2023年7月10日，歐盟委員會(huì)正式通過了《歐盟-美國數(shù)據(jù)隱私框架（以下簡稱“DPF”）的充分性決定》，標(biāo)志著歐盟認(rèn)可了美國的個(gè)人數(shù)據(jù)保護(hù)水平?；谠摮浞中詻Q定，美國企業(yè)可以將歐盟個(gè)人數(shù)據(jù)自由地從歐盟傳輸至美國，而無需實(shí)施額外的數(shù)據(jù)保護(hù)措施。這是繼安全港框架（U.S.-EU Safe Harbor Framework）和隱私盾協(xié)議（EU-U.S. Privacy Shield）之后，美歐試圖建立穩(wěn)定的跨大西洋數(shù)據(jù)流動(dòng)安排的又一次嘗試。

(1)美歐間數(shù)據(jù)跨境流動(dòng)合作歷史概述

一是“安全港框架”時(shí)期。這一時(shí)期的歐盟個(gè)人數(shù)據(jù)保護(hù)以《95指令》為依據(jù)。2000年7月，歐盟確認(rèn)美國所提供的個(gè)人數(shù)據(jù)保護(hù)措施符合《95指令》要求，在此基礎(chǔ)上形成“安全港框架”，明確美國企業(yè)可以在此框架下將歐盟公民個(gè)人數(shù)據(jù)傳輸?shù)矫绹?。?013年“斯諾登事件”影響，奧地利公民馬克思·施雷姆斯向臉書歐洲總部所在地愛爾蘭數(shù)據(jù)保護(hù)局發(fā)起投訴，要求禁止臉書依據(jù)該框架將數(shù)據(jù)傳輸至美國，并最終上訴至歐盟法院，被稱為Schrems I案。2015年10月，歐盟法院認(rèn)定“安全港框架”無效。

二是“隱私盾”時(shí)期。這一時(shí)期GDPR取代《95指令》成為新的數(shù)據(jù)保護(hù)法。2016年7月，歐美就新的“隱私盾協(xié)議”達(dá)成一致，美國企業(yè)可以每年向美國商務(wù)部申請(qǐng)進(jìn)行自我認(rèn)證，以證明符合GDPR有關(guān)數(shù)據(jù)跨境傳輸?shù)囊?guī)定。2015年12月，施雷姆斯更新其投訴事由，對(duì)臉書所依賴的數(shù)據(jù)跨境傳輸路徑提出質(zhì)疑，主張美國監(jiān)聽計(jì)劃侵犯了其隱私權(quán)、數(shù)據(jù)保護(hù)權(quán)以及獲得有效司法保護(hù)的權(quán)利，并再次上訴至歐盟法院，被稱為Schrems II案。由于隱私盾協(xié)議于案件審理期間通過，因此其有效性問題自然成為判決焦點(diǎn)。2020年7月，歐盟法院認(rèn)定隱私盾協(xié)議無效。

三是后隱私盾時(shí)期。自隱私盾協(xié)議被判無效之后，美國企業(yè)繼續(xù)使用標(biāo)準(zhǔn)合同作為數(shù)據(jù)跨境流動(dòng)路徑。2020年8月，愛爾蘭數(shù)據(jù)保護(hù)局對(duì)Meta展開調(diào)查，并初步認(rèn)定元宇宙公司違反了GDPR有關(guān)數(shù)據(jù)跨境傳輸?shù)囊?guī)定。2023年5月，愛爾蘭數(shù)據(jù)保護(hù)局發(fā)布調(diào)查結(jié)論，認(rèn)為美國法律未提供與歐盟法律相同的數(shù)據(jù)保護(hù)水平，采用標(biāo)準(zhǔn)合同無法彌補(bǔ)這一不足，且元宇宙公司也并未采取任何補(bǔ)充保護(hù)措施，對(duì)其處以12億歐元罰款。同時(shí)，美國在這一時(shí)期也積極尋求建立新的跨大西洋數(shù)據(jù)隱私框架。

