英國數(shù)據(jù)保護(hù)和數(shù)字信息法案及其啟示

徐德順

“脫歐”以來英國一直謀求修訂數(shù)字法案

英國數(shù)據(jù)保護(hù)法案由來。2017年英國出臺(tái)的《數(shù)據(jù)保護(hù)法案》（Data Protection Bill，DPB）脫胎于1998年的《數(shù)據(jù)保護(hù)法案》（Data Protection Act，DPA）。DPB法案旨在配合2018年歐盟實(shí)施的《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation，GDPR）。DPB法案加強(qiáng)了對(duì)個(gè)人數(shù)據(jù)的保護(hù)，增加了數(shù)據(jù)可攜帶權(quán)和被遺忘權(quán)的規(guī)定，強(qiáng)化了機(jī)構(gòu)對(duì)數(shù)據(jù)的保護(hù)責(zé)任，對(duì)數(shù)據(jù)實(shí)行嚴(yán)格的行政監(jiān)管，并增進(jìn)與刑事司法機(jī)構(gòu)之間的合作。GDPR被稱為歐盟有史以來最嚴(yán)格的數(shù)據(jù)保護(hù)法，而GDPR在英國的落地實(shí)踐被認(rèn)為存在流程繁瑣等問題。

英國謀求修改數(shù)字法案。2020年1月，英國正式“脫歐”，結(jié)束其47年的歐盟成員國身份，此后英國一直謀求修訂數(shù)字法案。2022年7月，英國《數(shù)據(jù)保護(hù)和數(shù)字信息法案》（The Data Protection and Digital Information Bill，DPDIB）在下議院被提出。2023年3月，DPDIB法案第一版被撤回，第二版被提出，預(yù)計(jì)不久將獲得通過。DPDIB法案有別于GDPR，旨在減輕企業(yè)負(fù)擔(dān)的同時(shí)，保持高數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)。同時(shí)，DPDIB試圖在與歐盟“脫離”和“穩(wěn)定”之間保持平衡，一方面抓住基于脫歐的“去監(jiān)管機(jī)會(huì)”，用“常識(shí)性”的英國替代規(guī)則取代歐盟的數(shù)據(jù)保護(hù)規(guī)則；另一方面，為了確保數(shù)據(jù)持續(xù)從歐盟流向英國企業(yè)，并避免英國失去歐盟“充分性認(rèn)定”（又稱白名單，指經(jīng)過歐盟認(rèn)定的對(duì)個(gè)人數(shù)據(jù)保護(hù)充分的國家、地區(qū)或國際組織，可以直接向其傳輸數(shù)據(jù)，不必采取進(jìn)一步的保護(hù)措施）時(shí)可能遭受的重大經(jīng)濟(jì)打擊，不得不維持當(dāng)前數(shù)據(jù)監(jiān)管框架的基本面。

修訂后的數(shù)字法案主要內(nèi)容

新修訂的DPDIB法案包括六部分。第一部分主要是界定數(shù)據(jù)保護(hù)內(nèi)容，具體包括：個(gè)體信息定義、資料保障原則、數(shù)據(jù)主體的權(quán)利、自動(dòng)決策、控制者和處理者的義務(wù)、個(gè)人數(shù)據(jù)的國際傳輸、為研究等目的進(jìn)行處理的保障措施、國家安全豁免、情報(bào)服務(wù)處理、信息專員的角色與執(zhí)法等。英國立法者希望企業(yè)、人工智能開發(fā)人員和個(gè)人更清楚地知道什么時(shí)候“必須適用于完全自動(dòng)化決策的重要保障措施”，以提高計(jì)算機(jī)算法做出決策的透明度和問責(zé)制。第二部分主要是明確數(shù)字驗(yàn)證服務(wù)，具體包括：數(shù)字視頻服務(wù)器（DVS）信任框架，DVS寄存器、信息網(wǎng)關(guān)、信任標(biāo)志等。第三部分主要是客戶和業(yè)務(wù)數(shù)據(jù)的處理權(quán)力與約束，包括要求客戶補(bǔ)充數(shù)據(jù)、執(zhí)行數(shù)據(jù)法規(guī)、限制調(diào)查權(quán)、經(jīng)濟(jì)處罰等。未來技術(shù)研發(fā)的數(shù)據(jù)處理可能被視為“科學(xué)研究”。第四部分主要是關(guān)于數(shù)字信息的隱私和電子通信規(guī)定、信托服務(wù)、信息共享、出生與死亡登記、健康和社會(huì)關(guān)懷的信息標(biāo)準(zhǔn)等。第五部分是有關(guān)監(jiān)督管理內(nèi)容，包括信息委員會(huì)的職能、對(duì)生物識(shí)別數(shù)據(jù)的監(jiān)督等。第六部分是最后條款，包括財(cái)政撥款、過渡條款、附表等。

