全局隐私控制（GPC）的若干法律和技术问题

编者按：

通过技术增强对个人信息的保护，以及通过技术手段或模式强化个人信息主体的权利实现和意思表达，越来越成为值得关注的主题。本公号曾经发表的文章包括：

“零信任”的App合规技术能力（DPO社群成员观点）
Android 系统“照明弹”功能的技术及法律规制（DPO社群成员观点）
AEPD和EDPS | “哈希函数简介——用于个人数据假名化技术”中译文（DPO社群出品）
印度电子和信息技术部发布《数据匿名化指南（草案）》
新加坡PDPA下基于特定主题的建议指南 :“匿名化”专章编译
第29条工作组 | 《关于匿名化技术的意见》中文全文翻译（DPO社群出品）
隐私计算能代表个人信息保护的方向吗？（DPO社群成员观点）

今天和大家分享的是一篇关于全局隐私控制（GPC）的讨论。作者为朱悦。

个人数据主体通过隐私信号标准化、自动化地维护其数据权益的设想由来已久，但效果一直“惨淡”。[1]随着美国加利福利亚州数据隐私法（CCPA和CPRA以及相关规则，以下统称加州隐私法）在立法和执法中明确认可全局隐私控制（GPC），以及美国其他数州的陆续跟进，这一设想重新焕发生机。如何合规地实施GPC，因而成为应时之需。以下逐步展开这一问题。首先简述加州隐私法的有关规定和新近执法。然后是GPC的技术设定与合规实施。最后与GDPR下的隐私信号立法与执法稍作比较，并讨论欧美之间对齐实施GPC所面临的问题。

“不要出售或共享”和GPC的兴起

对于加州隐私法的关注和研究已有许多，有关“不要出售或共享”（Do Not Sell or Share）的规则无疑是其中的焦点。简而言之，按其规定，“出售”系指通过披露数据换取货币或者其他有价值的对价。实践中只要企业披露数据，特别是出于在线广告目的披露数据，即有可能推定相应数据有其对价，亦即属于出售。“共享”则专指出于跨场景行为广告的目的向第三方披露数据。不同业务实体、不同品牌渠道的网站、应用、服务之间，都有可能属于跨场景的范畴。无论是“出售”还是“共享”，都是适用范围宽广、又颇具技术性的定义，需要经过相当仔细、审慎的法律评估才有可能排除其适用。[2]

如此，一旦企业适用加州隐私法，同时落入“出售”或“共享”数据的范围，就需要考量如何遵从相关规则。这些规则可以非常简略地分为四个部分。首先是需要为数据主体提供“不要出售和共享”的渠道。可以是在涉及收集个人信息的页面放置“不要出售或共享”链接，也可以是读取并执行GPC信号，等等。其次是需要通过隐私政策和/或专门文件等方式告知有关“出售”或“共享”数据的信息。然后是在收到主体“不要出售或共享”的请求时——也包括读取对应的GPC信号时，及时断开相应的数据流。此处虽然存在“服务提供方”与“合同相对方”的例外，但这些例外在广告场景中受到严格限制。最后是众多其他规则，比如针对重新请求、儿童数据和相关员工的规则，以及例外和例外的例外，等等。

通过缕析“不要出售或共享”的有关规则，可以看到GPC在加州隐私法下具有相当的标准化、自动化的合规潜力。这一点在2022年以来的执法中得到了充分的肯定：加州当局已经处罚了未能执行GPC信号、从而未能遵从相应规则的企业。其他两方面因素进一步佐证了GPC的重要性。一方面是美国科罗拉多、康涅狄格等多州已经通过或者正在提案的数据隐私法律，都不同程度地认可了GPC用于合规的地位，另一方面是众多行业组织、通用浏览器和大型互联网平台对于GPC的支持和推进，包括W3C和IAB提出的技术设定。GPC因此尤其重要。

