2024年2月17日，欧盟《数字服务法》（Digital Services Act，以下简称“DSA”或“法案”）的全面生效，标志着数字服务监管的新时代。自2022年11月16日法案正式颁布以来，DSA的逐步实施为全球数字平台带来了新的监管挑战。本文将从法案的制定背景出发，深入剖析其核心要点，并结合最新的执法监督情况，探讨中国数字平台在出海过程中将面临的挑战。同时，我们也将提出切实可行的建议，帮助中国企业更好地理解和适应这一新的监管环境，确保其在全球市场中的竞争力与合规性。
一、制定背景
随着互联网技术的飞速发展，数字服务已成为我们日常生活的一部分。从在线购物、社交媒体到云计算，数字服务的普及带来了便利，同时也带来了一系列监管上的挑战。在使用这些服务的过程中，用户的隐私、数据安全以及个人信息安全等需要得到充分的保护。
为了应对这些挑战，欧盟理事会和欧洲议会在2022年4月23日达成了一项政治协议，拟制定《数字服务法》（DSA）。这部法案的目标是构建一个针对不同类型中介服务的分层责任框架，强化数字平台在打击非法内容、虚假信息及其传播方面的责任。经过一系列的讨论和修改，欧盟委员会于2022年10月19日正式通过DSA。该法案的实施涉及三个重要的时间节点：第一，自2022年11月16日起，DSA正式生效，欧盟委员会可指定符合特定条件的服务提供者为超大型在线平台（Very Large Online Platforms，以下简称“VLOPs”）及超大型在线搜索引擎（Very Large Online Search Engines，以下简称“VLOSEs”），并要求其在被指定后四个月内遵守相应的义务。第二，根据DSA第24条，所有在线平台和在线搜索引擎都应在2023年2月17日前发布其首份透明度报告。对于超大型平台，后续还需每六个月公布一次平均每月活跃用户的信息，以满足透明度要求。第三，自2024年2月17日起，DSA将全面覆盖并适用于欧盟所有在线平台，确保整个数字服务行业的健康发展和用户权益的全面保护。
自DSA生效以来，欧盟委员会积极执行相关法律条款，已经指定了多个VLOPs和VLOSEs，这些平台和搜索引擎作为数字市场的重要参与者，将率先根据DSA的要求，落实内容审查、合规审计等义务。与《数字市场法》（Digital Market Act）相比，DSA更加注重数字服务用户权利的保护。法案从内容管理、透明度提升等多个维度出发，对服务提供者提出了严格的要求，旨在强化在线中介平台的责任，确保它们在促进数字服务发展的同时，也能够维护用户的合法权益。通过这些措施，DSA将为构建一个更加安全、公平和透明的数字环境提供坚实的法律基础。
二、核心制度要求
（一）适用范围
DSA的适用范围广泛，涵盖了所有向营业地或位于欧盟境内的服务接收方提供中介服务的实体，无论这些服务提供者的营业地位于何处。这意味着，无论是面向企业的B2B还是面向消费者的B2C数字中介服务，只要其服务对象在欧盟境内，就必须遵循DSA的相关规定。
根据DSA第3条规定，数字中介服务可以分为三大类：（1）纯通道服务，即在网络中传输由服务接受者提供的信息，或提供通信网络的接入；（2）缓存服务，即信息的自动、中间和临时存储；（3）托管服务，即应服务接受者的要求存储其提供的信息。在托管服务中，可以进一步细分为在线平台、VLOPs和VLOSEs。其中，在线平台特指那些应服务接收方的要求，存储并向公众传播信息的服务，且这些服务不是其他服务的附属功能。例如，Instagram社交网络服务、Airbnb双边平台以及TikTok内容共享平台，都属于在线平台。
DSA采用了分层的方法，根据服务提供者的规模和所提供的服务类型，对不同服务提供者提出了不同的要求。相较于提供“纯通道”或“缓存”服务的提供者，“托管”服务提供者需要遵守更为全面的义务，不仅要确保用户信息的安全存储，还要承担起监管和过滤非法内容、保护用户隐私和数据安全、以及维护系统透明度的重任。下文将重点介绍DSA项下平台需承担的责任和义务。
（二）义务要求
DSA对数字中介服务提供者的义务做出了细致的规定，形成了一个四层级的责任框架，以适应不同规模和类型的服务提供者。
1. 所有服务提供者的通用义务：这一层次的义务适用于所有类型的服务提供者，包括但不限于确保基本的透明度、设置法定代表、列明服务条款，以及遵守欧盟的数据保护规定。
