歐盟數(shù)據(jù)控制者的義務(wù)：源起、變遷及其緣由

1、PAGE 17 -歐盟數(shù)據(jù)控制者的義務(wù)：源起、變遷及其緣由隨著數(shù)據(jù)產(chǎn)業(yè)迅猛發(fā)展，灰色的數(shù)據(jù)鏈條也在形成。僅2022年360獵網(wǎng)平臺(tái)就收到網(wǎng)絡(luò)詐騙舉報(bào)20623例，涉及金額1.95億元，人均損失達(dá)9471元1。數(shù)據(jù)大量泄露和被盜的背后是控制數(shù)據(jù)的主體有意無意的疏忽，導(dǎo)致數(shù)據(jù)落入不法者手中。究其根本，是我國對(duì)數(shù)據(jù)控制者缺少義務(wù)規(guī)制，導(dǎo)致數(shù)據(jù)產(chǎn)業(yè)的野蠻生長，產(chǎn)生極高的市場(chǎng)負(fù)外部性。針對(duì)該問題，強(qiáng)調(diào)個(gè)人數(shù)據(jù)保護(hù)的歐洲在數(shù)十年間多次在立法中論及數(shù)據(jù)控制者，并對(duì)其義務(wù)進(jìn)行嚴(yán)格規(guī)制。其中，最具代表性且具有時(shí)間繼承順序的法律淵源是世界經(jīng)濟(jì)合作與發(fā)展組織(Organization for Economic Co

2、-operation and Development,OECD)、歐洲委員會(huì)以及歐盟的立法。本文挖掘以上三大法律淵源中數(shù)據(jù)控制者的源起及義務(wù)設(shè)定，總覽其變遷軌跡，歸納其變遷規(guī)律，以便于我國借鑒歐洲數(shù)據(jù)控制者義務(wù)保障體系。1 數(shù)據(jù)控制者的源起和發(fā)展政府出于管控需要，對(duì)國民的個(gè)人數(shù)據(jù)進(jìn)行統(tǒng)計(jì)，計(jì)算機(jī)自動(dòng)化技術(shù)滿足了這一需求，于是大規(guī)模的個(gè)人數(shù)據(jù)處理使政府成為數(shù)據(jù)控制者。信息網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)量的激增和新技術(shù)的運(yùn)用使數(shù)據(jù)商業(yè)化運(yùn)用成為可能，市場(chǎng)催生出大量新的數(shù)據(jù)控制者，其控制的數(shù)據(jù)體量遠(yuǎn)超政府。歐洲在立法上充分考量數(shù)據(jù)發(fā)展的現(xiàn)實(shí)，將掌控和決定數(shù)據(jù)這一核心要件作為判定數(shù)據(jù)控制者的主要標(biāo)準(zhǔn)之一。1.1 數(shù)

3、據(jù)控制者源起于計(jì)算機(jī)自動(dòng)化1960年代，歐洲開始通過計(jì)算機(jī)自動(dòng)處理技術(shù)積累個(gè)人數(shù)據(jù)，使個(gè)人數(shù)據(jù)的搜集速度和范圍發(fā)生質(zhì)變，政府成為名副其實(shí)的數(shù)據(jù)控制者。隨后，數(shù)據(jù)保護(hù)立法出現(xiàn)，德國黑森州于1970年頒布第一部數(shù)據(jù)保護(hù)法，該法第二部分“Datenschutzbeauftragter”(數(shù)據(jù)保護(hù)官員)詳述其地位、責(zé)任及義務(wù)，但其身份只能視為數(shù)據(jù)控制者的辦事人員，而非數(shù)據(jù)控制者本身。數(shù)據(jù)控制者真正在法律文本中得以確立，是OECD于1980年發(fā)布的隱私保護(hù)和個(gè)人數(shù)據(jù)跨境流通的指南(以下簡(jiǎn)稱1980指南)，其定義是“根據(jù)各國法律能夠決定個(gè)人數(shù)據(jù)內(nèi)容和用途的主體，無論該數(shù)據(jù)是由其本人還是由其代理人收集、存儲(chǔ)

4、、處理和傳播的”。至2022年，OECD頒布了修訂后的隱私保護(hù)和個(gè)人數(shù)據(jù)跨境流通的指南(以下簡(jiǎn)稱2022指南)，沿用了1980指南中數(shù)據(jù)控制者的定義。歐洲委員會(huì)與OECD在數(shù)據(jù)保護(hù)立法方面極具同步性，其1981年通過的個(gè)人數(shù)據(jù)自動(dòng)化處理中的個(gè)人保護(hù)公約(以下簡(jiǎn)稱108公約)，是計(jì)算機(jī)和信息化技術(shù)出現(xiàn)后第一部關(guān)于數(shù)據(jù)保護(hù)的國際公約。由于108公約使用“數(shù)據(jù)文檔”(data file)這一描述，所以相應(yīng)使用了“文檔控制者”(controller of the file)這一名詞，其定義是“有權(quán)依據(jù)國內(nèi)法決定自動(dòng)處理數(shù)據(jù)文檔的目的、應(yīng)被存儲(chǔ)的個(gè)人數(shù)據(jù)的類型和適用于這些個(gè)人數(shù)據(jù)的處理操作的自然人或法人

