来源：Digiday

作者：Tim Peterson, Jessica Davies

编译：张梦

2018年5月25日，“通用数据保护条例”（下称GDPR）将生效。这套法规将影响全世界为欧盟居民提供服务并在过程中收集数据的组织。为防止处于被动地位，很多平台和媒体公司先后展开调整。

科技巨头可能会效仿Google的解决方案

1.Google声称将成为数据的联合控制者

Google称想要媒体代表平台征求用户同意进而收集他们的信息，这可能为那些在媒体网站上推送广告的科技巨头提供示范。像Facebook和亚马逊，可能试图遵守GDPR的规定，但却并没有明确改变其广告技术操作。

在GDPR规定下，谷歌向媒体的欧洲读者推送有针对性的广告，需要获得他们的许可。法律专家表示，谷歌以间接的方式获取用户的同意是合法的。

谷歌还表示会与媒体合作，成为数据的联合控制者，也会使用DoubleClick为媒体提供广告服务和AdX广告交易。联合控制者角色非常重要，这意味着谷歌会掌握数据的所有权，并且可以按照自己的偏好进行操作。如果Google选择了“操作者”这一角色，它便只能使用控制者规定的数据。

2.为什么Google愿意成为数据的联合控制者

Davis & Gilbert律师事务所合伙人加里基贝尔（Gary Kibel）认为，这意味着Google将可能利用这些数据为自己谋利，而不仅是为媒体提供服务。Michelman＆Robinson律师事务所合伙人斯科特·里昂（Scott Lyon）持同样的观点，“为什么组织愿意成为数据管理员？它们为什么自愿承担这些义务？ 这一定是因为它们想要把这些数据用于其他用途”。

这些额外的用途可能是谷歌现有的用途：识别不同网站上的人，并根据他们的浏览行为辅助广告目标。通过承担管制员的角色并通过媒体获得数据收集许可，Google在人们访问可刊载广告的网站时已经做了更多预先准备。

3.IAB Europe和Google解决方案的区别

为遵守GDPR的规定，Google的处理方式可能会成为其他想要在媒体网站上推送定制广告的平台的范例。但事实上，Google的解决措施并不是唯一方法。数字广告行业组织IAB Europe（欧洲互联网广告局），也正在为广告技术公司获得人们的数据收集许可寻找解决方案。谷歌表示其正在与IAB Europe合作。

Kibel认为，IAB Europe和Google的解决方案有重要区别：IAB Europe涉及多家公司，而谷歌则专门针对自己。IAB Europe的解决方案不会让媒体处境尴尬，因为推送广告的技术平台并没有被严格审查是否遵守了GDPR。

其它广告技术公司都不可能像Google那样推出自己的解决方案并让媒体采用。但Kibel认为，Google是足够强大的玩家，可以让媒体遵守自己的规定。其他广告巨头如Facebook和亚马逊可能会效仿Google。

4.Google和媒体的责任应如何划分？

在假设控制者与媒体并列的情况下，Google有数据使用方式的自主权。但是，在通过媒体获取用户数据时，如果收集方式不正确，则媒体需要负责。通过推出自己的解决方案，Google可以更好地确保自身运营的合规性，并消除媒体未经适当同意而收集数据的风险。

在双方协作的关系中，Google和媒体需要在协议中阐明其义务的范围，如果一方要代表双方取得用户同意，被代表的一方需要信任对方可以以合法的方式展开数据收集。

Kibel认为，在GDPR的规定下，数据供应链中的每个人都可能承担责任。当Google的标签在媒体网站上，但媒体未能获得Google的充分同意时，则媒体可能需要承担法律责任。当然，若谷歌收集数据的过程中没有遵循GDPR，也应该承担相应责任。

Lyon 认为Google解决问题的方式为信誉度高的媒体添加了负担，因为它们需要去获取用户同意。但Google作为联合控制者需要承担连带责任，因而需要核查媒体的操作是否合规。

Kibel提到，为遵守GDPR，谷歌将如何调整还有待观察。鉴于在谷歌网络中存有大量媒体，因而手动审查不现实。但谷歌可以让媒体遵循这一方式：向那些未获得同意但仍能赚钱的访问者提供非定向广告。

GroupM要求媒体签署数据保护合同

GroupM（群邑媒介集团）希望媒体签署新的数据保护合同，这将使媒体与代理机构共享对用户数据的控制权，进而让代理机构在GDPR生效后继续针对性地投放广告。如果媒体不签署合同，GroupM将停止交易。也有媒体担心，GroupM不断为符合GDPR需求努力，可能将被罚款的风险转嫁给了媒体。

