欧盟《数字市场法》《数字服务法》启示与应对

作为欧盟2019-24间六大重要战略[1]之一, 也作为促进欧盟尽早实现碳中和的重要手段之一, 数字科技有关的战略被列为欧盟委员会工作重点。
自2020年欧盟发布数字化战略[2]以来, 《数字服务法》(Digital Services Act, DSA)和《数字市场法》(Digital Markets Act, DMA)两部与网络用户及企业息息相关的法律均已于2022年开始逐步生效。该两部法律旨在创造一个更安全的数字空间, 保护用户的基本权利, 并为企业建立一个公平的竞争环境。
《数字服务法》(DSA)和《数字市场法》(DMA)构成了一套适用于整个欧盟的单一规则, 其主要目标为:
创造更安全的数字空间, 保护所有用户的基本权利;
增加在线平台透明度, 建立更加清晰的追责机制;
建立公平的竞争环境, 以促进欧洲单一市场和全球的创新、增长和竞争力。
什么是数字服务?
数字服务(或曰“在线服务/线上服务/网络服务”)包括从简单的网站到互联网基础设施服务和各类在线平台, 包括但不限于: 在线市场、搜索引擎、社交网络、云计算服务、视频平台、电子商务平台、线上支付和电子邮件服务等等。
数字服务为大众生活带来了便捷和效率, 也使企业更容易进行跨境贸易和进入新市场, 虽然数字化转型益处多多, 但也时时面临在隐私、边界、安全、便捷难以兼顾之下如何审慎取舍的担忧。网上非法商品、服务和内容的交易和交换, 在线服务被操纵性算法系统滥用, 虚假信息的快速和大范围传播等弊端如何应对, 成为各国监管机构共同面临的时代挑战。这些挑战以及应对方式对用户在使用网络时的基本权利产生了重大影响。
尽管欧盟层面采取了一系列针对特定行业的干预措施, 但当下监管的立法、执法均与目标期望有重大差距。例如, 一些大型平台控制着数字经济中的重要生态系统。他们已成为数字市场的守门人(gatekeeper), 拥有充当私域规则制定者的权力。这些规则有时会给使用这些平台的企业带来不公平的条件, 也会减少消费者的选择。
《数字市场法》(DMA) 设立了适用于向欧盟境内企业及终端用户提供平台服务的大型“平台守门人(gatekeeper)”(简称“大型平台”)的规则。该法下对于大型平台的定义和设置的限定条件较为严格, 以便使得该法的执行更具针对性和清晰度, 且不论该等平台设立和运营于何处, 只要其向欧盟境内提供服务, 则一概落入DMA的管辖范围内。大型平台是指在市场中发挥系统性作用的数字平台, 是企业和消费者之间重要数字服务的瓶颈, 其主要特征为:
(a) 在市场中占据着较高的经济地位, 其行为对市场有重要影响, 且在多个欧盟国家有经济活动。具体而言, 指在欧盟市场上过去三年的年度营业额均达到或超过750万欧元, 或过去一年的平均市值或公允价值达到7500万欧元, 并且在至少3个欧盟成员国提供核心平台服务。
(b) 其业务具有较强的中介属性, 也即其链接了大量用户和企业。具体而言, 指在过去一年拥有欧盟境内至少4500万月活终端用户, 或至少1万家年度活跃商家用户。
(c) 在市场上具有相对固定和持久的地位, 过去3年内曾保持了相对稳定的发展。此处的“相对稳定的发展”是指过去3年均达到了(b)项中描述的用户数量。
大型平台应在满足以上条件后最迟两个月内, 即刻通知欧盟委员会。应注意的是, 如果同一家大型平台旗下运营超过一个平台, 其中任何一个平台满足上述报告条件时, 都应单独向欧盟委员会进行报告。
《数字服务法》(DSA)制定的规则主要适用于提供接入、缓存、托管等服务提供商, 以及在前述基础上组合而实现的搜索引擎、论坛等服务。例如, 在线市场、社交网络、内容共享平台、应用商店以及在线旅游和住宿平台。
两部法律适用对象并不完全一致, 其所规制的行为也不尽相同。显然, 一些市场主体会同时受到两步法律的管辖, 合规挑战不容忽视。
《数字服务法》(DSA)和《数字市场法》(DMA)给不同群体带来何等变化?
