合规前沿 | 欧洲公共数据空间的个人数据保护设计

前言：

（一）术语和角色分析

根据DGA的定义，欧洲公共数据空间由三个主要参与者组成；DGA为其中每一个提供了一个定义，简要介绍如下：

•数据持有人（Data Holder）：是指不是相关特定数据的数据主体，但有权访问或共享某些个人数据或非个人数据的法人。

•数据中介机构（Data Intermediary）：是指连接数据持有者和数据用户之间的载体。数据中介机构通过提供数据访问等服务，在促进数据的安全和受控共享方面发挥着作用。

•数据用户（Data User）：是自然人或法人，可以合法访问某些个人或非个人数据，并有权将从数据中介机构获得的数据用于商业或非商业目的。

下面的图1提供了这三个参与者之间交互的说明性描述。

图1：欧盟主要数据空间参与者

DGA适用于“行为、事实或信息的任何数字表示”，包括个人数据。当共享数据包括个人数据时，在DGA和GDPR之间的角色（和相关职责）需要有一个映射。然而，这可能并不简单，因为处理操作取决于共享的执行方式以及数据中介的实际角色。

在DGA和GDPR的背景下，数据持有人负责确保数据的合法和适当收集、处理和存储，数据中介机构提供服务以促进受控的数据共享、处理和储存，数据用户接收和使用数据用于各种目的，如分析、研究或其他合法利益。即使基于这些相当笼统的描述，也无法安全地确定谁是控制主体，是否有一个总体的控制主体，是否作为联合控制主体，是否存在处理主体，以及数据用户是否是数据接收方。即使GDPR规定了每个角色必须满足的具体要求，在通用模式下，也不清楚哪个实体单独或哪些实体共同“决定个人数据处理的目的和方式”，哪个实体“代表数据控制者”行事，以及是否有实体“向其披露个人数据”。正如Agencia Española de Protección de Datos（AEPD）最近的出版物所指出的，“定义加工操作的最重要方面是其目的”。

从本质上讲，DGA和GDPR创建了一个框架，数据持有人、数据中介机构和数据用户可以在该框架中共同确保负责任和合规地开展数据共享、处理和使用活动。他们必须使自己的做法与两项立法中概述的原则和义务相一致，并采取行动保护个人权利和隐私，同时促进创新和数据驱动。

（二）输入隐私和输出隐私问题

在启动数据共享过程之前，我们需要考虑数据主体在共享环境执行的处理过程中可能出现的风险。可以确定两个主要挑战，如下所示：

•输入隐私问题：目标是允许对已共享的数据进行处理，但同时确保共享环境无法恢复到初始数据，这可能导致对个人的选择或识别。

图2：输入隐私问题

•输出隐私问题：目的是防止在共享环境执行计算后单独选择或识别个人。

图3：输出隐私问题

在欧洲公共数据空间等共享环境中，输入隐私和输出隐私都是数据隐私和安全的关键方面。确保从收集个人数据到共享结果的那一刻对其进行保护是信任此类共享框架的一个组成部分。解决这两种风险的方法是在遵守GDPR原则的同时部署相关的数据保护设计模块。 

（三）数据保护设计的作用

数据保护设计可以成为部署欧盟数据空间的一个非常重要的推动者，在欧盟数据空间中，数据共享机会和个人数据保护可以卓有成效地共存，而不会相互阻碍。不解决欧洲公共数据空间实施中固有的法律和技术层面上的数据保护要求限制，可能是阻碍采用数据共享模式的一个因素，并可能限制欧盟数据战略的范围。这一前提条件不仅在DGA中得到了关注，而且在AEPD最近发布的一份报告中也得到了强调。 

数据保护设计不仅仅是符合GDPR的“合规工具”。在实施适当措施和必要保障措施以加强数据保护原则并使个人权利得以行使的过程中，数据保护设计为数据控制者提供了一个真实的数据共享选择，同时将信息滥用、数据泄露或其他安全威胁的风险降至最低。为安全合法的数据共享开发令人信服的实用案例是成功实施欧洲公共数据空间的最关键挑战之一。数据保护设计有可能在数据共享和数据保护之间取得平衡。使用新的并且熟知的措施，其风险可能会减少很多。新兴技术尤其如此，因为这些技术可能尚未建立最佳实践。制定标准并建立在现有良好做法的基础上，可以减少采用这些技术的复杂性和不确定性。这有助于增加对数据保护设计工具的信任和信心，并促进其广泛采用。

另一个重要的方面是数据中介机构在欧洲公共数据空间共享场景中的作用，因为这可能需要有关风险缓解的决策。一旦数据控制者确定了计划实施数据处理活动的潜在风险，如何减轻已确定的风险变得尤为重要。 

