EU

拜登的新欧盟美国数据隐私框架能通过法律检验吗？

发布于2022年10月11日，作者：Glyn Moody

拜登总统希望这次能够成功，推出的新欧盟美国数据隐私框架DPF，于上周通过一项关于“加强美国信号情报活动的保障措施”的行政命令EO实施。之前的两次尝试，旨在调控数据在大西洋两岸的流动，尤其是从欧盟到美国，都曾受到欧盟最高法院欧洲联盟普通法院CJEU的驳回。2015年的安全港框架被拒绝，2020年隐私盾也随之而来。

隐私专家兼NOYB 欧洲数字权利中心负责人Max Schrems保持怀疑态度，他指出DPF能否如是通过，至少存在两个主要问题。

新的欧盟美国数据隐私框架有何不同？

新的DPF旨在满足CJEU所提出的两个关键要求。首先，CJEU表示对欧盟公民的美国监控必须体现欧盟基本权利宪章第52条中所述的比例原则。根据白宫的公告，该EO：

为美国信号情报活动增加了进一步的保障措施，包括要求这些活动仅在追求明确的国家安全目标时进行；考虑所有人员的隐私和公民自由，不论其国籍或居住国；仅在必要时才能推进已验证的情报优先事项，并且仅在比例适当的范围内及以合适的方式进行。

其次的问题是缺乏对相信其个人数据受到美国情报机构滥用的欧盟公民的司法救济权。DPF在这方面引入了重大变化，建立了：

一个多层次机制，使符合条件的国家和地区经济一体化组织的个体能够对其通过美国信号情报收集的信息被违规处理或使用进行独立和有约束力的审查和救济。

第一层是设立了国家情报总监办公室的公民自由保护官CLPO，负责对收到的合格投诉进行初步调查，以确定是否违反了新的强化保障或其他适用的美国法律，如EO中的强化保障措施。

第二层是设立新的数据保护审查法院DPRC，以对CLPO的决定进行独立和具约束力的审查。DPRC的法官将由美国政府以外的专业人士任命，并具备数据隐私和国家安全方面的相关经验，同时享有免于被撤换的保障。

新的数据隐私框架获得欧洲委员会的批准

在关于新框架的问答文件中，欧洲委员会表示：“相比于隐私盾，这些都是重要的改进。政府访问数据的新保障将补充美国公司从欧盟引入数据所需遵循的义务。”

文件解释说，欧洲委员会现在将提出一项草拟的“充分性决定”本质上是给予新的框架临时性的支持并启动“采纳程序”。这包括取得欧洲数据保护委员会的意见，该委员会负责监督整个欧盟的数据保护规则的执行情况，并寻求来自欧盟成员国代表委员会的意见。

欧洲委员会并不必须遵循两个团体的建议，而最终的充分性决定几乎可以确定会在适当时候作出，可能在明年初，无论它们的意见如何。受到CJEU驳回之前框架的影响，欧洲委员会如同美国一样渴望找到一个替代方案，以便数据转移能够进行，而不必依赖如标准合同条款等替代方案，这些在去年博客中已有讨论。

大型科技公司对欧盟美国DPF框架充满期待

大型科技公司对于新的DPF自然表示赞同。包括亚马逊、苹果、谷歌、Meta和微软等大牌公司的改革政府监控小组在一份声明中表示：

新通过的保障措施作为EO的一部分将支持欧盟美国的数据流动，促进数据隐私，并解决之前欧洲联合法院CJEU提出的关切。我们认识到并感谢美国政府在最终化框架实施方面的努力。

然而，另一些人则不太满意。BEUC，代表来自32个欧洲国家的46个独立消费者组织的伞型组织指出，新DPF未能为个人数据的商业使用提供任何实质性改善。他们指出，在美国和欧盟之间仍然存在隐私和数据保护水平的根本差异，这些差异尚未透过额外保障措施得到解决。

还未到达平稳航行的时刻

对DPF未来而言，隐私专家兼活动家Max Schrems的疑虑也许更为棘手。他的法律行动导致了安全港和隐私盾框架的被驳回。Schrems有two main concerns，这些都是重大问题。

首先，即使承诺“比例”，新的EO仍将允许“批量监控”，而CJEU已裁定这并不“成比例”。Schrems补充道：

() 欧盟和美国现在对“成比例”的用法达成一致，但在其意义上似乎存在分歧。最终，CJEU的定义将占上风这可能会再次阻碍任何欧盟决定。

Schrems看到的另一个问题是新的数据保护审查法院并不是真正的法院，这在法律上不符合欧盟基本权利宪章第47条的要求。Schrems强调：“宪章明确要求提供‘司法救济’仅仅将某个投诉机构重新命名为‘法院’并不代表它成为真正的法院。程序的细节也将是能否满足欧盟法律的关键。”

Schrems表示，他和他的团队将在接下来几周内详细分析DPF文件。但他很清楚如果他认为新的保障措施不足，将会发生什么：“如果委员会的[充分性]决定不符合欧盟法律和相关CJEU裁决，noyb可能会再次向CJEU提出挑战。”

这将需要几年的时间来通过法院，但最终此第三次构建跨大西洋数据转移框架的尝试，可能会像它的前任一样被推翻。或许第四次会更顺利

图片来源：Stable Diffusion。