5、，公共機(jī)構(gòu)、代理機(jī)構(gòu)或其他機(jī)構(gòu)”。由于此時(shí)的數(shù)據(jù)控制者多是政府等公權(quán)力機(jī)構(gòu)，所以以上定義使用了“決定”“有權(quán)”等帶有權(quán)力意味的詞匯，同時(shí)強(qiáng)調(diào)“自動(dòng)處理”，明確僅適用于計(jì)算機(jī)自動(dòng)處理個(gè)人數(shù)據(jù)的情形，以區(qū)別于普通民事隱私侵權(quán)?？梢哉f，隨著計(jì)算機(jī)自動(dòng)化技術(shù)的出現(xiàn)，能夠掌控大規(guī)模數(shù)據(jù)的控制者才開始出現(xiàn)，其概念也得以初步確立。1.2 數(shù)據(jù)控制者在信息網(wǎng)絡(luò)環(huán)境的發(fā)展1980年代之后，信息網(wǎng)絡(luò)發(fā)展迅猛，數(shù)據(jù)生成量成幾何倍數(shù)增長，數(shù)據(jù)挖掘和分析技術(shù)的發(fā)展不斷突顯數(shù)據(jù)的商業(yè)價(jià)值。在市場(chǎng)驅(qū)動(dòng)下，數(shù)據(jù)控制者開始由公權(quán)力機(jī)關(guān)轉(zhuǎn)向私人企業(yè)和社會(huì)機(jī)構(gòu)，歐洲在立法上也出現(xiàn)新的變化。1995年10月24日，歐盟頒布有關(guān)個(gè)人數(shù)

6、據(jù)處理中的個(gè)人保護(hù)和所涉數(shù)據(jù)自由流通的第95/46/EC/號(hào)指令(以下簡(jiǎn)稱95指令)，將數(shù)據(jù)控制者定義為“單獨(dú)或者與他人共同確定個(gè)人數(shù)據(jù)處理的目的和手段的自然人或法人”。作為95指令的替代者，歐盟于2022年通過并于2022年實(shí)施的一般數(shù)據(jù)保護(hù)條例(以下簡(jiǎn)稱16條例)，并未對(duì)數(shù)據(jù)控制者的定義進(jìn)行修改。除95指令和16條例對(duì)數(shù)據(jù)控制者做出較為完善的定義外，2022年歐洲國家共同締約在108公約基礎(chǔ)上修訂的個(gè)人數(shù)據(jù)處理中的個(gè)人保護(hù)公約(以下簡(jiǎn)稱2022公約)，則將數(shù)據(jù)控制者定義為：“獨(dú)立或與其他人共同做出數(shù)據(jù)處理決定的自然人或法人、公共機(jī)構(gòu)、代表機(jī)構(gòu)或任何其他組織”。相較108公約，該定義去掉了“

7、自動(dòng)處理”的行為要件，增加了“共同”的意思聯(lián)絡(luò)要件。雖然其適用范圍排除“個(gè)人純粹從事私人或家庭活動(dòng)而進(jìn)行的數(shù)據(jù)處理行為”，但這一排他性的條款從側(cè)面表明，進(jìn)行非計(jì)算機(jī)自動(dòng)處理的主體也有可能是數(shù)據(jù)控制者。數(shù)據(jù)控制者的范圍得到擴(kuò)寬，同時(shí)可能為多個(gè)主體。以上立法表明，在信息網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)控制者的定義呈現(xiàn)出高度概括化趨勢(shì)，核心要件不再是數(shù)據(jù)的自動(dòng)處理，而是強(qiáng)調(diào)事實(shí)上掌控?cái)?shù)據(jù)的能力?？傊?，技術(shù)和市場(chǎng)的發(fā)展催生數(shù)據(jù)控制者形式的多樣化和復(fù)雜化，其范圍至少包含網(wǎng)絡(luò)平臺(tái)服務(wù)商、社交網(wǎng)絡(luò)服務(wù)商、電子商務(wù)服務(wù)商、網(wǎng)絡(luò)服務(wù)提供商及信息基礎(chǔ)設(shè)施服務(wù)商等。2 數(shù)據(jù)控制者義務(wù)類別數(shù)據(jù)控制者的義務(wù)規(guī)定主要源于前述三大法律淵源

