跳转到主要内容

文章分类

在本节中,我们将进一步探讨广告行业公司在为其数据处理活动提供符合GDPR的法律基础方面面临的实际挑战。本节特别阐述了透明度和同意框架(TCF),这是IAB Europe发起的一项行业倡议,旨在帮助企业应对获得用户许可的挑战。我们注意到,在实践中,确保GDPR合规的过程与适用于广告行业的两个法律基础相似,即(i)用户的明确同意,或(ii)处理数据的合法利益(有关这些法律基础的详细讨论,请参见第4.5节)。在这两种情况下,公司都必须获得用户的数据处理许可,不同的是,依赖同意要求用户选择数据处理,而依赖合法利益要求用户不选择退出。为了方便和表达清楚,在下文中,我们通常同时处理对合法利益的同意和不反对,使用术语“许可”来指代这两个概念。

7.1获得许可的挑战

为了获得用户对个人数据处理的许可,公司必须采取以下三个步骤:(1)指定提供许可的数据处理目的(第4.4.4节);(2) 处理许可,包括请求许可和存储许可;以及(3)检查数据传输的许可,即验证是否根据用户提供的许可向其他公司传输数据。公司在每一步都面临挑战。表8概述了三个步骤、每一步骤所需的行动以及相应的挑战,我们将在下文中详细讨论。注意,在表8和本节中,根据TCF使用的术语,我们使用术语“供应商”来指代其他参与者(参见第2.4节)。

7.1.1指定许可用途的挑战

第1步(“指定许可目的”)描述了公司如何努力遵守第13条第1款。GDPR第1条第(b)款:“收集个人数据的目的应明确、明确和合法。”换句话说,在这一步骤中,公司必须确定使用处理数据的合法目的,并以明确(明确)的方式指定这些目的。此外,根据第13条第1款。根据GDPR第1条,公司需要与其用户沟通特定目的。值得注意的是,它必须不仅代表其自身,而且代表其向其传输用户个人数据的所有公司,指定并传达数据收集的目的,并且还必须识别这些公司(第13条第1款第e点):“数据控制者应[告知数据主体]个人数据的接收者或接收者类别(如有)。”

GDPR本身没有定义哪些“明确、明确和合法的目的”是可以接受的,这为解释留下了空间。因此,十家不同的公司可能会想出十种不同的方式来说明其目的。例如,A公司可能会指定和标记两个目的:(1)支付信息的cookie;(2) 在线跟踪用户的行为。同时,B公司可能会指定相同的两个目的,但标签与A公司不同:(1)处理付款的cookie;(2) cookie在线监控用户。如果这两家公司合作,这两个不同的标签将使自动匹配这两个目的变得困难,尽管目的实际上是相同的。此外,规格也可能有很大不同。因此,目的规范中的异质性使得与用户和企业之间的沟通具有挑战性。

鉴于上述情况,我们建议企业在指定数据处理活动目的的步骤中面临三大挑战(表8):即,以(1)准确、(2)明确和(3)方便与用户和其他企业沟通的方式指定目的。

挑战1:准确性。

为了实现准确性,公司必须以符合GDPR和普遍接受的方式指定数据收集的目的,从而减少误解的可能性。由于GDPR(第4节)中的定义和规则是抽象的,且可供解释,因此实现准确性是一项挑战。事实上,数据保护机构自身在解释GDPR合规性方面存在差异。例如,英国和西班牙的数据保护局要求分析cookie获得同意,而德国不同意,法国和意大利允许几个例外情况(Voisin等人,2019)。因此,公司很难找到一个符合GDPR的规范,该规范对所有解释都是可靠的。

另一个使准确性具有挑战性的方面是类似目的的异构规范的可能性,如我们之前的A公司和B公司的示例所示。假设A公司向B公司传输数据。为了进行这种传输,两家公司必须确保其具有用于B公司指定的两个目的的用户权限。由于标签不同,公司B可能会发现,很难决定公司A指定的目的是否与自己指定的目的准确匹配。

挑战2:明确。

GDPR要求公司的数据收集活动必须明确,即对用户完全透明。然而,GDPR没有指出企业必须提供的确切信息,以实现充分的明确性。因此,企业面临着确定哪些信息将为用户和其他企业提供明确感的挑战。

