作者：Ashley Johnson、Daniel Castro，譯者：張穎，原文標(biāo)題：《美國隱私立法的年度成本分析： 1227億美元還是65億，選哪個(gè)？》，題圖來自：視覺中國

(資料圖)

歐盟的隱私保護(hù)法《通用數(shù)據(jù)保護(hù)條例》（GDPR）今年迎來了六周年。然而多年來，美國全面的數(shù)據(jù)隱私立法一直停留在國會(huì)的待辦事項(xiàng)清單上。

最近，美國國會(huì)推出的《美國數(shù)據(jù)隱私和保護(hù)法案》（ADPPA），仍舊存在許多分歧。美國信息技術(shù)與創(chuàng)新基金會(huì)（Information Technology and Innovation Foundation，以下簡稱ITIF）從經(jīng)濟(jì)成本的角度，對(duì)美國隱私立法提供了一個(gè)角度：數(shù)據(jù)隱私法對(duì)必須遵守法律規(guī)定的組織施加了成本，而如何立法應(yīng)當(dāng)考慮這其中的成本。

一些隱私權(quán)倡導(dǎo)者呼吁美國通過類似于 GDPR 的法律，認(rèn)為這樣做將更好地保護(hù)美國消費(fèi)者的隱私，簡化當(dāng)前的聯(lián)邦和州法規(guī)拼湊，并協(xié)調(diào)美國和歐盟的法律，可以為那些發(fā)現(xiàn)自己受到多重、重復(fù)規(guī)則約束的企業(yè)節(jié)省數(shù)十億美元。

然而，另外一些反對(duì)上述觀點(diǎn)的人卻認(rèn)為，類似GDPR 的法律將帶來巨大的成本，也可能無法產(chǎn)生預(yù)期的結(jié)果。在 GDPR 實(shí)施第一年之后， ITIF 的研究發(fā)現(xiàn)，GDPR 對(duì)歐盟經(jīng)濟(jì)和企業(yè)產(chǎn)生了負(fù)面影響，同時(shí)未能增加用戶的信任，造成了緊張的監(jiān)管資源。

一、合規(guī)成本

立法者在制定新的隱私法時(shí)更有可能考慮合規(guī)成本，因?yàn)檫@些成本是法律直接強(qiáng)加給組織的成本。

這類成本包括因組織改變其運(yùn)營方式以遵守隱私法規(guī)定而產(chǎn)生的任何成本，還包括以法律費(fèi)用和私人訴訟權(quán)的潛在民事處罰形式出現(xiàn)的重復(fù)或瑣碎的執(zhí)法機(jī)制的成本。

這些合規(guī)成本每年總計(jì)約為 167 億美元。

1. 數(shù)據(jù)保護(hù)官成本

隱私法可能要求組織指定一名負(fù)責(zé)合規(guī)的數(shù)據(jù)保護(hù)官。這給組織帶來了成本壓力，雇傭額外的人員來處理消費(fèi)者隱私請(qǐng)求、系統(tǒng)維護(hù)和法規(guī)遵從性，或者將這些任務(wù)委派給現(xiàn)有人員，從而將他們的工作時(shí)間從其他活動(dòng)中轉(zhuǎn)移出來。

ITIF 估計(jì)，為所有處理個(gè)人數(shù)據(jù)的美國組織要求數(shù)據(jù)保護(hù)官員的年度成本將達(dá)到 64 億美元。

2. 合規(guī)審計(jì)成本

隱私法可能要求組織提交由組織自己或第三方進(jìn)行的合規(guī)審計(jì)，甚至是直接檢查。

ITIF 估計(jì)，要求所有處理個(gè)人數(shù)據(jù)的美國組織進(jìn)行這些審計(jì)的年度成本將達(dá)到 4.4 億美元。

3. 保護(hù)隱私權(quán)里的組織成本

許多隱私法賦予用戶的權(quán)利伴隨著處理這些用戶個(gè)人數(shù)據(jù)的機(jī)構(gòu)的成本。這些權(quán)利可包括訪問其由組織存儲(chǔ)的個(gè)人數(shù)據(jù)（數(shù)據(jù)訪問）、將該數(shù)據(jù)移植到其他服務(wù)（數(shù)據(jù)便攜性）、刪除該數(shù)據(jù)（數(shù)據(jù)刪除）或更正該數(shù)據(jù)（數(shù)據(jù)更正）的權(quán)利。

