欧美数据传输新突破：初步达成协议，美承诺限制信号情报活动
在数据传输问题上，欧盟和美国长达数年的博弈取得了新进展——近日，欧美就跨大西洋数据隐私协议达成一致。新的数据传输协议明确，数据能够在欧盟和美国之间自由、安全地流动，同时，美国方面承诺实施改革，以加强信号情报的隐私和公民自由的保护力度。
美国总统乔·拜登与欧盟委员会主席乌尔苏拉·冯德莱恩（图源：美联社）
“该框架强调了我们对隐私、数据保护和法治的共同承诺，并将允许欧盟再次授权跨大西洋数据流动，这有助于促进与欧盟建立 7.1 万亿美元的经济关系。 ”美国总统乔·拜登（Joe Biden）在与欧盟委员会主席乌尔苏拉·冯德莱恩（Ursula von der Leyen）的联合新闻发布会上说道。
欧盟美国就数据传输达成新协议
3月25日，欧盟委员会和美国就跨大西洋数据隐私框架达成一致，该框架将促进跨大西洋数据流动，同时解决2020年7月欧美之间数据传输协议“隐私盾”（Privacy Shield)被判无效问题。
“新框架标志着美国方面前所未有地承诺实施改革，以加强美国信号情报活动隐私和公民自由的保护力度。”欧盟方面表示。“信号情报”（ SIGINT）是指通过故意安排的信息接收器、特殊的技术传感器等方式手段来获取情报，包括通信情报（COMINT）、电子情报（ELINT）以及量度与特征情报（MASINT）系统。
新协议建立了哪些原则？首先，基于新的框架，数据能够在欧盟和美国之间自由和安全地流动；美国将实施新的保障措施，以确保信号情报监视活动在国家安全方面是必要且相称的；同时，建立具有指导补救措施且具有约束力的两级独立补救机制，加强对信号情报活动的严格分级监督，以确保对监视活动的限制。
美国白宫在一份情况说明中表示，在欧洲人认为自己隐私受到侵犯时，上述协议可以让他们采取救济措施，包括“独立的数据保护审查法院”等渠道。
欧盟方面则表示，新框架对于保护公民权利和促进所有经济部门的跨大西洋贸易至关重要，包括中小企业在内。通过促进跨境数据流动，新框架将促进包容性的数字经济，让所有人都能参与其中，使得所有国家的各种规模的公司都可以蓬勃发展。
同时，欧盟方面表示，美国政府和欧盟委员会的团队现在将继续合作，并把这一安排转化为需要双方通过的法律文件，以落实这一新的跨大西洋数据隐私框架。美国的上述承诺也将落实到一项行政命令中，此命令将构成欧盟委员会的评估基础。
Facebook 的母公司 Meta 一个月前曾表示，如果欧盟和美国政府不解决数据传输方面的分歧，它可能会关闭其在欧洲的服务。谷歌的高级律师曾敦促“迅速采取行动，恢复一个既保护隐私又促进经济繁荣的实用框架。”
对于这份新协议，Meta全球事务总裁尼克·克莱格（Nick Clegg）在推特上写道，“随着对全球互联网碎片化的担忧日益增加，这项协议将有助于保持人们的联系和服务的运行……这将为包括 Meta 在内的各种规模的美国和欧洲公司提供宝贵的确定性，这些公司依赖于快速安全地传输数据。”
不过，隐私活动家马克斯·施雷姆斯（Max Schrems）对这份协议持怀疑态度，他表示，他的组织将仔细分析协议细节，“如果它不符合欧盟法律，我们或其他团体可能会挑战它。”
2013年，在“棱镜门”计划被前美国中情局雇员斯诺登揭露后，施雷姆斯向Facebook欧洲总部所在地爱尔兰的数据保护委员会进行投诉，称美国情报机构访问其个人数据的行为未践行美国法律及惯例所声称的相应保护，并要求停止对其个人数据进行跨境传输。
在施雷姆斯诉Facebook第一案中，“安全港”协议被欧盟法院宣判无效。在第二案中，“隐私盾”协议同样被判无效。
数据跨境协议“隐私盾”曾被判无效
两年前的一项“重磅”裁决，改变了欧盟与美国之间的数据传输方式。
2020年7月16日，欧盟法院判决已实施了四年的“隐私盾”无效。法院认为，在该协议下，美国情报机关仍有可能获取用户信息，欧盟公民的个人数据无法得到应有的保护。
受此判决影响，在“隐私盾”框架下获得认证的5384家公司需重新考虑跨境数据传输机制，除了Facebook、亚马逊、微软、华为、花旗银行等大公司，占比过半的中小型企业将面临更大的挑战。
对此，美国商务部长罗斯当时曾表示，美国对该裁定“深感失望”，“希望将高达7.1万亿美元的（跨大西洋）经济关系的负面影响降到最低。”
隐私盾协议由欧盟委员会和美国商务部于2016年签署，美国企业可以向美国商务部要求认证，通过公开承诺遵守“隐私盾”框架的所有要求，以获得欧盟的“豁免审查”资格，让数据得以自由地在欧美之间跨境传输。
虽然“隐私盾”被判无效，但欧盟法院还支持另一种数据传输协议——标准合同条款。据了解，Facebook、微软等科技公司和其他银行、航空巨头公司都在广泛使用这些标准合同条款，他们受到的影响较小。但是，占比达65%的中小企业或初创企业将面临更大的挑战。
2020年7月25日，欧盟数据保护委员会对裁决进行了说明，其中明确，即使企业已使用标准合同条款，也应当“一事一议地对数据传输行为进行验证审核”，并可能需要加入额外的保护措施，以确保能够对欧盟个人数据提供充分的保护。如果不符合要求，那么即便有标准合同条款，监管机构仍可以暂停或禁止相应的数据传输。
据了解，“隐私盾”协议的前身——2000年欧美签署的“安全港（Safe Harbor）”协议也遭遇了同样的命运，事件起因也一脉相承，都是因为奥地利律师、隐私活动家施雷姆斯诉Facebook的系列案件。
北京清律律师事务所顾问、美国纽约州执业律师白一方曾解释道，欧盟法院裁决的背后，反映出欧美之间对于数据以及隐私保护存在基础性差别。欧盟将数据、隐私保护作为基本人权，美国则把个人数据作为准个人财产而生成的财产性保护。
“可以确定的是，即使隐私盾协议已经被宣布无效，欧美作为经济往来密切的伙伴，不可能因此停止经济、外交等各个方面的交往。”在谈及“隐私盾”被判无效问题时，对外经贸大学数字经济与法律创新研究中心主任许可曾对南都记者说，“他们会重新回到谈判桌前”。
综合·编译：南都记者 孙朝
扫码请关注公招网微信公众号