GDPR或成美欧谈判重要筹码

本篇文章2400字，读完约6分钟

也许你不知道什么是gdpr，但是你必须注意你的隐私。

长期以来，世界范围内的数据隐私立法仍处于探索阶段，欧盟是这一领域的先驱，其《通用数据保护条例》(gdpr)被互联网巨头们视为隐私立法的“革命”。

去年5月25日，欧盟正式发布gdpr，旨在保护欧盟公民的隐私和数据不被泄露，重塑欧洲互联网企业的隐私处理和数据保护方式。

现在，gdpr条例即将迎来颁布一周年，全世界都在关注它的实施效果。然而，到目前为止，用户、公司和监管机构的反馈似乎没有达到预期。

实施效果不好

如果你问一个欧洲人什么是gdpr，他可能无法回答。

但如果你提到“弹出隐私声明”，他肯定知道。因为互联网上到处都是“更新隐私政策”的通知，用户似乎只是盲目地点击“同意”，他们真的不知道如何正确使用gdpr来保护自己。

据cnbc报道，一些法人已经指出，这种同意方式不仅会导致人们的“同意疲劳”，还会给用户减少其保护隐私责任的错觉。

除了“同意疲劳”，gdpr还存在与企业利益冲突的问题。根据gdpr，拥有250名或更多员工处理敏感数据或犯罪记录的企业必须任命一名数据保护官员(dpo)。

作为“局外人”，dpo的职责是保护用户数据，而不是对企业的利润负责。此外，这种合规成本对企业来说也是一笔很大的支出，所以在gdpr的压力下，互联网公司日子不好过。

在监管方面，欧盟也存在“人力不足”和“罚款不足”的现象。

根据gdpr规定，企业应在发现隐私侵犯后72小时内向监管机构和受影响的个人报告，这比之前的报告时间要严格得多。不仅企业恐慌，监管当局也在着急。

去年，英国监管机构感受到了被报道淹没的感觉。根据英国委员会办公室的说法，“你提交了一份报告，而我们却淹没在报告中。”欧盟监管机构还发现，媒体上关于gdpr的谣言、误解和恐慌越来越多，员工根本无法处理。

不仅如此，就罚款而言，欧盟似乎也有些“心软”。根据gdpr规定，对于最严重的侵犯隐私行为，欧盟监管机构可以获得违规企业全球年收入的4%作为罚款，或者直接处以2000万欧元(约合2239万美元)的罚款，以较高者为准。

到目前为止，只有两起案例涉及巨额罚款:一是facebook和剑桥分析公司涉嫌滥用客户个人信息研究美国总统大选，被罚款64.5万美元；另一个原因是，今年1月，谷歌因使用用户数据进行广告定位而被罚款5700万美元，但这一金额远低于gdpr的最高罚款限额。对谷歌来说，如果该公司被罚款其全球收入的4%，将超过40亿美元。

数据保护不能绝对化

尽管欧盟隐私立法的精神值得肯定，但gdpr执行不力背后还有更深层次的原因。

《国际金融新闻》记者采访了上海交通大学合规研究中心副主任、法学院副教授、数据隐私法、网络安全法、国家安全法专家何媛。

在何媛看来，gdpr问题的关键在于“数据保护”和“数据流通”的关系没有处理好，欧盟现在采取的是被动的“同意模式”，导致很多企业的数据基本上不能共享。

“目前，欧盟采取这种绝对的做法，基本上限制了用户所有数据的流通。用户不仅不知道如何正确使用他们的电源，而且处理这种合规性的成本对于企业来说也非常高。”何远说道。

当被问及如何改进时，何媛说:“首先，用户应该有更多的‘选择权’，而不是‘控制权’。”如果用户喜欢“免费选项”，他们可以将数据出售给第三方使用。这种商业化也有利于科技公司的发展。此外，欧盟应该区别对待“个人信息”和“个人隐私”。与个人隐私相关的信息只是一小部分，大部分信息仍然可以使用。欧盟限制企业使用所有数据显然过于绝对。”

在区块链技术下，这个问题可能会得到解决。何远指出:“正如扎克伯格所说，将来有可能实现两个人在社交软件上的对话。只有双方和监管机构可以看到个人信息，企业不能看到，但仍然不能涉及隐私。在处理和利用这些数据以实现其商业价值的情况下，这项技术已经在研究之中。”

对于gdpr罚款不到位、监管机构缺人的问题，何媛表示:“事实上，这种侵犯隐私的案件取证需要很长时间，所以调试过程也比较慢。”此外，由于欧盟不是一个统一的国家，它很难对该地区的国家执行其政策。虽然各国都有自己的监管机构，但据我所知，欧盟的监管机构在这方面只有四五十名工作人员。”

在何源看来，这个问题的根源其实也可以追溯到欧盟对“数据流通”限制的绝对化。他告诉记者，“目前，欧盟直接限制数据的流通和共享，这仍然是一个误解。如果你采用‘事前通知，事后追究，重罚’的方法，对美国公司可能更有效，这样就不会过分影响业务的活力。”

欧洲正在酝酿“最严格的监管模式”

事实上，欧盟已经意识到自己在gdpr中的问题，并引入了后续指令，如“欧盟企业间数据共享报告”和“非个人数据自由流动框架条例”作为改进措施。

但是，在何源看来，欧盟不会对gdpr作出实质性的改变，因为gdpr存在的问题根本上是由其最初的“定位”造成的。

“除了保护公民的隐私权之外，欧盟还希望使gdpr成为‘最严格监督的典范’，以增强其在与美国的贸易谈判中的讨价还价能力。”从这个角度来看，gdpr不仅是一项法规，也是区域间经济竞争的“重要起点”。”何远告诉记者。

《经济学人》指出，在全球市值最高的20家科技公司中，美国有15家，而欧洲只有一家。何远认为，“正是因为美国有很多像facebook、Google这样的互联网公司，而欧洲又缺少这样的技术巨头，所以创造‘最严格的监管模式’对欧洲本土数字经济的威胁和影响并不大，欧盟已经利用了这一点。”

事实上，隐私监管确实已经成为欧盟与美国贸易谈判中的一个“重要筹码”。何源告诉记者，“由于欧盟将美国列入隐私保护不足的国家名单，无论是早期的“安全港”协议，还是后来的“隐私盾牌”协议，都使欧盟在谈判中占据优势。”

他还强调，“正是由于欧盟目前的形势和gdpr在谈判中的重要地位，gdpr短期内的改善仅限于‘小修小补’，不会有大的变化。”