世界in台灣》中國新數據隱私權法 恐進一步擴大「社會信用體系」

中國議題

本文作者為:香港大學法學教授張湖月,她是該校中國法研究中心總監,著有《中國反壟斷例外論》

中國近來通過一項保障數據隱私權的重要法案,《個人信息保護法》(PIPL)

受到歐盟《通用資料保護規則》(General Data Protection Regulation)啟發,中國PIPL旨在約束科技企業如何處理用戶資料,影響十分重大。PIPL的規定表面看來似乎相當嚴格,《華爾街日報》甚至稱讚PIPL是「世界上最嚴格的數據隱私權法(data-privacy law)」。然而,該法對中國用戶的保護程度,恐怕不如許多人所預期,甚至可能進一步鞏固中國當前幾大科技巨頭的主導地位。

中國「社會信用體系」再升級?

誠然,PIPL是保護中國公民隱私重要的第一步。監管機構從此有了一套新武器,用以對抗中國強大的科技企業:限制企業用演算法進行價格歧視(price discrimination);強化跨境數據傳輸規則;對大型科技公司這些「守門人」索取額外的監管費用(compliance burdens)。

然而,仔細觀察PIPL就會發現其主要弱點。首先,雖然PIPL要求企業和政府機構在處理個人資訊前,必須獲得個人同意,但在有「法定依據」(statutory basis)的情況下得以豁免——但PIPL並未具體說明,哪些法規符合豁免條件。諸多中國政府部門,包括中央部委和地方政府,都擁有一定程度的立法權,因此當局恐訴諸大量位階較低的法規來規避PIPL。

值得注意的是,當局可能訴諸推動中國備受爭議的「社會信用體系」的同一套法規,來獲得PIPL的豁免權。中國人民銀行(PBOC)一直在草擬該體系的資訊運用指南,以將大量線上消費者的數據納入該系統,包括交通、通訊、財產和支付資訊。

北京更容易向科技巨頭索取用戶資料

這將遠超現行的社會信用系統,其主要收集負面信用資訊,例如個人債務違約和違法行為。毫無疑問,新指南在中國引發激烈討論,許多人認為它嚴重侵犯個人隱私。然而,對中國人民銀行而言,那卻是創建全國社會信用資料庫這個宏遠計畫的核心——國家將能對螞蟻金服等金融科技巨擘加強施壓,要求它們把大量個人資料轉移至國家控制的存儲中心。

中國科技企業之前是以消費者隱私為由,抵制此類官方壓力。然而中國對科技巨頭發起的監管戰爭——尤其是喊停螞蟻金服首次公開募股——大幅強化了中國人民銀行的力量。現在,中國人民銀行以金融穩定的名義,正在積極推動其信貸資料庫計畫。

從另一角度而言,PIPL也是失敗的:它並未建立一個新的獨立數據保護機構,而是由中國國家互聯網信息辦公室」協調,執法工作則由國家和地方各級監管機構負責,這些單位往往人手不足。

這可能解釋了為何法律制裁(legal sanctions)不是PIPL唯一的執法形式。相反地,PIPL允許軟性執法,例如約談企業要求他們改正行為。雖然這些軟性措施能在法律制裁之外,提供另一種靈活有效的執法方式,但也可能會給官員留下太多自由裁量空間,削弱PIPL的嚇阻能力。

此外,新法律不太可能限制中國科技企業的市場力量。畢竟,這些公司擁有雄厚財力和強大法務──這些資源使他們有能力承擔PIPL的行政監管成本,但對規模較小的競爭對手而言,情況就不是這樣了。

小蝦米難挑戰大鯨魚

PIPL對「資料可攜性」(data-portability)的要求,即允許消費者能在不同平台間順利轉移個人資料,就是一個很好的例子。該規則旨在鼓勵多平台註冊(讓消費者光顧多個平臺),降低消費者的平台轉換成本。然研究表明,這樣反而會阻止新的競爭者進入市場,因為小型企業通常無法負擔強制資料傳輸的成本。

同樣地,嚴格的隱私保護政策,可能使小型企業和新競爭者處於競爭劣勢。 以北京字節跳動(ByteDance)為例,它之所以能呈現指數成長,歸功於以演算法衡量消費者偏好,並推薦相關內容和廣告。 若隱私保護的要求變嚴格,字節跳動當初恐怕無法獲得足夠資訊,從而無法真正挑戰老牌企業。 如果新競爭者無法蒐集競爭所需的資料,最終可能會傷害PIPL本欲保護的用戶。

中國的新數據隱私法,無疑會增加中國巨型科技企業的行政監管成本,而它們在過去10個月來已經飽受監管衝擊。 不過,最終PIPL對它們而言或許是因禍得福。

© Project Syndicate

註:本文之中文翻譯由Project Syndicate提供,再經《信傳媒》洪培英校稿潤飾。