8、，三者雖然立法主體、立法宗旨和背景、邏輯結(jié)構(gòu)各不相同，但仍可通過具體義務(wù)的橫向及縱向比較，歸納總結(jié)出數(shù)據(jù)控制者的12項(xiàng)主要義務(wù)類別，見表1。2.1 長期延續(xù)的義務(wù)數(shù)據(jù)安全、告知、更正和清除等三項(xiàng)義務(wù)從最早的法律淵源中延續(xù)至今，并在發(fā)展過程中得以加強(qiáng)和細(xì)化。其中，數(shù)據(jù)安全義務(wù)在2022公約16條例中被賦予“系統(tǒng)保護(hù)”(data protection by design)這一新理念，即在數(shù)據(jù)處理程序的設(shè)計(jì)階段就充分考慮數(shù)據(jù)保護(hù)問題，如嵌入匿名化機(jī)制和數(shù)據(jù)最小化機(jī)制，將數(shù)據(jù)安全的理念貫穿于整個(gè)數(shù)據(jù)處理活動(dòng)中。另外，提高告知義務(wù)的時(shí)效性，如16條例規(guī)定在搜集數(shù)據(jù)的同時(shí)應(yīng)當(dāng)告知數(shù)據(jù)主體相關(guān)信息。同時(shí)，告

9、知也成為其他多項(xiàng)義務(wù)的附隨義務(wù)，如進(jìn)行更正和清除操作后需告知數(shù)據(jù)主體。更正及清除義務(wù)在1980指南2022指南108公約2022公約95指令中均規(guī)定，要么在數(shù)據(jù)主體的異議成立時(shí)，要么在數(shù)據(jù)處理行為違反公約規(guī)定時(shí)，要么在數(shù)據(jù)不完整不準(zhǔn)確時(shí)，數(shù)據(jù)控制者才會(huì)更正或清除數(shù)據(jù)。而在16條例中，強(qiáng)化了更正和清除義務(wù)，即使數(shù)據(jù)處理行為符合法律規(guī)定，但其存在已經(jīng)失去必要的目的時(shí)，數(shù)據(jù)控制者同樣應(yīng)承擔(dān)清除義務(wù)。值得注意的是，在16條例出臺(tái)期間，歐洲經(jīng)歷了“岡薩雷斯訴谷歌被遺忘權(quán)案”，僅2022年Google就收到498737條鏈接的刪除要求，并成功移除其中的41.82?？梢?，清除義務(wù)已成為一項(xiàng)廣泛施行的基本義務(wù)

10、。2.2 后期立法增設(shè)并延續(xù)的義務(wù)報(bào)告、損毀通知、建立內(nèi)部機(jī)制(合作義務(wù))及建立風(fēng)險(xiǎn)評(píng)估機(jī)制(風(fēng)險(xiǎn)評(píng)估義務(wù))均是后來立法增設(shè)的義務(wù)。95指令后，歐盟對(duì)數(shù)據(jù)控制者施加更為嚴(yán)格的義務(wù)，如報(bào)告義務(wù)即是由于95指令之后的立法均要求設(shè)立數(shù)據(jù)監(jiān)管機(jī)構(gòu)，才增設(shè)的義務(wù)。該義務(wù)不僅要求數(shù)據(jù)控制者向監(jiān)管機(jī)構(gòu)披露其自身信息，也要證明其數(shù)據(jù)處理行為符合法律規(guī)定。報(bào)告義務(wù)進(jìn)一步衍生出損毀通知義務(wù)，該義務(wù)規(guī)定向監(jiān)管機(jī)構(gòu)報(bào)告是無條件的，而只有在數(shù)據(jù)損毀可能產(chǎn)生較高風(fēng)險(xiǎn)時(shí)才要求通知數(shù)據(jù)主體。合作義務(wù)和風(fēng)險(xiǎn)評(píng)估義務(wù)在2022公約2022指南16條例中均有所體現(xiàn)。合作義務(wù)在前兩者中的體現(xiàn)是，要求數(shù)據(jù)控制者建立內(nèi)部機(jī)制并與監(jiān)管機(jī)構(gòu)

