欧盟的数据保护现状

欧盟2016年颁布了《通用数据保护条例》，于2018年5月25号开始实施，堪称是史上最严格的数据隐私保护法案。法案中提到了监管机构、用户、数据控制者、数据处理者、服务提供者等角色。这实际上是一种新型的互联网计算模型——在用户与互联网平台这两方之间增加了数据控制者和数据处理者，来承担起用户隐私保护这个责任。整个架构顶层设置国家级监管机构，授权数据控制者必须对数据主体（用户）提供支持和保障，数据处理者则按照用户的要求对其在互联网平台上产生的数据进行加解密操作。所有的用户数据在互联网平台上都是加密的，平台不能存储用户的明文数据，平台与用户之间的互动需要由第三方（数据操作者）进行加解密操作才能完成，用户、平台以及第三方的所有操作受数据控制者监管和记录，在这种情况下，互联网平台方才真正是运动员而不是裁判员，也不会出现所谓“店大欺客”的现象。

《通用数据保护条例》把一些对数据操作的基本权利赋予了个人，比如上文所提到的被遗忘权；二是可移动权，用户可以把个人隐私数据从一个平台移动到另一个平台，原来的平台不能保留任何数据。除了被遗忘权和可移动权，还有数据访问权、修正权等，这些都以立法的方式对用户及其在互联网平台上的行为进行切实的保护。平台方和第三方负责在技术上实现用户权益，如果违反就会受到处罚。这就是欧盟的理念——法律先行，先从法律上明确用户权利再利用技术手段实现用户权利。

对于互联网平台服务方而言，法律要求其做平台设计的时候就要考虑保护用户隐私，保护隐私是默认选项，平台必须采集最小的数据来为用户提供服务。这意味着很多APP应该本着“最少够用就行”原则，尽量不采集额外数据，这样APP在安装时就不能要求用户授权采集通讯录、位置等无关信息。

《通用数据保护条例》要求互联网公司设置专门的数据保护官，要求监管机构负责体系监督和执行，同时提醒用户提高自我保护意识等。该法案的惩罚力度很大，从5月25日开始，一旦查到互联网平台企业（如电子商务公司）对用户隐私数据的保护不符合《通用数据保护条例》要求，只要涉及欧盟公民，轻则罚款1000万欧元或者是年销售额的2%、重则罚款2000万欧元或者是年销售额的4%。因此中国准备通过“一带一路”走出去的互联网企业，面临欧盟对个人隐私保护的法律规定，要高度重视。数字经济企业走出去，要知道国外非常看重知识产权和数据隐私的保护，这也代表着社会发展的趋势，中国数字经济企业也必须考虑这个问题。(www.xing528.com)

还有就是“长臂”管辖原则，即无论违规的企业是否在欧盟境内都要加以处罚。估计2018下半年国内会有很多电子商务公司收到欧盟的罚单，可能一笔就是1000万或者2000万欧元的罚款。

《通用数据保护条例》核心要点有11章99条，对电子商务企业使用用户数据施加更多的约束，总体阐述了一个最基本的问题——平台使用的用户数据所有权到底属于谁？《通用数据保护条例》明确规定：用户数据属于用户个人，不属于平台，用户不同意，平台就不可以采集、挖掘数据，更不用说其他商业行为。通过立法的方式赋予用户更多的权利，保证用户对其在平台上产生的数据有绝对的控制权，电子商务平台公司一旦违规就重罚。这就是欧洲法律的“长臂”管辖原则，全球范围适用。