欧盟希望以新的法律框架, 确保在线用户的安全, 建立以保护基本权利为核心的治理, 并维护公平和开放的在线平台环境。两部新法生效实施后, 对于用户、商家以及平台都将带来跨时代的变革。
终端用户
《数字服务法》(DSA)要求平台保护用户知情权, 明确公示其条款条规, 向用户提供更加全面的平台上的商家信息, 并且建立更有效率的风险应对机制以及有效维护公众用户权利。
《数字市场法》(DMA)禁止不公平竞争行为, 使得用户在不同平台间切换更加便捷, 这也将更有助于市场的充分竞争, 用户将可能以更低价格获取同等品质的服务和商品。
企业
新法将在整个欧盟范围内适用, 对于企业来说, 法规层面的确定性将对应减少不必要的风险规避成本, 欧盟委员会认为, 新法将促使欧盟单一市场内的跨境数字贸易增长2%。中小企业也将面临更加清晰且与其规模相适(proportionate)的法定要求(关于《数字服务法》下针对不同规模的企业所面临的义务, 请见《数字服务法案》The Digital Services Act – 欧盟数字战略监管支柱落地, 域外效力不容忽视)。
对于增长迅速的小微企业, 新法也为其赋予了12个月的缓冲期, 允许其在公司营业额和人数规模迅速增长后12个月内免于履行更高层级的义务。这一相对“有机”的监管方式, 为快速发展期的企业提供了较为合理的发展时间线, 尤其对于包括中资企业在内的外国公司而言, 对本地政策不熟悉或本地相应人才招聘缓慢等问题导致的短期内合规压力过大问题将得到有效缓解。
新法对于小微企业的定义沿用了欧盟委员会Recommendation 2003/361/EC[3]中的标准, 即: 雇员人数低于50人, 且年营业额或年资产负债表总额不超过1000万欧元的企业, 属于欧盟委员会标准下的小型企业(small enterprise); 雇员人数低于10人, 且年营业额或年资产负债表总额不超过200万欧元的企业, 属于欧盟委员会标准下的微型企业(microenterprise)。
《数字市场法》(DMA)对于中小企业的支持还体现在数据方面。新法允许企业获得平台所持有的特定数据, 并可自由选择发布其商品的平台。在符合GDPR对于个人信息权益的保护的前提下, 用户将可以选择是否允许以下形式的数据处理:
将平台主要服务和其他服务处收集的个人信息打通处理;
将同一大型平台所管理的某一平台所收集的数据与另一平台收集到的数据结合处理;
为收集数据之目的, 自行为用户订阅其他服务;
为市场推广之目的, 使用第三方服务来处理平台上收集到的个人信息。
且平台不可以用户同意上述数据处理作为提供任何服务的前置条件。
如果用户选择同意上述某种数据处理方式, 意味着中小企业将可能借以平台资源获得更多客户偏好信息, 从而更有针对性地管理其广告投放和商品展示。
网络平台方
《数字市场法》(DMA)对于具有更高市场地位的大型平台提出了更高要求, 相应地, 其他的平台方将因其不属于这一类别而享有更加相适的政策待遇。政策上的确定性也将有助于企业制定更有针对性的内部规章制度和合规手段。
《数字服务法》(DSA)所建立的受信举报者 (trusted flaggers)制度将允许用户对涉嫌违法违规的商家或行为进行标记, 大大提高平台配合处理该等问题的效率。与此相呼应, 平台还应满足透明度要求、用户权益保护要求、违法卖家追踪制度要求等。监管层面, 欧盟将设立全新的欧洲数字服务理事会(European Board for Digital Services), 以配合各成员国对平台合法合规情况的监管。对于超大型平台(very large platforms), 欧盟委员会将直接开展监督和执法。对于依赖跨境电商平台进行产品或服务销售的中资企业而言, 与欧盟境内的平台方开展合作之前, 应熟悉其相应的规章制度和平台规则, 建立符合平台要求的用户响应机制和数据等核心权益保护机制。
新法的出台也迎来了平台方的激烈回应。德国电商平台Zalando于2023年6月27日向欧盟法院提出了其对于自身被认定为新法下的超大型平台(月活用户数不低于4500万)的挑战[4]。Zalando认为, 欧盟委员会未能充分考虑其商业模式: 该平台有两种销售渠道: 1)零售渠道, 由Zalando直接面向消费者进行销售; 2)合作渠道, 由第三方经由平台向消费者进行销售。Zalando认为仅3100万品牌方、零售商等直接使用其平台的用户应被认定为本平台的用户, 而非该等用户所面向的广大零售渠道终端消费者。该案是《数字服务法》(DSA)出台后平台发起的首例挑战, 目前仍在审理中。
对中资企业的启示
中资企业出海业务近年来在欧洲多点开花, 核心技术及/或商业模式多依赖于不同形式的数字服务, DSA和DMA的生效实施意味着继GDPR之后又一批重大数字领域合规要求提升。
电动汽车行业
产品与数据双跨境的电动汽车行业可能面临车联网平台受到更严格监管、车载智能网联系统合规性以及用户数据存储等挑战。如, 在DSA下托管服务未有更清晰的法律释义前, 根据法条表述, 车载智能网联系统中的用户有很大概率被视为接受托管服务的用户。
