布鲁金斯学会-缩小差距_通往联邦隐私立法的道路（英文）-2020.6-84页_2mb

报告摘要

总结：Bridging the Gaps - A Path Forward to Federal Privacy Legislation

核心内容

本报告由Cameron F. Kerry、John B. Morris, Jr.、Caitlin T. Chin和Nicol E. Turner Lee撰写，旨在推动美国联邦隐私立法进程，解决当前立法讨论中的分歧问题。尽管参众两院的关键领导人提出了具有广泛共识的隐私法案草案，如《消费者在线隐私权法案》（COPRA）和《美国消费者数据隐私法案》（USCDPA），但关于联邦预emption（预优）和私人诉讼权等关键议题仍存在较大争议，导致立法进展缓慢。

报告提出了一系列政策建议，以实现隐私保护的统一标准，同时兼顾不同规模组织的合规能力，并确保立法的可执行性与灵活性。这些建议围绕以下几个核心方面展开：

渐进式监管模型：根据数据持有者规模、数据类型和隐私风险调整隐私与安全义务。
组织责任机制：要求所有数据持有者进行隐私风险评估，并设立隐私和数据安全官员。
联邦预emption的细化：仅预优与联邦规定“不一致”的州法律，保留州法律在填补联邦法律空白方面的作用。
私人诉讼的限制与规范：要求原告证明“明知或轻率”违反隐私规定，且仅在“故意或重复”违规情况下才允许提起诉讼。
算法歧视的应对：建议大型数据持有者进行算法影响评估和审计，以确保算法决策的公平性。
实施机制：包括“救济权”、“知情权”、“数据控制权”等，同时建议立法实施分阶段进行。

主要观点

联邦立法的重要性：联邦隐私立法应为全国范围提供统一标准，以应对数字化社会中隐私保护的跨州问题。
平衡与灵活性：报告主张采用一种“合理注意义务”模型，与欧盟GDPR的“事先禁止”模式形成对比，强调根据具体情况灵活处理隐私问题。
避免过度诉讼：通过设置诉讼门槛（如“明知或轻率”、“故意或重复”）减少不必要的法律纠纷，同时确保严重违规行为能够被有效追责。
技术与政治的协调：建议通过“认证计划”和定期报告机制，让国会和监管机构能够持续评估联邦隐私立法的效果，并根据实际情况调整。

关键信息

一、联邦预emption

建议：预优与联邦法律“不一致”的州法律，但保留州法律在补充联邦立法方面的作用。
限制：不预优更严格的州法律，同时建议设置八年的预emption sunset（到期）机制，以允许国会重新评估联邦隐私立法的有效性。

二、私人诉讼权

限制：仅允许对“故意或重复”违规行为提起诉讼，以防止“陷阱式”诉讼。
赔偿标准：一般情况下，赔偿限于“实际损害”，在特定情况下可考虑法定赔偿（最高1000美元/天）。
程序要求：包括“通知与补救机会”、“加强起诉要求”和借鉴证券诉讼的集体诉讼限制。

三、数据处理的限制

数据最小化：组织应仅收集和处理必要的数据。
风险评估：所有数据持有者应进行合理的隐私风险评估，大型组织需进行更深入的算法影响评估和审计。

四、组织责任机制

隐私与安全官员：除小型和中型组织外，所有数据持有者应指定隐私和数据安全官员。
年度认证：大型数据持有者需每年向联邦贸易委员会（FTC）提交隐私实践的书面认证。

五、实施与过渡

分阶段实施：义务在法案通过后六个月生效，个体权利在两年后生效。
联邦与州执法：执法机制应在相关条款生效后六个月启动，私人诉讼应在实施完成后再开始。

六、算法歧视

关注点：算法可能加剧社会歧视，因此需在联邦隐私立法中纳入对算法公平性的评估。
责任机制：大型数据持有者需对可能产生重大影响的算法系统进行影响评估和审计。

结构与方法

报告采用矩阵分析法，将隐私立法议题分为四类：

Endgame Issues（最终议题）：如预emption和私人诉讼权，具有广泛共识但存在根本分歧。
Hard Issues（难题）：如数据收集限制、算法歧视和反歧视规定，涉及复杂的技术与法律问题。
Solvable Issues（可解议题）：如数据持有者范围和隐私披露，具有较高共识但需细节协调。
Implementation Issues（实施议题）：如知情权、救济权等，需技术性落实。

报告基于对COPRA和USCDPA的分析，结合多方利益相关者的讨论，提出了兼顾各方利益的折中方案，以推动联邦隐私立法向前发展。

结论

本报告强调，联邦隐私立法应在统一标准与灵活性之间取得平衡，以适应快速变化的技术环境。同时，它指出，当前立法的僵局源于对关键问题（如预emption和私人诉讼）的极端立场，而通过引入渐进式义务、组织责任机制和分阶段实施，可以促进更有效的隐私保护体系。最终目标是实现一个既符合商业需求，又保障个体隐私权益的联邦隐私立法框架。

展开完整摘要