4. 執(zhí)法的成本

有效的隱私立法需要某種執(zhí)法機(jī)制，每種途徑都有自己的成本和權(quán)衡取舍。

如果立法允許重復(fù)或輕率的執(zhí)法，特別是在擁有廣泛私人訴訟權(quán)的情況下，執(zhí)法的經(jīng)濟(jì)成本將會(huì)高得多。這將為針對(duì)處理個(gè)人數(shù)據(jù)的組織提起不必要的、毫無根據(jù)的訴訟打開閘門，這將抑制組織提供可能使他們承擔(dān)責(zé)任的創(chuàng)新產(chǎn)品或服務(wù)。

二、隱性成本

與新隱私立法相關(guān)的第二組成本是“隱形成本”，即立法者在制定隱私法時(shí)不太可能考慮的成本。這些不是法律直接強(qiáng)加給組織的成本，而是與生產(chǎn)力和創(chuàng)新降低相關(guān)的總體經(jīng)濟(jì)成本。

根據(jù)ITIF 的研究，美國這些隱性成本每年總計(jì)約 1058 億美元。

盡管隱形成本不如合規(guī)成本那么明顯，但它們可能要高得多，因?yàn)樗鼈冇绊懻麄€(gè)經(jīng)濟(jì)，而不僅僅是隱私法范圍內(nèi)的組織。

如果新的美國聯(lián)邦隱私立法過于嚴(yán)格，限制有利于公共利益且隱私風(fēng)險(xiǎn)最小的數(shù)據(jù)使用形式，而不是專注于特定的隱私危害，并鼓勵(lì)有利于消費(fèi)者和經(jīng)濟(jì)的數(shù)據(jù)創(chuàng)新，情況尤其如此。

1. 降低消費(fèi)者效率

隱私立法的第一個(gè)隱性成本是降低消費(fèi)者效率。這源于透明度要求，旨在幫助用戶更好地了解他們的權(quán)利以及如何收集和使用他們的信息，以便他們可以就如何共享個(gè)人數(shù)據(jù)做出更明智的決定。當(dāng)這些要求導(dǎo)致用戶必須單擊才能訪問內(nèi)容的彈出通知時(shí)，他們可能需要時(shí)間來查看和響應(yīng)。

ITIF 估計(jì)，美國彈出式同意通知政策的生產(chǎn)力成本每年將達(dá)到 19 億美元。

2. 生產(chǎn)力和機(jī)會(huì)成本降低

隱私立法的第二個(gè)隱藏成本是由于與選擇同意、數(shù)據(jù)最小化和減少數(shù)據(jù)訪問、限制數(shù)據(jù)共享和限制其使用的目的規(guī)范要求等規(guī)則相關(guān)的生產(chǎn)力和機(jī)會(huì)成本降低。

選擇同意要求導(dǎo)致更少的用戶共享他們的數(shù)據(jù)，因?yàn)榇蠖鄶?shù)用戶選擇不同意的默認(rèn)選項(xiàng)，通常是出于非理性的原因。此外，獲得選擇加入同意的成本遠(yuǎn)高于選擇退出系統(tǒng)，其中用戶可以撤銷同意以收集他們的數(shù)據(jù)。鑒于定向廣告等數(shù)據(jù)相關(guān)交易的利潤微薄，公司最終可能會(huì)將這些成本轉(zhuǎn)嫁給消費(fèi)者。

數(shù)據(jù)最小化要求組織收集的數(shù)據(jù)不超過滿足特定需求所需的數(shù)據(jù)，這對(duì)在最初決定收集哪些數(shù)據(jù)時(shí)不知道哪些數(shù)據(jù)最有價(jià)值的組織產(chǎn)生負(fù)面影響，并限制組織分析數(shù)據(jù)的能力、開發(fā)新產(chǎn)品和服務(wù)。

3. 廣告效果降低

隱私立法結(jié)果的第三個(gè)也是最后一個(gè)隱藏成本是廣告效果降低。定向廣告是互聯(lián)網(wǎng)經(jīng)濟(jì)的關(guān)鍵支柱之一，限制定向廣告有效性的數(shù)據(jù)隱私規(guī)則將損害依賴廣告推廣其商品和服務(wù)的企業(yè)、利用定向廣告收入提供服務(wù)的應(yīng)用程序和服務(wù)他們以低成本或免費(fèi)的服務(wù)，以及使用這些免費(fèi)或低成本在線服務(wù)并在網(wǎng)上進(jìn)行大部分購物的消費(fèi)者。

三、如何降低隱私立法的隱性成本——有針對(duì)性的隱私保護(hù)法

根據(jù)ITIF的研究，GDPR帶來了巨大的隱性成本，包括由于合規(guī)問題導(dǎo)致的并購減少、數(shù)據(jù)保護(hù)要求成為新技術(shù)發(fā)展的障礙、歐盟科技公司的風(fēng)險(xiǎn)投資減少和風(fēng)險(xiǎn)交易減少，以及廣告供應(yīng)商的市場覆蓋范圍減少。