(2)DPF的主要內(nèi)容

一是DPF引入了新的約束性保障措施。這一舉措主要是為了回應(yīng)歐盟法院在此前Schrems II案中所提出的擔(dān)憂，如將美國情報(bào)機(jī)構(gòu)對(duì)歐盟數(shù)據(jù)的訪問限制在必要和適當(dāng)?shù)姆秶?；設(shè)立數(shù)據(jù)保護(hù)審查法院（DPRC），當(dāng)美國情報(bào)機(jī)構(gòu)收集和使用數(shù)據(jù)存在問題時(shí)，歐盟公民有權(quán)通過DPRC使用獨(dú)立的賠償機(jī)制，DPRC將對(duì)投訴進(jìn)行獨(dú)立調(diào)查，并實(shí)施有約束力的救濟(jì)措施，如果DPRC發(fā)現(xiàn)美國企業(yè)數(shù)據(jù)處理違反了歐盟數(shù)據(jù)保護(hù)相關(guān)規(guī)定，則可以命令刪除該數(shù)據(jù)。相比于隱私盾協(xié)議，DPF的數(shù)據(jù)保護(hù)水平有較大程度的改進(jìn)。

二是DPF創(chuàng)設(shè)了新的隱私義務(wù)。根據(jù)DPF，美國公司在傳輸歐盟個(gè)人數(shù)據(jù)時(shí)必須遵守一系列隱私義務(wù)，包括不得以與處理目的不相符的方式處理個(gè)人數(shù)據(jù)，對(duì)敏感個(gè)人數(shù)據(jù)采取更強(qiáng)的保障措施，確保所收集個(gè)人數(shù)據(jù)的可靠性、準(zhǔn)確性與完整性。美國公司在傳輸歐盟個(gè)人數(shù)據(jù)時(shí)須將是否獲得數(shù)據(jù)隱私保護(hù)認(rèn)證、數(shù)據(jù)收集類型、處理目的及救濟(jì)措施等信息告知數(shù)據(jù)主體。一旦歐盟個(gè)人數(shù)據(jù)被美國公司錯(cuò)誤處理，歐盟公民可以通過獨(dú)立爭議解決機(jī)制或仲裁小組尋求救濟(jì)。美國公司應(yīng)當(dāng)采取適當(dāng)?shù)募夹g(shù)措施與組織架構(gòu)，確保自身能夠有效遵守?cái)?shù)據(jù)保護(hù)義務(wù)。

三是DPF的運(yùn)行將受到定期審查。歐洲委員會(huì)、歐洲數(shù)據(jù)保護(hù)委員會(huì)及美國相關(guān)部門共同組成的機(jī)構(gòu)將對(duì)DPF進(jìn)行定期審查。第一次審查將在充分性決定生效后一年內(nèi)進(jìn)行，以驗(yàn)證所有相關(guān)要素是否已在美國法律框架中得到充分實(shí)施，并在實(shí)踐中有效運(yùn)作。在美國，DPF框架主要由美國商務(wù)部進(jìn)行管理和監(jiān)督，聯(lián)邦貿(mào)易委員會(huì)（FTC）負(fù)責(zé)監(jiān)管美國企業(yè)的相關(guān)合規(guī)事項(xiàng)。

(3)DPF簡析

總的來說，此次充分性認(rèn)定為歐盟-美國的數(shù)據(jù)跨境流動(dòng)帶來了法律確定性，奠定了美歐之間在數(shù)據(jù)跨境流動(dòng)合作方面的基本態(tài)勢。但值得注意的是，DPRC將由美國政府以外的成員組成，但其任命程序仍有瑕疵，其獨(dú)立性將很快受到施雷姆斯等隱私活動(dòng)家及相關(guān)組織的質(zhì)疑。此外，美國是否真的能達(dá)到其所稱的數(shù)據(jù)保護(hù)水平也值得懷疑。歐盟委員會(huì)將于2024年7月發(fā)布對(duì)此次充分性認(rèn)定的第一次審查結(jié)論，屆時(shí)將了解DPF的實(shí)際效果。

關(guān)注“廣東技術(shù)性貿(mào)易措施”，獲取更多服務(wù)。