美國數據隱私立法發展及對數字經濟的啟示

袁衛平 卞麗娟

1.國家計算機網絡應急技術處理協調中心江蘇分中心；2.國家計算機網絡應急技術處理協調中心福建分中心

0 引言

美國聯邦憲法沒有直接規定隱私權，但通過1965 年的格里斯沃爾德訴康涅狄格州案確立了隱私權受憲法保護。隨著數字經濟的發展，數據安全和個人信息越來越受到關注和重視，日漸融入到隱私權的范疇。2018 年以來，谷歌、Meta、推特、亞馬遜等科技巨頭頻頻曝出個人信息泄露事件，加之歐盟《通用數據保護條例》（簡稱GDPR）的出臺，極大地刺激了美國社會的敏感神經，激起數據隱私立法的強烈需求和愿望，隱私保護立法被推至空前的高度。

1 美國數據隱私立法的歷程和趨勢

1.1 聯邦隱私立法迭代推進

隱私保護序幕開啟階段。20 世紀60-70 年代，計算機的出現以及信貸數據的廣泛收集和共享引發美國社會較大規模的隱私權討論，尤其是水門事件暴露出聯邦機構對個人信息的監控以及政府越來越多地存儲和檢索個人信息所帶來的危害，于是《隱私法案》應運而生，以平衡政府維護個人信息和保護信息隱私的關系。1986 年以后，美國先后出臺《電子通信隱私法》《計算機匹配與隱私權法》《兒童在線隱私保護法》《電子政府法》等法律，滿足了“公民的隱私期望和執法的合法需要”，保護信息化時代公民的隱私。

網絡隱私保護加強階段。奧巴馬政府先后推出《消費者隱私權利法案》2012 版本和2015 版本，為消費者隱私保護建立一個全面的基準框架，要求利益相關方制定可執行的隱私準則，以期填補美國當時隱私立法的空白。2016 年10 月，美國聯邦通信委員會（FCC）通過了新的隱私規則，要求互聯網服務提供商在使用或共享個人敏感信息之前須獲得用戶的明確同意。特朗普上任后，政府與立法機構均希望出臺新的聯邦法律來保護消費者的網絡隱私，但成果寥寥。

聯邦隱私立法推進階段。2019 年以來，美國立法者先后提出了數十部聯邦數據隱私法，如美國參議員Edward J.Markey 提出《隱私權法案》，眾議院議員Anna G.Eshoo、Zoe Lofgren 先后于2019 年和2021 年提出《在線隱私法》，參議員Jerry Moran 提出《消費者數據隱私和安全法案》，參議員Roger Wicker 和Marsha Blackburn 提出《制定美國框架以確保數據訪問、透明度和問責制》等，旨在創建聯邦隱私法框架，平衡企業的實際需求與消費者的隱私權和期望，為消費者提供更多的數據選擇和控制權。2021 年7 月9 日，拜登總統簽署《促進美國經濟競爭的行政命令》，鼓勵美國聯邦貿易委員會（The Federal Trade Commission，FTC）就可能損害競爭、消費者自主權和消費者隱私的不公平數據收集和監控做法制定法規以促進競爭，是美國保護消費隱私的最新努力。

1.2 州隱私立法帶來刺激效應

美國并未制定專門的聯邦數據隱私法，給各州留下了充足的立法空間。歐盟發布GDPR 僅一個月后，美國加利福尼亞州于2018 年6 月28 日通過了《加利福尼亞州消費者隱私法案（2018）》（CCPA），成為美國第一個出臺專門的、全面的消費者隱私法的州。該法案被稱為加利福尼亞州版GDPR，賦予消費者十余項個人信息權利，適用于為加利福尼亞州居民提供服務的任何企業。2020 年11 月3 日，加利福尼亞州通過選民投票的方式繞過立法機構通過了CCPA 2.0版本——《加利福尼亞州隱私權法案》，在原法案的基礎上進行了修訂和完善，設立隱私保護局負責CCPA 的實施和執行。這兩部法律共同構成了加利福尼亞州消費者隱私法體系，成為目前為止美國隱私保護最全面、水平最高的法律，對其他州和聯邦隱私立法產生了重大影響，引發了多米諾骨牌效應。