11、合作，但未明確具體程序。16條例規(guī)定“數(shù)據(jù)控制者經(jīng)請(qǐng)求，應(yīng)當(dāng)與監(jiān)管機(jī)構(gòu)合作履行其職責(zé)”，如設(shè)立風(fēng)險(xiǎn)評(píng)估機(jī)制，當(dāng)評(píng)估結(jié)果顯示數(shù)據(jù)處理風(fēng)險(xiǎn)較高時(shí)，數(shù)據(jù)控制者應(yīng)當(dāng)咨詢監(jiān)管機(jī)構(gòu)并獲取建議，從而落實(shí)與監(jiān)管機(jī)構(gòu)的合作細(xì)則。增設(shè)的義務(wù)使得數(shù)據(jù)控制者義務(wù)范圍不斷擴(kuò)寬，形成廣泛而緊密的義務(wù)網(wǎng)絡(luò)。2.3 95指令16條例獨(dú)有的義務(wù)數(shù)據(jù)處理記錄、事先咨詢(預(yù)先審查)以及設(shè)置數(shù)據(jù)保護(hù)專員是95指令16條例中獨(dú)有的義務(wù)，限制處理則是16條例獨(dú)有的義務(wù)。95指令規(guī)定，數(shù)據(jù)處理操作記錄由監(jiān)管機(jī)構(gòu)保存，并向任何人公開查詢。這不僅加重了監(jiān)管機(jī)構(gòu)的負(fù)擔(dān)，也使得個(gè)人數(shù)據(jù)存在被第三方盜取的可能性。因此，16條例規(guī)定，由數(shù)據(jù)控制者保存

12、數(shù)據(jù)處理記錄，并應(yīng)監(jiān)管機(jī)構(gòu)要求而提供，不再向社會(huì)公開。95指令中，監(jiān)管機(jī)構(gòu)需要對(duì)特殊風(fēng)險(xiǎn)的數(shù)據(jù)處理行為進(jìn)行預(yù)先審查，但特殊風(fēng)險(xiǎn)并沒有確切的標(biāo)準(zhǔn)。而16條例并沒有采取預(yù)審的辦法，而是結(jié)合風(fēng)險(xiǎn)評(píng)估機(jī)制，當(dāng)評(píng)估結(jié)果顯示數(shù)據(jù)處理風(fēng)險(xiǎn)較高時(shí)，數(shù)據(jù)控制者才向監(jiān)管機(jī)構(gòu)咨詢。這兩項(xiàng)義務(wù)內(nèi)容的修改既明確了標(biāo)準(zhǔn)，也節(jié)約了成本，提升了效率。而數(shù)據(jù)保護(hù)專員則負(fù)責(zé)以上各類事項(xiàng)的具體落實(shí)，最終構(gòu)成以合作為前提，以評(píng)估為參考，進(jìn)而咨詢監(jiān)管機(jī)構(gòu)這一完整的義務(wù)體系?？梢哉f，這三項(xiàng)義務(wù)的創(chuàng)設(shè)，將數(shù)據(jù)控制者的各項(xiàng)義務(wù)有機(jī)結(jié)合，形成有序的義務(wù)規(guī)程。3 數(shù)據(jù)控制者的義務(wù)變遷路徑馬克思提出“沒有無義務(wù)的權(quán)利，也沒有無權(quán)利的義務(wù)”，說的是

13、一種價(jià)值判斷，而非事實(shí)判斷3?，F(xiàn)實(shí)中，權(quán)利與義務(wù)的聯(lián)系并不總是直接且一對(duì)一的4。無論是1980指南2022指南中大量的原則性規(guī)定，還是108公約2022公約中開始出現(xiàn)的具體義務(wù)規(guī)則，數(shù)據(jù)控制者的義務(wù)并非與數(shù)據(jù)主體的權(quán)利相對(duì)應(yīng)。直到出臺(tái)16條例時(shí)，才分設(shè)“數(shù)據(jù)主體的權(quán)利”和“數(shù)據(jù)控制者和處理者”兩個(gè)章節(jié)，構(gòu)建權(quán)利義務(wù)相對(duì)應(yīng)的立法體例。從立法的變化可看出，數(shù)據(jù)控制者的義務(wù)逐漸從原則性規(guī)定朝具體規(guī)則方向演進(jìn)。在具體規(guī)則的構(gòu)建中，又從數(shù)據(jù)主體的權(quán)利要求朝數(shù)據(jù)控制者具體義務(wù)承擔(dān)的方向逐步細(xì)化和發(fā)展?？傊瑪?shù)據(jù)控制者義務(wù)的立法變化逐步接近馬克思所說的理想狀態(tài)，體現(xiàn)出法律制定從實(shí)然到應(yīng)然的理性變遷過程。3.

