欧盟数据保护影响评估制度及其启示

欧盟数据保护影响评估制度起源于隐私影响评估制度,数据保护影响评估制度的实施主体是数据控制者,规制对象是具有高风险的数据处理行为,具体流程包括审查、咨询、评估、报告和保障及复审五个阶段。欧盟数据保护影响评估制度对数据保护有风险防控作用,企业可因此更被消费者信赖。数据保护影响评估制度有指导性规范与行业自律结合、强制性义务两种模式。欧盟数据保护影响评估制度对于我国个人信息和重要数据安全风险评估制度配套法规的制定和落地,尤其是在安全风险评估的适用范围、评估性质、流程设计与机构设置等方面,具有重要的借鉴意义。

欧盟数据保护影响评估制度及其镜鉴

【目的/意义】欧盟《通用数据保护条例》(GDPR)创设的数据保护影响评估(DPIA)制度对数据风险防控具有重要意义。借鉴欧盟DPIA制度可以助益于我国企业数据合规、重要数据的保护、数据安全风险评估标准的构建。【设计/方法】首先,通过梳理DPIA制度的演化背景、理论基础,全面剖析欧盟DPIA制度的应用场景、评估流程、保护模式及惩罚机制。其次,通过梳理相关案例,对事实层面和规范层面我国建立数据影响评估制度的必要性进行分析。再次,对比我国个人信息安全影响评估(PISIA)制度与欧盟DPIA制度在适用阶段、评估目标、评估产物等相关规定的异同,可知前者侧重于对个人信息数据泄露后会对数据主体的影响维度进行分析,后者侧重于对数据主体权益保障维度的分析。最后,以问题为导向,对我国数据保护影响评估制度的建立提出相关建议。【结论/发现】完善数据安全风险评估标准的研制、提升数据安全风险评估质效、构建全方位的数据监管体系,不仅是构建法治化的数据安全风险评估制度的需要,更是我国经济实现数字化转型、构建数据安全保障治理体系的迫切需求。

风险管理模式下的数据保护影响评估制度

伴随大数据时代个人信息保护领域风险管理理论的广泛应用,数据保护影响评估已经成为推动个人数据保护的重要制度。运用文献研究、实证分析的方法,以2016年欧盟《一般数据保护条例》(GDPR)对数据保护影响评估的规定为样本,深入分析数据保护影响评估的理论背景、兴起与演变、含义、适用范围等内容,以期搭建规范、明确的影响评估制度,加强个人信息保护。数据保护影响评估内容不限于隐私风险评估,还包括数据安全、数据质量、非歧视等内容;对于容易带来高风险的数据处理行为,应设定数据保护影响评估为强制性义务;评估过程应听取利益相关者的意见,反映其利益需求;加强外部监督并适度公开评估报告。

欧盟及其他国家规制影响评估制度及经验介绍

20世纪后半叶，由于经济的衰退，导致许多发达国家掀起了一股轰轰烈烈的“非规制”（英文为deregulation，有的文献也翻译为“不规制”）和“减少文牍主义”（英文名为cutting red tape）的浪潮。因为他们认为规制太多会导致企业家创新精神受到限制，同时抑制经济的发展，之后这股浪潮迅速被规制改革所取代，发展为后来的规制质量管理，这也就是“规制影响评估”制度的发端。因为越来越多的国家意识到提高规制效益问题的关键应当是规制质量问题，而不是规制改革本身。

欧盟规制影响评估制度及其对我国规制改革的启示

欧盟规制影响评估是对拟议或现有规制政策所产生的社会、经济和环境影响进行分析和评估的政府决策工具,适用于规制政策的提案、制定、颁布和实施全过程。规制影响评估通过对不同规制政策、方案的分析比较,为决策者提供更为合理的、科学的依据,进而提高公众的参与度和规制质量。目前我国行政立法还存在着立法程序相对简单、部门利益膨胀等现象,导致了行政立法品质良莠不齐、执行及服从成本较高、有效性和操作性不强等突出问题。欧盟规制影响评估制度的理论及其运作实践对于我国科学民主立法、增加规制透明度、提高规制质量以及构建法治政府等具有重要的启示和借鉴意义。

算法评估制度在平台问责中作用的发挥

2021年4月末,《中华人民共和国个人信息保护法(草案)》(以下简称《草案》)征求意见,其中第55条明确提出:个人信息处理者应当对个人信息处理活动在事前进行风险评估。这一制度借鉴了其他国家的个人信息保护司法实践,尤其是《欧盟通用数据保护条例》(以下简称“GDPR”)第35条规定的“数据保护影响评估”(Data Protection Impact Assessment,以下简称“DPIA”)制度。