黃一展觀點：通用資料保護規則（GDPR）　網路用戶的「被遺忘權」

前陣子的一本新書：《The Age of Surveillance Capitalism》，由哈佛大學教授（Shoshana Zuboff）出版，探討在當代資本主義之下，隨著網路普及、數據經濟的興起，普通人的日常生活與交易，恐怕不再是如古典經濟學家所稱的自由市場，反之，很可能是在被「監控」和「制約」之下，去參與市場互動、消費行為、做出決策，乃至不自覺的影響長期的行為模式，更可怕的，是我們仍以為這些都是「自由意志」使然。

這一切可以歸功／歸咎於大數據與AI，相信絕大多數的現代人，工作與生活離不開電腦、手機等數位化工具，在每次使用的當下，都會產生海量的紀錄與數據，而這些data往往被那些大型的跨國公司，結合全渠道通路，每年創造可觀的營收。例如，谷歌很早就發現到，與其聘僱大量工程師，以人工的方式維護搜尋引擎的品質，不如利用個別用戶的搜索需求，加上AI的導引，來讓搜尋引擎自我成長。這種把消費者的data直接當成「燃料」的做法，成為各家互聯網公司的重要獲利模式。然而，真正的data擁有者，或至少最初提供這些data的云云大眾，並未從中受惠，亦無法對這些牽涉個人隱私的資訊決定該怎麼用，以及該如何被揭露。

通用資料保護規範（GDPR）的誕生

隨著網路科技，諸如5G、物聯網、人工智能的時代來臨，我們的生活越來越與數據密不可分，而當數據成為一種重要的「數位資產」時，其所有權、使用權和累積這些資產過程中的程序正義，就是十分重要的課題。社會學家大衛．哈維（David Harvey）曾提出所謂「剝奪積累」（accumulation by dispossession）的理論，指出過度積累的資本可以用超低成本取得更多的資源，進而將之轉化為超額利潤，在當代，這些過度累積的資本，就是數據。

通用資料保護規範（GDPR），便在這樣的考量下因應而生。率先由歐盟倡議並制定（歐盟法規編號：EU 2016／679），旨在針對所有歐盟境內個人關於資料保護和隱私的規範，同時也對企業使用消費者的個資、網路上使用者紀錄，以及其他敏感資料的搜集和使用，做出更嚴格的規定。例如，根據歐盟規範，若企業違反GDPR，包含所謂個人資訊、生物特徵和定位資料等，如果不能讓用戶自主的管理和知曉其用途，則會遭到重罰，最高可能面臨2000萬歐元的罰款或全球範圍內，總營業額4%的罰金。

不僅如此，GDPR同時也要求很大程度上，將數據的歸屬與使用，重新回歸到使用者／消費者本身。著名的案例，也是GDPR的起源理由之一，是2011年發生在西班牙的一起「被遺忘權」訴訟案，當事人要求媒體永久刪除一段有關他破產的新聞報導，時隔16年，他早已還清債務，但那段報導卻仍可在網路上搜尋到，無時無刻的影響著他的名譽。 （相關報導： 突破論壇》個資在政府手上你放心嗎？專家推薦這招：留下政府監控民眾的痕跡 ｜ 更多文章 ）

歐盟法院在2014年做出裁決，判Google敗訴，且歐盟公民在不違反公共利益與安全的情況下，是享有資料的處置權與「被遺忘權」的，大眾若要求移除有關個資、隱私或其他敏感數據（甚至包含消費記錄）等，互聯網公司是不能拒絕的〔1〕，而這也成為接下來草擬GDPR的基礎。

GDPR在2016年通過，2018年5月開始強制實施，影響深遠。不少國際公司因為短期內無法滿足如此嚴格的規範，必須暫時停止歐洲區用戶的部分服務，甚至包含能夠聯網的智能家電，都被迫先「降級」成普通家電，直到改善資安並符合GDPR後，方能重新開啟API端口和數據蒐集／訪問等功能。某些企業還採取了極端的做法，例如線上遊戲商Ragnarok Online和數位行銷公司Verve，以及共享平台StreetLend便宣布關閉歐洲地區的伺服器，以及停止歐盟境內的運營。

