跨国监控：欧洲法院宣布《安全港协议》无效的案例分析

2013年6月7日，《华盛顿邮报》披露，美国联邦调查局与国家安全局通过接入一些网络公司的中心服务器，直接查阅用户数据，实时跟踪用户的聊天记录、视频、音频、照片、文件、电邮等信息，全面监控特定目标及其联系人的日常生活。2013年9月29日，《纽约时报》披露的政府文件显示，美国国家安全局从2010年11月开始，允许情报官利用该局搜集的大量美国公民个人资料，辨识他们的来往对象、特定时间点所在的位置和旅伴等个人信息。这项监视行动通过分析美国人的电话和电子邮件记录，将电话号码和电子邮件串连成一条“联络链”，把大量美国公民的个人隐私暴露在政府面前。2013年6月6日，英国《卫报》网站披露，美国最大通信服务提供商之一，Verizon通信公司每天都需向美国国家安全局提供其系统内所有电话通话的信息，包括通话双方的电话号码、地点、通话时长等。2013年9月7日德国《明镜周刊》网站报道称，美国国家安全局内部文件显示，美国情报机构有能力监视安卓系统设备、苹果手机以及曾被认为非常安全的黑莓手机。美国国家安全局通过开发破解程序，可以获取三大智能手机平台的用户数据，其中可包括联系人列表、短信流量和用户位置数据等。美国国家安全局对一款苹果设备进行电脑同步跟踪后，其脚本程序至少可以代理访问苹果手机的38项功能。^[79]

除对国内民众信息的广泛采集与监控外，信息时代，一国往往会通过互联网公司采集他国公民的数据资料，对他国公民的个人信息进行监控，而欧洲法院判决的《安全港协议》无效案，则是这方面的最好例证。该案直接指向美国政府所实施的跨国监控的行为，这一行为被视为是侵犯欧洲公民个人信息、隐私，违反基本人权的行为。

2013年，“棱镜门”事件中，美国前中央情报局雇员斯诺登爆料，谷歌、微软、苹果、脸书等9家互联网公司及一些大型通信服务商与美国情报机构合作，向美国情报机构大规模提供用户资料，方便其肆意追踪，监视民众私人关系与社会活动。^[80]随后，奥地利的一名法律系毕业生施雷姆斯向脸书所在地爱尔兰当局提出申诉，控告脸书非法追踪用户数据资料，参与美国情报机构的监控计划。对于施雷姆斯的申请，爱尔兰数据主管部门以欧美之间的《安全港协议》驳回其申诉。

《安全港协议》的出台与欧盟《数据保护指令》第25条的规定紧密相连。该条规定要求只有在第三国确保能够为欧盟成员国内欧盟公民的个人数据提供充分程度的保护时，欧盟境内的公司才能将其收集、处理的个人资料转移或传送至第三国。否则，欧盟公民的个人数据不能传输至非欧盟国家。这条规定被称为欧盟的“充分保护”标准。欧盟议会与理事会将权衡判断的权力赋予欧盟委员会，欧盟委员会有权以《数据保护指令》第25条的规定为基础，对第三方国家的国内法或承担的国际义务是否满足“充分保护”的标准进行判断。^[81]该条规定给美国带来了巨大压力。美国商务部多次与欧盟协商，最终于1998年11月4日发布了《安全港隐私原则》（Safe Harbor Privacy Principles）。该原则紧密向《欧盟个人资料保护指南》靠拢，其规定的隐私保护原则与欧盟甚为相似。2000年3月，美国商务部拟定了《安全港协议》（Safe Harbor Agreement），根据该协议，美国联邦贸易委员会与交通部管辖的组织，可自愿参与到安全港项目中来。该项目坚持行业自律的模式，由参与者承诺遵守安全港原则，负责个人资料管理，对员工进行培训，接受消费者申诉，每过一年都会通过书面方式保证组织会继续遵守美国—欧盟安全港框架的原则。^[82]参与者可以对其自身遵守安全港原则的情况进行自我评估，也可聘请第三方机构进行评估。欧盟委员会在2000年7月做出了“安全港决定”。^[83]该决定认为美国的安全港原则遵循了欧盟指令，达到了充分保护的标准。爱尔兰数据主管部门就是以《安全港协议》驳回了施雷姆斯的申诉。(www.xing528.com)

施雷姆斯在其申诉被驳回后将此案辗转上诉至欧盟司法机构。2015年10月6日，欧盟最高司法机构——欧洲法院作出关键性判决。欧洲法院认为美国法律允许公权力部门大范围查阅私人电子通讯信息内容的做法严重损害到私人生活应得到尊重的基本权利。美国未能对传输到其境内的欧盟公民的个人数据提供有效保护。脸书等公司在欧洲的分支机构应立即停止将收集到的欧盟用户的数据传输至美国，欧美2000年签署的《安全港协议》失效。^[84]

此案件是网络信息隐私保护的里程碑案件。美国网络科技公司今后把采集到的欧洲公民的数据传输至美国将受限制。欧洲法院的此项判决将严重影响欧美之间的数据传输与商业贸易。过去受《安全港协议》保护的4500多家美国科技公司^[85]，包括脸书、谷歌、亚马逊等美国互联网巨头，在欧洲采集信息后，将欧洲用户的数据信息传输至美国存储分析的运营模式将受影响。美国企业执行欧洲法院的新规，在安全港协议失效，暂无其他制度能够替代安全港协议之前，只能寻求更为昂贵与繁复的方式处理信息资料。现阶段，如果美国企业执行欧洲法院的判决，需要在基础设施上重新部署，也需要在技术上做出调整。这将会耗费大量的时间与金钱，部分美国企业可能因此撤离欧洲。