2021 年3 月2 日，弗吉尼亞州州長簽署了《弗吉尼亞消費者數據保護法》，該法以篇幅簡潔著稱，給予了受監管方足夠的合規準備時間，具有較高的“友好度”，獲得了科技行業貿易團體以及亞馬遜和微軟等企業的支持。2021 年7 月8 日，科羅拉多州州長簽署了《科羅拉多州隱私法案》，賦予消費者六項個人信息權利，規定了企業處理個人信息的責任和義務。2022 年3 月24 日，猶他州州長簽署了《猶他州消費者隱私法案》，確立了消費者訪問、刪除個人信息等多項權利，規定了信息控制者和處理者多項義務和隱私聲明要求，并設立專門部門負責消費者投訴。

自2018 年以來，美國已有34 個州通過或提出了72 項隱私法案，至少24 個州在2022 年的立法會議期內引入了全面的隱私法，預計未來1-2 年內會有更多的數據隱私法正式出臺或更新。此外，美國部分州還出臺或提出了電子信息隱私法、生物特征信息隱私法、數據泄露披露法、人臉識別服務法等法律。這些法案或聚焦具體服務、或針對特定領域、或突出某一項消費者權利，進一步完善了消費者隱私保護制度。

2 美國數據隱私立法的特點分析

2.1 數字經濟隱私需求增加促進隱私權利運動

在數字經濟時代，許多新應用、新模式都是對個人信息的新穎開發，加劇了創新和隱私之間的矛盾。2018 年以來，美國科技公司頻繁發生數據泄露事件。根據FTC 發布的《隱私與數據安全報告》，截至2020 年，FTC 進行了80 起一般隱私訴訟，涉及臉譜網、劍橋分析公司、Paypal 等知名企業。臉譜網發生的大規模數據泄露事件更是轟動全球，給各國數據安全敲響了警鐘。畢馬威2021 年進行的一項調查顯示，70%的商業領袖增加了對消費者個人數據的收集，86%的消費者日益關注數據隱私，消費者對公司收集和使用數據表達了明顯的不信任態度。消費者日益關心個人數據隱私的收集和使用，對既有的隱私法規和行業隱私條款提出質疑，要求加強消費者隱私保護。美國政府和執法機構意識到保護數據安全和個人隱私的迫切性，著力在國會推行立法限制科技公司對隱私的收集和使用，加強對消費者數據隱私的保護。拜登總統發表上任以來的首次國情咨文演講提到加強隱私保護，將保護兒童在線隱私納入國家統一議程，由此可見美國政府對隱私保護的重視。隱私危機感陡增讓一場數據隱私保護的權利運動正在上演。

2.2 州隱私合規成本高昂倒逼聯邦立法提速

隨著越來越多的州出臺數據隱私法，數字創新、企業發展也越來越受到監管不確定性帶來的困擾。州隱私法每年可能施加980 億-1120 億美元的州外成本，小企業每年要擔負20億-230億美元壓力。雖然聯邦隱私法仍會給企業帶來成本負擔，但一項針對具體隱私損害而不是假設性損害、提高透明度要求、加強監督和執法以及最大限度地減少對數據使用限制的有針對性的法律，每年的成本約為60 億美元，比仿照歐盟或加利福尼亞州的法律少20 倍。美國商會致信國會議員，認為各州隱私法在定義、范圍、職責和執法方面存在差異，造成消費者和企業的混亂，威脅創新和數字生態系統，而一項對企業明確、公平并賦予消費者權利的國家隱私法將起到促進作用。美國多項民調結果反映了社會對聯邦隱私法的期待，Morning Consult 在2021 年4 月進行的民調顯示，86%的民主黨人和81%的共和黨人表示，國會應在2021 年將隱私作為“首要”或“重要但較低”的優先事項，72%的受訪者表示國會負責規范數據收集，而各州的這一比例為75%。Morning Consult 和Politico 在2022 年1 月進行的民意調查顯示，56%的受訪者支持聯邦數據隱私立法。聯邦數據隱私立法的主要目的是為數據隱私保護建立一個明確的國家標準，保護用戶數據隱私并鼓勵創新。各利益攸關方就隱私權利的聯邦標準正趨于達成一致，但在具體操作、監管和執法等方面存在爭議，突出表現在隱私權適用范圍、消費者隱私權限、企業隱私義務、隱私執法協調、隱私訴訟等方面。