加州当局认可GPC的执法

加州当局以行动认可GPC的开端是闻名遐迩的丝芙兰案。[3]按该案诉状，丝芙兰出于广告和分析目的将多种个人数据披露给第三方，由此“出售”了个人数据。与此同时，流量检测发现丝芙兰“完全地忽视了GPC信号”。即使数据主体借助浏览器扩展开启了GPC选项，亦即由此发出了“不要出售”的信号，丝芙兰依然没有停止向第三方传输相应个人数据。加州当局因此指控称丝芙兰违反了加州隐私法。双方最终和解。除了支付120万美元的罚款外，丝芙兰还需要切实地执行GPC信号，并且每年出具相关的评估报告。[4]此外，加州当局不仅在法律答问中认可GPC的合规作用，其州检察长还在至少其他两起执法中关注了GPC是否得到执行的事实。[5]康涅狄格等州当局也在类似答问中认可GPC。[6]

未来，可以期待类似的案件逐日增加。这既是因为GPC已经成为美国各州立法和加州执法的焦点，也是由于有关GPC合规的研究正在同步深入。不妨以Sebastian Zimmeck等相关隐私研究者的近期工作为例。其中至少有两方面的发现值得关注。一是加州的数据主体普遍能够在接触相关信息以后弄清GPC的含义。并且，在弄清含义以后，大致有90%的主体选择调整GPC选项，发出“不要出售或共享”的信号。随着加州隐私法逐步得到实施和宣贯，此处合规以及下游的广告业务也许会愈发“寒意彻骨”。二是GPC的合规检测，至少是前端的合规检测相当容易自动化、规模化。无论是隐私研究者还是与其保持密切交流的各州执法者，都可以在短时间内检查成百上千个网站，同时批量地反馈合规建议。[7]有鉴于此，需要“刨根究底”，进一步讨论GPC技术设定及其合规实施的细节。

GPC的技术设定与合规实施

GPC的技术设定与合规实施至少可以从三个层面讨论。首先是W3C正在起草的提案。核心内容是在任意的http请求中增加反映GPC的单一字段“Sec-GPC”，并且设定其取值范围、支持对象和冲突化解等相关事宜。如果数据主体开启了“不要出售或共享”的GPC选项，则相应字段取值为1。[8]其次是IAB整合TCF 2.0框架与GPC的全球隐私平台（GPP）框架。这一框架生成的GPP串可用于标准化地记录、传输和执行全球多个法域内的数据主体对其权益的态度。例如“DBACNYA~CPXxRfAPXxRfAAfKABENB-CgAAAAAAAAAAYgAAAAAAAA~1YNN”，就是一个有效的GPP串。其末四位数“1YNN”表达了美国数据主体对其权益的态度，特别是倒数第二位的“Y”或“N”表征了主体是否开启GPC的相应选项。这一位上的取值也是检测GPC前端合规性的关键之一。[9]最后是浏览器和平台的支持。Mozilla和DuckDuckGo等浏览器和谷歌广告等平台都有合规的实施细则。[10]

由此尚可进一步探讨GPC合规实施的两方面细节。首先是冲突化解。这里至少存在四个层面的可能冲突。不妨由易至难而展开。一是可能存在多个“Sec-GPC”字段的冲突。按当前提案，如果任何一个字段取1，则视为已开启GPC选项、请求“不要出售或共享”；如果没有一个字段取1，则可由场景等因素综合判定。故而可以清晰解决。二是GPC和其他处境“惨淡”的隐私信号的冲突。这里的解决方案也是相对清晰的——受到立法和执法青睐的GPC当为优先。三则相对复杂。如果GPC选项和主体通过其他渠道发出的加州隐私法请求冲突，何者优先？当前相对清楚的是：如果GPC选项处在默认状态，则其优先级相对较低。如果GPC不是默认状态，这意味着主体曾经做出积极的选择动作，此时需要综合地考虑。请求时间、方式、场景、内容等都有可能影响GPC和其他渠道之间的优先级。最后是在加州以外的其他法域，如果发生类似的冲突，则问题更加复杂。需要结合当地法律和综合考虑才有可能得出结论。其次是合规检测。[11]除静态检测外，如前所述，读取有关API（如IAB的USPAPI）或Cookie的有关字段都是已经自动化、规模化地检测是否响应了GPC选项的方式。进一步的流量检测可以更加详尽地检测其是否合规实施。[12]我们将在年内看到更多有关合规实施的细节。