义务内容 | 具体要求 | 条款 |
透明度报告 | 所有服务提供者都应至少每年一次以机器可读的格式和易于访问的方式公开发布其内容审核报告，这些报告应包括有关监管举措的信息、自动化工具的使用情况、培训措施以及投诉处理系统收到的投诉有关的信息 | 第15条 |
指定单一联络点 | 所有提供者都必须建立两个联系点：（1）用以联系成员国、欧盟委员会和数字服务监督委员会；（2）用以联系服务接收者 | 第11条 第12条 |
设定法定代表 | 不在欧盟设立但向欧盟提供服务的，必须在对应成员国指定一名法定代表，以接收、遵守和执行DSA下发布的决定 | 第13条 |
政策和条款 | 所有提供者应在其服务条款中列明其对信息使用施加的任何限制，并将条款的重大变更告知服务接收者 | 第14条 |
2. 托管服务提供者的特定义务：对于提供托管服务的提供者，DSA要求他们还需采取额外措施以保障服务安全，如确保用户上传内容的合法性，并在收到非法内容的通知时迅速采取行动（第16条和第17条）。此外，根据DSA第18条规定，托管服务提供者有义务向相关欧盟成员国的国家执法或司法当局通报任何可能导致涉嫌威胁人员生命或安全的刑事犯罪的信息。
3. 在线平台服务提供者的进阶义务：在线平台服务提供者除需遵守通用义务和托管服务提供者的特定义务外，还需承担更高的合规要求，包括广告透明度要求、禁止暗黑模式、打击非法内容、保护未成年人等（第20条至第28条）。2023年3月15日，欧盟委员会宣布将对速卖通（AliExpress）启动正式的执法程序。这一决定是基于对AliExpress在内部投诉处理机制、在线平台广告标识、推荐系统透明度等方面可能存在的违法行为的初步评估。根据DSA的规定，在线平台服务提供者应建立有效的内部投诉处理系统，使其服务对象能够对删除、禁用、暂停或终止用户获取信息、服务或其账户的决定提出投诉。此外，提供者还应标识出平台的广告信息，并在其条款和条件中列明用于推荐系统的主要参数，包括供接收方修改或影响这些参数的任何可用选项。
4. 超大型平台服务提供者的强化义务：在数字服务领域，作为规模最大和影响力最广的平台，超大型平台（VLOPs和VLOSEs）服务提供者需要遵守最为严格的合规要求，包括建立独立的监督系统、进行定期的风险评估和透明度报告义务。根据DSA，VLOPs和VLOSEs的判断标准是其月均活跃用户数量是否超过4,500万。截至目前，欧盟委员会已陆续公布了几批超大型平台目录，共明确了21个VLOPs和2个VLOSEs，其中包括在线零售商Shein、阿里巴巴旗下在线商城AliExpress和TikTok等知名平台。被指定为VLOPs或VLOSEs后，这些公司需要履行以下合规义务：
义务内容 | 具体要求 | 条款 |
开展风险评估和建立合规职能 | 对服务产生的任何系统性风险进行年度评估，并制定相应措施以降低风险，风险评估相关文件应保存至少三年； 设立一个独立于业务职能的合规部门，由一名或多名合规官组成，包括合规职能部门负责 | 第34条 第41条 |
危机应对机制 | 在危机情况下采取以下一项或多项行动：（1）评估其服务的运行和使用是否构成严重威胁；（2）确定消除这种威胁的具体、有效和相称的措施；（3）在规定时间内，向委员会报告这些评估内容 | 第36条 |
独立审计 | VLOP 和 VLOSE 必须提交年度独立审计报告，以确认其遵守了 DSA 规定的各项义务。在收到合规建议后，平台应明确要实施的补救措施。如未实施这些措施，则应提供未实施的理由以及为解决不合规问题而采取的任何替代措施。 | 第37条 |
向当局共享数据 | 在相关监管部门提出要求时提供必要的数据访问权限 | 第40条 |
透明度要求 | 在平台展示广告的VLOP 和 VLOSE应公开提供广告相关数据库，包括期限、内容、接收者数量等； 透明度报告必须每六个月发布一次，并且报告必须具体说明负责内容审核的人力资源、此类人员的资历和语言经验以及准确性指标和相关信息 | 第39条 第42条 |
（三）法律责任
