查看原文
其他

欧盟“技术主权”进展 | 关于数字平台监管的建议

洪延青 网安寻路人 2022-03-20

编者按:

2020年2月份,欧盟委员会一口气发布了三份重要的数字战略文件:


  • 《塑造欧洲的数字未来》(Shaping Europe’s digital future)

  • 《人工智能白皮书》(White Paper on Artificial Intelligence)

  • 《欧洲数据战略》(European Data Strategy)


DPO社群组织力量全文翻译了上述三份文件,同时撰写了对这三份文件的评论分析文章,详见:



除此之外,本公号还编译了以下欧盟技术主权相关进展的报道:



本篇文章编译欧盟和一些其他国家关于监管数字平台(digital platforms)的重要报告及其要点,供大家参考。


在西方,对科技巨头“做点什么”的呼声越来越高。迄今为止,从欧盟委员会和几个国家的竞争主管部门近期发布的重要报告来看,虽然没有所谓拆分科技巨头这样颠覆性的措施建议,但从监管者在“数字平台监管”这个议题上花的时间或精力来看,往后十年内数字平台所适用的游戏规则将会有实质性的变化。


本文重点关注五份重量级的报告:

 

  • "数字时代的竞争政策",或称为"维斯塔格报告"(Competition policy for the digital era, or the Vestager Report);


  • "释放数字竞争",或称为"福尔曼评论"(Unlocking Digital Competition, or the Furman Review);


  • "竞争政策和欧盟的战略利益",或称为"法国报告"(Competition Policy and the EU’s strategic interests, or the French Report);


  • "数字经济的新竞争框架",或称为"德国报告"(A new competition framework for the digital economy, or the German Report)

     

  • "斯蒂格勒数字平台委员会,市场结构和反垄断小组委员会"或"斯蒂格勒报告"(Stigler Committee on Digital Platforms: Market Structure and Antitrust Subcommittee’ or ‘the Stigler Report’)


总的来说,欧盟委员会和一些国家竞争主管部门的报告都在提出理由,要求采取更积极的监管措施,以增加数字平台的竞争和市场竞争。


这些报告,在普遍承认数字平台带来的巨大好处,但也指出了对数字平台的各种关切。其中一个问题是,数字市场的特点意味着市场中的主要参与者往往享有持久的市场力量。例如,在线平台可能表现出强大的网络效应,它们向消费者提供免费的中介(匹配) 服务,并依靠大数据作为关键的生产投入。


首先,本文讨论五份报告中关于何时应当通过公权力对数字平台进行干预的阐释。其次,本文总结五份报告中提出的补救措施,重点是互操作性和数据共享、行为守则、对事后竞争规则的修改和合并控制;

 

干预的门槛


在审视数字平台市场的干预类型之前,先要问一问什么时候应该进行这种干预,哪些公司应该被纳入干预范围。划定这条线是一项复杂的工作。关键是要确保,无论最终划定的界线在哪里,所有公司都有合理程度的确定性——即知道自己在界线的哪一边。这就需要有一个明确的、定义清晰的法律检验标准,为企业提供一个“门槛”。过了这个门槛,数字平台的经营者就可能会受到事前监管义务(ex ante regulatory obligations)的影响。

 

关于"支配地位和重要市场力量”(dominance and significant market power, SMP)的法律和监管结论,传统上是作为干预的门槛(分别通过事后竞争规则或事前管制)。这两个概念都要求明确界定相关市场。

 

一些国家竞争主管机构已经提出了额外的干预标准,如经济依赖性标准(economic dependency)。例如,在德国《反限制竞争法》(the Act against Restraints of Competition)第20条规定了一个"经济依赖性"标准。德国的标准认为,如果相对市场力量存在实质性差异的情况下,绝对的市场力量可能不是竞争扭曲发生的一个必要条件。要确定经济依赖性,较小的公司(即可能的受害者)必须没有合理的可替代的贸易伙伴。其他以类似方式惩罚滥用经济依附关系的国家有奥地利、比利时、塞浦路斯、法国、匈牙利、意大利和葡萄牙。

 

