

幾點啟示

（一）完善數據安全工作的組織領導機制。目前，我國對數據保護工作職能的劃分不夠清晰，多部門執法不僅浪費行政資源，而且加重了企業負擔，執法效果也不理想。為此，一是要設立或指定專門的國家數據安全保護機構，統籌協調各行業領域的數據安全工作，指導各行業領域統一實施數據安全法律法規，保護個人信息的相關權利。二是對各行業領域主要監管部門的數據安全保護工作進行監督檢查，發現問題及時督促改正;對涉及數據安全的新政策措施，主管部門應提交國家數據安全保護機構進行審查，并可向其咨詢相關爭議問題。

（二）加強數據安全執法能力建設。近兩年，中央網信辦、工業和信息化部、公安部加大了數據安全執法檢查，尤其是組織開展了個人信息保護專項治理，但由于目前執法工作范圍有限，還未能充分調動地方的執法力量，同時各部門執法標準不盡一致，致使執法震懾效應不足。為此，一是要廣泛開展數據安全執法，調動各級數據安全保護機構的積極性，加大執法檢查力度，提升威懾力。二是通過執法發現問題和矛盾，必要時通過聽證會等形式，促進社會各界進行充分辯論，使用“比例原則”等方法，有效平衡數據安全、個人信息權益和其他個人合法權益、社會經濟發展等利益關系，積累解決安全與發展問題的經驗和能力。三是統一執法標準，國家數據安全保護機構需及時出臺和更新執法檢查標準，確保各行業領域、各地方執法部門能夠采用相對統一的合規要求和執法程序，防止“同案不同判”。

（三）及時追蹤響應新技術、新業務發展中面臨的數據安全問題。近年來，歐美十分重視人工智能、區塊鏈等新技術帶來的安全問題，相關研究機構和企業積極進行研究和部署。為此，我國相關部門、機構應做好以下工作：一是要密切追蹤新技術、新應用的安全問題，設立固定研討機制，組織相關科研機構、從業者及時反饋最新的安全問題，研討最佳解決方案。二是積極與相關國際組織合作，搭建國際交流合作平臺，爭取在國際上形成廣泛共識，主導相關規則和標準的制定權和話語權。三是開展數據和個人信息保護試點示范工作，面向社會征集行業的優秀做法和案例，尤其是那些應對新技術、新業務帶來數據安全風險的最佳實踐，解決安全和發展沖突等問題，充分利用技術方案化解管理困境，形成社會示范效應。同時，還要大力推廣優秀方案、產品和服務，進一步促進數據安全產品和服務產業的健康發展。