简析欧盟《数字市场法》关于数据方面的规定

编者按：

近日，本公号发布了：

在前期翻译和综述的基础上，今天和大家分享的是公号君对《数字市场法》在数据方面规定的简要分析。

措施一：第6条第(1)款j项

法条原文：

应任何第三方在线搜索引擎提供者的要求，以公平、合理和非歧视的条件，向其提供最终用户在守门人的在线搜索引擎上产生的免费和付费搜索的排名、查询、点击和查看数据，但构成个人资料的查询、点击和查看数据须进行匿名处理。[1]

分析：

第6条第(1)款j项旨在解决在线搜索引擎不同程度地获取关键竞争数据的问题，从而提高针对守门人根深蒂固的市场力量的可竞争性。DMA立法序言第56段说，“守门人对排名、查询、点击和浏览数据的获取构成了进入和扩张的重要障碍，这破坏了在线搜索引擎服务的可竞争性”。DMA条例草案中所载的具体的数据访问条款规定，指定的守门人有义务向任何第三方搜索引擎提供以公平、合理、非歧视性条款(FRAND)访问最终用户在守门人的在线搜索引擎上产生的免费和付费搜索的排名、查询、点击和查看数据，但构成个人资料的查询、点击和查看资料必须进行匿名化处理。立法序言第56段进一步阐明，“在提供搜索数据的访问时，守门人应确保以适当的方式保护最终用户的个人数据，且不会大幅降低数据的质量或效用”。然而，第6(1)点(j)项下的数据访问授权只适用于守门人的搜索引擎，鉴于基于数字广告的主要商业模式，可以预期，这种数据访问授权不会减少搜索引擎守门人收集非匿名数据并从中获益的动力。按照DMA设计，第6条中所列的义务，可通过监管机构和守门人企业之间的“监管对话”进一步明确义务的范围和内容，例如澄清对守门搜索引擎所持有的搜索数据进行FRAND访问的金钱方面和技术方面的条款，以促进第三方搜索引擎对其根深蒂固的市场地位进行有效的竞争。

措施二：第5条(g)款和第6条(1)款g项

法条原文：

第5条(g)款：应广告商和出版商的要求，向广告商和出版商提供信息，说明广告商和出版商支付的价格，以及向出版商支付的金额或报酬，用于发布特定广告和把关人提供的每项相关广告服务。[2]

第6条(1)款g项：应广告商和出版商的要求，免费为他们提供访问守门人的业绩测量工具和必要的信息，以便广告商和出版商对广告库存进行独立核查[3]。

分析：

具体涉及数字广告行业，DMA中另有两项义务规定了对守门人信息和数据的授权使用。正如DMA立法序言第42段所阐明的那样，第5条(g)款是一项透明度义务，要求打开原本是一个非常不透明的数字行业，从而使其"成为一个更公平、更透明、更有竞争力的平台环境"。让交易双方，即广告商和出版商，“了解作为相关广告价值链的一部分而提供的每项不同广告服务的价格”的信息，应该由守门人应要求并尽可能提供。

第6条(1)款g项所预见的义务更为详细。守门人应根据广告商和出版商的要求，特别是免费提供其业绩衡量工具和必要的信息，以便广告商和出版商对广告库存进行独立核查。在这里，该规定明确指出，所涉及的信息应使广告主和出版商能够进行自己的分析（“独立核查”）。因此，守门人可能有必要直接提供用户级数据等原始信息，以验证从守门人处购买的广告服务的可浏览性（例如，广告在屏幕上出现多长时间）。因此，监管对话确实有必要进行，以便确定出在这种情况下所需的由守门人控制的信息的类型。

措施三：第5条（a）款

法条原文：

避免将来自这些核心平台服务的个人数据与来自守门人提供的任何其他服务的个人数据或来自第三方服务的个人数据合并，也避免将最终用户签入守门人的其他服务以合并个人数据，除非最终用户已被告知具体的选择并提供了（欧盟）第2016/679号条例意义上的同意。[4]

分析：

除了上文分析的三项数据的强制开放访问外，DMA第5条（a）款下引入了一项可能是关键的数据分隔责任，强调最终用户的同意。DMA立法序言第36段解释到，“将来自不同来源的最终用户数据合并起来，或将用户签入不同的守门人服务，使他们在积累数据方面有潜在的优势，从而提高进入壁垒”。第5条（a）款规定的自动执行义务规定，禁止平台跨服务进行数据合并，除非最终用户（i）已被告知具体的数据合并选择，（ii）已给与 GDPR 意义上的同意。重要的是，数据合并的选择应“以明确、清晰、直接的方式主动呈现给最终用户”。此外，最终用户自由选择的可能性“应涵盖所有可能的个人数据来源，包括守门人的自身服务以及第三方网站”。因此，如果数据主体/最终用户没有自由选择加入，则禁止将来自守门人核心平台服务的个人数据与来自守门人提供的任何其他服务的个人数据或来自第三方服务的个人数据相合并。

措施四：第6条第(1)款a项

法条原文：

不在与商业用户的竞争中使用任何非公开的数据，且这些数据是这些商业用户（包括这些商业用户的最终用户）在核心平台服务的活动中产生的，或由这些商业用户或这些商业用户的最终用户向核心平台服务所提供的。[5]