在英国,"福尔曼评论"提出其所罗列的补救建议,适用于具有“战略市场地位”的公司(strategic market status, SMS)。"福尔曼评论"报告本身并没有详细界定这一门槛。不过,报告描述了具有战略市场地位的公司应具备的一些特征,包括:


  1. 在战略瓶颈上具有持久的市场力量。

  2. 控制他人市场准入的能力。

  3. 有能力收取更高的费用。

  4. 能够操纵排名或市场突出性。

  5. 影响他人声誉的能力;

 

其他报告也讨论了在适用新法规前必须达到的标准。"德国报告"坚持支配地位的概念(the concept of dominance)来确定哪些网络平台应该遵守新的行为准则。"斯蒂格勒报告"主要讨论了在判断限制竞争行为时所出现的假阴性和假阳性之间的平衡。它还对"瓶颈公司"进行单独讨论,并建议由尚未成立的"数字管理局"进行某些类型的监管。

 

"维斯塔格报告"对竞争分析的总体框架又作了一次修改。它建议:鉴于难以衡量消费者的损害,即使在无法精确衡量消费者损害的情况下,只要没有明确的证据能证明消费者福利收益,即应禁止旨在减少竞争压力的经营策略。这就需要在占支配性地位的数字平台做法进行制裁,只要这些行为具有"排除竞争者的潜力"或"限制竞争的倾向"。

 

互操作性和数据共享


数据移动性或可携带性,经常被作为对抗数字平台支配性地位的工具而被提及。理论上,数据的移动性或可携带性可以有助于降低转换成本、促进进入和缓解锁定效应。这将增加市场的竞争性。多份报告(包括"维斯塔格报告"、"福尔曼评论"和"斯蒂格勒报告")提倡增强系统的互操作性和更大程度的个人数据移动性,以增加竞争和消费者的选择,例如通过一个通用的应用程序接口

(API)。

 

"维斯塔格报告"建议对支配性平台制定严格的数据可移植性规则,以方便消费者转换。GDPR第15条已经在这个方向上迈出了一步,让消费者对他们的个人数据拥有更大的控制权。"维斯塔格报告"指出,用特定行业的法规或适用《欧盟运作条约》第102条,与数据可携带规则相互配合,可能会产生积极的效果。根据《欧盟运作条约》第102条,竞争法院或当局需要具体说明企业在哪些情况下可以访问占支配地位的企业的数据(并具体说明他们可以访问的数据)。

 

"德国报告"提出,支配性平台有义务允许用户以可互操作的数据格式实时转移其使用数据,并确保与配套服务的互操作性。

 

在竞争执法方面,"斯蒂格勒报告"走得更远。它建议允许美国联邦贸易委员会访问支配性平台的内部数据库和研究报告;利用这些数据对平台的影响进行自己的研究;并放宽独立研究人员对数据的访问。

 

适用支配性平台的行为准则


"福尔曼评论"建议制定一项竞争行为守则,适用于具有战略市场地位的公司,并与它们合作制定。这将导致事先商定对待较小公司的行为规则,以避免冗长和不确定的反托拉斯程序。

 

同样,"维斯塔格报告"和"德国报告"表示,支配性平台有责任制定自己的规则,使其在没有客观理由的情况下不妨碍竞争。"维斯塔格报告"和"德国报告"建议的规则包括禁止自我偏向、对端口数据应用机制和促进互操作性。对于非主导平台,没有必要制定新的规则。


有人呼吁制定遵循"参与性反托拉斯"概念的行为守则。该词出自Jean Tirole教授之手,指的是企业积极参与设计自己的监管。在数字市场中,这种行为守则将激励公司参与,因为它们将受益于允许它们创新的明确规则。而没有更广泛的反托拉斯规则可能带来的不确定性。

 

参与式反托拉斯在实践中究竟会是什么样子还有待具体厘清。"福尔曼评论"认为,行业各方、消费者组织和其他受影响的利益相关者应参与设计拟议的参与式监管模式。

 

参与性反托拉斯的批评者认为,参与者可以利用这一进程为自己的利益服务。"福尔曼评论"承认,限制自己的行为可能不符合企业的自然激励;因此,当"参与式方法无效" 时,还需要有监管执法的空间。

 

