域外观察 | 美国加州参议院通过“数据经纪人”相关修订条款 聚焦消费者集中行使删除权

全文约1300字，预计阅读时间8分钟

文 | 张君蔓 中国信息通信研究院互联网法律研究中心助理研究员

2023年5月31日，美国加州参议院通过对“数据经纪人”相关条款的修订（以下简称“本修订”）。2018年，加州消费者隐私法案 （California Consumer Privacy Act of 2018，“CCPA”）授予消费者被企业收集或出售的个人信息有关的各种权利，包括要求：（1）要求企业披露已收集的有关消费者的特定信息的权利；（2）要求企业应删除有关消费者的个人信息的权利；（3）要求企业不出售或共享消费者的个人信息等。同时，CCPA建立加州隐私保护局，并赋予该机构执行 CCPA 的相关权力。另外，CCPA要求数据经纪人需在加州司法部长处注册，并支付一定注册费、披露一定信息等。本修订针对数据经纪人做了如下更改：

一是变更数据经纪人管理机构。本修订将统筹数据经纪人相关规定，更改数据经纪人注册机构为加州隐私保护局，由加州隐私保护局收取注册费用，并维护数据经纪人信息公开网站。二是变更数据经纪人登记信息以及公开途径。数据经纪人登记时需要提供：（1）数据经纪人的名称、主要物理位置、电子邮件及网站地址；（2）收到隐私请求等内容的情况记录；（3）是否收集未成年人个人信息；（4）是否收集消费者精确地理位置信息、（5）是否收集消费者生殖与健康信息；（6）合规审计情况（从2029年起）；（7）数据经纪人网站的消费者行使个人信息权利相关途径页面等。数据经纪人的登记信息将由加州隐私保护局通过网站向公众披露。三是要求加州隐私保护局建立通用消费者个人信息删除机制及具体要求。一方面，本修订要求加州隐私保护局建立通用消费者个人信息删除机制，也就是允许消费者通过单次身份验证，则可以删除任何数据经纪人（包括其相关的服务提供者和合同方）持有的该消费者的个人信息。另一方面，明确前述通用消费者个人信息删除机制的具体要求。首先，本修订要求从2026年8月1日开始，数据经纪人至少每31天访问一次该系统，对消费者相关申请进行处理。其次，自2028年1月起，每三年数据经纪人需要向加州隐私保护局提交由独立第三方完成的审计报告以证明其履行了删除相关义务。最后，本修订授权加州隐私保护局向数据经纪人收取费用以使用该删除系统。

数据经纪人相关条款修订后，美国舆论存在两种完全相反态度。一方面，部分言论认为该法案落实了消费者个人信息删除权。加州参议员贝克（Josh Becker）介绍该法案时，也表示“本法案基于一个非常简单的前提，加州消费者应该可以控制谁访问他的个人信息以及利用他的个人信息的行为”。CCPA授予了消费者个人信息删除权，但前提是消费者可以知悉处理其个人信息的公司名称、联系方式等信息，并单独联系每个这样的公司对其个人信息进行删除，这显然可操作性很低。另外，部分言论认为由于个人信息大量流通导致了当前日益严重的隐私犯罪。另一方面，部分言论认为该法案将严重打击数据经纪人产业。部分数据经纪人表示，他们通常只提供无法识别到个人的信息数据，该法案无法改变隐私泄露相关问题，并且会很大程度上限制行业的发展。另外，联邦执法人员协会主席拉里·科斯梅（Larry Cosme）表示该法案将对刑事调查产生严重影响。国土安全部退休人员相关人员表示，来自数据经纪人服务的信息帮助解决和预防剥削儿童的相关案件，而此删除机制可能导致该目的无法实现。

END

往期精彩回顾