DPDIB法案中修改條目多。英國致力保持?jǐn)?shù)據(jù)保護(hù)高標(biāo)準(zhǔn)，保護(hù)個(gè)人隱私繼續(xù)是優(yōu)先事項(xiàng)。DPDIB法案涵蓋了許多數(shù)據(jù)保護(hù)問題，從個(gè)人數(shù)據(jù)的定義到國際數(shù)據(jù)轉(zhuǎn)移、數(shù)據(jù)主體訪問請(qǐng)求、cookies和合法利益評(píng)估，這些改變是英國立法者基于GDPR和DPB的優(yōu)化。英國和歐盟制度之間的基本等同性對(duì)于英國脫歐后的商業(yè)連續(xù)性至關(guān)重要，歐盟在2021年6月作出有利于英國的“充分性”認(rèn)定，允許以對(duì)業(yè)務(wù)妨礙最少的方式將個(gè)人數(shù)據(jù)從歐盟合法轉(zhuǎn)移到英國。英國允許有限擴(kuò)大合法利益的理由用以處理個(gè)人數(shù)據(jù)，努力“減少”煩人的彈出窗口，以及對(duì)騷擾電話和短信的罰款更高，但這些修訂還不足以危及其在歐盟的充分性認(rèn)定。

修訂后的數(shù)字法案特色

加強(qiáng)信息專員辦公室（ICO）職能。ICO是英國現(xiàn)有的數(shù)據(jù)監(jiān)管機(jī)構(gòu)。ICO履行對(duì)數(shù)字信息的監(jiān)管和保護(hù)，以應(yīng)對(duì)不斷增長的數(shù)字化經(jīng)濟(jì)和數(shù)據(jù)安全風(fēng)險(xiǎn)，更好地保護(hù)公眾的數(shù)據(jù)隱私和數(shù)字信息安全。ICO與英國數(shù)字市場(chǎng)部、通信管理局、金融市場(chǎng)行為監(jiān)管局等重要監(jiān)管機(jī)構(gòu)協(xié)作分工，以全面保護(hù)消費(fèi)者和企業(yè)。允許企業(yè)拒絕回應(yīng)“無理取鬧或過分”的數(shù)據(jù)主體訪問請(qǐng)求，可能允許企業(yè)對(duì)此類請(qǐng)求收取費(fèi)用。企業(yè)違反《隱私和電子通信條例》將面臨更高的罰款。

減輕企業(yè)數(shù)據(jù)合規(guī)成本。貫徹?cái)?shù)據(jù)最小化原則，數(shù)據(jù)收集和處理盡可能最小化，即只收集和處理必要的數(shù)據(jù)。明確個(gè)人數(shù)據(jù)的訪問和控制權(quán)，鼓勵(lì)企業(yè)更好地管理和保護(hù)數(shù)據(jù)，減少相關(guān)違規(guī)行為所帶來的風(fēng)險(xiǎn)和成本。要求企業(yè)進(jìn)行風(fēng)險(xiǎn)評(píng)估和合規(guī)檢查，并記錄其數(shù)據(jù)保護(hù)措施和實(shí)踐。政府和監(jiān)管機(jī)構(gòu)將提供更多的支持和指導(dǎo)，幫助企業(yè)理解和遵守?cái)?shù)據(jù)保護(hù)法規(guī)。降低對(duì)英國企業(yè)“保存數(shù)據(jù)處理記錄”的要求。數(shù)據(jù)保護(hù)影響評(píng)估成為企業(yè)提前考慮風(fēng)險(xiǎn)的有用工具。為了減輕企業(yè)的負(fù)擔(dān)，取消了數(shù)據(jù)保護(hù)影響評(píng)估的一般要求，取而代之的是對(duì)高風(fēng)險(xiǎn)處理的評(píng)估要求，這體現(xiàn)了更靈活的、基于風(fēng)險(xiǎn)的做法。

完善國際數(shù)據(jù)傳輸機(jī)制。確保企業(yè)在遵守現(xiàn)行英國數(shù)據(jù)法律的前提下，使用其現(xiàn)有的國際數(shù)據(jù)傳輸機(jī)制將個(gè)人數(shù)據(jù)傳輸?shù)降谌龂?，以保障海外共享個(gè)人信息。幫助企業(yè)在英國和國際上負(fù)責(zé)任地使用數(shù)據(jù)，減少不確定性與風(fēng)險(xiǎn)。英國可能會(huì)尋求給予美國“充分性”的地位。

修訂后的數(shù)字法案影響及啟示

修訂后的DPDIB表達(dá)了英國的個(gè)性化訴求，對(duì)歐盟乃至世界數(shù)字規(guī)則體系都會(huì)產(chǎn)生一定影響。我國已經(jīng)形成了以《網(wǎng)絡(luò)安全法》（2017）、《電子商務(wù)法》（2018）、《數(shù)據(jù)安全法》（2021）、《個(gè)人信息保護(hù)法》（2021）等為主體的數(shù)字規(guī)則體系，也需要結(jié)合國內(nèi)外環(huán)境的變化對(duì)相關(guān)法律進(jìn)行修訂，以適應(yīng)公共信息使用、個(gè)人隱私保護(hù)、跨境數(shù)據(jù)流動(dòng)等新形勢(shì)發(fā)展的需要?？山梃bICO功能，完善我國國家數(shù)據(jù)局的監(jiān)管職能，同時(shí)研究制定降低企業(yè)數(shù)據(jù)合規(guī)成本。作為數(shù)字經(jīng)濟(jì)第二大經(jīng)濟(jì)體，積極申請(qǐng)加入《數(shù)字伙伴關(guān)系協(xié)定》（DEPA），對(duì)標(biāo)國際高標(biāo)準(zhǔn)，推動(dòng)數(shù)字領(lǐng)域制度型開放。