史上最嚴數據信息保護條例GDPR即將生效，媒體平台該如何應對？

來源：Digiday

作者：Tim Peterson,Jessica Davies

編譯：張夢

2018年5月25日，「通用數據保護條例」（下稱GDPR）將生效。這套法規將影響全世界為歐盟居民提供服務並在過程中收集數據的組織。為防止處於被動地位，很多平台和媒體公司先後展開調整。

科技巨頭可能會效仿Google的解決方案

1.Google聲稱將成為數據的聯合控制者

Google稱想要媒體代表平台徵求用戶同意進而收集他們的信息，這可能為那些在媒體網站上推送廣告的科技巨頭提供示範。像Facebook和亞馬遜，可能試圖遵守GDPR的規定，但卻並沒有明確改變其廣告技術操作。

在GDPR規定下，谷歌向媒體的歐洲讀者推送有針對性的廣告，需要獲得他們的許可。法律專家表示，谷歌以間接的方式獲取用戶的同意是合法的。

谷歌還表示會與媒體合作，成為數據的聯合控制者，也會使用DoubleClick為媒體提供廣告服務和AdX廣告交易。聯合控制者角色非常重要，這意味著谷歌會掌握數據的所有權，並且可以按照自己的偏好進行操作。如果Google選擇了「操作者」這一角色，它便只能使用控制者規定的數據。

2.為什麼Google願意成為數據的聯合控制者

Davis & Gilbert律師事務所合伙人加里基貝爾（Gary Kibel）認為，這意味著Google將可能利用這些數據為自己謀利，而不僅是為媒體提供服務。Michelman＆Robinson律師事務所合伙人斯科特·里昂（Scott Lyon）持同樣的觀點，「為什麼組織願意成為數據管理員？它們為什麼自願承擔這些義務？ 這一定是因為它們想要把這些數據用於其他用途」。

這些額外的用途可能是谷歌現有的用途：識別不同網站上的人，並根據他們的瀏覽行為輔助廣告目標。通過承擔管制員的角色並通過媒體獲得數據收集許可，Google在人們訪問可刊載廣告的網站時已經做了更多預先準備。

3.IAB Europe和Google解決方案的區別

為遵守GDPR的規定，Google的處理方式可能會成為其他想要在媒體網站上推送定製廣告的平台的範例。但事實上，Google的解決措施並不是唯一方法。數字廣告行業組織IAB Europe（歐洲互聯網廣告局），也正在為廣告技術公司獲得人們的數據收集許可尋找解決方案。谷歌表示其正在與IAB Europe合作。

Kibel認為，IAB Europe和Google的解決方案有重要區別：IAB Europe涉及多家公司，而谷歌則專門針對自己。IAB Europe的解決方案不會讓媒體處境尷尬，因為推送廣告的技術平台並沒有被嚴格審查是否遵守了GDPR。

其它廣告技術公司都不可能像Google那樣推出自己的解決方案並讓媒體採用。但Kibel認為，Google是足夠強大的玩家，可以讓媒體遵守自己的規定。其他廣告巨頭如Facebook和亞馬遜可能會效仿Google。

4.Google和媒體的責任應如何劃分？

在假設控制者與媒體並列的情況下，Google有數據使用方式的自主權。但是，在通過媒體獲取用戶數據時，如果收集方式不正確，則媒體需要負責。通過推出自己的解決方案，Google可以更好地確保自身運營的合規性，並消除媒體未經適當同意而收集數據的風險。

在雙方協作的關係中，Google和媒體需要在協議中闡明其義務的範圍，如果一方要代表雙方取得用戶同意，被代表的一方需要信任對方可以以合法的方式展開數據收集。

Kibel認為，在GDPR的規定下，數據供應鏈中的每個人都可能承擔責任。當Google的標籤在媒體網站上，但媒體未能獲得Google的充分同意時，則媒體可能需要承擔法律責任。當然，若谷歌收集數據的過程中沒有遵循GDPR，也應該承擔相應責任。

Lyon 認為Google解決問題的方式為信譽度高的媒體添加了負擔，因為它們需要去獲取用戶同意。但Google作為聯合控制者需要承擔連帶責任，因而需要核查媒體的操作是否合規。

Kibel提到，為遵守GDPR，谷歌將如何調整還有待觀察。鑒於在谷歌網路中存有大量媒體，因而手動審查不現實。但谷歌可以讓媒體遵循這一方式：向那些未獲得同意但仍能賺錢的訪問者提供非定向廣告。

GroupM要求媒體簽署數據保護合同

GroupM（群邑媒介集團）希望媒體簽署新的數據保護合同，這將使媒體與代理機構共享對用戶數據的控制權，進而讓代理機構在GDPR生效後繼續針對性地投放廣告。如果媒體不簽署合同，GroupM將停止交易。也有媒體擔心，GroupM不斷為符合GDPR需求努力，可能將被罰款的風險轉嫁給了媒體。