GDPR下的隐私信号规则比较

至此在加州隐私法下从法律和技术角度相当简略地探讨了GPC。然而还有一个“尾巴”难以忽视：在加州以外的法域，特别是在适用GDPR的法域，GPC是否可用？具体而言，GPC是否可以用于主体（撤回）同意或者表征主体反对？

这一问题同样可以从三个层面给出参差各异、偏向否定的答案。[13]当然，限于问题本身的复杂性，答案注定只能是高度简化的。首先，如果只看法律的文本，GDPR正文部分第21条第5款与其他相关条款似可解释为认可GPC用于表征主体反对。GDPR鉴于部分第32条与其他相关条款则为特定场景中主体通过GPC（撤回）同意的有效性留下了理论的空间。于是，虽然不乏质疑，仍有少量成员国数据当局、法律评注和其他观点部分地认可GPC用于表征主体同意或反对。[14]其次是具体执法的层面。不妨以最为重要、争论也最为激烈的获得主体同意为例。目前而言，挪威数据当局给出的否定性回答最为详尽。一方面，由于数据主体开启GPC的过程复杂繁琐——特别是相较同意相关处理而言更加复杂繁琐，又由于开启GPC本身需要一定的“耐心和技术知识”，不够“公平、直观且确实存在选择空间”，相应同意很难符合“自由做出”和“不模棱两可”的要求。另一方面，GDPR的可问责性原则要求处理者负起责任、切实阻断数据流，而不能是仅仅传输相关信号、而将处理实际是否发生寄托于广告生态中其他实体的善意。综之，如果没有其他合规保障。当前的GPC很难用于在GDPR下获得同意。[15]最后是在更加一般的层面，整个隐私信号生态在GDPR下的合规性仍有严峻疑问。比利时数据当局针对IAB的TCF框架的执法可为殷鉴。如果相应决定在后续程序中得到维持，无论是实践中几乎无法充分履行的透明性与合法性义务，还是“一锅端”的特定条件下整个生态构成共同处理者的责任分担结论，都有可能在相应法域内几乎“杀死”整个生态的合规实用性。[16]由此，任何在GDPR下依赖GPC的结论，通常都要经过非常仔细、审慎的法律评估才有可能成立。

结语

随着加州隐私法的逐步执行和宣贯，曾经“暗淡”的、通过隐私信号维护主体隐私权益的设想再次焕发生机。面对加州隐私法中相当核心的“不要出售或共享”的要求，GPC是目前而言相对妥善的合规方案。加州当局的执法以及美国其他各州当局的立法都在不同程度上认可了GPC的合规作用。美国的隐私研究者和倡导者也已同步开展GPC的合规检测和建议反馈。尽管如此，在其技术设定与合规实施上，围绕GPC依然存在许多值得探讨的议题。W3C提案和IAB框架都存在有待明确的内容。信号冲突和（前后端）合规检测也只是诸多有趣方向中比较重要的两个。最后，尽管技术社群和广告产业均乐见GPC适用于全球，其在GDPR下的有效性与合规性都存在严重疑问。或许可以大胆断言：在严格的GDPR合规标准看来，GPC等“治标不治本”、服务于在线广告产业的隐私信号生态不是任何问题的答案，而是本身就需要解决的问题。不妨等待欧盟法院的终局论断。

尾注和参考文献

[1] 一般地，参见Hils, Maximilian, Daniel W. Woods, and Rainer Böhme. “Privacy preference signals: Past, present and future.” Proceedings on Privacy Enhancing Technologies 2021.4 (2021): 249-269. 有关GPC与先前“惨淡”的“勿追踪”（DNT）技术的比较，参见Desai, Anokhy. “Is GPC the New ‘Do Not Track’?” IAPP. (2022). 出于读者的便利，本文全文不区分“数据主体”和“消费者”，也不区分“个人数据”和“个人信息”。

[2] 除加州隐私法对应文本外，一般地，参见Determann, Lothar. “California Privacy Law: Practical Guide and Commentary U.S. Federal and California Law. 5th ed.” IAPP. (2023).