臉書、GOOGLE等企業定型化契約

若深入探討，其實現階段Google、Facebook、Youtube、Line這些巨無霸企業，要求用戶必須先勾選某些強迫限制隱私權，以及無條件讓公司可以運用data的作法，嚴格上來講，上已經違反了GDPR〔2〕。進一步來說，這些網路上的定型化契約，簡直跟大航海時代，西班牙征服者對待美洲原住民的方式如出一徹：侵略者對原住民宣讀來自國王的「征服令」，也可視為口頭契約書（Requirimiento），無論對方是否聽懂，接著，就好像取得了某種正當性一樣，可以肆無忌憚的侵略、搶奪與奴役。

反觀網路時代，用戶的使用者行為、個資與交易狀況，被這些網路公司搜集之前，多半不會被告知，或著頂多也只能被迫「一鍵同意」落落長的「使用者隱私規範」或「用戶同意書」，不同意就無法使用，然而一但同意，就如同當年的美洲原住民的處境，我們的個資與網路行為，通通被扒的一乾二凈，被利用，甚至濫用。

劍橋分析事件：個資洩露影響美總統大選

若你仍覺得無感，或不認為個別使用者的數據，被搜集和使用會導致嚴重後果，那不妨去研究一下劍橋分析（Cambridge Analytica）事件的始末，因為臉書無意（或故意？）洩漏用戶的個資，間接影響了美國的總統大選，連美國如此民主制度成熟、科技進步、民智已開的社會，都能被數據所操縱，就別提那些較為落後、庶民思想保守或奴化，對權威比較敬畏的地區，透過大數據參透，對政治、商業、日常生活造成的影響，更是潛移默化，且無遠弗屆。臉書在2017年的營收大約是400億美元，若按照GDPR來罰款4%，恐需付出16億美元的代價。

數據造成的影響無所不在，從媒體報導、輿論風向、社群媒體的日常使用，到智能居家與智慧城市、電動車乃至個人的手機，筆電與「穿戴裝置」－那些美其名幫你時時測量心跳血壓卻無時無刻在搜集你的健康數據…每個環節都牽涉個人隱私，也都是一場場的數據主控權的爭奪戰。當資本家期待用科技打造一個數據烏托邦，生活其中可以更便捷、舒適，與任何的服務都唾手可得，但同時我們集體意識、自由意志，很大程度上，也都會變成大數據運算、AI預測，以及更高層次營銷手段下的犧牲品。一如《The Age of Surveillance Capitalism》這本書中提到的，「我們生存的價值和意義，只是為了成為他人的獲利目標」，又或者，我們都在逐漸走向如同電影《駭客任務》或影集《黑鏡》、小說《1984》所敘述的世界，集體的平庸或更糟。

至少GDPR看起來是個不錯的開始，他不光是影響企業未來的運作和獲利，同時也是作為消費者的我們，應該好好審視自己創造出來的資訊，是否值得捍衛（與要求使用這些data的企業付費）？又或，至少清楚的掌握這些data到底被用到哪裡去了。 （相關報導： 突破論壇》個資在政府手上你放心嗎？專家推薦這招：留下政府監控民眾的痕跡 ｜ 更多文章 ）

〔1〕 誠然，相關的規範其實在各國的《個資法》中，多半都有提及，只是可能並未如GDPR般嚴格。以台灣為例，《個資法》第3條及第11條便賦予個人資料當事人，於蒐集之特定目的消失或期限屆滿時，得請求資料保有者刪除其個人資料的權利。

〔2〕 不過，包含Apple、Google、Microsoft等企業，已陸續將用戶資料使用，符合GDPR的規範，更新其有關隱私權的聲明文字，並清楚的告知用戶，享有哪些「資料主體權利」（Data Subject Rights）。

＊作者曾任職於聯合國科技部門，派駐過歐亞非不同城市。長期關注氣候變遷、再生能源、永續發展以及社會創新等議題。喜歡旅行、觀察和寫作。