1.DPA可能讓媒體與GroupM共享數據的控制權

這家媒體巨頭表示，它向所有可能觸及個人數據的媒體發送了Data Protection Addendum（以下簡稱DPA）。DPA是一套與數據保護原則相結合的規定，該合同不可協商，媒體將在GDPR下遵守這些原則。

媒體的法律團隊正在審閱該文件，但Digiday採訪到的五家媒體對合同中的術語感到不安，有人稱之為「特洛伊木馬」文件，可能導致媒體不得不與GroupM分享數據的控制權，使其成為像GDPR中指稱的數據控制者，而GroupM目前的角色只是數據處理者。數據控制者可以直接與用戶溝通並獲取數據收集的授權，但數據處理者只能使用第三方收集的數據而沒有直接的訪問途徑。

2.GroupM制定了一系列與GDPR匹配的計劃

GroupM發言人稱，GroupM擁有一系列與GDPR匹配的計劃，DPA僅是其中一部分。DPA是GroupM為所有處理個人信息的媒體而編製，無論個人數據是否屬於GroupM。DPA旨在表明GroupM維護數據隱私的決心，並要求合作方也做出相同的承諾。該合同並不會向媒體施加比GDPR所規定的更多責任，而GroupM也會逐步處理媒體提出的問題。GroupM未來與媒體的關係將取決於媒體的性質、媒體所從事的數據處理活動、媒體對數據隱私的維護，特別是媒體是否遵守了GDPR。

3.GroupM與媒體之間的利益博弈

隨著GDPR執法的推進，誰會得到用戶的同意並承擔責任正變得模糊。媒體是消費品牌，也是數據的來源，這意味著他們處於獲取用戶同意的最佳位置。對於廣告供應鏈中的代理商和廣告技術供應商來說，獲得用戶同意很難。因而，廣告技術供應商和代理商試圖用媒體作為中介以獲得用戶同意，以便在符合GDPR的要求下繼續實現廣告定位。

在DPA的條款中，有一段關於標籤和數據收集的部分，其中概述了GroupM如何被允許減少Cookie和用戶文件資料，以及共享媒體數據，同時不承擔任何責任風險。條款規定，媒體網站必須接受媒體和其他廣告投放的標籤，並且「代理機構和廣告客戶對網站上的標籤效果不承擔任何責任」。

業內人士稱，GroupM本質上是要求媒體將用戶數據移交給他們，但用戶數據卻是媒體最寶貴的資產。媒體的法律團隊正在審閱該文件，但到目前為止，他們都無簽署DPA的意向。

歐洲互聯網廣告局的Transparency & Consent框架，旨在於GDPR執行前實現整個行業的合規性，同時規定媒體可以代表他們想要與之交易的任何廣告技術合作夥伴取得用戶同意。GroupM之前曾試圖讓媒體跨越英國和歐盟國家獲得用戶同意，這一倡議被稱為「Passport」，但媒體拒絕合作，因而GroupM選擇支持IAB Europe框架。

媒體應何去何從？

1.了解供應鏈中的第三方技術合作夥伴如何使用和共享數據，因為它們也需要符合規範。

2.指定一位數據保護官員，幫助媒體建立合規的體系，或考慮外包DPO。

3.弄清如何與用戶作最佳溝通，為什麼收集數據前需要取得他們的明確同意，以及如何以一種易於理解的、富有創造性的方式為他們提供價值交換。

4.不要一味等待信息管理部門提供有關獲取用戶同意的更多細節指導。

5.要核查媒體現有的隱私通知、內隱式的同意通知和預先標記的cookie同意框，在GDPR要求下是否合規。 此外，這些通知必須使用簡單語言，避免法律條文晦澀，以便普通個人能夠理解他們的數據將被如何處理。

6.網站上有隱私通知並不意味著移動應用程序中就無需設置相關內容。在用戶下載應用程序之前，公司應確保在應用程序設置隱私聲明。此外，應確保一旦用戶下載了應用程序，便可以瀏覽隱私聲明。

平台公司應如何應對？

1.準備好向用戶介紹自己。GDPR要求公司列出共享數據的主體，這意味著大部分公眾將在第一時間了解你。而用戶可能會對這麼多公司突然有機會訪問自己的數據而憂慮。

2.與內部或外部的首席數據工作者共同審查平台在GDPR下的合同和義務。 數據處理者與GDPR所規定的數據控制者應保持相同的標準，例如數據安全性、透明度以及為用戶提供訪問許可權以審查其數據。此外，還有一個灰色地帶，即在使用子處理器時，數據處理者可以被視為數據控制者。平台越積極主動證明自身一直在調查並記錄自己所做的努力就越好。

3.確定平台收集和處理數據的法律依據。

4.不要認為平台能夠永久保留用戶數據。 GDPR要求數據控制者和處理者說明其收集用戶數據的目的以及保留的期限。

5.不能因為向用戶提供個人資料困難，就認為無法踐行GDPR的標準。雖然匿名數據可能被排除在外，但所有公司都有義務允許人們編輯、刪除和限制使用任何可識別的用戶信息。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！