2012年3月26日,联邦贸易委员会(以下简称“委员会”)发布了备受期待的最终隐私报告, 瞬息万变的时代保护消费者隐私。该报告以委员会2010年12月的报告为基础 初步报告,并为企业和政策制定者提供有关在线和离线隐私惯例的建议。任何使用社交媒体进行营销的公司都将对该报告感兴趣。具体而言,该报告:

  • 提供了一个隐私框架,该框架提出了针对企业的最佳做法而非法律要求。   委员会指出,就报告中规定的最佳做法超出现有法律要求的程度而言,此类最佳做法无意用作根据委员会目前执行的法律采取的执法行动或法规的模板。 美国联邦贸易委员会主席乔恩·莱博维茨(Jon Leibowitz)于2012年3月29日在众议院能源和商业小组委员会上重申了这一点,并通知立法者,尽管遵循该报告的最佳实践的公司不会违反《 美国联邦贸易委员会法案》,但未遵循该报告的公司不会这样做。一定违反法律。用他的话说,该报告“不是监管文件或执行文件。”也就是说,报告中那些注重透明度和消费者选择的要素是建立在委员会最近的执法经验之上的;因此,可以合理地假设委员会将继续其模式,将重点放在对消费者而言不明显,数据披露不充分以及在某些情况下消费者没有有意义的选择的数据实践上。当然,委员会将继续积极执行公司的隐私和数据安全承诺。
  • 建议基线隐私立法。  委员会认为,由于自我监管还不够深入,因此需要灵活且技术上中立的基准隐私立法。在鼓励业界继续自我监管的同时,委员会还打算在报告中提出隐私框架,以协助国会制定法律。委员会还再次呼吁联邦信息安全和数据泄露通知立法以及规范数据经纪人行为的立法。
  • 重点介绍了委员会来年的隐私保护重点。  该报告解释说,委员会将通过集中于五个主要领域来促进隐私框架的实施:(1)与业界合作以完成易于使用,持久和有效的实施 不跟踪 机制(委员会确实 要求在本报告中不要追踪法律); (2)改善隐私披露和其他提供的保护 移动服务,包括通过2012年5月30日公开研讨会修订其内容 Dot Com披露指南; (3)支持有针对性的立法,以使消费者能够获得消费者持有的有关他们的信息 数据经纪人 鼓励为市场营销目的而汇编数据的数据经纪人创建一个集中的网站,以进一步提高其实践的透明度; (4)探索与消费者全面跟踪消费者在线活动有关的隐私问题 大型平台提供商,例如ISP,操作系统,浏览器和社交媒体等,将于今年晚些时候在研讨会上发布; (5)参与商务部和行业利益相关者的创建 可执行的自我监管行为守则.

该最终优先事项反映了委员会对奥巴马政府2012年2月23日发布的报告的支持。 网络世界中的消费者数据隐私:保护隐私和促进全球数字经济创新的框架,政府详细制定了​​《消费者隐私权法案》,并宣布将由商务部召集多方利益相关者程序,以制定自愿行为守则,如果公司采用,则可由欧盟委员会强制执行根据《联邦贸易委员会法》第5条获得其欺骗权。重要的是,委员会的报告清楚表明,联邦贸易委员会将参与商务部的多方利益相关者程序。

隐私框架的范围

隐私框架适用于收集或使用可以合理链接到特定消费者或计算机或其他设备的在线和/或离线消费者数据的所有商业实体。  对于仅每年从少于5,000个消费者中收集非敏感数据并且不与第三方共享数据的实体有一个例外,以免给小企业造成不必要的负担。但是,欧盟委员会并没有豁免那些已经受到特定行业隐私法(例如《格拉姆-里奇-比利利法案》或《健康保险流通与责任法案》)约束的公司的框架预期覆盖范围。相反,它在最终报告中强调指出,该框架旨在促进最佳做法,但不施加冲突的法律义务,并敦促国会不要通过立法,该立法对受此类法律约束的实体产生重叠或矛盾的要求。

将隐私权最佳做法扩展到可链接到计算机或其他设备的数据,反映出委员会的立场,即“个人身份信息”(“ PII”)和“非PII”之间的界限越来越模糊。  欧盟委员会对该申请进行辩护的理由是,不仅越来越有可能重新识别所谓的“匿名”数据,而且欧盟认为,企业有强烈的动机来重新识别此类数据。

为了使企业能够确定“合理可链接”数据的构成,委员会已采取以下立场:如果拥有该数据的公司执行以下操作,则数据“不可合理链接”,因此不在隐私框架的范围内保护措施:(1)采取合理措施确保对数据进行身份识别; (2)公开承诺以不明身份的方式使用数据; (3)对使用数据的下游实体进行合同禁止以解除对它的识别,并采取合理措施确保遵守该禁止。即使进行了这种清晰的尝试,仍然存在问题,包括“去识别”数据意味着什么。例如,这是否意味着删除PII或是否意味着删除任何标识符,例如Cookie ID?此外,就监控下游实体而言,哪些措施是“合理的”?