分析：

本条旨在解决守门人的双重角色，即“作为核心平台服务的提供者，向其商业用户提供核心平台服务，同时也与这些商业用户竞争，向相同的最终用户提供相同或类似的服务或产品”。条例立法序言第44条和第45条分别针对广告服务提供商和云计算服务提供商可能扮演的双重角色，进一步阐述了DMA将引入的“数据防火墙”任务。但该义务处于DMA草案的第6条，就意味着欧盟委员会认定该项义务将需要通过进一步的监管对话才能有效实施。

措施五：第6条第(1)款h项

法条原文：

为商业用户或最终用户的活动所产生的数据提供有效的可移植性，特别是应根据欧盟2016/679号条例，为最终用户提供工具，以促进数据可移植性的行使，包括提供连续和实时的访问。[6]

分析：

通过该条文，DMA将直接强化GDPR下的数据可移植性权利，强化至少在三个方面。首先，该点规定，关于最终用户活动产生的数据，守门人必须“提供便利行使数据可移植性的工具”，而目前GDPR中还没有这方面的明确义务。第二，DMA草案明确指出，根据GDPR提供便利行使数据可移植性的工具应包括提供连续、实时的访问。第三，就DMA下的可移植数据而言，该规定指的是通过用户的活动产生的数据，因此并不像GDPR下那样仅限于最终用户或商业用户“提供”的数据。诚然，履行这一义务可能需要与指定的守门人进行相当“激烈”的监管对话。

此外，第6条第(1)款h项下的数据可移植性义务更是将数据可移植性扩大到非个人数据。关于商业用户的数据可移植性，DMA立法序言第54段提到了核心平台服务的可竞争性以及“确保守门人不会通过限制商业用户有效移植数据的能力来破坏动态数字部门的创新潜力”的必要性。DMA草案将商业用户定义为“任何以商业或专业身份使用核心平台服务向最终用户提供商品或服务的目的或过程中的自然人或法人”。在欧盟层面，非个人数据的数据可移植性建立在《欧盟非个人数据自由流动条例》(FFDR)的基础上。然而，FFDR并没有引入任何数据可移植性的授权，而只是预见了自愿的自律行为准则，以促进数据处理(即云)服务的专业使用者的转换。

措施六：第6条第(1)款i项

法条原文：

向商业用户或经商业用户授权的第三方免费提供有效的、高质量的、连续的、实时的访问和使用汇总或非汇总数据，这些数据是这些商业用户和最终用户在使用相关核心平台服务提供的产品或服务时产生的；对于个人数据，只有在与最终用户对通过相关核心平台服务提供的产品或服务的使用直接相关的情况下，并且当最终用户在授予(欧盟)第2016/679号条例意义上的同意后选择共享时，才提供访问和使用；[7]

分析：

DMA立法序言第55段回顾，“使用守门人提供的大型核心平台服务的商业用户和这些商业用户的最终用户提供并产生了大量数据，包括从这种使用中推断出的数据”。众所周知，这些数据中只有一小部分被提供给企业使用者本身。根据DMA草案该项规定：守门人应免费向商业用户提供有效(“不受阻碍”)、高质量、持续和实时的访问和使用汇总或非汇总数据，这些数据是为这些商业使用者和参与这些商业用户提供的产品或服务的终端使用者使用相关核心平台服务时提供或产生的。只有在以下情况下，守门人才应提供对个人数据的查阅和使用：(i)与最终用户对通过相关核心平台服务提供的产品或服务的使用直接相关，以及(ii)最终用户在给与GDPR意义上的同意后选择分享。

---

[1] provide effective portability of data generated through the activity of a business user or end user and shall, in particular, provide tools for end users to facilitate the exercise of data portability, in line with Regulation EU 2016/679, including by the provision of continuous and real-time access

[2] provide advertisers and publishers to which it supplies advertising services, upon their request, with information concerning the price paid by the advertiser and publisher, as well as the amount or remuneration paid to the publisher, for the publishing of a given ad and for each of the relevant advertising services provided by the gatekeeper.

[3] provide advertisers and publishers, upon their request and free of charge, with access to the performance measuring tools of the gatekeeper and the information necessary for advertisers and publishers to carry out their own independent verification of the ad inventory; 笔者注：根据IAB标准，广告库存是指在出版商内容附近向访问者展示广告的机会总数，即网站在任何时间可用于广告的空间总量。

[4] refrain from combining personal data sourced from these core platform services with personal data from any other services offered by the gatekeeper or with personal data from third-party services, and from signing in end users to other services of the gatekeeper in order to combine personal data, unless the end user has been presented with the specific choice and provided consent in the sense of Regulation (EU) 2016/679.

[5] refrain from using, in competition withbusiness users, any data not publicly available, which is generated through activities by those business users, including by the end users of these business users, of its core platform services or provided by those business users of its core platform services or by the end users of these business users;

[6] provide effective portability of data generated through the activity of a business user or end user and shall, inparticular, provide tools for end users to facilitate the exercise of data portability, in line with Regulation EU 2016/679, including by the provision of continuous and real-time access

[7] provide business users, or third parties authorised by a business user, free of charge,with effective, high-quality, continuous and real-time access and use of aggregated or non-aggregated data, that is provided for or generated in the context of the use of the relevant core platform services by those business users and the end users engaging with the products or services provided by those business users; for personal data, provide accessand use only where directly connected with the use effectuated by the end user in respect of the products or services offered by the relevant business user through the relevant core platform service, and when the end user opts in to such sharing with a consent in the sense of the Regulation (EU) 2016/679;

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

人脸识别系列文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

美国方面的个人信息保护立法的系列文章：