今年7月,歐盟和日本在東京簽下了《經(jīng)濟(jì)伙伴關(guān)系協(xié)定》(EPA)和《戰(zhàn)略伙伴關(guān)系協(xié)定》(SPA)。其中,EPA協(xié)議將相互取消大部分產(chǎn)品的關(guān)稅,其中日本將取消94%歐盟產(chǎn)品的關(guān)稅,包括奶酪和葡萄酒;歐盟則逐步取消99%日本產(chǎn)品的關(guān)稅,包括汽車和電視機(jī),旨在建立一個(gè)覆蓋6億人口經(jīng)貿(mào)區(qū)。而SPA協(xié)定則在網(wǎng)絡(luò)犯罪、災(zāi)害、能源、安全、氣候、人口老齡化等一系列領(lǐng)域建立了合作框架。
而在會(huì)議的聯(lián)合聲明中,除了前面的兩個(gè)協(xié)定,其實(shí)還有一個(gè)值得注意的地方:歐盟和日本宣布,雙方約定互相將對(duì)方的數(shù)據(jù)保護(hù)系統(tǒng)視為“同等有效”(equivalent),這將允許歐盟和日本之間自由的傳輸數(shù)據(jù),就是所謂的“建立一個(gè)數(shù)據(jù)安全流通區(qū)”。
也就是說,一旦該協(xié)議達(dá)成,它將使歐盟成員國企業(yè)有權(quán)訪問1.27億日本消費(fèi)者的個(gè)人數(shù)據(jù)。該協(xié)議也被視為是對(duì)今年7月份簽署的《歐日經(jīng)濟(jì)伙伴協(xié)定》(EPA)的有效補(bǔ)充。
歐日協(xié)議成為“首個(gè)對(duì)等充分性協(xié)議”
這也將是歐盟首次與第三國在相互承認(rèn)已達(dá)到充分的保護(hù)標(biāo)準(zhǔn)(ensures an adequate level of protection)的基礎(chǔ)上締結(jié)的協(xié)議。數(shù)據(jù)之所以無法自由地跨國傳輸,還要?dú)w因于今年5月份正式實(shí)施的歐盟《一般數(shù)據(jù)保護(hù)條例》(GDPR)。
在GDPR第五章就對(duì)向第三國或國際組織傳輸個(gè)人數(shù)據(jù)做出了限制,其中第45條就是“基于充分性決議傳輸數(shù)據(jù)”——簡(jiǎn)單來說就是,當(dāng)歐盟委員會(huì)(EC)認(rèn)定第三國已經(jīng)達(dá)到充分的保護(hù)標(biāo)準(zhǔn)(ensures an adequate level of protection)時(shí),才能將歐盟公民的個(gè)人數(shù)據(jù)傳輸給第三國。歐盟委員會(huì)的這個(gè)認(rèn)定就叫做充分性認(rèn)定(Adequacy decisions)。如果向沒有獲得充分性認(rèn)定的國家傳輸個(gè)人數(shù)據(jù),又沒有其他替代措施(如BCRs、SCCs),那么根據(jù)GDPR 相關(guān)規(guī)定,企業(yè)最高將面臨2000萬歐元或者全球營業(yè)額4%的罰款。
歐盟GDPR禁止向沒有獲得充分性認(rèn)定的國家傳輸個(gè)人數(shù)據(jù),那么日本的法律又是怎么規(guī)定的呢?
2015年,日本修訂了《個(gè)人信息保護(hù)法》,其中第24條將數(shù)據(jù)主體的同意作為數(shù)據(jù)向日本境外傳輸?shù)那疤幔瑫r(shí)做出了例外規(guī)定:如果個(gè)人信息保護(hù)委員會(huì)(簡(jiǎn)稱PPC,日本的個(gè)人信息保護(hù)監(jiān)管機(jī)構(gòu))認(rèn)可某些國家在保護(hù)個(gè)人權(quán)益方面建立了與日本具有同等標(biāo)準(zhǔn)的個(gè)人信息保護(hù)制度,那么第24條就不適用于這些國家。
簡(jiǎn)而言之,歐盟與日本都設(shè)置了一個(gè)“白名單”,如果“認(rèn)定”某個(gè)國家跟自己有一樣的數(shù)據(jù)保護(hù)水平,這個(gè)國家就進(jìn)入了“白名單”,那么企業(yè)從境內(nèi)向這個(gè)國家傳輸個(gè)人數(shù)據(jù)就無需其他授權(quán),也不用面臨巨額的罰款處罰。
2018年9月5日,歐盟委員會(huì)(EC)已于布魯塞爾啟動(dòng)了充分性決定的程序,且已于本周公布了充分性決定的草案和相關(guān)文件。這包括日本將適用轉(zhuǎn)移到日本的歐盟個(gè)人數(shù)據(jù)的額外保障措施,以及日本公共當(dāng)局為執(zhí)法和國家安全目的獲取個(gè)人數(shù)據(jù)的承諾,保證其數(shù)據(jù)保護(hù)水平與歐盟保持一致。日本也正在通過一個(gè)類似的流程來承認(rèn)歐盟的數(shù)據(jù)保護(hù)框架。這一系列舉動(dòng)表明,歐日協(xié)議又切實(shí)地邁進(jìn)了一大步。
接下來,充分性決定草案將通過以下程序:征詢來自歐洲數(shù)據(jù)保護(hù)委員會(huì)(EDPB)的意見;由成員國代表組成的委員會(huì)磋商(歐盟委員會(huì)程序);更新歐洲議會(huì)-公民自由、司法和內(nèi)政委員會(huì);歐盟委員會(huì)委員通過充分性決定。