14、1 原則性義務(wù)向規(guī)則性義務(wù)過渡法律的現(xiàn)實(shí)意義在于適用，規(guī)則天然優(yōu)先于原則適用。在變遷過程中，數(shù)據(jù)控制者的義務(wù)逐漸以具體規(guī)則的形式予以確定。1980指南并沒有明文規(guī)定數(shù)據(jù)控制者的義務(wù)，只是抽象出數(shù)據(jù)保護(hù)和使用的八項(xiàng)原則：收集限制、數(shù)據(jù)質(zhì)量、目的特定化、使用限制、安全保護(hù)、公開、個(gè)人參與以及責(zé)任原則。其中，“責(zé)任原則”是指“數(shù)據(jù)控制者將對(duì)是否有效實(shí)施上述所有原則承擔(dān)責(zé)任”，可見數(shù)據(jù)控制者將負(fù)責(zé)前述各項(xiàng)原則的具體落實(shí)。之后的108公約乃至95指令，吸收了1980指南的眾多原則，設(shè)置了相應(yīng)的義務(wù)規(guī)則，如限制處理義務(wù)源自使用限制原則，更正和清除義務(wù)、透明度義務(wù)源自個(gè)人參與原則，報(bào)告和通知義務(wù)源自公開原則

15、。2022指南在前述八項(xiàng)原則的基礎(chǔ)上增設(shè)“實(shí)施責(zé)任”，列明數(shù)據(jù)控制者的具體義務(wù)：一是實(shí)施隱私管理規(guī)劃制度的義務(wù)(包括建立內(nèi)部機(jī)制、建立風(fēng)險(xiǎn)評(píng)估機(jī)制等)；二是證明隱私管理規(guī)劃適當(dāng)?shù)牧x務(wù)；三是個(gè)人數(shù)據(jù)重大安全損毀事故告知(數(shù)據(jù)主體)和報(bào)告(監(jiān)管機(jī)構(gòu))的義務(wù)。2022公約雖然在第二章使用“數(shù)據(jù)保護(hù)基本原則”這一措辭，但其內(nèi)容大多是具體規(guī)則設(shè)置。16條例則不再強(qiáng)調(diào)原則性義務(wù)，而是直接進(jìn)行大量的規(guī)則性設(shè)計(jì)，并明確了操作流程以便施行?？梢?，后續(xù)的立法不僅僅局限于原則性義務(wù)的制定，更注重具體規(guī)則的構(gòu)建，從而有效地將原則精神引導(dǎo)和落實(shí)于具體規(guī)則之上。3.2 數(shù)據(jù)主體權(quán)利要求向數(shù)據(jù)控制者義務(wù)承擔(dān)過渡數(shù)據(jù)主體權(quán)利

16、需要數(shù)據(jù)控制者的義務(wù)來進(jìn)行保障，伴隨著規(guī)則性義務(wù)不斷增設(shè)，保障方式逐漸由權(quán)利指向朝著義務(wù)承擔(dān)的方向過渡。108公約2022公約均在第二章“數(shù)據(jù)保護(hù)基本原則”通過“數(shù)據(jù)安全”“數(shù)據(jù)主體的額外保障(權(quán)利)”兩個(gè)方面從側(cè)面規(guī)定數(shù)據(jù)控制者的義務(wù)規(guī)范。2022公約更進(jìn)一步，在上述兩方面以插入性條款直接列明數(shù)據(jù)控制者的義務(wù)，要求數(shù)據(jù)控制者建立內(nèi)部風(fēng)控管理和數(shù)據(jù)處理風(fēng)險(xiǎn)評(píng)估機(jī)制，但仍然沒有單獨(dú)章節(jié)對(duì)數(shù)據(jù)控制者義務(wù)進(jìn)行規(guī)制?？傊?，108公約2022公約主要以數(shù)據(jù)主體的權(quán)利為導(dǎo)向，指向數(shù)據(jù)控制者的義務(wù)承擔(dān)，如反對(duì)數(shù)據(jù)擅自處理權(quán)、數(shù)據(jù)知情權(quán)、數(shù)據(jù)更正清除權(quán)、獲得救濟(jì)權(quán)，分別對(duì)應(yīng)安全義務(wù)、告知義務(wù)、更正和清除義務(wù)、

