同意|数据隐私的重建:重构人机交互中的“知情同意”( 四 )


在美国 , 与数据收集有关的同意来自合同法 , 据金说 , 合同法“不要求实际(主观)知情” 。 相反地 , 合同法用获取信息或通知的能力和途径来替代“知情” 。 在大多数情况下 , 当要求个人在线提供同意时 , 同意过程本身就与网站或服务提供商形成或签订合同的第一步 。 在美国法律中 , 知情的要求源自其对个人自主权的侵害 。 例如 , 与要求电子邮件在营销活动中使用的表格相比 , 医疗程序这样具有“高度危险性”的信息摄取将受到更严格的监管 。 但是 , 在大多数在线情况下 , 企业或组织没有法律义务提供任何人都可以完全阅读和理解的通知 , 或去获得肯定的自愿同意 。 相反 , 公司的隐私政策(数据收集)通常是针对法律的文档 , 并非为最终用户的轻松快速消费而构建 。 一些公司已经认识到隐私政策难以驾驭 , 并且一些公司已通过改进交互式通知和所谓的“隐私登记”而向前迈进 。
我们如何来到当前境地:“同意与通知”机制的发展进程
“通知和同意”是公平信息惯例(FIPs)的关键组成部分 , 这是20世纪末为应对信息日益数字化而制定的一套原则 。
最初的FIPs由1973年极具影响力的HEW报告起草 , 其中不包含“通知和同意” 。 经济合作与发展组织(经合组织)以这些项目为模式在1980年制定了其金融投资方案 , 首次确立了“同意” , 但已然保持了最初的侧重点——目的限制和透明度原则 , 即让个人获得数据、更正数据以及向数据收集和使用者问责的权利 。 虽然多年来有几个版本的FIPs , 但它们往往重申同一套核心原则 , 即强调个人对信息的控制和“数据处理的程序保障 , 而不是对做法的实质性禁止” 。
公平信息实践原则
根据美国联邦贸易委员会1998年通过的公平信息实践原则 , 定义了以下通用术语:
通知:数据收集者必须披露他们在从消费者收集个人信息之前的信息实践 。
选择:必须向消费者提供选择 , 说明从他们收集的个人信息是否和如何用于提供信息以外的目的 。
访问:消费者应该能够查看和质疑收集到的关于他们的数据的准确性和完整性 。
安全性:数据收集人员必须采取合理的步骤 , 以确保从消费者那里收集的信息是准确的 , 并且不受未经授权的使用 。
到2020年 , 美国仍然没有联邦一级的全面数据保护立法 。
在美国这个缺乏联邦一级的数据保护或涵盖所有个人可识别的信息的隐私法的国家 , FIPs已经成为管理如何在在线领域收集数据的主要手段 。 鲍勃·盖尔曼指出 , “通知和选择有时是作为FIP的实现来呈现的 , 但是它显然远远低于FIPs标准” 。 根据克里斯的说法 , 虽然FIPs是由联邦贸易委员会所推荐的 , 但作为总括联邦一级美国隐私立法的基础 , 在20世纪初 , 这一想法停滞不前 , 到2020年 , 美国仍然没有联邦一级的全面数据保护立法 。 在美国 , 是州一级的法律推动了通知要求的改变 , 联邦一级的儿童在线隐私保护法(COPPA)也是如此 , 该法旨在保护儿童的个人信息 。 虽然FIPs在美国是不可执行的 , 但合同法有着坚实的法律基础 。 在美国 , 当这种商业与消费者之间的关系时进入“通知和同意”框架时 , 消费者就能够有效地签订合同 。 这一过程的正常化对于企业来说是必要的 , 特别是随着免费在线数字服务的激增 , 这样做能够为获取和处理个人信息提供法律确定性。
欧洲数据保护的演变遵循了不同的轨迹 。 1981年通过的《个人数据自动处理方面保护个人公约》仍然是欧洲委员会成员国数据保护法的主要渊源。 后来 , 在欧盟《数据保护指令》95/46/EC进一步小范围发展了这些规定 , 截至2018年 , 该指令已被《欧盟通用数据保护条例》(GDPR)所取代 。 在此领域发展欧盟法律的基础分别是数据保护和隐私权 , 从而导致了其通过制定法律来保护个人数据的收集和处理以及传输中的个人数据隐私 , 分别反映在GDPR和电子隐私指令中 。 同意在电信框架(根据尊重私人生活的权利和电子隐私指令)的保密方面比在数据保护方面发挥更大的作用(根据保护个人数据和GDPR的权利) 。 根据GDPR规则 , 同意只是欧盟法律下数据收集和处理的六个法律依据之一 , 而通知(在向个人提供有关他们的个人资料将会怎样的信息的意义上)须根据所有合法理由进行处理 , 包括根据收集或使用数据的组织的法律义务进行处理 。 在《国内生产总值报告》中增加了收集和处理个人数据的其他五个法律理由 , 这也削弱了对“通知和同意”的依赖 , 并一定程度上承认其“作为一种一刀切”的方法局限性 , 这与FIPs过程形成了很大的对比 。


推荐阅读