GDPR数据主体同意制度剖析及应对策略

GDPR数据主体同意制度剖析及应对策略作者：邹珊傅思宇罗珏马韔来源：《成都理工大学学报·社会科学版》2020年第01期摘要：从理论根源和功能价值出发，GDPR数据主体同意制度以保护人格尊严为核心，以技术向善为导向，将“数据主体的同意”作为数字经济企业收集和处理个人数据最重要的合法性基础。

数据主体的有效同意須由数据主体自由、特定、知情、明确作出。

中国数字经济企业须以CNIL vs. Google LLM等案为戒，积极承担合规义务，同时设立数据保护专员，强化企业内部数据治理与监督机制，自主或者委托第三方开展数据治理与风险评估，对标GDPR完善企业隐私政策并通过技术设计充分保障数据主体同意权，防控企业法律风险。

关键词：一般数据保护条例;数字经济企业;个人数据中图分类号： F724.6文献标志码： A 文章编号：16720539（2020）01006107一、引言对于大数据时代的数据，无论其来源如何，都可被分为两类：个人数据与非个人数据。

数据的“可识别性”（identifiable）是区分个人数据与非个人数据的关键标准。

凡是单独可以识别出特定自然人的数据或者与其他数据结合后能够识别出自然人的数据，都是个人数据;反之，则为非个人数据[1]。

个人数据于数字经济企业而言具有商业价值，于数据主体而言具有人格利益。

个人数据是数字经济企业的生命。

根据2016年G20杭州峰会《二十国集团数字经济发展与合作倡议》中对数字经济的定义，数字经济企业（Digital Economy Enterprise）是从事以数字化的知识和信息为关键生产要素、以现代信息网络为重要载体、以信息通信技术的有效使用为效率提升和经济结构优化的重要推动力的一系列经济活动的企业，主要以互联网企业为代表，还包括农业、工业等传统领域以信息化为发展动力的企业。

对于企业而言，个人信息（1）是创新和营销的资源，构成其核心竞争力。

个人信息是支撑个性化服务、个性化定制、智能化制造等的基础，是垂直经济、平台经济、线上与线下融合经济等商业创新的灵魂。

因而个人信息被视为竞争资源、企业的新资产[2]。

保护个人数据是尊重人格利益的重要表现。

随着各国法学界对个人数据保护的关注度不断提升，个人数据逐渐被纳入到法律保护的范畴。

例如德国对个人数据权的立法就经过了由基本法保护到专项立法、由地方州立法到联邦立法、由一般人格权到具体人格权、由仅规制公权力到规制公私双领域的历程。

德国对公、私领域信息行为的态度，经过了“差别巨大——差异缩小——差距重新扩大”的过程，德国个人信息保护法的发展，是典型的“螺旋式上升，波浪式前进”，在否定之否定中不断完善，以适应现实需要的过程.[3]。

近年来，互联网技术的创新、大数据的崛起、跨境电子商务的迅猛发展冲击着1995年欧盟《关于涉及个人数据处理中的个人保护以及此类数据自由流动的第95/46/EC号指令》（Directive95/46/EC，以下简称“95指令”）。

为营造良好的信息流动环境，欧盟制定了《一般数据保护条例》（General Data Protection Regulation，以下简称GDPR）。

GDPR以“任何收集或处理涉及欧盟所有成员国内的个人数据的机构组织”为规制对象，适用“长臂管辖”原则（2），并伴有严格的监管制度与严厉的处罚措施（3），一经颁布即被称为“史上最严数据保护法案”。

2018年5月28日，脸书（Facebook）和谷歌（Google）等域外跨国数字经济企业因被指控未经用户有效同意收集和处理个人数据成为GDPR法案施行后的第一批被告，这应引起从事跨国业务的中国数字经济企业的重视。

对中国数字经济企业而言，欧盟意味着五亿余人口的市场。

中国数字经济企业想要“走出去”，并在激烈的国际竞争中占据一席之地，必须重视并符合GDPR的规定，而获取数据主体的有效同意是中国数字经济企业合规的关键。

二、GDPR数据主体同意制度立法原意探析GDPR数据主体同意制度可追溯到德国个人信息自决权理论。

从制度功能价值的角度来看，GDPR数据主体同意制度将数据主体权利串联起来形成完整的权利体系。

一方面，该制度倾斜性保护数据主体，尊重人格利益，发挥着保护个人数据的重要作用。

另一方面，该制度引导数字经济企业合规发展，积极承担社会责任，驱动科技向善发展。

（一）制度溯源：个人信息自决权理论“个人信息自决权”是一项没有明文规定但经由德国法院判例发展和承认下来的特别人格权（4）。

1983年“人口普查案”直接推动了德国个人信息保护立法理念的转变——由借鉴美国的“隐私权保护”到植根于本土的“人格权保护”。

德国宪法法院对个人信息自决权理论进行了阐述（5），即个人有权根据自己的想法自行决定何时以及在何种限度内披露有关其个人生活的事实。

简而言之，信息自决权就是指当事人拥有的对其自身相涉的数据自行决定披露与使用的终极掌控的权利。

信息主体可以自由地决定其信息何时、何地、以何种方式被搜集、储存和利用，包括利用的主体是谁，可以再转给何人，为了何种目的等内容[4]。

法律保护个人信息是为了维护个人的人格尊严和人格平等。

确认个人对其信息的自主支配，就是要维护个人的人格尊严[5]。

康德提出“人是目的”理念便阐述了人的主体地位——“在全部被造物之中，人所愿欲的和他能够支配的一切东西都只能被用作手段;唯有人，以及与他一起，每一个理性的创造物，才是目的本身”[6]。