修改事后竞争规则


许多报告和评论者都对处理反竞争协议或滥用支配地位的竞争规则,提出了一些修改意见,以解决数字平台问题。具体而言,"福尔曼评论"建议更有力地使用临时措施,以防止在调查案件时损害竞争的发生。一般来说,目的应该是加快程序,集中精力对反竞争行为进行补救,而不是依靠罚款,以及"停止和终止"的决定。

 

对于一个占支配地位的纵向一体化平台的自我偏向,或在网络效应强、进入壁垒高的市场中的其他行为,"维斯塔格报告"建议:占支配地位的平台应承担举证责任,以证明其行动是有利于竞争的。这与上文讨论的"德国报告"中的建议相类似。 


关于掠夺性定价,"斯蒂格勒报告"建议调整法律,以便对数字平台进行有意义的评估。


合并监管和准则的变化


除了上述考虑之外,监管当局还指出,合并是一个令人关切的问题。他们提出的一个问题是,目前评估合并的框架是否合适。

 

"法国报告"建议制定具体的准则,并采用第二意见程序来评估效率。"德国报告"建议在欧盟一级对数字时代中新形式的商业合作实行自愿通知程序。这将使企业能在比目前更短的时间内收到裁决。它还建议制定基于数据的、基于创新的、考虑企业集团的危害评估,制定准则。

 

"福尔曼评论"建议对英国竞争和市场管理局(CMA)的合并准则进行审查。特别是,它对以下事实提出了质疑:根据目前的框架,竞争和市场管理局只有在它认为较小的公司"更有可能"成功地成为竞争者的情况下,才能阻止一项合并。作者认为,这种做法"过于谨慎"。相反,报告呼吁CMA评估是否:总的来说,考虑到影响的规模和可能性,合并预期是有利还是有害。

 

"维斯塔格报告"提出了一套新的问题来评估涉及支配性平台或生态系统的收购:

  1. 收购方是否受益于与网络效应或数据使用有关的进入壁垒?

  2. 目标是否是技术/用户空间或生态系统中潜在或实际的竞争制约因素?

  3. 取消这种做法是否会增加这一领域的市场力量,特别是通过增加进入壁垒?

  4. 如果是这样,合并是否有效率上的理由?

 

与其关于滥用支配地位的建议相一致,"维斯塔格报告"建议,当占支配地位的平台参与收购时,转移举证责任或放宽举证要求。


简短的结论


很难说上面讨论的报告中的建议将如何进入未来的欧洲监管框架。报告特别关注数据共享和互操作性,认为这是可以提高竞争性的补救办法。同样,关于适用新的干预规则和门槛的讨论也很突出。其他领域改革的建议,如改变指导合并控制的规则,或将举证责任转嫁给平台,以证明其行为有利于竞争,发展较慢,只在部分报告中出现。鉴于数字平台是超越国界的,监管的一致性是避免整个欧洲竞争格局扭曲的关键部分。




数据保护官(DPO)社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时,DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月,DPO社群举行了第一次线下沙龙。沙龙每月一期,集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下:


DPO社群成果

  1. 印度《2018个人数据保护法(草案)》全文翻译(中英对照版)(DPO沙龙出品)

  2. 巴西《通用数据保护法》全文中文翻译(DPO沙龙出品)

  3. 美国联邦隐私立法重要文件编译第一辑(DPO沙龙出品)

  4. 《非个人数据在欧盟境内自由流动框架条例》全文中文翻译(DPO沙龙出品)

  5. 第29条工作组《对第2016/679号条例(GDPR)下同意的解释指南》中文翻译(DPO沙龙出品)

  6. 第29条工作组“关于减轻对处理活动进行记录义务的立场文件”(DPO沙龙出品)

  7. 第29条工作组《第2/2017号关于工作中数据处理的意见》(DPO沙龙出品)

  8. “美国华盛顿哥伦比亚特区诉Facebook“起诉书全文翻译(DPO沙龙出品)

  9. 第29条工作组《关于自动化个人决策目的和识别分析目的准则》(DPO沙龙出品)

  10. 法国数据保护局发布针对与商业伙伴或数据代理共享数据的指南

  11. 第29条工作组《数据可携权指南》全文翻译(DPO沙龙出品)

  12. 德国联邦反垄断局对Facebook数据收集和融合行为提出严格限制(DPO沙龙出品)