根据DSA第52条规定，各成员国有权制定适用于中介服务提供者违法行为的处罚规则。对于不遵守DSA规定的中介服务提供者，所处罚款的最高限额应为其全球年营业额的6%。若采取定期支付罚款的方式，则罚款金额不得超过服务提供者日平均营业额或收入的5%，自相关决定规定的日期起计算。此外，DSA还特别关注服务接受者的权益保护，如果服务接受者因服务提供者违反DSA的行为而遭受损害，他们有权向提供者请求赔偿。
三、执法监督情况
DSA框架下欧盟委员会的执法流程如下：（1）调查，具体措施包括要求提供信息、进行访谈和实地考察；（2）正式启动执法程序，委员会将给予有关主体陈述申辩的机会，使其了解委员会的初步调查结果，包括委员会提出异议的任何事项以及委员会可能打算采取的任何措施；（3）作出处罚决定，该决定还可能触发一个强化监督期，以确保服务提供者将采取补救措施。
（VLOP执法程序示例）
截至目前，欧盟委员会依据DSA的相关规定，对多个在线平台展开了调查或启动了正式的法律程序，均尚未作出最终决定。以下是对部分行动的整理：
时间 | 对象 | 阶段 | 行为 |
2024年5月17日 | Bing （VLOSE） | 调查（request for information） | 继 3 月 14 日发出关于Bing人工智能生成功能所产生的具体风险的初步信息请求之后，该公司现在必须在 5 月 27 日之前向欧盟委员会提供所要求的信息，评估其是否对生成式AI进行充分的风险评估并采取相应的风险缓解措施 |
2024年4月30日 | （VLOP） | 启动正式法律程序（formal proceedings） | 将关注欺骗性广告、非法内容标记机制、内部投诉机制、公开数据访问权限等方面是否违反了《数字服务法》 |
2024 年 4 月 17 日 | TikTok （VLOP） | 调查（request for information） | 第二次正式根据DSA对TikTok启动调查程序，重点关注 TikTok Lite 在推出“奖励计划”之前是否遵守了 DSA 义务，该功能是否会对用户心理健康（尤其是未成年人的心理健康）造成负面影响，以及TikTok为减轻这些风险而采取的措施 |
2024 年 3 月 15 日 | AliExpress （VLOP） | 启动正式法律程序（formal proceedings） | 评估AliExpress是否在风险管理和缓解、内容审核和内部投诉处理机制、广告和推荐系统的透明度、交易者的可追溯性以及研究人员的数据访问等领域违反了《数字服务法》 |
除此之外，被指定为VLOP和VLOSE的中介服务提供者也采取了一系列合规措施，以确保其服务符合DSA的要求。例如，TikTok宣布并采取了多项合规措施，允许用户关闭个性化推荐功能，新增非法内容举报选项等。Google则致力于提高广告透明度，通过明确标识来告知欧盟用户他们所看到的广告内容。Snapchat也采取了针对性的措施，决定不向13至17岁的欧洲用户提供个性化广告，同时为18岁以上的用户提供了更多对其广告内容的控制权。
四、合规建议
对于中国的数字平台服务提供者，以下是一些可参考的合规措施，以确保其业务在欧盟市场的稳健运营：
1. 明确业务范围与战略方向：首先，服务提供者需要全面梳理自身的业务范围，明确是否涉及向欧盟提供中介服务。如涉及，则需深入理解DSA对其特定服务的适用性，并据此调整或确定其未来战略方向，确保业务的合规性。特别是，如果预计未来月均活跃用户数量可能超过4,500万，服务提供者应提前规划，为可能被认定为VLOP或VLOSE做好准备，包括时间安排和义务要求的满足。
2. 完善内部管理制度：服务提供者应根据产品的全生命周期，审查并加强内部数据安全管理制度。评估是否需要制定或更新内容审核和内部投诉处理机制、非法内容管理机制等，以确保满足DSA的关键要求，如通知和删除机制、用户条款和条件、透明度报告等。
3. 定期评估与系统风险防控：建议服务提供者定期进行系统风险评估，以便及时发现潜在的问题和威胁。这一评估应该涵盖所有相关的系统和流程，包括数据处理、内容审核、用户投诉处理等方面。通过设立专门的风险管理团队、制定应急预案、进行员工培训等，企业可在风险发生前就做好充分的准备，从而最大限度地减少潜在的损害。
需要强调的是，DSA根据企业规模设定了不同的合规要求。虽然部分小微企业可能暂时不适用DSA的某些要求，但仍建议先搭建基本的合规框架，确保在内容管理、用户权利保障等方面保持合规性，为未来可能的业务扩展和法规变化做好准备。