2.3 科技公司積極參與引導和影響隱私立法

科技公司認為美國在數據隱私立法方面處于落后水平，跟不上數字經濟發展步伐，為此他們憑借自身的影響力，正在干預和引導隱私政策的制定。谷歌發布《負責任的數據保護法規框架》，督促國會起草針對網站如何收集用戶數據并從中獲利的行為的立法，呼吁允許用戶方便地訪問和控制收集到的數據，并要求數據操作保持透明。微軟首席隱私官Julie Brill 呼吁國會采用類似GDPR 的隱私框架，以反映世界對隱私權不斷變化的理解，維護基本的隱私權。美國科技公司甚至采取“政治獻金”的方式游說出臺符合自身利益或對行業有利的隱私法。路透社的一份審查報告揭露，亞馬遜在四年時間里將政治捐款增加了十倍，并成功說服弗吉尼亞州立法者通過了一項由亞馬遜自己起草的隱私法案，不僅如此，亞馬遜還影響了加利福尼亞州和華盛頓州等20 多個州的數據隱私立法，目的是保護公司獲取詳細消費者數據的權利。美國行業組織TechNet和國家隱私與安全聯盟（SPSC）在國會推出隱私法“遙遙無期”之際，游說州議會通過被批評人士稱為軟弱無力的隱私法案，以阻止個別州采取更強硬的措施，畢竟遵守一部法律比遵守數十部不同的法律容易得多。

2.4 價值觀和話語權成為隱私立法的核心考量

根據聯合國貿易和發展會議（UNCTAD）數據，全球有137 個國家制定了數據保護和隱私法。美國數據隱私立法主要圍繞行業和領域，沒有形成統一標準，難以達到GDPR 的效力，使得美國在全球個人數據保護的標準制定方面落后于歐盟。此外，GDPR 是歐盟推行隱私權利觀和標準、維護數字主權的標志性產物，已經成為了全球數據保護的標桿，大多數國家的數據隱私立法都將歐盟作為參照。國家數據隱私標準的缺失造成了信任赤字，削弱了美國企業在全球市場中的競爭力和美國的全球領導地位。面對全球互聯網發展帶來的新形勢、新變化以及新興國家網絡能力的崛起，美國不希望成為隱私權全球劇本的旁觀者，更希望制定反映美國價值觀、維護美國競爭力的隱私法規。奧巴馬時期就認為，美國有責任做在歷史上做過的事情：將美國永恒的隱私價值觀應用到美國時代的新技術和新環境中。美國認為自己應該擔起領導者責任，與有共同價值觀的盟友一道推動全球數據隱私立法的發展，以促進數字和貿易的全球合作。