  13. 德国联邦反垄断局审查Facebook数据收集融合行为的背景情况(DPO沙龙出品)

  14. EDPB“关于《临床试验条例》与GDPR间相互关系”意见的全文翻译(DPO沙龙出品)

  15. 第29条工作组关于GDPR《透明度准则的指引》全文翻译(DPO沙龙出品)

  16. “108号公约”全文翻译(DPO沙龙出品)

  17. 美国司法部“云法案”白皮书全文翻译(DPO社群出品)

  18. EDPB关于GDPR中合同必要性指引的中文翻译(DPO沙龙出品)

  19. 新加坡《防止网络虚假信息和网络操纵法案》中文翻译(DPO沙龙出品)

  20. 英国ICO《广告技术和实时竞价的更新报告》中译文(DPO社群出品)

  21. “FTC与Facebook达成和解令的新闻通告”全文翻译(DPO社群出品)

  22. CJEU认定网站和嵌入的第三方代码成为共同数据控制者(DPO沙龙出品)

  23. FTC与Facebook“2019和解令”全文翻译(DPO社群出品)

  24. 英国ICO《数据共享行为守则》中译文(DPO社群出品)

  25. “hiQ Labs诉LinkedIn案上诉判决”中译文(DPO社群出品)

  26. 法国数据保护监管机构(CNIL)有关cookies和其他追踪方式的指引(全文翻译)

  27. 美加州消费者隐私法案(CCPA) 修正案汇总中译文(DPO沙龙出品)

  28. FTC“首次针对追踪类App提起诉讼”的官方声明中文翻译(DPO社群出品)

  29. ICDPPC关于隐私和消费者保护、竞争维护交叉问题决议的中文翻译(DPO社群出品)

  30. 德国关于确定企业GDPR相关罚款数额官方指南的中文翻译(DPO社群出品)

  31. 亚洲十四个国家和地区数据跨境制度报告中译本(DPO社群出品)

  32. 印度《个人数据保护法》(2019年草案)全文翻译(DPO社群出品)

  33. 法国数据保护局(CNIL)关于人脸识别报告的中译文(DPO社群出品)

  34. AEPD和EDPS | “哈希函数简介——用于个人数据假名化技术”中译文(DPO社群出品)

  35. 欧盟基本权利局“人脸识别技术”报告中文翻译(DPO社群出品)

  36. 联合发布 |《2020数字医疗:疫情防控新技术安全应用分析报告》

  37. 技术主权视野下的欧盟数字化转型战略探析(DPO社群出品)

  38. EDPB《车联网个人数据保护指南》全文翻译(DPO社群出品)

  39. 意大利数据保护机关就新冠疫情联防联控中个人信息问题的意见(DPO社群出品)

  40. 新版《个人信息安全规范》(35273-2020)正式发布


线下沙龙实录见:

  1. 数据保护官(DPO)沙龙第一期纪实

  2. 第二期数据保护官沙龙纪实:个人信息安全影响评估指南 

  3. 第三期数据保护官沙龙纪实:数据出境安全评估

  4. 第四期数据保护官沙龙纪实:网络爬虫的法律规制

  5. 第四期数据保护官沙龙纪实之二:当爬虫遇上法律会有什么风险

  6. 第五期数据保护官沙龙纪实:美国联邦隐私立法重要文件讨论

  7. 数据保护官(DPO)沙龙走进燕园系列活动第一期

  8. 第六期数据保护官沙龙纪实:2018年隐私条款评审工作

  9. 第八期数据保护官沙龙纪实:重点行业数据、隐私及网络安全

  10. 第九期数据保护官沙龙纪实:《个人信息安全规范》修订研讨

  11. 第十期数据保护官沙龙纪实:数据融合可给企业赋能,但不能不问西东

  12. 第十一期数据保护官沙龙纪实:企业如何看住自家的数据资产?这里有份权威的安全指南

  13. 第十二期数据保护官纪实:金融数据保护,须平衡个人隐私与公共利益

  14. 第十三期DPO沙龙纪实:厘清《数据安全管理办法》中的重点条款

  15. 第十四期DPO沙龙纪实:梳理《个人信息出境安全评估办法(征求意见稿)》的评估流程

  16. 第十五期DPO沙龙纪实:SDK非洪水猛兽,但如果“作恶”乱收集信息,谁来管?

