针对“同意或付费”模式下“有效同意”的思考

一、引言
欧洲数据保护委员会 (简称“EDPB”) 计划于2024年11月18日举行一场线上的利益相关者会议。此次会议旨在为即将出台的关于“同意或付费”模式下数据保护立法应用指南收集利益相关者的意见。
“同意或付费”模式要求数据主体在同意为特定目的处理其个人数据或为避免其个人数据被处理而支付费用之间做出选择。
二、“同意或付费”与“行为广告”的关系
“我的手机是不是有监视功能？总是给我推送我正好希望购买的商品的广告”。你是否常常有这样的疑惑，其实并不然，只是我们都收到了专属于个人的“行为广告”。
随着时间的推移与技术的进步，出现了许多允许向数据主体提供“行为广告”的机制。“行为广告”的形成需要建立在收集数据主体详细资料的基础上，给予对数据主体一段时间的行为，例如：重复访问的网站、互动、关键字、在线制作的内容等的观察，建立特定的档案，从而向数据主体推送符合其兴趣的定制广告。
EDPB针对“大型网络平台”（简称“控制者”）出具了相关意见。“同意或付费”模式需要控制者至少向数据主体提供两种选择，以获得控制者提供的在线服务。该模式的两种选择具体如下：
（1） “同意”模式：数据主体只有在同意控制者跟踪并向其推送“行为广告”的前提下才能够使用其服务。在这种情况下，控制者的商业模式通常是基于用户行为的在线广告融资。
（2） “付费”模式：数据主体支付费用，并获得控制者的授权，获准访问不包括为“行为广告”目的处理数据主体个人信息的服务版本。但是，“付费”模式的选择将会出现两种可能的情况，第一，控制者完全不跟踪数据主体，第二，控制者出于不同目的跟踪数据主体，例如为了分析网站的使用情况以及改善网站的功能。此外，在“付费”模式中，cookies或其他跟踪技术仍然可以用于“行为广告”之外的目的。因此，“付费”并不代表个人信息完全不被跟踪。
三、EDPB的意见
首先，EDPB并没有完全否认“同意或付费”模式，EDPB认为，控制者在应用与“行为广告”有关的“同意或付费”模式时，需要特别关注数据主体“同意”收集的有效性：
第一，同意必须是自由做出的，控制者应当考虑数据主体是否会因为不同意或者撤回同意而遭受损害。例如，数据主体不应当因为拒绝“付费”而面临被排除在服务之外的情况，尤其是在该服务对于数据主体参与社会生活或进入职业网络具有决定性作用的情况下。
另外，需要关注数据主体和控制者是否存在权力失衡的情况。具体来说，因为某些大型网络平台的市场地位，可以制定一些有利于自身的规定，使得数据主体不得不接受，在这样明显权力失衡的情况下，只有控制者为数据主体提供了不会产生任何负面影响的替代方案时，才能够使用“同意”模式。
同时，EDPB认为，“等同替代”方案是由统一控制者提供的服务的替代版本，不涉及同意“行为广告”目的处理个人数据。如果替代版本的不同仅仅是用于控制者不能为“行为广告”目的处理个人信息而造成的必要程度上的不同，在原则上不能被视为“等同替代”方案。另外，“付费”所收取的费用不能够产生阻碍当事人作出正确选择的影响，控制者应当根据具体情况评估费用是否适当，需要考虑到有必要防止数据保护的基本权利被转化为专属于“富人”的高等权利。
第二，根据责任原则，控制者必须建立并记录信息流程，使得数据主体能够全面、清晰了解每个选项的价值、范围以及造成的后果。在数据主体作出任何选择前，控制者都必须以清晰易懂的方式说明与提供选项相关的处理活动。
第三，“同意”必须是意愿的明确表示。控制者应当注意在设计要求数据主体提供同意的方式时，确保数据主体不会受到欺骗性设计模式的影响。
第四，“同意”应当是具体的。控制者应当准确定义和界定需要征得同意的处理活动的目的。例如，为“行为广告”的获得的同意不应当与其他目的进行捆绑。
第五，EDPB强调，获得“同意”的同时并不免除大型网络平台遵守GDPR规定的其他规则和原则，包括：
目的限制和数据最小化：大型网络平台有责任明确界定其处理活动的目的，确保只处理为实现该目的所必须的个人数据；
公平性：大型网络平台应当考虑其处理活动对个人权利和尊严的影响，并尽可能给予数据主体最大限度的自主权；
数据保护的设计：大型网络平台应当实施适当的技术和组织措施，对其处理活动给予必要的保障以满足GDPR的要求，保护数据主体的权利和自由；
默认情况下的数据保护：大型网络平台应当负责实施默认处理设置和选项，默认情况下只进行实现既定合法目的而严格必要的处理；
自证责任：大型网络平台有责任证明自己遵守了GDPR。
四、对于现状的思考
简而言之，对于EDPB来说，并没有简单地否定“同意或付费”模式。针对于Meta（原Facebook）在2023年11月推出的“同意或付费”模式，EDPB认为其给予用户的两个选项并不符合“有效同意”的条件，Meta应当在提供给客户一个免费的且无行为广告服务的版本作为“等同替代”方案，也就是说，客户在使用该方案时，平台给予的基础服务将不会对客户带来任何不利影响，客户可能会收到广告，但不会收到为其定制的“行为广告”。
当前，在我国，对于“行为广告”并没有明确禁止的规定。根据《互联网广告管理办法》第十五条规定，利用算法推荐等方式发布互联网广告的，应当将其算法推荐服务相关规则、广告投放记录等记入广告档案。另外，根据《互联网信息服务算法推荐管理规定》第十六条规定，算法推荐服务提供者应当以显著方式告知用户其提供算法推荐服务的情况，并以适当方式公示算法推荐服务的基本原理、目的意图和主要运行机制等。虽然我国对于“行为广告”的监管有所规定，但是在实际操作层面来看，许多大型网络平台通过冗长的服务说明以及隐私政策，将和“行为广告”相关的条款隐藏在用户难以察觉的细节中，导致用户在使用平台服务时，并未真正了解自己面临的广告投放方式和个人信息使用情况。尽管法律有所要求，但由于公开相关信息的方式不够直观，普通用户难免会忽略复杂的细节，从而并未对个人的信息起到有效地保护。因此，在实践中，如何保障用户的知情权和选择权，仍然是一个大型网络平台在设计选项时一个待解决的难题。
随着网络世界的不断发展和科技的进步，用户数据将成为广告精准投放的核心资源，如何在保护用户个人信息的同时确保广告投放的合法合规性，依然需要不断地改进。如何在保护个人信息的同时，确保“行为广告”的合法合规性，考验着立法者、监管机构和平台的责任与平衡。对于企业而言，在合规的框架下提升广告效能，也将成为其保持市场竞争力的重要因素。