[3] 查处本案的依据是CCPA，当时CPRA尚未生效。故其案情仅涉及“不要出售”，而不是“不要出售和共享”。

[4] 参见Complaint filed in People v. Sephora, Case No. CGC-22-601380, (Cal. Sup. Ct.)和People v. Sephora, Case No. CGC-22-601380, (Cal. Sup. Ct. Aug. 24, 2022) (Final Judgment and Permanent Injunction)

[5] 参见Bonta, Rob. “California Consumer Privacy Act (CCPA).” (2023)和Bonta, Rob. “CCPA Enforcement Case Examples.” (2023).

[6] 例如，参见Tong, William. “The Connecticut Data Privacy Act.” (2023).

[7] 参见Zimmeck, Sebastian, et al. "Usability and Enforceability of Global Privacy Control." Proceedings on Privacy Enhancing Technologies 2023.2 (2023): 1-17. Zimmeck也是W3C相关提案的作者之一。

[8] 参见Berjon, Robin, et al. “Global Privacy Control (GPC).” W3C. (2023). 值得一提的是，提案明确表示没有扩展字段取值范围的计划。

[9] 例如，参见IAB. “Global Privacy Platform String.” (2022)和Zucker-Scharff, Aram. “Comment on the IAB Tech Lab’s Global Privacy Platform (GPP).” (2022).

[10] 例如，参见Google Ads. “Helping Advertisers Comply with the U.S. States Privacy Laws in Google Ads.” (2023).

[11] 有关隐私信号冲突的技术和法律问题，尚可参见Hils, Maximilian, Daniel W. Woods, and Rainer Böhme. “Conflicting Privacy Preference Signals in the Wild.” arXiv preprint arXiv: 2109.14286 (2021).

[12] 例如GPC不应用于指纹等合规实施，也是有趣但只能挂一漏万的问题。

[13] 这一问题显然应当同时在e-Privacy Directive下展开分析。篇幅所限此处选择略去，同时非常“鲁莽”地假设许多分析可以同时适用于二者。

[14] 参见ICO. “Guidance on the use of cookies and similar technologies.” (2019).

[15] 参见Datatilsynet: 20/02136-5. 其他相关讨论可见Harshvardhan, Pandit. “GPC + GDPR: Will It Work?” (2021)和Berjon, Robin. “GPC under the GDPR.” (2021).

[16] 参见APD: 21/2022和Hof van Beroep: 2022/AR/292。正在爱尔兰法院审理当中，核心争点相近的ICCL v. IAB Tech Lab, et al.一案同样值得关注。有关比利时当局决定的详细译介，一般地，参见https://mp.weixin.qq.com/s?src=11&timestamp=1673355530&ver=4280&signature=7ZDTLNSIJWNHSRtFtTPJJ44POFxWTq3A20tFNaFlvByVqGKWWioQbnHxTLrmf5QE1zOUZSV-mO8ER6OL7B1-D43QAPout-ncMMbtudGE9ouahfe5wip1BHbPdWjPWF13&new=1

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

DPO线下沙龙的实录见：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于保护网络和信息系统安全的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

人脸识别系列文章：

内容安全方面的文章如下：

地缘政治与跨国科技公司运营之间的互动影响：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于健康医疗数据方面的文章有：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于《数据出境安全评估办法》的系列解读文章

美国方面的个人信息保护立法的文章：

关于个人信息安全影响评估的文章如下：

关于数据要素治理的相关文章包括：

关于印度的数据保护和数据治理政策和技术文件的文章有：

关于欧盟技术主权相关举措的翻译和分析：

关于我国《个人信息保护法》的文章：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于人工智能安全和监管，本公号发布过以下文章：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

关于个人数据和域外国家安全审查之间的关系：

围绕供应链安全，本公众号曾发表文章：

围绕着出口管制，本公众号曾发表文章：

本公号发表过的关于数据执法跨境调取的相关文章：

关于业务场景中数据跨境流动的文章如下：