近日，英國在議會提交了新的《數據保護和數字信息法案》(The Data Protection and Digital Information Bill，以下簡稱“《法案》”)。

此次的修正案中提出了多項與數據保護相關的修訂，包括減輕數據跨境義務、鼓勵自動化決策等多個方面。英國政府官網的公告顯示，軟化后的數據監管框架預計會在未來10年內為英國省下47億英鎊的合規成本。

受訪專家表示，脫歐之后，英國境內的法律法規將如何變化發展一直受到各方關注，此次《法案》推出的多項舉措將一定程度上消除數據領域規則的不確定性，幫助英國維護其國內企業發展與數據保護之間的平衡；需要注意的是，由于存在歐盟充分性認定等影響因素，《法案》后續將走向何方仍有待觀察。

【資料圖】

英國頒布《數據保護和數字信息法案》

2020年，隨著英國正式脫歐，其境內整體規則即將變化帶來的不確定性引起了各界的廣泛關注，數據領域也不例外。

該國現行的數據保護法借鑒了歐盟的《通用數據保護條例》(GDPR)，作為“歐盟有史以來最嚴格的數據保護法”，GDPR在英國的落地實踐被認為存在流程繁瑣等問題。

在此背景下，《法案》作為脫歐之后對數據保護制度的改革舉措之一，于2022年7月首次被提交到英國議會討論。同年9月，立法進程按下暫停鍵。英國計劃商界人士和數據保護專家與監管官員一起參與共同設計法案的過程。而近日，《法案》在議會被重新提出，目前即將進入下議院二讀階段。

此次修訂的《法案》提出了多項舉措，以促進英國對數據的保護和利用。具體舉措包括：設立委員會強化監管機構ICO的職能；允許企業在遵循英國現行數據法的情況下，建立在海外共享個人數據的傳輸機制；提高公眾和企業對自動化決策的信心等。

北京師范大學法學院博士生導師、中國互聯網協會研究中心副主任吳沈括認為，數據監管已經成為各國產業競爭的重要組成部分，對企業合規需求的關注和數據合規監管強度的合理設計有助于提高本國制度的吸引力，改善國內的市場投資環境，幫助國家獲得產業發展和經濟競爭的相對優勢。

不過，這是否意味著現階段英國更注重數據流通而將個人信息保護放在相對較弱的位置？

“這并不意味著英國更注重數據流通而弱化個人信息保護。”北京航空航天大學法學院副教授趙精武向21世紀經濟報道記者解釋道，此種措施背后的原因除了與英國脫歐相關之外，還與GDPR在具體實踐中并未能夠預期的效果有關。

“GDPR在英國可能既沒有真正達成個人數據保護的立法目的，也沒有為商業實踐明確數據使用的合法性邊界。更重要的是，數據流通和個人信息保護并不是一個‘非此即彼’的問題，明確數據合理使用的具體邊界也在為個人信息保護提供另一種‘實踐標準’。”他直言。

吳沈括也對此補充道：“與他國立法相比，英國的監管環境特別注重產業生態的培育和優化，這個是英國規則的實用主義立場，在各國立法當中是特別明顯的。”

多舉措平衡數據保護與企業發展

英國政府針對減輕企業的合規成本等提出了多項新舉措。

針對數據跨境，《法案》明確，如果企業已經遵守了英國現行的數據法，則可以被允許使用現有的數據傳輸機制在海外共享個人數據。

在北京理工大學法學院助理教授裴軼看來，在其條款已經規定“遵守現行英國數據法律”的前提下，數據安全并不會受到影響。《法案》的主要目的在于，允許企業運用現有的合規機制，以降低未來額外的合規成本。

吳沈括表示，這條規定是英國增強各方信任度必須采取的舉措。“此舉強調既有的合規方案依然有效，給予了相關方以規則的確定性和可預測性。”下一步，英國可能會對數據跨境機制再做補充，以確保此領域規則的可持續性。

“英國的這種制度模式實際上是借由英國與第三方國家、地區的充分性保護協議，建構以英國為數據中心的國際地位。”趙精武指出。

在數據利用方面，英國還開啟了智能數據計劃(Smart Data)。智能數據是指與授權的第三方提供商(TPP)安全且經同意共享客戶數據。TPP使用這些數據為消費者或企業，如自動切換和賬戶管理，智能數據的實踐便是英國的開放銀行業務。

此次法案對于智能數據的相關行為做了規定。允許通過智能數據方案共享客戶數據，以提供個性化市場比較和賬戶管理等服務。創造在特定市場引入“智能數據”計劃的權力，包括要求供應商和其他人向客戶提供客戶數據和業務數據的權力， 以要求收集、保留和糾正數據以及允許中介機構行使客戶權利的權力補充這項權力，還包括制定執法條款、收取費用和征稅以及提供財政援助的權力。

數據流通過程中，明確區別商業數據和用戶個人數據是實踐當中的一個難題。“因為從業務活動來看，用戶個人數據實際上也是以各種形式存在于商業數據集合之中。法案的此種嘗試或許可以為我國未來數據流通提供具有可操作性的數據分類標準參考，實現個人信息保護與數據商業化利用之間的利益平衡。”趙精武表示。

細化規定合理利用自動化決策

第四次工業革命浪潮下，人工智能等新技術的使用可能帶來廣泛的經濟和社會利益，自動決策的廣泛利用就是便利之一。然而這一技術的利用也可能帶來諸多問題。

英國政府官網的公告指出，英國國內現有數據保護法很復雜，而且對于完全自動化的決策和分析缺乏明確性，使得組織很難負責任地使用這些類型的技術。《法案》對自動化決策和分析做出了新的修改，以期更好地利用技術提高效率。

《法案》規定，當在沒有有意義的人類參與的情況下對一個人做出重大決定時，分析會受到同一套強大的自動決策保護措施的約束，即如果一個人因為“在沒有有意義的人工輸入的情況下”做出的自動決定而被拒絕工作或貸款，他們可以質疑該決定并要求人工審查結果。

“此外，國務大臣可以制定相關條例，規定在做出決定時有或沒有有意義的人參與。” 裴軼指出，作為這些改革的結果，企業、人工智能開發者和個人將更清楚地了解這些重要的保障措施何時必須適用于完全自動化的決策，有助于為計算機算法做出的決定提供更多的透明度和問責制。

在趙精武看來，這實際上是為了避免完全自動化決策可能導致的算法不公平問題，避免算法歧視、算法偏見等現象實質性損害個人合法權益。

此次英國政府對新立法的立場是期望在保護公民的個人數據和允許企業更有效地運營之間取得平衡。這一立法宗旨能否實現將取決于其實施和執行，但客觀上是朝著敏捷的數字經濟邁出的一步。

“不過，歐盟將如何回應此次新《法案》的發布以及最終可能在英國生效的版本，還有待觀察。”裴軼提醒道，歐盟使用“充分性”這一詞語來描述其認為提供了與歐盟范圍內的數據保護水平“基本等同”的其他國家、地區、行業或國際組織。針對英國，歐盟每四年進行一次充分性審查，下一次充分性決定將于2025年6月27日作出。

英國和歐盟制度之間的基本等同性對于英國脫歐后的商業發展至關重要。英國政府此前公布的影響評估顯示，如果歐盟決定撤銷對英國的充分性認定，將導致英國年度出口收入損失達到2.1億至4.1億英鎊。

（文章來源：21世紀經濟報道）