3 數字時代數據隱私立法啟示

3.1 完善數據隱私立法，加強隱私監管協調

十八大以來，我國加大個人信息和數據保護立法，《網絡安全法》《數據安全法》《個人信息保護法》等基本法相繼出臺，《電信和互聯網用戶個人信息保護規定》《互聯網信息內容管理行政執法程序規定》《網絡信息內容生態治理規定》等配套法規相繼發布，為消費者數據隱私保護提供了強有力的法律保障。但我國隱私保護仍面臨個人信息被廣泛收集、濫用的挑戰，隱私保護任重道遠。一是落實既有個人信息和數據安全法規，加大對個人信息和數據保護的宣傳，樹立尊重隱私、維護數據安全的良好社會風氣。不斷改革完善配套法規政策和措施，分行業、分領域制定更為精細的法規、制度和框架，以適應和促進數字經濟的發展，如面部識別、算法推薦等可能對數據安全和隱私帶來挑戰，需要進行立法研究。二是加強數據隱私執法機構和協調機制建設。我國已經建立了較為完善的網絡治理和內容管理的組織機構和協調機制，但涉及個人信息保護的監督執法力量較為分散，應設立權威的隱私執法機構或完善數據隱私保護協調機制。三是樹立“重典治理”權威，嚴厲懲處造成嚴重后果或不良社會影響的隱私違法行為。

3.2 把握隱私執法尺度，實現監管創新平衡

數據隱私法是法律底線和原則約束，應該成為促進數字經濟平穩健康、長效發展的利器，在實際操作中決不能將發展和保護割裂開來。數據的開發利用需要在遵循隱私規定、保護數據安全的前提下進行；適當的隱私法規和執法力度能夠更好地激勵網絡運營商開發新產品和服務，豐富數字經濟業態。實際上，我國兼收了歐盟和美國的立法實踐，在立法層面強調隱私權利的重要性，在實踐層面則采取了更多的寬容做法，以支持企業的數字創新和發展。這要求在國家標準或框架下，根據不同類型的數據及其收集環境量身定制規則，把握隱私執法尺度，努力在保護個人隱私、數據安全與促進數據流通、激勵數字創新之間建立平衡。一方面，大型企業掌握了大量的數據，是數據隱私監管的重點對象。另一方面，需建立合理隱私期待或“經規劃的隱私”機制。信息的敏感性程度不同，信息處理對個人隱私造成的風險大小也存在差異?，F實生活中，有不少消費者選擇提供不太敏感的信息以換取免費服務或折扣，而對于敏感個人數據則期待更高的保護措施。數據和隱私的分級分類或將成為平衡監管和創新的新途徑，但將對立法和監管提出更高的要求。

3.3 參與隱私規則制定，維護數據主權利益

美國憑借數字優勢、歐盟依仗立法權威正在全球范圍內塑造維護數據主權和保護隱私的領導者形象。這一特點在全球組織中得到了充分的體現。經合組織（Organization for Economic Co-operation and Development，OECD）制定的《關于保護隱私和個人數據跨境流動的指導方針》為建立隱私有效保護和信任、促進跨境數據流動、制定通用國際方法奠定基石，被公認為隱私和數據保護的全球最低標準。亞太經濟合作組織（Asia-Pacific Economic Cooperation，APEC）的《APEC 隱私框架》強調成員經濟體之間隱私框架的“互操作性”，符合亞太地區隱私保護核心價值觀。聯合國推出的《個人數據保護和隱私原則》強調尊重個人隱私權，旨在統一聯合國各組織個人信息保護標準。我國正處于全球數字化的十字路口，應該要在全球數據隱私治理中發揮積極作用。一是宣傳我國數據隱私保護的理念，輸出數據隱私立法成果，加強數據安全和隱私保護國際交流與合作，堅決維護數據主權和數字利益，提升在數據安全和隱私保護國際標準制定方面的影響力。二是積極參與全球經貿組織的數據隱私規則制定，適當調整數據隱私規則，如在跨境數據流動問題上兼顧數據進出口的平衡發展，構建協調各方利益、符合國家戰略的統一框架，以彌合結構性不平衡等問題帶來的數字鴻溝。

4 結束語

網絡時代隱私泄露成為全球性問題，加強消費者隱私立法和監管已經成為共識。正如互聯網是建立在自由基礎上的帶有約束性的虛擬空間一樣，隱私保護和創新發展也有著同樣的邏輯。美國加強數據隱私立法是順應數字經濟發展，維護美國網絡空間利益的舉措。我國應該審慎對待隱私保護，提前布局謀劃，為數字安全保駕護航。