今天和大家分享的是关于数据隐私法和竞争法的交叉的最新进展分析。作者为朱悦。
数据隐私法和竞争法之间的交叉出现了三方面新进展。一是出自竞争法的市场支配地位用于分析数据隐私法下的合法性基础。二是数据隐私法下的单独同意和透明性用于分析竞争法下的滥用市场支配地位。三是数据隐私法和竞争法的执法关口共同前移至大型互联网平台重要技术方案的开发环节。这些进展体现在2022年至2023年陆续颁布的若干重要决定当中。
从市场支配地位到合法性基础
出自竞争法的市场支配地位概念正在成为分析两种合法性基础是否成立的考虑因素。特定类型的数据控制者是否具备市场支配地位，不仅关系到同意是否有效，也关系到特定处理是否客观上为履行合同所必需。
欧盟法院助审官较早明确了这一点。在2022年9月脸书诉德国联邦卡特尔办公室（Bundeskartellamt）一案的助审意见中，助审官Rantos认为：一方面，社交媒体在市场中具有支配地位一事不会导致同意当然地无效；另一方面，此事有助于阐明主体和处理者间存在清晰的权力不对等，从而可能导致主体对处理其（敏感）个人信息的同意无效。脚注提及这一分析适用于其他合法性基础。与此同时，意见指出虽然此处使用了支配地位的概念，但其并不当然地等同于竞争法中的支配地位概念。如何认识二者间的联系与区别，很可能是日后的疑难问题。
欧盟数据委员会（EDPB）随后做出的、有关脸书行为广告合法性基础的决定沿袭了这一思路。EDPB首先指出本案与上述案件存在密切关系，然后明确指出借助市场支配地位分析同意的思路可以拓展至为履行合同所必需的合法性基础。本案中，如果主体不愿意接受需要出于行为广告处理其个人数据的所谓“合同”，则其只能退出脸书的服务。由于脸书在社交媒体方面的市场支配地位，主体因此几乎没有额外的选项。其信息权利和表达权利因此受到损害。这一结论倾向于否定为履行合同所必需的合法性基础。对透明性原则的违反加强了这一结论。
从透明性到滥用市场支配地位
数据隐私法下的单独同意和透明性日益地关系到大型互联网平台是否滥用了其市场支配地位。无论是提供的同意机会不够单独，还是对于透明性义务的履行不充分，在特定法域下都有可能导致认定市场支配的滥用。
此类法域的代表是德国。代表性的法律是其2022年最后修订的《竞争法》，尤其是其间关注颇多的第19a条。增补第19a条的主要目的就是规制大型互联网平台，尤其是具备跨市场的支配地位、在财力或数据上具备优势的大型互联网平台。如果认定为此类平台，则其竞争实践与数据处理实践之间存在相当密切的联系。具体而言，第19a条第4款a项进一步明确道：对此类平台而言，如果在没有给予用户足够充分、确切的同意的前提下，将同意处理来自其他服务或第三方的数据作为用户使用其服务的先决条件，则构成市场支配地位的滥用。
据此，Bundeskartellamt已经针对若干平台开展执法，其中包括关联处理多种服务和第三方来源数据的谷歌。Bundeskartellamt先前已然认定谷歌具有前述市场支配地位。在2023年1月的案情更新中，Bundeskartellamt进一步指出了谷歌可能构成滥用的三类数据处理实践。一是同意没有按照不同的服务目的和不同处理目的区分。二是同意选项的设计不够平衡，同意比拒绝更加容易。三是基于安全等宽泛的处理目的广泛留存和处理数据。这些实践后续可能需要纠正。Bundeskartellamt同时指出仍需努力协调《竞争法》与《数字市场法》。
二者执法关口的共同前移
面对数据隐私法和竞争法领域相互催化、日趋严峻的监管压力，大型互联网平台及其相关的生态和组织正在勉力推动替代性的自律倡议。这些自律性倡议通常具备较强的技术性色彩。由此也导致执法关口开始前移至开发阶段。
英国竞争和市场机关（CMA）针对谷歌隐私沙盒的执法实践可谓典型。简言之，面对在线广告隐私合规性“飘零如转蓬”的现实，隐私沙盒倡议希望在主要通过技术手段实现相应合规的同时，在基础和应用层面深刻塑造数据隐私的概念和实践。在基础层面，包含通过差分隐私和信息熵定义数据隐私的隐私预算组件；在应用层面，不仅尝试利用一整套组件取代第三方cookie，还意图利用另外一套组件实现主要在端侧处理数据的在线广告交易和提供。兹事体大。隐私是否合规是一方面。谷歌是否得以由此显著地自我偏爱、损害竞争，是另一方面。
隐私沙盒甫一提出，便有若干竞争法机关表示关切。CMA的执法相对深入，结论也最为系统。其在2022年2月颁布的决定以及其他许多相关的文件，在一定程度上代表了世界范围的监管水平。展开需要长文，此处仅简述八个有趣方面。一是自我偏爱的风险确实存在。二是执法机关将持续介入倡议的开发过程，以促进其合规。三是厘清“第一方”等实践中重要的概念。四是在匿名化等具体概念上有所启发。五是定量探讨若干关键技术参数。六是对所涉算法有达致技术细节的细致分析。七是以实验方法强化监管。八是涉及行业组织的定位。等等。
结语
以上探讨了数据隐私法和竞争法的三方面新进展。既有从隐私到竞争，也有从竞争到隐私，还有二者执法关口的共同前移。这些趋势将在全球范围内2023年继续推进的重大案件执法中进一步展开。这些新进展也揭示了若干已经或者将会到来的疑难。不同部门法之间概念联系与差别的厘清，不同层面和部门间的法的冲突化解，还有如何真正实现法律和技术间的自如转圜，都是费煞思量。
主要参考文献
Advocate General Rantos: Opinion on Case C‑252/21. 2022.
Bundeskartellamt: Statement of objections issued against Google’s data processing terms. 2023.
Competition and Markets Authority: Decision to accept commitments offered by Google in relation to its Privacy Sandbox Proposals. 2022.
Competition and Markets Authority: […]. 2022.
European Data Protection Board: Binding Decision 4/2022 on the dispute submitted by the Irish SA on Meta Platforms Ireland Limited and its Instagram service (Art. 65 GDPR). 2022.
声明：本文来自网安寻路人，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
