欧盟技术主权 | 《电子隐私条例》（e-Privacy Regulation）全文翻译

编者按：

本公号曾发表的关于欧盟技术主权相关举措的翻译和分析：

今天给大家推送的是欧盟《电子隐私条例（Regulation on Privacy and Electronic Communication）》（以下简称《电子隐私条例》）的全文翻译。

《电子隐私条例》是欧盟针对电子通讯领域中的隐私保护所作出的具体规定，且由于需要实现与《通用数据保护条例（General Data Protection Regulation）》（以下简称GDPR）一致化实施的目的，将替代《电子隐私指令（Directive on Privacy and Electronic Communications ）》（2002/58/EC）（以下简称“电子隐私指令”）。

《电子隐私条例》的最新版草案已于2021年2月10日由欧盟理事会（The Council of the European Union）通过，并将由轮值主席国葡萄牙基于此版本与欧洲议会（theEuropean Parliament）启动有关最终版本的谈判，因此此次版本可以被视为《电子隐私条例》立法进程至今较具里程碑意义的版本，故就此版本进行了全文翻译以及研读。

译者序

正如GDPR替代了欧盟《数据保护指令》，《电子隐私条例》也将替代2002年颁布的《电子隐私指令》。同样的，《电子隐私条例》的立法进程与GDPR历尽四年的坎坷立法历程相似。欧盟委员会早在2017年就提出了《电子隐私条例》的第一个版本。此后，欧盟理事会通过“电信与信息社会工作组”对该条例文本进行了四年持续不断的审查和修订。这其中跨越了9个不同的理事会主席国—马耳他、爱沙尼亚、保加利亚、奥地利、罗马尼亚、芬兰、克罗地亚、德国，以及现任主席国葡萄牙，各国均对该文本做出了不同的贡献。[1]具体请见下图梳理。至今，该条例文本将等待下一轮谈判，若通过，将在欧盟公报上公布后20天生效，并规定了2年的过渡期，2年后正式实施。

 图1 电子隐私条例制定过程[2]

一、《电子隐私条例》的出台背景

从笔者看来，《电子隐私条例》的出台是技术高速发展下欧盟试图实施其技术主权战略之践行。

一方面，技术的高速发展使2002年制定的《电子隐私指令》无法再适用，亟待更新法律规定以适应新的技术发展和市场，比如基于网络的电子邮件、点对点消息服务、VoIP、行为追踪、语音助手、物联网设备等。正如欧盟理事会在其新闻通稿中指出的“强大的隐私保护规则对于在数字世界中建立和维持信任至关重要”[3]，欧盟需要对新兴技术制定保护隐私权和个人数据的法律规则。

另一方面，2020年2月欧盟在《塑造数字的未来》、《欧洲数据战略》和《人工智能白皮书》中提出建立欧盟的技术主权。其中关键性措施之一是构建欧盟单一数字市场，实现欧盟内数据的自由流动和利用。然而由于2002年《电子隐私指令》并不具备欧盟范围内的直接适用效力，且其规定也与GDPR中电子通信领域的相关标准不一致，导致欧盟在与数字经济密切相关的电子通信服务领域没有一部可统一适用于欧盟单一市场的数据保护规则，进而导致对于电子通信领域中的隐私和通讯保密性的保护不一致或不充分的后果。此外，《电子隐私条例》符合另一构建欧盟技术主权的关键性措施的要求——释放数据利用价值，《电子隐私条例》的核心任务之一就是实现促进新技术发展、创新和保护个人隐私权之间的良好平衡。

简而言之，欧盟将通过《电子隐私条例》对电子通信行业内的个人数据和隐私权保护作出更具体且符合当下时代背景的规定，以适应新技术和新市场的发展，推动欧盟统一规则的制定，促进构建欧盟统一数字市场，尽可能释放数据价值。