1.DPA可能让媒体与GroupM共享数据的控制权

这家媒体巨头表示，它向所有可能触及个人数据的媒体发送了Data Protection Addendum（以下简称DPA）。DPA是一套与数据保护原则相结合的规定，该合同不可协商，媒体将在GDPR下遵守这些原则。

媒体的法律团队正在审阅该文件，但Digiday采访到的五家媒体对合同中的术语感到不安，有人称之为“特洛伊木马”文件，可能导致媒体不得不与GroupM分享数据的控制权，使其成为像GDPR中指称的数据控制者，而GroupM目前的角色只是数据处理者。数据控制者可以直接与用户沟通并获取数据收集的授权，但数据处理者只能使用第三方收集的数据而没有直接的访问途径。

2.GroupM制定了一系列与GDPR匹配的计划

GroupM发言人称，GroupM拥有一系列与GDPR匹配的计划，DPA仅是其中一部分。DPA是GroupM为所有处理个人信息的媒体而编制，无论个人数据是否属于GroupM。DPA旨在表明GroupM维护数据隐私的决心，并要求合作方也做出相同的承诺。该合同并不会向媒体施加比GDPR所规定的更多责任，而GroupM也会逐步处理媒体提出的问题。GroupM未来与媒体的关系将取决于媒体的性质、媒体所从事的数据处理活动、媒体对数据隐私的维护，特别是媒体是否遵守了GDPR。

3.GroupM与媒体之间的利益博弈

随着GDPR执法的推进，谁会得到用户的同意并承担责任正变得模糊。媒体是消费品牌，也是数据的来源，这意味着他们处于获取用户同意的最佳位置。对于广告供应链中的代理商和广告技术供应商来说，获得用户同意很难。因而，广告技术供应商和代理商试图用媒体作为中介以获得用户同意，以便在符合GDPR的要求下继续实现广告定位。

在DPA的条款中，有一段关于标签和数据收集的部分，其中概述了GroupM如何被允许减少Cookie和用户文件资料，以及共享媒体数据，同时不承担任何责任风险。条款规定，媒体网站必须接受媒体和其他广告投放的标签，并且“代理机构和广告客户对网站上的标签效果不承担任何责任”。

业内人士称，GroupM本质上是要求媒体将用户数据移交给他们，但用户数据却是媒体最宝贵的资产。媒体的法律团队正在审阅该文件，但到目前为止，他们都无签署DPA的意向。

欧洲互联网广告局的Transparency & Consent框架，旨在于GDPR执行前实现整个行业的合规性，同时规定媒体可以代表他们想要与之交易的任何广告技术合作伙伴取得用户同意。GroupM之前曾试图让媒体跨越英国和欧盟国家获得用户同意，这一倡议被称为“Passport”，但媒体拒绝合作，因而GroupM选择支持IAB Europe框架。

媒体应何去何从？

1. 了解供应链中的第三方技术合作伙伴如何使用和共享数据，因为它们也需要符合规范。

2.指定一位数据保护官员，帮助媒体建立合规的体系，或考虑外包DPO。

3.弄清如何与用户作最佳沟通，为什么收集数据前需要取得他们的明确同意，以及如何以一种易于理解的、富有创造性的方式为他们提供价值交换。

4.不要一味等待信息管理部门提供有关获取用户同意的更多细节指导。

5.要核查媒体现有的隐私通知、内隐式的同意通知和预先标记的cookie同意框，在GDPR要求下是否合规。 此外，这些通知必须使用简单语言，避免法律条文晦涩，以便普通个人能够理解他们的数据将被如何处理。

6.网站上有隐私通知并不意味着移动应用程序中就无需设置相关内容。在用户下载应用程序之前，公司应确保在应用程序设置隐私声明。此外，应确保一旦用户下载了应用程序，便可以浏览隐私声明。

平台公司应如何应对？

1.准备好向用户介绍自己。GDPR要求公司列出共享数据的主体，这意味着大部分公众将在第一时间了解你。而用户可能会对这么多公司突然有机会访问自己的数据而忧虑。

2.与内部或外部的首席数据工作者共同审查平台在GDPR下的合同和义务。 数据处理者与GDPR所规定的数据控制者应保持相同的标准，例如数据安全性、透明度以及为用户提供访问权限以审查其数据。此外，还有一个灰色地带，即在使用子处理器时，数据处理者可以被视为数据控制者。平台越积极主动证明自身一直在调查并记录自己所做的努力就越好。

3.确定平台收集和处理数据的法律依据。

4.不要认为平台能够永久保留用户数据。 GDPR要求数据控制者和处理者说明其收集用户数据的目的以及保留的期限。

5.不能因为向用户提供个人资料困难，就认为无法践行GDPR的标准。虽然匿名数据可能被排除在外，但所有公司都有义务允许人们编辑、删除和限制使用任何可识别的用户信息。