  17. 第十六期DPO沙龙纪实:查询App收集个人信息类型、禁止收集IMEI号是未来监管趋势

  18. 与欧美一流数据保护专家面对面(DPO沙龙特别活动)

  19. 第十七期DPO沙龙纪实:数据统一确权恐难实现 部门立法或是有效途径

  20. 第十八期DPO沙龙纪实:生物识别信息的安全保护


人脸识别系列文章

  1. 欧盟基本权利局“人脸识别技术”报告中文翻译(DPO社群出品)

  2. 法国数据保护局(CNIL)关于人脸识别报告的中译文(DPO社群出品)

  3. 零售门店使用人脸识别技术的主要法律问题(DPO社群成员观点)

  4. 人脸识别技术的规制框架(PPT+讲稿)

  5. 人脸识别技术运用的六大场景及法律规制框架的适配(DPO社群成员观点)

  6. 解读世界首例警方使用人脸识别技术合法性判决(DPO社群成员观点)

  7. 人脸识别技术的法律规制研究初探(DPO社群成员观点)

  8. 美国联邦隐私保护立法草案研究(四):“生物识别信息”

  9. 美国华盛顿州人脸识别服务法案中文翻译(DPO社群出品)

  10. PAI | 《理解人脸识别系统》全文翻译(DPO社群出品)


美国联邦隐私保护立法草案研究

  1. 美国联邦隐私保护立法草案研究(一):“行为个性化”

  2. 美国联邦隐私保护立法草案研究(二):“个人敏感信息”

  3. 美国联邦隐私保护立法草案研究(三):“个人敏感信息”的保护规则

  4. 美国联邦隐私保护立法草案研究(四):“生物识别信息”

  

传染病疫情防控与个人信息保护系列文章

  1. 传染病疫情防控与个人信息保护初探之一:个人信息的性质

  2. 传染病疫情防控与个人信息保护初探之二:同意的例外

  3. 传染病疫情防控与个人信息保护初探之三:数据技术的应用路径

  4. 传染病疫情防控与个人信息保护初探之四:接触追踪的数据共享安全规范

  5. 传染病疫情防控与个人信息保护初探之五:电信数据的安全规范

  6. 传染病疫情防控与个人信息保护初探之六:GDPR框架下的公共卫生数据共享

  7. 传染病疫情防控与个人信息保护初探之七:美国公共卫生机构的数据调取权力

  8. 传染病疫情防控与个人信息保护初探之完结篇:解读中央网信办通知

  9. 欧盟国家和英国的数据保护部门对疫情防控的官方意见汇总(DPO社群出品)

  10. 美国疫情防控中的关键基础设施的识别和认定(DPO社群出品)

  11. 意大利数据保护机关就新冠疫情联防联控中个人信息问题的意见(DPO社群出品)

  12. 欧委会关于新冠疫情中利用移动数据和应用官方建议的全文翻译(DPO沙龙出品) 

  13. 漫画图解苹果和谷歌联手开发的接触追踪应用的基本原理  

  14. 澳门关于疫情防控中进出场所人员个人资料保护的通告

  15. 疫情防控常态化中的接触追踪:中国方案

  16. 欧委会“支持抗击新冠疫情的APP的数据保护指引”全文翻译(DPO社群出品)

  17. 来自欧洲的接触追踪协议(ROBERT Protocol)的基本原理:漫画图解

  18. 英国信息专员对苹果谷歌接触追踪项目的官方意见:全文翻译(DPO社群出品)

  19. 三百名学者关于接触追踪APP的联合声明

  20. EDPB关于“疫情场景中使用位置数据和接触追踪工具”指南:全文翻译(DPO沙龙出品)

  21. 新冠疫情防控常态化下的个人信息保护工作的思考和建议 

  22. 韩国利用ICT抗疫经验总结:接触追踪部分(中文翻译)

  23. 全文翻译 | 欧盟新冠肺炎“接触追踪”APP 共同工具箱(DPO沙龙出品)