数据中介机构可能是也可能不是决策者群体的一部分（基于作为数据控制主体或数据处理主体），但肯定是需要实际实现隐私增强技术（PETs）的实体之一。如果（高级）数据假名化（甚至匿名化）被确定为解决特定数据保护影响评估（DPIA）风险的最佳手段，则必须由某人执行在所考虑的数据集中应用假名的任务。当然，数据中介机构有可能将完整的非假名数据集移交给另一个数据处理主体，然后由该数据处理主体执行假名处理，但这种设计实际上会引入一个新的风险向量，因此理论上不能降低有问题的数据风险披露。最好的情况是，数据集将在数据中介机构那里（或数据中介代理的数据存储位置）使用假名。然而，这种方法将要求从数据中介机构查询数据集的数据控制主体需要准确地告诉数据中介机构如何执行所考虑的特定假名方案。随后，数据中介机构将需要自己实例化并执行数据假名化，仅向查询数据用户提供假名数据集。

如果决定将联合学习用作训练机器学习模型的（隐私保护）手段，则该决定必须由数据控制主体与提供对数据存储位置的访问的数据中介机构密切合作来实施和协调。如果要使用k匿名或差分隐私方案来保护数据不被泄露，则必须在存储数据的站点上实施所述技术。

可以看出，为了在数据空间场景中合理地实施隐私增强技术，数据中介机构必须能够执行所述任务，即准备好将这些技术部署到有问题的数据集，并能够按照数据控制主体的指示，在每个相关的数据共享场景中动态部署实现。

（四）数据空间的数据保护影响评估

关于数据控制主体执行DPIA方面，数据保护设计有助于（半）自动化收集和交付必要信息。由于每次DPIA中的一项关键活动是获取和评估相关数据主体的权利和自由风险，数据中介机构可以为其自己的系统和服务执行一次此类活动，并自动向数据控制主体提供识别的风险和相关信息。因此，数据控制主体可以将此风险列表纳入其DPIA中。

重要的是要理解DPIA程序需要的不仅仅是数据控制主体和数据处理主体之间引发风险列表的关系。额外的风险可能源于协作实体（即数据控制主体和数据处理主体）的关系，因此取决于处理中证实的确切交互。这些组织间风险只有在分析整个合作和处理操作时才能观察到。例如，让我们考虑这样一种情况，即加密的个人数据存储在处理链中的一个数据处理器处，而相应的加密密钥存储在另一数据处理器处。分别对其中的每一个执行DPIA，可能会导致较低的风险。要么，数据被加密（从而免受对手的攻击），要么甚至不存储数据（解密密钥除外）。就个人而言，在DPIA评估中，这两种风险很可能都不会得分很高。

然而，如果这两个数据处理主体碰巧使用同一个数据处理器进行实际存储，那么这两种情况的结合可能会对数据处理构成严重风险，因为现在解密密钥和加密数据都掌握在同一组织手中。可以看出，数据控制主体和处理主体的选择和关系于每个组合DPIA高度相关，在协作场景真正实现之前，无法静态地进行准备。其中，这些组合风险不同于单一组织的风险。总之，支持具有多个数据控制主体和数据中介机构的整体DPIA是一项重要任务。在整个处理操作的工程设计和欧洲公共数据空间的部署过程中，需要密切关注。

（五）主要问责设计模块

与建立信任有关的另一个方面是控制者问责制（原则）的概念。控制者负责并必须能够证明遵守GDPR第5（1）条规定的个人数据处理原则。因此，控制者有义务采取必要措施，以遵守GDPR的合规义务要求，并能够在任何时候证明其合规性，而无需监管机构在行使其权力时进行具体询问和要求，以评估合规性。

无论控制者或处理者是公共实体还是私人实体，所有愿意促进为社会和经济利益重复使用个人数据的数据持有人都必须通过适当的内部机制（政策、程序、基于风险的评估、控制和其他与数据共享相关的措施）来证明问责制，方式包括数据共享协议和合理的隐私管理计划（PMPs）。

根据DGA关于欧洲公共数据空间的规定，实现问责制的主要组成部分如下：

根据《数据法案》，承担这些职责的数据持有人和数据用户同样承担着可通过实施上述设计模块来解决的问责义务。

（六）通过安全保障和可信中介实现高效的欧洲公共数据空间

问责计划和处理并不是在实践中为有效和可互操作的欧洲公共数据空间创建共同、一致和标准化的欧盟主体框架的唯一途径。毫无疑问，在制定数据共享项目之前，数据持有人将受益于考虑是否需要与接受者达成数据共享协议，以履行其问责义务或减轻已确定的个人风险，尤其是明确数据共享的目的，确定安全措施，并确保各方明确其角色和责任，其各自的治理义务和责任规定。

另外，数据中介机构，无论是“旨在帮助个人行使《一般数据保护条例》（GDPR）规定的权利”，还是“促进大量相关数据的汇总和交换”，并加强“数据的有效汇集以及促进双边数据共享”，将发挥至关重要的作用，即使它们的作用和义务仍有待微调并在实践中得到证明。由于数据中介机构秉持着“不将交换的数据用于任何其他目的”重要性原则，因此必须在实践中商定和规定技术及组织措施。