电池/储能行业
中资企业所支持的电池/储能行业的生产力及技术水准为储能企业打造智慧型物联网(AIOT)奠定了较早且较为扎实的基础, 储能企业的智慧型物联网平台将录入DSA和DMA监管下, 应尽早开展技术层面和规章制度层面的合规性评估。
电商行业/品牌自有网站
2023年以来, 中国电商巨头拼多多旗下平台Temu已经成为英、法、德等欧洲国家应用商店月度下载量最多的软件之一。与此类似的电子商务平台, 以及中资品牌的自有门户网站, 如有用户注册、在线购物、在线论坛等服务, 也应根据新法对用户数及平台规则进行审核。
游戏及电竞行业
游戏行业因其围绕虚拟世界为核心的特性, 注定是数字立法监管的重点领域。中资游戏公司在欧洲进行股权收购及整合过程中, 不同国家服务器上数据的安全性、用户信息保护、以及游戏商店等平台的管理都将随着DSA与DMA的生效有更加明确的指引。与欧盟立法进度接近, 英国也正进行相关数字立法的研究阶段, 针对线上社区内容的管理已颁布具有针对性的Online Safety Bill, 游戏平台运营者应密切关注有关立法进展, 及时建立健全数字世界合规制度。
关键时间节点
继2022年7月欧洲议会一读通过《数字服务一揽子计划》后, 《数字服务法》和《数字市场法》已由欧盟理事会通过, 由两个机构的主席签署, 并在《官方期刊》上发表。
《数字服务法》已于2022年10月27日在《官方期刊》上发表, 并于2022年11月16日生效。《数字服务法》将直接适用于整个欧盟, 并将在生效后十五个月或2024年1月1日起适用, 以较晚者为准。
对于在线平台, 它们必须在2023年2月17日之前公布其活跃用户数量。如果该平台或搜索引擎的用户超过4500万(占欧洲人口的10%), 委员会将把该服务指定为超大型在线平台(VLOPs)或超大型网络搜索引擎(VLOEs)。2023年4月25日, 欧盟委员会公示了19个符合该定义的企业[5], 其中包括Facebook、Twitter和TikTok等主要社交网络, 也包括亚马逊和阿里巴巴的AliExpress等购物平台。这些超大型平台有4个月的时间来确保履行DSA项的义务, 其中包括进行并向欧盟委员会提供第一次年度风险评估。欧盟成员国必须在2024年2月17日前任命数字服务协调员(Digital Services Coordinators), 届时活跃用户少于4500万的平台也必须遵守所有《数字服务法》规则。

截至2022年10月12日, 《数字市场法》在《官方期刊》上发表, 并于2022年11月1日生效。在2023年7月3日之前, 公司必须向委员会提供其用户数量的信息, 以便委员会能够在9月6日之前指定“守门人”。然后, 守门人将在2024年3月之前确保他们遵守《数字市场法》的义务。

结语(未完)
DMA是一部划时代的数字经济规制法, 创设了数据与隐私保护、反垄断与竞争法等新规则制度。就企业合规而言, 通力团队为客户总结若干要点。以“自我优待”为例, 为遵从DMA, 企业应注意以下Dos & Don’ts。更多具体合规意见, 欢迎与我们联系讨论。
Dos
确保退订平台的核心服务与预订一样简单;
确保即时通讯服务的基本功能是互通的, 即让用户能够在不同的通讯应用中交换信息、发送语音信息或文件;
让企业用户能够访问他们在平台上的营销或广告业绩数据;
向欧盟委员会通报他们的收购和兼并情况。
Don’ts
不能将自己的产品或服务排在比别人的更高的位置(自我推荐);
不能预先安装某些应用程序或软件, 或阻止用户轻易取消安装这些应用程序或软件;
不能要求在安装操作系统时默认安装最重要的软件(如网络浏览器);
不能阻止开发者使用第三方支付平台进行应用销售;
不能为另一项新服务的目的重新使用在前一项服务中收集的私人数据。
注释
[1] 欧盟委员会公布的六大战略: 1. 绿色协议 (2050年实现碳中和, 2030年前减少55%温室气体排放); 2. 数字化转型 (2030年成为全球领先的数字经济体); 3. 经济复苏; 4. 社会包容; 5. 安全与防务战略; 6. 国际合作战略
[2] https://commission.europa.eu/document/b456e96e-5810-4bb3-94ca-16c4d8d911b2_en
https://ec.europa.eu/commission/presscorner/detail/en/fs_20_278
[3] EUR-Lex - 32003H0361 - EN - EUR-Lex (europa.eu)
[4] Zalando sues EU Commission over online content rules, seen as first challenge | Reuters
[5] DSA: Very large online platforms and search engines | Shaping Europe’s digital future (europa.eu)