时间: 2021-08-03 09:32:06 人气: 10 评论: 0
为单一数字市场建立统一的数据法律规则，是欧盟单一数字市场战略的重头戏。那么，欧盟如何为繁荣数字经济打造统一的数据法律规则？
10月4日，即在欧盟议**、理事**、委员**三方于6月19日就在欧盟全境废除数据本地化限制达成政治协议之后，欧盟议**审议通过了“非个人数据自由流动条例”（Regulation on the free flow of non-personal data）。欧盟理事**将于11月6日批准该条例。之后，该条例将被公布在欧盟公报上，并于公布之日起六个月后生效实施。
考虑到已于5月25日生效实施的《一般数据保护条例》（GDPR），规定了个人数据在欧盟范围内的自由流动，该条例和GDPR一道奠定了欧盟的第五大自由，即在人、货物、服务和资本可以在欧盟自由流动之后，如今，数据也摆脱了成员国的边境、负担和障碍带来的限制，可以在欧盟范围内自由流动。
就与GDPR的关系而言，该条例与GDPR不**重叠，而是互为补充；当数据集中既有个人数据，又有非个人数据时，倘若两者可分则分别适用该条例和GDPR，倘若不可分则适用GDPR。
在欧盟立法者看来，这无疑有助于消除威胁着数字经济的数据保护主义，并为人工智能、云计算和大数据分析铺平道路，从而推动数据经济和数字经济发展，以增强欧盟在全球市场的竞争力。
为了抓住数字革命带来的数字机遇，2015年5月6日，欧盟委员**启动单一数字市场战略（Digital Single Market Strategy），旨在通过一系列举措革除法律和监管障碍，将28个成员国市场打造成为一个统一的数字市场，以繁荣欧盟数字经济。
这一战略以三大支柱、十六项关键计划为核心。
此外，2016年4月19日，欧盟委员**公布数字化欧盟工业的计划，提出明确的行动路线。工业的数字化对欧盟维持其在工业领域的全球竞争力，是至关重要的。为此，这一计划投入500亿欧元，以支持工业的数字化。
不独如此，2017年1月10日，欧盟委员**发布政策文件《打造欧盟数据经济》（Building a European data economy），正式启动“打造欧盟数据经济”计划，并为此提出政策和法律解决方案。
数据是创新和增长的关键来源，因此需要确保数据自由流动，以保障最广泛地获取和利用数据。此外，拟为非个人的机器生成数据的归属、交换和贸易制定规则，以促进数据分享。
2018年4月25日，欧盟委员**发布政策文件《建立一个共同的欧盟数据空间》（Towards a common European data Space），聚焦公共部门数据开放共享、科研数据保存和获取、私营部门数据分享等事项。
可见，在科研投入之外，欧盟主要靠一场造法运动，来推动数字经济发展。欧盟的人工智能战略与此如出一辙，将为人工智能的发展制定适宜的法律和伦理框架，作为三大支柱之一。
与之类似，在这场已经进行了多年的单一数字市场运动中，为数据经济和数字经济发展制定适宜的数据法律规则，被认为是繁荣单一数字市场并增强国际竞争力的关键。因为在欧盟立法者看来，欧盟内部统一的数字市场，需要以统一的数字立法为保障。
否则，彼此割裂的市场不仅无助于欧盟消费者和企业最大化地抓住数字机遇，而且无力增强欧盟在国际市场的竞争力。
为单一数字市场建立统一的数据法律规则，是欧盟单一数字市场战略的重头戏。通过近年来的一系列立法举措，欧盟尝试从以下方面建立统一的数据法律规则。
其一，个人数据保护规则
GDPR作为欧盟个人数据保护立法改革的产物，从个人数据处理的基本原则、数据主体的权利、数据控制者和处理者的义务、个人数据跨境转移等方面，为互联网时代建立了完备的个人数据保护制度，并对全球个人数据保护立法产生了涟漪效应。
在GDPR制定之后，2017年1月10日，欧盟委员**提出《隐私与电子通讯条例》（Regulation on Privacy and Electronic Communications），该条例作为GDPR的特别法，意欲取代当前的《电子隐私指令》，旨在规制电子通信服务并保护与用户终端设备相关的信息。
该条例将即时通讯、VoIP等OTT服务商纳入与传统电信服务商一样的隐私监管框架，对电子通信数据的保护不仅针对通信内容本身，而且包括时间、地点、来源等标记通信内容的元数据。
其二，数据产权和交易规则