个人数据与域外国家安全审查系列文章

  1. 个人数据与域外国家安全审查初探(一):美欧概览

  2. 个人数据与域外国家安全审查初探(二):CFIUS实施条例详解

  3. 个人数据与域外国家安全审查初探(三):从美国《确保ICT技术与服务供应链安全》        

  4. 个人数据与域外国家安全审查初探(四):从美国《2019年安全与可信通信网络法案》看

  5. 个人数据与域外国家安全审查初探(五):禁止中国公司对StayNTouch的收购

  6. 个人数据与域外国家安全审查初探(六):《2019国家安全和个人数据保护法案》

  7. 个人数据与域外国家安全审查初探(七):美国众议院荒唐的决议草案

  8. 个人数据与域外国家安全审查初探(八):《2020安全的5G和未来通信》法案

  9. 个人数据与域外国家安全审查初探(九):澳大利亚《协助和访问法》

  10. 美国司法部狙击中国内幕(Inside DOJ's nationwide effort to take on China)

  11. 美国司法部“中国计划”的概况介绍


美国电信行业涉及外国参与的安全审查系列文章

  1. 美国电信行业涉及外国参与的安全审查(一):基本制度介绍

  2. 美国电信行业涉及外国参与的安全审查(二):国际性的第214节授权

  3. 美国电信行业涉及外国参与的安全审查(三):建立外国参与安全审查的行政令

  4. 美国电信行业涉及外国参与的安全审查(四):FCC对中国企业的陈述理由令


中国的网络安全审查系列文章:

  1. 网络安全审查制度利刃出鞘

  2. 对《网络安全审查办法(征求意见稿)》的几点观察

  3. 网络安全审查制度吹响了向网络安全强国迈进的号角

  4. 我国网络安全审查制度走向前台

  5. 网络安全审查的中欧比较:以5G为例


美国的出口管制制度系列文章:

  1. 美国出口管制制度系列文章之一:对“外国生产的产品”的相关规则

  2. 美国出口管制制度系列文章之二:适用EAR的步骤

  3. 美国出口管制制度系列文章之三:苏联油气管道的“华为”事件

  4. 《华盛顿邮报》披露《美国对中国的战略路径》背后的决策博弈

  5. 美国出口管制制度 | 允许华为和美国公司共同制定5G标准


第29条工作组/EDPB关于GDPR的指导意见:

  1. 第29条工作组《对第2016/679号条例(GDPR)下同意的解释指南》中文翻译(DPO沙龙出品)

  2. 第29条工作组“关于减轻对处理活动进行记录义务的立场文件”(DPO沙龙出品)

  3. 第29条工作组《第2/2017号关于工作中数据处理的意见》(DPO沙龙出品)

  4. 第29条工作组《关于自动化个人决策目的和识别分析目的准则》(DPO沙龙出品)

  5. 第29条工作组《数据可携权指南》全文翻译(DPO沙龙出品)

  6. 第29条工作组关于GDPR《透明度准则的指引》全文翻译(DPO沙龙出品)

  7. EDPB《关于GDPR适用地域范围(第3条)的解释指南》全文翻译(DPO沙龙出品)

  8. EDPB“关于《临床试验条例》与GDPR间相互关系”意见的全文翻译(DPO沙龙出品)

  9. EDPB《车联网个人数据保护指南》全文翻译(DPO社群出品)

  10. EDPB关于GDPR中合同必要性指引的中文翻译(DPO沙龙出品)

  11. EDPB关于“疫情场景中使用位置数据和接触追踪工具”指南:全文翻译(DPO沙龙出品)

  12. EDPB | 《对第2016/679号条例(GDPR)下同意的解释指南v1》中文翻译(DPO社群出品)

  13. 第29条工作组 | 《关于匿名化技术的意见》中文全文翻译(DPO社群出品)


自动驾驶系列文章:

  1. 自动驾驶数据共享:效用与障碍

  2. 自动驾驶数据共享:效用与障碍(附文字实录)

  3. 北京市关于自动驾驶车辆道路测试的立法综述及动态(DPO社群成员观点)

  4. 自动驾驶的基建工程 — 高精地图产业促进与国家管控的平衡(DPO社群成员观点)

  5. EDPB《车联网个人数据保护指南》全文翻译(DPO社群出品)

 


您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存