人本身是目的，人应该自治、自决，凡是与人格形成、发展有关的情事，本人有权自己决定，并在此范围内，排除他决、他律或他治[7]。

其中，知情同意就是信息权利人对个人信息支配权的具体体现，此种支配是一种独占性的支配[8]。

以维护人的尊严为出发点的个人信息自决权理论对欧盟个人数据保护的法律框架影响颇深。

GDPR以强化数据主体对个人数据的控制为导向，在立法宗旨与目的中表明，“本法保护自然人的基本权利和自由，尤其是自然人的个人数据权”。

在这一框架下，“数据主体的同意”成为允许他人收集和处理数据主体个人数据的重要条件。

GDPR为数据控制者和处理者获得收集和处理个人数据获取用户同意设置了严苛的条件——“同意由数据主体自由、特定、知情、明确作出”，让数据主体在明晰的数据收集范围和目的下自愿授权数据控制者和处理者收集和处理其个人数据，这充分尊重了数据主体的自决权。

（二）数据主体同意制度的功能价值1.联结数据主体权利，充当权利束纽带在GDPR的数据主体权利体系中，数据主体的同意将访问权、更正权、删除权（被遗忘权）、限制处理权、自动化处理决定权、拒绝权串联在一起，构成个人数据权利束。

在同意数据控制者收集其个人数据后，数据主体可通过行使访问权了解数据控制者和处理者处理其个人数据的具体情况。

若个人数据信息有误或者已更新，数据主体可要求其尽快修改;若数据主体对数据控制者和处理者处理个人数据的行为提出质疑，则可暂时限制其个人数据的处理活动。

数据主体决定撤回同意，则其个人数据应当被数据控制者和处理者遗忘。

这一逻辑完整的数据主体权利体系从数据主体的同意开始到删除权（被遗忘权）终止。

2.维护实质公平，保障数据主体权利在合同缔结过程中，数据主体大多通过接受数据控制者提供的格式条款（如隐私政策、隐私条款等）行使同意权。

数据主体无法就合同中对其数据权利有实质性影响的条款与数据控制者进行协商，因而格式条款的适用限制了数据主体的自由意志。

一旦授权数据控制者和处理者收集或处理其个人数据，数据主体就对其个人数据失去事实上的控制力，即无法获取相关数据处理信息，也无法决定个人数据的处理过程，数据主体权利的实现很大程度上依赖于数据控制者和处理者。

出于保护弱势一方的公平价值取向，数据主体同意制度為数据主体对其个人数据拟制出法律上的控制力。

个人数据中最突出的是因“可识别性”而形成的人格属性。

个人数据权就其主要内容和特征而言，在民事权利体系中，应当属于人格权的范畴[5]。

人格权系以人格为内容的权利，人格指人的尊严及价值，即以体现人的尊严价值的精神利益（ideele interese）为其保护客体[9]。

法律保护个人信息权，虽然以禁止披露相关信息为其表现形式，但背后突出反映了对个人控制其信息资料的充分尊重[5]。

数据主体同意制度通过确保数据主体的数据安全，可以间接保障数据主体的人身和财产安全。

3.促使企业承担社会责任，形成企业竞争优势流动的个人数据是数字经济企业的关键生产要素，为数字经济企业源源不断创造商业价值。

由于数字经济企业从个人数据的利用中受益，其财富的积累也消耗了大量的社会资源，应当充分尊重数据主体的权利，承担保障数据安全的社会责任，消除其发展过程中产生的负外部性。

企业承担社会责任与营利性并非绝对对立，在良性互动的情况下，企业承担社会责任也能够与其营利目标相一致[10]。

符合社会公众利益的行为，或者是引导顾客向着有益消费结构变化的行为，会使企业因顾客的青睐而获得丰厚的利润[11]。

虽然数据主体同意制度限制数字经济企业收集和处理个人数据的行为，看似增加了企业经营成本，但数字经济企业若采取积极合规行为，塑造科技向善的经营理念，无疑将获得更高的商誉，实现潜在用户市场的逐步扩张。

因此，从长远来看，符合数据主体同意制度的规定将提升企业的市场竞争力，实现长期性的盈利目的。

三、GDPR数据主体同意制度规制下Google存在的问题（一）案件基本事实2018年5月25日和28日，None of Your Business （以下简称NOYB）和La Quadrature du Net （以下简称LQDN）两个非营利组织分别向法国国家数据保护机构（以下简称CNIL）投诉，称Google在创建账户时向Android操作系统用户提供的隐私政策中未履行充分告知义务，且Google将用户个人数据进行分析和用于个性化广告未征得用户自由、知情、特定、明确的同意，缺乏收集和处理个人数据的有效法律依据。

经调查，CNIL确认Google在处理用户个人数据时存在缺乏透明度、用户获知信息不充分以及缺乏对个性化广告的有效同意等问题，并于2019年1月21日，根据GDPR对Google处以5000万欧元的罚款[12]。

目前，Google宣布将在法国最高行政法院对该决定提出上诉（6）。

（二）争议焦点之分析：“明确同意”与“明示同意”Google辩称其为提供个性化广告服务所收集和处理的浏览记录等个人数据不属于敏感个人数据，不适用第9条第（2）项第（a）款中“明示同意”（explicit consent）要求，因此其收集用户数据的行为符合GDPR的规定。

CNIL未采纳这一抗辩理由，认为其仍违反了第4条第（11）项中“明确同意”（unambiguous consent）要求。

显然，在本案中，Google对“明示同意”与“明确同意”产生了混淆。