数据已经不再是一座价值孤岛，而是与云计算、物联网、无人驾驶和人工智能等先进技术集群相联系，成为数字经济高速发展的驱动基础。对此，欧盟委员**认为，有利于数据交易发展的法律环境的缺失，可能导致大量数据库的可获取性降低，对数据市场参与者形成障碍，甚至导致不正当竞争。
由于著作权、数据库权、商业秘密保护、合同机制等既有保护模式的不足，非个人数据保护依然缺乏有效的制度安排。为此，在政策文件《建立欧盟数据经济》中，欧盟委员**呼吁针对非个人的机器生成数据设立数据产权，规范市场和交易。
欧盟委员**希望通过这一“数据生产者权利”鼓励（特殊情况下强制）企业授权第三方访问其数据，促进数据流通和增值。
此外，为了促进数据访问和共享，欧盟委员**考虑基于“公平、合理、无歧视”（FRAND）条款建立数据许可框架，以为中小企业和初创公司提供更公平的数据利用机**。
其三，数据自由流动规则
如前所述，GDPR和《非个人数据自由流动条例》一道建立起了所有数字数据在欧盟境内的自由流动。
这体现在两个方面：
（1）数据跨境
即禁止成员国制定不合理的数据本地化要求，除非是为了公共安全等正当目的。在该条例实施之后，成员国必须在规定期限内废除针对机器生成数据、商业数据等非个人数据的所有不合理的数据本地化要求。移除本地化限制，有望使欧盟数据经济在2020年达到7390亿欧元，对GDPR贡献率达到4%。
此外，可以降低数据服务的成本，为企业的数据管理和数据分析提供更多的弹性空间，为企业获取服务商提供更多选择，每年可以贡献80亿欧元的经济增长。
（2）数据可携
即允许用户将其全部数据从一个网络转移到另一个网络，在GDPR中为数据可携权，在该条例中为专业用户切换服务商或将数据转移到其自己的IT系统的规定。为此，欧盟委员**将指导行业制定自律性质的行为准则并监督其有效实施。这
意味着企业可以充分利用云服务，为其IT资源选择成本最优的地点，自由切换服务商或将数据其自己的IT系统。然而，欧盟通过GDPR和该条例建立起来的数据自由流动仅限于欧盟范围内，而不包括第三方国家。
当前，全球数据本地化趋势在不断加强，俄罗斯、印度等越来越多的国家在强硬推行数据本地化，这将**阻碍全球数字经济的发展，不利于全球数字产品和服务贸易。为此，需要建立全球数据流动规则，以破除国家数据保护主义，实现国家数据监管和数据跨境流动之间的平衡。
其四，数据安全规则
2016年7月7日，欧盟通过首部网络安全立法《网络与信息系统安全指令》，旨在加强基础服务运营者、数字服务提供者的网络与信息系统之安全，要求两者履行网络风险管理、网络安全事故应对与通知等义务。
因此，即使在跨境背景下，企业也必须遵守所有的安全要求，从而在欧盟范围内确保统一的数据安全。
其五，数据开放共享规则。
数据的价值和增值来源于数据流通。数据流通涉及企业之间以及企业、政府之间数据的分享和利用。为此，欧盟正在推动制定公共部门数据开放共享、科研数据获取、私营部门数据分享等方面的规则。
如前所述，数据已经不再是一座价值孤岛，而是与云计算、物联网、人工智能等先进技术集群相联系，成为数字经济高速发展的驱动基础。人工智能驱动的经济和社**正在成为可能，在其中，数据和算法的使用无处不在。
但与此同时，数据和算法正在带来多方面的社**和伦理问题，诸如意外行为、缺乏远见、难以监管、分散责任、各种危害（如：算法歧视，限制自由选择，假新闻，放大、固化就偏见和社**分层，数据和算法滥用，监控和隐私、自由问题）等，这些新的社**和伦理问题正是所谓的“新石油”带来的“新污染”。
在此背景下，数据伦理（data ethics）和数据治理（data governance）成为我们这个时代的新命题，需要人们进行更多思考和探索。对企业而言，数据伦理一方面在于通过作出正确的决策赢得消费者信任，另一方面在于确保第三方不**未经授权访问数据以及滥用数据。
欧盟与数据相关的一系列举措，正是为了建立欧盟的数据治理框架，从而为数字经济发展奠定必要的数据法律制度基础，同时以此重塑数字社**的信任基石。欧盟制定这些规则的初衷是为了繁荣数字经济、数据经济、云计算、人工智能等新事物和新技术的发展，但其效用如何以及是否可能产生适得其反的效果，还有待进一步的实证研究和观察。
第一条：主旨
本条例旨在通过制定与数据本地化要求、向主管部门提供数据以及针对专业用户的数据转移等事项相关的规则，来确保非个人数据在联盟内部的自由流通。
第二条：适用范围