正如司法、消費(fèi)者和性別平等委員會(huì)專員VěraJourová所說的那樣,我們正在創(chuàng)造世界上最大的安全數(shù)據(jù)流動(dòng)領(lǐng)域。個(gè)人數(shù)據(jù)將能夠在歐盟和日本之間安全傳遞,以造福我們的公民和經(jīng)濟(jì)。我們的合作伙伴關(guān)系將促進(jìn)全球數(shù)據(jù)保護(hù)標(biāo)準(zhǔn),并為這一關(guān)鍵領(lǐng)域的未來合作伙伴關(guān)系樹立榜樣。
歐日正為實(shí)現(xiàn)更緊密的數(shù)據(jù)隱私合作努力
日本政府已向歐盟鄭重承諾,日本當(dāng)局為了國家安全或執(zhí)法目的而訪問個(gè)人數(shù)據(jù)的行為,將以負(fù)責(zé)任的方式進(jìn)行,且任何此類請(qǐng)求均受獨(dú)立監(jiān)督和投訴機(jī)制的約束。
充分性決定的一個(gè)關(guān)鍵部分就是建立投訴處理機(jī)制,以調(diào)查和解決歐洲人對(duì)日本公共機(jī)構(gòu)訪問其數(shù)據(jù)的投訴,這一新機(jī)制將由日本獨(dú)立數(shù)據(jù)保護(hù)機(jī)構(gòu)負(fù)責(zé)管理和監(jiān)督。
推動(dòng)充分性決定的另一個(gè)主要因素就是日本立法者對(duì)其隱私法的改革,據(jù)悉,這一針對(duì)日本境內(nèi)外數(shù)據(jù)跨境傳輸所制定的嚴(yán)格規(guī)定已于2017年5月30日生效。此外,個(gè)人信息保護(hù)委員會(huì)(PIPC,主要負(fù)責(zé)監(jiān)管和保護(hù)日本個(gè)人信息的政府機(jī)構(gòu))的成立,也是協(xié)調(diào)歐盟和日本隱私標(biāo)準(zhǔn)差距的關(guān)鍵一步。
事實(shí)上,在不具備充分性決定的情況下,也確實(shí)能夠進(jìn)行跨國信息傳遞,但是根據(jù)《通用數(shù)據(jù)保護(hù)條例》規(guī)定,其需要采取額外措施,為數(shù)據(jù)轉(zhuǎn)移提供法律依據(jù)和適當(dāng)保障,例如使用數(shù)據(jù)傳輸協(xié)議,締結(jié)具有約束力的公司規(guī)則或使用歐盟委員會(huì)的標(biāo)準(zhǔn)數(shù)據(jù)保護(hù)條款等。
例如,歐盟與加拿大和美國的決定均屬于“部分”充分性決定。其中加拿大的決定僅適用于屬于“加拿大個(gè)人信息保護(hù)和電子文件法”范圍的私營實(shí)體。盡管歐盟委員會(huì)從未對(duì)美國的個(gè)人數(shù)據(jù)保護(hù)體系發(fā)表過正式意見,但美國自律式的隱私保護(hù)體系也只是通過了歐盟的“部分”充分性決定,其未來仍將持續(xù)受到歐盟法律的影響。
事實(shí)上,早在1998年(遠(yuǎn)沒有GDPR的年代),美國就已經(jīng)開始與歐盟就隱私保護(hù)的“安全港”協(xié)議進(jìn)行協(xié)商,以保證數(shù)據(jù)的跨界流動(dòng)。安全港協(xié)議要求所有簽字的組織對(duì)其收集信息的種類、使用的目的、以及可能傳披露給的第三方等,為個(gè)人提供“清晰和明顯的”通知。這種通知必須在收集任何個(gè)人信息時(shí)或者實(shí)踐可行之時(shí)提供。如果信息準(zhǔn)備披露給第三方或者用于不相關(guān)的目的,個(gè)人必須能夠明示選擇拒絕收集這種信息。如果是敏感信息,個(gè)人必須明確地明示同意這種收集。如果第三方參加安全港或者如果第三方簽署保護(hù)數(shù)據(jù)的合同,可以向第三方傳送數(shù)據(jù)。參加的組織必須保證個(gè)人可以獲知有關(guān)他們個(gè)人的任何信息,并有機(jī)會(huì)改正、修改或者刪除不準(zhǔn)確的信息。
但是,2013年“斯諾登事件”爆發(fā)后,美歐之間的合作產(chǎn)生了嚴(yán)重的松動(dòng),結(jié)果歐盟法院在2015年10月正式認(rèn)定《安全港協(xié)議》無效。為了應(yīng)對(duì)這種局面,歐美重新談判并簽訂了一個(gè)新的《隱私盾協(xié)議》(Privacy Shield)。
雖然《隱私盾協(xié)議》的規(guī)定看上去比原來的《安全港協(xié)議》對(duì)隱私的保護(hù)標(biāo)準(zhǔn)更加嚴(yán)格,但實(shí)際上,美國并沒有遵守協(xié)議中的許多關(guān)鍵要求,且對(duì)于歐盟提出的種種問題也沒有提供任何解決方案,因此,美國的“充分性決定”一直備受歐盟質(zhì)疑。
《戰(zhàn)略伙伴關(guān)系協(xié)定》(SPA)詳情地址:
http://europa.eu/rapid/press-release_IP-18-4526_en.htm
《歐日經(jīng)濟(jì)伙伴協(xié)定》(EPA)補(bǔ)充說明地址:
http://europa.eu/rapid/press-release_IP-18-5433_en.htm