挑战3:方便沟通。

方便的沟通需要使用减少误解机会的措辞,同时保持简洁,方便用户和其他公司使用。同样,由于GDPR没有规定应使用哪些措辞来描述数据收集的各种目的,因此公司在这方面确定最佳措辞是很有挑战性的。特别是,公司可能会在使用更多单词来实现准确性和使文本简洁易懂之间进行权衡(Kulyk等人,2020)。

7.1.2处理许可的挑战

如表8所示,获取权限(“处理权限”)的步骤2包括两个操作:请求用户权限和存储用户权限。我们注意到,第5节对这些行动以及它们可能给公司和用户带来的成本进行了额外的讨论,第5部分提供了用于降低这些成本的技术工具的信息。

行动1:请求许可。

此操作涉及发布者请求用户允许其数据按照发布者指定的目的进行处理。发布者依靠cookie横幅来请求用户的许可(第5节)。用户对发布者请求的积极响应意味着发布者已获得处理用户个人数据的权限。

如前几节所述,请求用户许可对出版商来说是一项挑战,因为在网页上设计和运行cookie横幅需要一些公司缺乏的技术知识(第5.1.1.1节)。此外,发布者必须代表其传输用户数据以进行处理的所有供应商请求许可,因为这些供应商无法直接访问用户。对于出版商来说,将其供应商的异构许可请求集中起来可能是一项挑战,因为不同的供应商可能有不同的用途规范(如第7.1.1节所述)。

操作2:存储权限

。在向用户请求许可后,发布者必须在本地存储有关用户响应的信息,即用户是否已为与每个供应商对应的每个特定目的授予许可。通过存储这些信息,发布者可以避免每次用户访问其网站时再次请求用户的同意。

存储权限可能在两方面具有挑战性。首先,发布者必须找到一种方法,将用户的决定编码并存储在少量空间中。事实上,用户对权限的精细决策可以形成大量信息。发布者通过HTTP请求在整个数据传输链中传递这些信息。由于此类请求有大小限制,发布者必须紧凑地存储权限信息。

第二,以使供应商能够以不太昂贵的方式访问和读取信息的方式存储权限信息是一项挑战。事实上,供应商访问存储的许可信息可能会产生高成本,特别是当其将此类信息传输给其他供应商时。回想一下,供应商必须依赖出版商代表其请求许可。假设供应商A向供应商B传输数据;供应商A必须访问发布者的权限信息,以查看供应商B是否已收到用户权限。如果供应商A将数据传输给许多其他供应商(图5),并且必须反复联系发布者,则此过程可能会变得成本高昂。此外,如果供应商与以不同方式存储信息的多个发布者合作,则会产生与读取各种存储格式相关的成本。

除了上述挑战之外,发布者在保持存储的权限最新方面也面临挑战。实际上,这些挑战涉及需要将请求许可的动作与存储许可的动作相结合。假设用户更新了她的权限设置,并撤销了她过去为特定目的授予的权限。发布者需要更新每个参与者的权限信息,并确保所有参与者在同一时间点拥有相同的最新信息。为了实现这一目标,有必要将cookie横幅与存储和数据处理系统集成。这种整合给公司带来了技术和法律上的挑战。具体而言,公司需要一名信息技术专家来执行集成的技术方面,还需要一名熟悉信息技术的律师来验证程序是否符合GDPR。这样的跨学科人才是罕见的,而且雇佣成本高昂。

7.1.3检查数据传输许可的挑战

步骤3(“检查数据传输许可”)描述了向其他方传输数据的公司的义务。在公司A(发送方)向公司B(接收方)传输数据之前,公司A必须确定公司B的处理目的,并验证公司B是否有权出于这些目的处理用户数据。

执行此操作具有挑战性。如第7.1.1节所述,GDPR为企业提供了指定自己数据处理目的的灵活性,不同的企业可以以不同的方式指定类似的目的。规范的多样性增加了企业之间合作的时间和精力。此外,如果两家公司都认为它们的目的确实相同,这可能是一个挑战。

参与数据传输的公司所扮演的具体角色使这一挑战更加复杂。例如,在发布者到供应商的数据传输中,发布者必须代表供应商处理用户权限,然后检查其获得的权限是否确实适用于供应商指定的用途。这一程序涉及GDPR规定的多重责任,非常复杂。类似地,在供应商到供应商的数据传输中,数据发送供应商始终必须与发布者检查数据接收供应商是否具有用户权限。这个过程可能需要大量的努力,特别是当供应商与许多其他供应商合作时,如图5所示。

文章链接