本条例不影响与成员国内部组织相关的，以及与公法意义上的公共机构无须给予私主体合同报酬地处理数据的权力和职责分配相关的法律、法规和行政规定，以及成员国规定执行这些权力和职责的法律、法规和行政规定。
第三条：定义
为实现本条例的目的，采用下列定义：
第四条：联盟内数据自由流动
（1）除非为公共安全目的且符合比例原则，否则应当禁止数据本地化要求；这一规定不妨碍第3款和根据现有联盟法制定的数据本地化要求。
（2）成员国应立即向欧盟委员**通报任何引入新的数据本地化要求的法律草案，或根据欧盟2015/1535指令第5、6、7条规定的程序更改现有的数据本地化要求。
（3）在……之前（自本条例实施之日起24个月），成员国应确保在其一般性的法律、法规或行政规定中，违反本条第1款规定的现有数据本地化要求已被废除。
在……之前（自本条例实施之日起24个月），如果成员国认为包含数据本地化要求的现有措施符合本条第1款的规定并因此可以继续有效的，应当向欧盟委员**报送该措施，并说明理由。在不影响TFEU第258条的情况下，欧盟委员**应在收到此类来文之日起六个月内，审查该措施是否符合本条第1款的规定，并视情况向该成员国提出意见，包括在必要时建议修订或废除该措施。
（4）成员国应通过一个全国性的在线信息渠道公开在其领土内通行的法律、法规或行政规定中规定的所有数据本地化要求的具体情况并保持更新，或向根据另一项联盟法建立的中央信息渠道提供所有此类本地化要求的最新情况。
（5）成员国应将其第4款中提到的在线信息渠道的地址告知欧盟委员**。欧盟委员**应在其网站上公布这些渠道的链接，以及涉及所有第4款提到的数据本地化要求的定期更新的清单，包括这些要求的摘要信息。
第五条：主管部门获取数据
在用户滥用权利的情况下，如果获取数据具有紧迫性且考虑有关各方的利益，成员国可以对该用户采取严格按比例的临时措施。如果临时措施使得数据重新本地化且持续时间**过180天，成员国应在上述180天内向欧盟委员**通报。欧盟委员**应在最短的时间内审查该措施及其与联邦法律的兼容性，并酌情采取必要措施。欧盟委员**应与第7条提到的成员国单一联络点交换其就这方面取得的信息。
第六条：数据的转移
（1）欧盟委员**应鼓励和促进制定联盟一级的自律行为守则（“行为守则”），以便在透明度、互通性原则和开放标准的基础上，助力发展有竞争力的数据经济。
包括以下方面：
（2）欧盟委员**应确保与所有利益攸关方密切合作，共同制定行为守则，包括中小企业和初创企业协**，以及用户和云服务提供商。
（3）欧盟委员**应鼓励服务提供者在……之前（自本条例公布之日起12个月）完成行为守则的制定，并在……之前（自本条例公布之日起18个月）有效实施行为守则。
第七条：主管部门之间的合作程序
第八条：评估和指南
（1）在……之前（自本条例公布之日起48个月），欧盟委员**应向欧洲议**、理事**和欧洲经济和社**委员**提交报告，评估本条例的实施情况，特别是在以下方面：
（2）成员国应向欧盟委员**提供编写第1款所述报告的必要资料。
（3）在……之前 （自本条例公布之日起6个月），欧盟委员**应发布关于本条例与GDPR交叉适用关系的指引性指南，特别是有关由个人和非个人数据组成的数据集。
第九条：最后条款
延伸阅读：
杨乐、曹建峰：《从欧盟“被遗忘权”看网络治理规则的选择》，载《北京邮电大学学报（社**科学版）》2016年第4期
曹建峰：《民法总则数据保护路径：概括式保护及与知识产权协调》，载《大数据》2017年第1期
曹建峰：《论互联网创新与监管之关系——基于美欧日韩对比的视角》，《信息安全与通信保密》2017年第8期
曹建峰、祝林华：《欧洲数据产权初探》，《信息安全与通信保密》2018年第7期
曹建峰、李金磊：《欧盟<隐私与电子通信条例>草案评述》，载《信息安全与通信保密》2017年第4期
曹建峰、李正：《欧盟最新网络安全指令对我国网络安全立法的启示》，http://www.tisi.org/4707
曹建峰：《欧盟GDPR精要：5千字读懂GDPR说了啥》，
https://new.qq.com/omn/20180530/20180530A1HI7M.html
作者：曹建峰，微信公众号：**研究院（ID：cyberlawrc）
翻译：刘诗蕾、曹建峰
本文由 @**研究院 原创发布于人人都是产品经理。未经许可，禁止转载。
题图来自 Pixabay，基于 CC0 协议