二、《电子隐私条例》与GDPR的关系

《电子隐私条例》的序言中提到了该条例是对于GDPR的补充和具体化规定。

首先，《电子隐私条例》是对于GDPR的补充。在保护范围上，《电子隐私条例》除了保护自然人，也保护法人的权利。《电子隐私条例》序言第（3）条规定：“电子通信数据还可能披露有关法人实体的信息，例如商业秘密或其他具有经济价值的敏感信息，对该等信息的保护使得法人能够开展业务，并支持创新活动。因此，本条例的规定应原则上同时适用于自然人和法人。此外，本条例应确保在必要的情况下，欧洲议会和理事会的欧盟2016/679条例比照适用于作为法人的终端用户。这包括欧盟2016/679条例中关于同意的规定。”更深一层次讲，《电子隐私条例》的内部逻辑是基于对于个人通信的保密性的尊重，电子通信保密性要求确保该等通讯中不同主体之间交换的信息和外部元素，包括信息何时、从何地、向何人发出，不会被透露给除通讯主体之外的任何人，因此《电子隐私条例》的保护对象也可以由自然人延展到法人。

其次，《电子隐私条例》将GDPR中的原则性规定具体化为电子通信领域的具体规则。一方面，《电子隐私条例》是在GDPR框架下规定的，其中直接引用了部分GDPR的条款，包括同意的条件、行政罚款的上限、民事赔偿的规定等。另一方面，《电子隐私条例》也将GDPR在电子通信领域的相关规定进一步细化和明确，例如对于Cookie墙，《电子隐私条例》规定，以接受Cookie作为访问服务的条件实质上剥夺了用户的选择权，所以不构成有效的同意，这一规定其实是在Cookie使用场景下对于GDPR同意的要件的进一步细化。

因此，正如《电子隐私条例》在序言中所指出的“本条例列举和补充了欧盟2016/679条例中关于个人数据保护的通用规则，未降低自然人依据欧盟2016/679条例所享有的保护水平”。《电子隐私条例》实质上是在电子通信领域下对于GDPR的补充和具体化规定。

三、《电子隐私条例》的主要亮点

（一）《电子隐私条例》适用范围涵盖新兴技术和市场

《电子隐私条例》第2条第1款规定“本条例适用于（a）电子通信内容的处理，与提供、使用电子通信服务有关的电子通信元数据的处理，以及电子通信服务的适用；（b）终端用户的终端设备的有关信息；（c）提供电子通信服务的终端用户的公开目录；（d）向终端用户发送直接营销信息”。《电子隐私条例》保护的核心领域是电子通信服务。考虑到随着用于通信目的的服务及其传输技术的大范围发展，更多的用户选择使用在线服务代替传统的语音、短信和邮件服务的情况，《电子隐私条例》采用了欧盟2018/1972指令中电子通信服务的定义，既包括互联网接入服务和全部或部分用于传送信号的服务，如公共热点，还包括基于数字或不基于数字的人际间通信服务（即限定于任何允许两个或更多的人进行连接和通信的信息传递的服务），比如VoIP、消息类社交服务、基于网络的电子邮件等。此外，《电子隐私条例》也同样考虑到，数据和信息利用物联网技术，在无需或有限的人类干预下，实现设备或软件之间的自动传输时，这部分传输的保密性也同样应当予以保护，以实现欧盟数字单一市场中可信和安全的物联网。最后，《电子隐私条例》将给予公共网络的机器对机器的数据传输服务也纳入到电子通信服务中。

（二）《电子隐私条例》对保密性的充分保障

通信保密是《欧盟基本权利宪章》第七条保护的一项基本权利，基于此，《电子隐私条例》试图在网络和通信技术发展的今天对此进行更加全面的保护，明确规定对个人数据的处理应以一般性禁止规定为主，限定的、具体的例外以辅。

《电子隐私条例》第5条规定：“电子通信数据应该是保密的。除非本条例允许，禁止除相关终端用户以外的任何人以任何形式干涉电子通信数据，包括监听、窃听、存储、监视、扫描或其他形式的拦截、监视和对电子通信数据的处理。”