隱藏成本的存在進(jìn)一步削弱了以下觀點(diǎn)：即在美國聯(lián)邦數(shù)據(jù)隱私法中復(fù)制GDPR的方法，只需要讓組織遵守一套連貫的規(guī)則，而不是兩套相互沖突的規(guī)則，就可以降低成本。據(jù)估計(jì)，美國與GDPR立法相關(guān)的隱性成本每年總計(jì)1.06億美元，或占GDPR隱私立法每年總成本的86%。

通過對(duì)上述兩種成本分析，ITIF認(rèn)為，美國應(yīng)該尋求通過一套有針對(duì)性的、保護(hù)消費(fèi)者的規(guī)則，將合規(guī)成本和隱性成本降至最低。這種方法將大大減輕處理個(gè)人數(shù)據(jù)的組織和整個(gè)美國經(jīng)濟(jì)的負(fù)擔(dān)，而不是像GDPR那樣過于寬泛的立法。

1. 不強(qiáng)行要求“數(shù)據(jù)保護(hù)官”

為了確保合規(guī)，有針對(duì)性的聯(lián)邦隱私法仍可能要求進(jìn)行隱私審計(jì)，而不對(duì)“數(shù)據(jù)保護(hù)管”進(jìn)行強(qiáng)制性要求，這將使組織每年花費(fèi)大約 4.4 億美元。

2. 對(duì)私人訴訟進(jìn)行限制

為了執(zhí)行有針對(duì)性的聯(lián)邦隱私法，國會(huì)可以依靠聯(lián)邦和州監(jiān)管機(jī)構(gòu)——特別是聯(lián)邦貿(mào)易委員會(huì)和州檢察長——而不是允許私人訴訟權(quán)，這會(huì)大大增加重復(fù)執(zhí)法的成本。通過允許聯(lián)邦和州監(jiān)管機(jī)構(gòu)對(duì)違反聯(lián)邦隱私法的行為采取行動(dòng)，將會(huì)出現(xiàn)一些重復(fù)執(zhí)法，每年給組織造成大約 2100 億美元的損失，這只是與私人訴訟權(quán)相關(guān)的預(yù)計(jì)成本的一小部分。

3. 限制消費(fèi)者控制權(quán)的適用場景

國會(huì)仍然可以通過在有針對(duì)性的隱私法中為消費(fèi)者提供訪問、移植、刪除和糾正其數(shù)據(jù)的權(quán)利，從而賦予消費(fèi)者更多對(duì)其數(shù)據(jù)的控制權(quán)。為了降低成本，國會(huì)可以限制這些要求的適用場景，例如只要求在某些行業(yè)處理敏感數(shù)據(jù)的組織提供這些類型的用戶控制，而不是將其全面應(yīng)用于所有處理用戶數(shù)據(jù)的組織。

這將使組織花費(fèi)大約 59 億美元，其中包括 54 億美元用于數(shù)據(jù)基礎(chǔ)設(shè)施、9000 萬美元用于訪問要求、1.3 億美元用于可移植性、2 億美元用于刪除以及 5000 萬美元用于整改。

總體而言，一項(xiàng)廣泛的（類似于 GDPR）美國隱私法每年將花費(fèi) 1220 億美元，而更具針對(duì)性的法律將節(jié)約成本大約 95%，即成本在 65 億美元左右。

作為最終的成本節(jié)約措施，全面、有針對(duì)性的美國聯(lián)邦統(tǒng)一的數(shù)據(jù)隱私立法可以優(yōu)先于任何現(xiàn)有或未來的州和地方隱私法。州隱私法不僅為州內(nèi)組織，而且為發(fā)現(xiàn)自己受多個(gè)重復(fù)規(guī)則約束的州外組織，都產(chǎn)生了巨大的合規(guī)成本。

ITIF 研究發(fā)現(xiàn)，這些州外成本每年可能從 980 億美元到 1120 億美元不等，在 10 年內(nèi)超過 1 萬億美元。通過制定一套適用于全國的統(tǒng)一規(guī)則并取代這些相互沖突的州規(guī)則，聯(lián)邦立法將大大降低成本和混亂。

表 1：GDPR 式法律與有針對(duì)性的隱私立法相關(guān)的年度成本對(duì)比（單位：百萬美元）

本文來自微信公眾號(hào)：Internet Law Review（ID：Internet-law-review），作者：Ashley Johnson

關(guān)鍵詞： gdpr itif