17、賠償義務(wù)。95指令規(guī)定數(shù)據(jù)主體更正和清除數(shù)據(jù)的權(quán)利請(qǐng)求，此處的清除權(quán)僅具雛形，只有當(dāng)數(shù)據(jù)不完整或者不準(zhǔn)確時(shí)，數(shù)據(jù)主體才具備更正和清除的請(qǐng)求，同時(shí)沒有明確數(shù)據(jù)控制者對(duì)應(yīng)的義務(wù)，這都是當(dāng)時(shí)清除權(quán)并未能有效落實(shí)的原因。16條例規(guī)定“數(shù)據(jù)控制者有義務(wù)立即清除相關(guān)個(gè)人數(shù)據(jù)”，并直接以義務(wù)的形式對(duì)其進(jìn)行要求，從而形成完整的權(quán)利請(qǐng)求與義務(wù)對(duì)應(yīng)關(guān)系。16條例總體上通過單獨(dú)設(shè)置“數(shù)據(jù)主體的權(quán)利”“數(shù)據(jù)控制者和處理者”兩個(gè)章節(jié)，分別從“數(shù)據(jù)主體權(quán)利要求”“數(shù)據(jù)控制者義務(wù)承擔(dān)”兩方面對(duì)數(shù)據(jù)控制者的義務(wù)進(jìn)行詳細(xì)規(guī)定，真正以數(shù)據(jù)控制者為視角列明其所應(yīng)承擔(dān)的義務(wù)規(guī)范。相比之前的立法，數(shù)據(jù)控制者的義務(wù)得到強(qiáng)化，增設(shè)數(shù)據(jù)泄露

18、報(bào)告義務(wù)、系統(tǒng)默認(rèn)保護(hù)義務(wù)、數(shù)據(jù)影響評(píng)估義務(wù)及限制處理義務(wù)等?？梢哉f，16條例是迄今為止數(shù)據(jù)控制者義務(wù)不斷演進(jìn)中所達(dá)成最為完善的立法實(shí)踐，充分體現(xiàn)了從完全的數(shù)據(jù)主體權(quán)利導(dǎo)向，到由數(shù)據(jù)主體權(quán)利要求為輔，數(shù)據(jù)控制者義務(wù)承擔(dān)為主的立法過渡。4 數(shù)據(jù)控制者義務(wù)變遷的特點(diǎn)4.1 義務(wù)種類隨時(shí)間變化逐漸增多數(shù)據(jù)控制者的義務(wù)種類隨年代變化而變化。年代越久遠(yuǎn)的法律文本，規(guī)定的義務(wù)種類越少；年代越近的法律文本，規(guī)定的義務(wù)種類越多。1980指南108公約只規(guī)定3項(xiàng)義務(wù)種類；95指令增加至7項(xiàng)，2022公約2022指南保持該數(shù)量；16條例則達(dá)到12項(xiàng)，逐步增加的有數(shù)據(jù)處理記錄、事先咨詢(預(yù)先審查)、設(shè)置數(shù)據(jù)保護(hù)專員

19、、報(bào)告(監(jiān)管機(jī)構(gòu))、透明度、風(fēng)險(xiǎn)評(píng)估、合作、損毀通知、限制處理等義務(wù)。數(shù)據(jù)控制者的不同義務(wù)間，呈現(xiàn)出互相縱橫交錯(cuò)的趨勢(shì)，這與逐年增設(shè)的義務(wù)種類緊密相關(guān)。4.2 核心義務(wù)得以繼承并強(qiáng)化最早立法所確立的數(shù)據(jù)安全、告知、更正和清除這三項(xiàng)義務(wù)在之后的立法中不斷強(qiáng)化，成為數(shù)據(jù)控制者的核心義務(wù)。數(shù)據(jù)安全義務(wù)在新技術(shù)背景下得到增強(qiáng)和細(xì)化，強(qiáng)調(diào)“系統(tǒng)保護(hù)”策略，通過法律和技術(shù)兩個(gè)層面來確保數(shù)據(jù)安全；告知義務(wù)的要求也在提升，明確告知的時(shí)限、范圍及內(nèi)容，除獲取數(shù)據(jù)時(shí)需向數(shù)據(jù)主體告知數(shù)據(jù)控制者的身份信息、聯(lián)系方式和處理目的，還需在每一項(xiàng)數(shù)據(jù)處理過程中(如限制處理、更正及清除的情況下)告知數(shù)據(jù)主體相應(yīng)信息，最大限度地

20、確保數(shù)據(jù)處理的透明度，形成了完整的告知體系；更正和清除義務(wù)則去除了附加條件，便于數(shù)據(jù)主體決定自身數(shù)據(jù)的存留與否，數(shù)據(jù)控制者的數(shù)據(jù)處理行為已經(jīng)開始充分尊重?cái)?shù)據(jù)主體的意志。4.3 義務(wù)體系具有同一淵源性1980指南是最早對(duì)數(shù)據(jù)控制者義務(wù)進(jìn)行規(guī)范的法律淵源，數(shù)據(jù)控制者的多項(xiàng)義務(wù)都能夠在其規(guī)定的原則中得到印證，呈現(xiàn)出義務(wù)規(guī)范法律淵源的高度一致性。例如，透明度義務(wù)源于其中的“公開原則”，要求數(shù)據(jù)控制者在收集和處理數(shù)據(jù)的過程中公開必要信息以及有效途徑，使數(shù)據(jù)主體充分知情；限制處理則源于“使用限制原則”；更正及清除發(fā)展自“個(gè)人參與原則”；數(shù)據(jù)安全所強(qiáng)調(diào)的系統(tǒng)保護(hù)和默認(rèn)保護(hù)則是“安全保護(hù)原則”的發(fā)展與創(chuàng)新。后

