八家跨國流媒體公司接到GDPR相關投訴
2019年1月18日，歐洲非政府組織“不關你事(NOYB：None of Your Business)”對8家跨國流媒體服務公司提出了10起GDPR相關投訴。投訴稱，涉事流服務公司沒能以透明的信息、通信及方式(GDPR第12條)響應數據主體的合法訪問權(GDPR第15條)，因而違反了GDPR。
其中4家公司為美國大型企業：Amazon Prime;Apple Music;Netflix和YouTube。另外4家是歐洲公司：DAZN(倫敦)、Flimmit(維也納)、SoundCloud(柏林)和Spotify(斯德哥爾摩)。***罰金從80.2億歐元(蘋果)到2000萬歐元(DAZN和Spotify)不等。投訴根據GDPR第80條的授權提出，該條款規定：數據主體享有授權恰當非營利性機構、組織或協會的權利。
NOYB由隱私活動家兼律師 Max Schrems 創建。Schrems在學生時期就依據GDPR的前身《歐洲數據保護指令》對Facebook提出了投訴，令歐洲法院以違憲為由撕毀了歐洲與美國之間的個人信息跨國流通安全港協議。
Schrems的GDPR戰績不少。就在GDPR生效當天(2018年5月25日)，NOYB分別對谷歌(安卓)、Instagram、WhatsApp和Facebook提出投訴。對谷歌的投訴由法國國家信息自由委員會(CNIL)受理。不知是否巧合，本周一(2019年1月21日)，CNIL對谷歌開出的5000萬歐元罰單中有部分也是NOYB的功勞。另一個互聯網自由組織 La Quadrature du Net 在NOYB的投訴提交幾天之后也遞交了一份類似的投訴。
CNIL認為谷歌違反了GDPR的兩項主要規定。首先，谷歌違反了透明性與信息原則;其次，谷歌的廣告個性化處理缺乏必要的法律依據。數據安全與分析提供商Varonis銷售工程總監 Matt Lock 評論道：
| 新罰單讓谷歌迅速拋棄了歐盟會對違反GDPR的公司心慈手軟的幻想。對公司企業來說，該消息無異于當頭一盆冷水。毫不夸張地說，眾所周知的風暴正在聚集，隱私倡導組織堅持自己的信念，誓將大型跨國公司釘上隱私控制松懈的靶子。 |
谷歌無疑會對此裁決提出上訴。
同時，透明性問題也成為了投訴的焦點。NOYB與與8家流媒體服務的8個用戶合作，向這些流媒體服務提出了數據訪問請求。流服務公司需在1個月內做出回復(Apple Music 的申請在2018年10月2日就提交了)。結果，DAZN和SoundCloud根本沒有任何回復，其他人雖然有所響應，卻沒達到NOYB的期望。NOYB按原始數據、可理解性和背景信息來衡量流服務公司的響應。
僅Flimmit提供了讓NOYB滿意的原始數據。僅Flimmit和Netflix提供了可理解的數據。提供了用戶數據的所有案例都僅僅是部分可接受的——Flimmit和Netflix的“背景信息”部分可接受，其他公司則完全不存在背景信息。在NOYB眼中，這8家公司里沒有任何一家符合GDPR的要求，所以都提出了投訴。
Schrems稱：
| 很多服務都是設置自動化系統來響應訪問請求，但通常根本提供不了每個用戶都有權訪問的數據。大多數案例中，用戶僅僅得到原始數據，其他相關信息一概皆無，比如這些數據的共享對象信息。這就是對用戶權益的結構性侵犯了，因為這些系統根本就是構建來隱瞞相關信息的。 |
雖然乍看之下用戶數據訪問權似乎只是GDPR中不怎么重要的一個方面，但該項權利切切實實觸碰到了GDPR立法的核心。背景數據應該提供信息，而不僅僅是數據本身，還應附有數據的存儲位置、共享對象等信息。很多人都知情同意了個人數據收集，但極少有人會知情同意個人數據被未知第三方共享。
所以，正如谷歌以圍繞數據收集的透明性展開，這些投訴以第三方共享的透明性為中心。
全部8個投訴都提交給了奧地利數據保護機構(DSB)，DSB再轉交給流服務主要運營國的監管機構。于是，DSB自己負責Flimmit投訴，將DAZN投訴轉交英國的信息專員辦公室。這2家公司因為根本沒有響應數據訪問請求而切實違反了GDPR。
其他6家公司確實響應了，所以投訴的理由是它們響應得不夠充分。Amazon Prime 應交由盧森堡監管機構處理，Apple Music 在愛爾蘭，Netflix在荷蘭。目前還不清楚針對YouTube的投訴由哪家監管機構受理。
這些投訴歷時多久才能處理完畢也尚未可知。既然去年5月底的投訴在今年1月底由法國監管機構做出了對谷歌罰款5000萬歐元的裁決，那么調查過程可能會歷時9個月到1年。
監管機構大概事情太多，是根據明顯的重要性來排序待辦案件的吧。劍橋分析公司數據泄露事件之后，英國(可能其他地方也如此)的注意力都放在了數據的政治性使用上。大洋彼岸的美國也是如此，美國聯邦貿易委員會目前就在考慮就同一事件對Facebook處以重罰。
Apple Music 投訴案頗有意思，因為其***執行官 Tim Cook 最近一直在嘗試通過支持個人隱私來將蘋果公司與其他科技公司區別開來。2018年10月的演講中，Cook表達了對歐洲和美國隱私權立法的支持，并評論道：
| 我們自身的信息，從日常信息到極為個人的隱私，正以軍事化的效率被武器化。 |
NOYB的投訴要么證實蘋果對個人隱私的尊重，要么暴露出該公司的銷售花招。同時，針對6家確實做出響應的公司的投訴也不乏不當之處。比如，對蘋果的投訴中包含如下用語：“有理由懷疑被訴人……”，以及“被訴人似乎保留了……”
值得指出的是，這些投訴似乎都只基于單個訪問請求。所以英國律師 Brian Bandey 才會評論道：目前他們不清楚NOYB到底要干什么。NOYB要求了“勸阻”性質的罰款。但Bandey認為，罰款和其他形式的處罰應與數據主體遭受的損失和傷害成正比。
| NOYB的案例中，我們無法確定是否經由測試徹底查明被訴人違反了GDPR。如果有人進行此類測試，可以說數據主體是因為沒有風險而被選中。 |
NOYB的投訴中寫道：我們將走針對性、戰略性訴訟的道路，***化對個人隱私權未來的影響。Bandey律師當前不確定這些投訴到底是“結構性的”(即針對被訴公司架構提出的嚴正控訴)，還是戰略性的(即旨在突出當前GDPR的缺陷以敦促其改進)。
即便投訴得到支持，也不會產生類似CNIL對谷歌開出的那種高額罰單。6家被訴公司切實響應了訪問請求，僅僅是沒達到NOYB的標準而已。NOYB可能是要暴露出這些公司在執行GDPR上的缺陷，而不是真正想對他們大罰特罰。這些投訴在地理位置上的均衡性(4家美國公司，4家橫跨至少7個歐洲監管機構司法權的歐洲公司)，也表現出了其戰略性投訴的意圖。
【本文是51CTO專欄作者“李少鵬”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
