美国、欧盟、日本隐私政策解读

对于行为定向广告等通过cookie 等方式收集用户行为记录的行为，在欧盟是通过电子隐私指令（E-Privacy Directive）来进行管理的。

这一指令是2002 年制定的，当初采用的是主动退出（Opt-out）方式，即只要向用户提供其明确的使用目的及完整的信息，就允许使用用户终端上存储的信息，但必须对用户提供可拒绝使用的权利。

然而，2009 年这一指令进行了修订，改为采用主动许可（Opt-in）的方式来执行，即只有在向用户提供其明确的使用目的及完整的信息，并事先获得用户许可的情况下，才允许使用用户终端上存储的信息。

对主动许可方式的采用，自然而然地引起了在线广告业界的强烈反对。随后，以欧盟广告行业组织EASA（The European AdvertisingStandards Alliance）和IAB（InteractiveAdvertising Bureau Europe）为首，于2011 年4 月制定了一项以主动退出方式为基础的行业自主规范原则EASA Best Practice Recommendation on Online Behavioural Advertising（EASA 关于在线行为广告的最佳实践建议）。

不过，对于这一行业自主规范提案，欧盟数据保护工作组根据“数据保护指令”第29 条，于2011 年12 月出具了一份持反对态度的意见书“Opinion 16/2011 on EASA/IAB Best Practice Recommendation onOnlineBehavioural Advertising”，这一姿态意味着向整个行业说No。

欧盟一直以来奉行严格保护消费者隐私的政策，鉴于这一点，他们对于在线行为定向广告采用与美国不同的主动许可方式，也就可以理解了。

数据保护指令同样面临修订

刚才提到的“电子隐私指令”的基础，就是“数据保护指令”，而后者是在互联网刚刚兴起的1995 年制定的。毋庸置疑，在制定该指令的时候，不可能考虑到云计算、SNS、位置信息等服务的存在。于是，欧盟正在对该指令进行修订，并与2012 年1 月末发表了修订草案。下面我们来介绍一下草案中几个主要的修订之处。

（1）引入“被遗忘的权利”

对于用户的姓名、电子邮件地址、照片、在SNS 上发布的消息、使用的银行信息、健康信息、计算机的IP 地址等个人数据，当用户要求删除这些数据时，除非经营者有诸如报道目的等正当理由，否则必须从服务器上删除。

举个例子，比如在学生时代发布到Facebook 上面的信息，在找工作的时候可能会带来不利的影响，用户可以要求删除这些信息。

（2）在没有明确征得用户同意的情况下，禁止处理个人数据

在经营者使用用户数据时，必须以明确、易懂的形式将其目的事先告知给用户，并征得用户的同意。

（3）“数据可转移权”的制定

经营者必须允许用户容易地访问自己的数据，并允许用户将自己的数据从一个服务提供商转移到另一个服务提供商，比如在SNS 之间转移数据等情况。

（4）说明责任的扩大

使用个人数据的经营者，在对数据保护进行风险评估的同时，如果企业员工数量超过250 人，必须设置一名数据保护官（Data ProtectionOfficer）。

此外，Privacy by Design（即在服务设计开发阶段就要具备隐私功能）和Privacy by Default（即隐私的默认设置为“不公开”）原则也是必需的条件。

如果违反上述条款，将被处以100 万欧元，或者最高相当于公司全球营业额2% 的罚金。

在过去，个人信息一旦在网络上流出，就很难靠自己的力量收回来，但通过这次修订，个人对自己的信息拥有了适当的控制权，这意味着每个人的权力得到了加强。

乍看之下，感觉这一修订草案对于Facebook、Google+、LinkedIn等社交媒体经营者而言十分不利，不过欧盟也主张“通过提高消费者对在线服务的信任，可以刺激市场，促进业务发展，带动创新”。

另一关键点在于对个人数据的定义。在修订草案中，个人数据被定义为与数据主体相关的信息，其中数据主体中包含了位置数据、IP 地址、cookie 等网络上的识别符。在日本的个人信息保护法中，保护的对象是姓名、出生日期等可以识别特定个人身份的信息，而位置数据、IP 地址、cookie 本身并不属于这个范畴，因此个人数据的适用对象是有所区别的，希望大家注意。

该草案在获得欧盟成员国批准后，预计于两年后生效。不过，由于在欧盟范围内从事业务的欧盟外企业也是本指令的适用对象，一些美国企业也在欧盟积极开展游说活动，希望能够重新探讨其中对美国企业过于严格的一些规定，因此刚才所介绍的这些内容最终是否会生效，现在还是个未知数。

关于对日本的影响，1995 年制定的“欧盟数据保护指令”实际上是日本个人信息保护法制定的推动力，因此本次修订自然也可能会对日本带来影响。我们应该结合美国的情况，对这一法案的修订继续保持关注。

在日本需要考虑个人信息保护法及各行业领域的指导方针

在日本，个人信息保护的相关法律体系如图表6-4 所示。如果企业准备开展利用个人相关数据的业务，首先必须考虑的，就是个人信息保护法。此外，在民间业务中，信息通信、医疗、金融等业务领域中所涉及的个人信息的内容、性质、使用方法等都有所不同，因此由负责指导、监督各业务领域的各省厅（主务大臣）根据各领域的实际情况制定了相应的指导方针。因此，在参考个人信息保护法的同时，还需要参考各业务领域的指导方针。目前一共有针对27 个领域的40 部指导方针，主要的指导方针如图6-5 所示。

首先，作为大前提，个人信息的概念在个人信息保护法中是这样定义的。

“所谓个人信息，是指关于生存个人的信息，以及这些信息中所包含的姓名、出生日期及其他一些能够识别特定个人身份的描述（能够容易地与其他信息进行对照，并据此识别特定个人身份的信息也包括在内）。”

也就是说，和欧盟的思路不同，像商品的搜索记录、浏览记录、购买记录等行为数据，只要无法通过姓名等识别特定的个人，就不属于个人信息的范畴。

第15、16、18 条中规定，涉及个人信息的经营者“在个人信息的使用上，必须尽量确定使用的目的”，“在未事先征得本人同意的情况下，个人信息的使用途径不得超出限定范围”，“在获取个人信息时，除非事先公布其使用目的，否则必须尽快将使用目的告知本人，并进行公布”。这些规定与美国的“消费者隐私权法案”是共通的。

关于将个人信息提供给第三方的行为，在原则上，“涉及个人信息的经营者……在未事先征得本人同意的情况下，不得将个人信息提供给第三方”（第23 条），但是又规定了“如事先将下列项目告知本人，或者以本人容易知晓的状态进行发布……可以将该个人数据提供给第三方”。

· 将提供给第三方列入使用目的

· 公示提供给第三方的个人数据项目

· 公示向第三方提供数据的手段或方法

· 当本人提出要求时，能够停止将可识别本人身份的数据提供给第三方

也就是说，只要准备了用户可主动退出的手段，并将这些信息以本人容易知晓的状态进行发布，即便不征得本人同意，也可以向第三方提供个人信息。

原文发布时间为：2015-05-22

本文来自云栖社区合作伙伴“大数据文摘”，了解相关信息可以关注“BigDataDigest”微信公众号