21、期的立法正是基于1980指南中歷久彌新的古老原則，增加可操作性，對(duì)這些原則進(jìn)行了發(fā)展與完善5。5 數(shù)據(jù)控制者義務(wù)變遷的緣由5.1 技術(shù)發(fā)展的變遷需要科技是第一生產(chǎn)力，隨著生產(chǎn)力的進(jìn)步，生產(chǎn)關(guān)系需要調(diào)整。法律是生產(chǎn)力與生產(chǎn)關(guān)系的有效調(diào)整措施，而信息技術(shù)直接影響著法律的現(xiàn)在與未來6。20世紀(jì)八九十年代，計(jì)算機(jī)技術(shù)進(jìn)入高速發(fā)展時(shí)期，小型臺(tái)式計(jì)算機(jī)開始普及，自動(dòng)化數(shù)據(jù)處理在政府部門也得以普及。但直至95指令施行時(shí)，互聯(lián)網(wǎng)主要起到信息傳輸?shù)淖饔?，在歐洲范圍內(nèi)還未得到廣泛應(yīng)用。1993年歐洲互聯(lián)網(wǎng)存儲(chǔ)的個(gè)人數(shù)據(jù)僅占整個(gè)電子通信信息的1，而現(xiàn)在占比高達(dá)977。跨過千禧年，互聯(lián)網(wǎng)技術(shù)突飛猛進(jìn)，網(wǎng)站流量激增，新

22、興信息技術(shù)的發(fā)展催生出更為先進(jìn)和復(fù)雜的產(chǎn)品，如電子監(jiān)控系統(tǒng)、生物技術(shù)識(shí)別系統(tǒng)。伴隨信息技術(shù)應(yīng)用產(chǎn)生的云計(jì)算、移動(dòng)互聯(lián)網(wǎng)、社交網(wǎng)絡(luò)以及各類智能終端，無時(shí)無刻不在記錄和收集個(gè)人數(shù)據(jù)。信息技術(shù)使得觀察、儲(chǔ)存和分析人們的大多數(shù)日?；顒?dòng)成為可能，而且更迅速和隱秘，除非有完善的數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)廣泛有效地實(shí)施，否則將損害民眾的基本自由和人權(quán)8。因此，在2022公約16條例中，采取“系統(tǒng)保護(hù)”理念，要求數(shù)據(jù)控制者在設(shè)計(jì)新型處理技術(shù)、產(chǎn)品或服務(wù)過程中使用一系列隱私強(qiáng)化措施，以應(yīng)對(duì)計(jì)算機(jī)自動(dòng)化技術(shù)的發(fā)展對(duì)個(gè)人數(shù)據(jù)收集和使用進(jìn)行的限制，確保個(gè)人數(shù)據(jù)保持有限訪問的狀態(tài)；增加透明度義務(wù)并強(qiáng)化告知義務(wù)，幫助數(shù)據(jù)主體清晰了解數(shù)

23、據(jù)控制者的數(shù)據(jù)收集過程，避免因技術(shù)鴻溝引發(fā)信息不對(duì)稱問題，保證數(shù)據(jù)主體充分知情。這些義務(wù)在之前的立法中并未出現(xiàn)，受制于技術(shù)水平也難以實(shí)現(xiàn)?？梢?，隨著科技的發(fā)展，個(gè)人數(shù)據(jù)難以遁形，“數(shù)據(jù)畫像”越發(fā)常見，需要通過不斷更新的制度設(shè)計(jì)，采取技術(shù)手段設(shè)置保護(hù)壁壘，規(guī)避技術(shù)發(fā)展對(duì)個(gè)人隱私造成的威脅。而數(shù)據(jù)控制者的義務(wù)設(shè)置充分呼應(yīng)了技術(shù)的發(fā)展需要，為適配技術(shù)的更迭而不斷變遷。5.2 數(shù)據(jù)主體的權(quán)利博弈權(quán)利與義務(wù)具有對(duì)應(yīng)關(guān)系，伴隨數(shù)據(jù)主體權(quán)利意識(shí)的覺醒，對(duì)數(shù)據(jù)控制者的義務(wù)承擔(dān)也提出了更高要求。近30年來，隨著信息技術(shù)的快速發(fā)展，大部分歐洲人認(rèn)可個(gè)人數(shù)據(jù)披露逐漸成為現(xiàn)代生活的一部分，也有高達(dá)72網(wǎng)絡(luò)用戶擔(dān)心其個(gè)