与此同时，《电子隐私条例》第6条对电子通信数据的处理进行了例外规定，其中包括对电子通信内容和电子通信元数据的处理。比如序言中提到的，一些为终端用户日常生活提供便利的服务如索引功能、个人助理、翻译服务和为残疾人提供便利的服务（如文本到语音服务）正在日常生活中出现。对这类供个体常规使用的服务功能(例如，在电子邮件或消息应用中搜索和组织消息)来说，处理电子通信内容可能是必要的。因此，应当允许针对基于终端用户为其个人使用请求服务而进行的电子通信内容的处理，但值得注意的是，该处理应仅向请求该服务的终端用户提出并获得该终端用户同意，且该处理不应对另一相关终端用户的基本权利和利益产生不利影响。与此同时，电子通信数据的处理应在有关终端用户事先同意的情况下进行，并应以提供所要求的功能所需为限。

（三）《电子隐私条例》为隐私数据的实质性保护和数据利用之间的平衡提供了方向

《电子隐私条例》在隐私数据的实质性保护和数据利用之间的平衡上提出了更多的尝试。比如，电子通信元数据（如位置信息）与用户安全与隐私密切相关，但对于此类数据的使用可以使公共机构和公共交通运营者受益，例如通过现有交通结构的使用和拥堵情况，确定在何处开发新的基础设施。为了解决电子通信元数据保护与发挥其公共价值的矛盾，《电子隐私条例》对电子通信元数据的处理进行了一般性禁止规定，但同时提出，如对于电子通信元数据的处理满足：仅在科学研究或统计目的下；且采取了相应的保障性措施（例如采取了假名化或匿名的技术）以保证终端用户的安全与隐私；且只能生成聚合类数据，不被用于任何针对特定自然人的措施和决定，特别是不得用于确定终端用户的性质或特征、创建个人画像或得出关于其私人生活的决定等条件，允许处理电子通信元数据。

再比如，由于追踪类Cookie和类似追踪技术的普遍使用，终端用户经常被要求同意（他人）存储并访问其终端设备中存储的数据。因此，终端用户可能收到超负荷的同意请求。这可能导致用户不再阅读同意请求中包含的信息，由此削弱同意机制所提供的保护机制。在电子通信软件中采取技术手段，通过透明和用户友好的设置获得用户特定且知情的同意有助于解决此问题。因此，在上述方式可用且技术可行的情况下，终端用户可以通过软件设置，同意特定提供者在其一项或多项特定服务中为基于一个或多个特定定目的使用终端设备的处理和存储能力。例如，终端用户可以基于特定目的将一个或几个服务提供者加入白名单，以表示同意其使用某些类型Cookie。鼓励软件提供者在其软件中添加相关设置，允许终端用户随时可以轻松设置和修改白名单以及撤回同意，并以这样用户友好和透明的方式使用户可以管理对存储、访问其终端设备中存储的数据的同意。鉴于终端用户拥有的自决权，终端用户对某项服务提出的任何请求和给予的同意，应用程序应当没有任何延迟地直接执行。如果终端用户允许信息存储或访问已经存储在用户终端设备中的信息，前述规定同样适用。所以，该机制在确保对于用户隐私的实质性保护基础上，让使用cookie及类似技术的软件开发者可以提供更友好的产品机制，促进数据的利用。

综上，虽然《电子隐私条例》（欧盟理事会通过版）是否可以成为最终的定稿及其下一步走向尚不明朗，但是其规定对新兴技术的适用性和对于隐私保护的实质把握以及数据利用的促进作用，仍然非常值得我们学习和研读。

---

译者序注释：

[1]下一代隐私：对欧盟电子隐私条例（ePrivacy）的审视，https://mp.weixin.qq.com/s/0Pa0doSXmsLqmyLYtwIWRA，访问日期为2021年3月15日。

[2]ePrivacy Regulation - chronological overview，请见https://cms.law/en/deu/insight/e-privacy，访问时间为2021年3月15日。

[3]Confidentialityof electronic communications: Council agrees its position on ePrivacy rules，https://www.consilium.europa.eu/en/press/press-releases/2021/02/10/confidentiality-of-electronic-communications-council-agrees-its-position-on-eprivacy-rules/，访问时间为2021年3月15日。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

人脸识别系列文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：