24、人數(shù)據(jù)被過度收集，他們對(duì)個(gè)人數(shù)據(jù)如何使用和傳播均無從知曉，同時(shí)也不知道如何行使自己的權(quán)利9。這直接導(dǎo)致歐洲人對(duì)新型互聯(lián)網(wǎng)服務(wù)的接受度下降，阻礙了歐洲在互聯(lián)網(wǎng)技術(shù)領(lǐng)域的科技創(chuàng)新?？梢哉f，數(shù)據(jù)主體的權(quán)利化困境已經(jīng)開始成為歐洲數(shù)據(jù)產(chǎn)業(yè)發(fā)展的障礙之一。伴隨著對(duì)技術(shù)的警惕審視，歐洲民眾對(duì)數(shù)據(jù)的權(quán)利意識(shí)開始提升，并對(duì)個(gè)人數(shù)據(jù)提出了相應(yīng)的權(quán)利要求?！皩_雷斯訴谷歌被遺忘權(quán)一案”確立了數(shù)據(jù)主體的刪除權(quán)，而與數(shù)據(jù)主體的權(quán)利要求相對(duì)應(yīng)的便是數(shù)據(jù)控制者的義務(wù)，由此進(jìn)一步強(qiáng)化數(shù)據(jù)控制者應(yīng)履行的刪除義務(wù)。歐洲立法機(jī)構(gòu)為應(yīng)對(duì)歐洲民眾對(duì)于數(shù)據(jù)權(quán)利要求的呼聲，開始對(duì)數(shù)據(jù)控制者的各項(xiàng)義務(wù)進(jìn)行立法完善。比如，16條例中獨(dú)有的限制

25、處理義務(wù)，即是為了保障數(shù)據(jù)主體對(duì)個(gè)人數(shù)據(jù)的自決權(quán)；損毀通知義務(wù)的創(chuàng)設(shè)和告知義務(wù)的強(qiáng)化，則是為保障數(shù)據(jù)主體知情權(quán)及其有效落實(shí)。雖然歐盟于2000年發(fā)布的歐盟基本人權(quán)憲章第8條明確規(guī)定“人人有權(quán)保護(hù)涉及他或她的數(shù)據(jù)”，表現(xiàn)出將個(gè)人數(shù)據(jù)作為獨(dú)立人權(quán)保護(hù)的趨勢(shì)，但從各大法律淵源看，仍然傾向于從控制個(gè)人數(shù)據(jù)主體處理數(shù)據(jù)行為的角度對(duì)個(gè)人數(shù)據(jù)進(jìn)行保護(hù)，并且將數(shù)據(jù)主體的各項(xiàng)權(quán)利視為對(duì)數(shù)據(jù)控制者義務(wù)履行的請(qǐng)求權(quán)。同時(shí)，義務(wù)變遷的總體理念是暫且擱置這些請(qǐng)求權(quán)的合理性基礎(chǔ)，通過立法對(duì)數(shù)據(jù)控制者的義務(wù)進(jìn)行不斷完善和細(xì)化，從而呼應(yīng)數(shù)據(jù)主體不斷強(qiáng)化的權(quán)利意識(shí)。5.3 數(shù)據(jù)主權(quán)的制度保障美國是數(shù)據(jù)強(qiáng)國，始終秉持對(duì)數(shù)據(jù)充分利用的態(tài)勢(shì)。歐洲為保護(hù)區(qū)域內(nèi)的數(shù)據(jù)安全，通過制度構(gòu)建，對(duì)美國在歐洲范圍的數(shù)據(jù)收集行為進(jìn)行制約。由于歐洲長期以來對(duì)個(gè)人數(shù)據(jù)利用所持的保守態(tài)度，在數(shù)據(jù)開始成為國際競(jìng)爭(zhēng)焦點(diǎn)的時(shí)代，互聯(lián)網(wǎng)技術(shù)先進(jìn)的美國在數(shù)據(jù)競(jìng)爭(zhēng)中占盡優(yōu)勢(shì)，并培育出IT界八大金剛(思科、IBM、谷歌、高通、英特爾、蘋果、甲骨文、微軟)，這些企業(yè)的產(chǎn)品涵蓋教育、醫(yī)療、體育、金融、交通、軍警等領(lǐng)域，小到智能手機(jī)，大到服務(wù)器集群，均遍布其身影，成為名副其實(shí)的數(shù)據(jù)控制者。歐洲的互聯(lián)網(wǎng)企業(yè)無論體量還是規(guī)模，都難以與上述企業(yè)比肩，技術(shù)上更是如此。“棱鏡門”事件暴露出美國企業(yè)長期將世界范圍內(nèi)搜集到