隐私框架的实质

欧盟委员会的报告提出了一个隐私框架,该框架要求公司将“设计隐私”融入他们的做法,为消费者提供 简化的选择 关于如何收集和使用他们的数据,并为消费者提供 更大的 透明度 关于他们的做法。

设计隐私

根据该报告,公司应在其整个组织内以及产品和服务的开发和生命周期的每个阶段,促进消费者隐私。从本质上讲,这意味着公司应在其业务实践中纳入以下隐私保护:

  • 消费者数据的合理安全性。委员会注意到这项义务已经很好地解决了,因为根据FTC法案第5节和其他法律执行数据安全义务已有悠久的历史。该委员会赞扬业界为确保消费者数据的安全所做的努力,但是,委员会再次呼吁国会颁布全面的数据安全和违规通知法规。
  • 合理限制数据收集。根据委员会的说法,合理的限制是与特定交易或消费者与企业的关系相一致的限制(或根据法律的要求或特别许可)。
  • 合理的保留和处置方法.  委员会指出,公司应对保留消费者数据实行合理的限制,一旦数据超过了收集数据的合法目的,应予以处理。什么是“合理的”取决于关系的类型以及数据的性质和用途。
  • 数据准确性.  根据委员会的说法,公司应保持所掌握的有关消费者的数据的准确性。与框架的其他要素一样,委员会认为,达到准确性的最佳方法是采用灵活的方法,并根据所讨论数据的预期用途和敏感性进行调整。

委员会还敦促企业在其产品和服务的整个生命周期中维持全面的数据管理程序。它引用了最近的结算命令 脸书谷歌 它为所设想的全面程序保护的类型提供了路线图:(1)指定负责隐私计划的人员; (2)风险评估至少涵盖员工培训,管理和产品设计与开发; (3)实施旨在减轻已识别风险的控制措施; (4)适当的监督; (5)根据定期测试和监测对程序进行评估和调整。

简化的消费者选择

该报告鼓励公司简化消费者的选择,部分是通过识别不必要选择的做法。该报告特别指出,在收集和使用消费者数据进行与交易环境或公司与消费者的关系相一致或法律要求或特别授权的行为之前,公司无需向消费者提供选择。  尽管该标准在某种程度上取决于消费者的期望,但它侧重于与消费者与企业的关系有关的客观因素。提供以下常见的惯例作为通常不需要消费者选择的那种惯例的示例:产品和服务实现,内部运营,欺诈预防,法律合规性以及公共目的和第一方营销。

该报告继续讨论需要选择的做法,并指出,当需要选择时,应在消费者决定其数据的时间和环境中提供该选择。 (但是,委员会拒绝强加任何提供选择的特定方法,而是让业界自行制定最合适的选择机制。) 与交易背景或公司与消费者的关系不一致的数据使用和披露做法需要消费者选择 (除非法律要求或特别授权此类做法)。这样的做法可能包括,例如,如果消费者不知道会员关系(例如,因为公司的品牌不同),则与会员共享客户数据以供会员自己直接进行营销。

委员会确定了它认为需要的两种做法 明确表示同意:(1)与 隐私声明的重大追溯变更 (这并不是什么新鲜事物,因为委员会已经反复表达了多年,并将其强加于和解令中);和(2) 在收集敏感数据之前,例如有关儿童的信息,健康和财务信息,地理位置数据和社会安全号码。 (委员会还建议社交网络和其他专门针对青少年的网络应在提交个人信息时采取额外的预防措施。)委员会对需要征得明确表示同意的具体做法的识别表明,在其他方面要求选择的地方,应明确选择明显的通知和选择退出就足够了。

更高的透明度

委员会指出,公司应通过隐私声明,数据访问和消费者教育来提高其数据做法的透明度:

  • 隐私声明应 更清晰,更短,更标准化,以便更好地理解和比较隐私惯例。委员会呼吁简化隐私声明,例如通过使用标准化的术语,格式和其他要素。委员会认为,各个行业部门的成员应共同努力,以建立与其行业相关的标准,可能要通过商务部计划召集的多方利益相关者程序。委员会认为,鉴于想要收集用户数据的实体数量众多且公开空间有限,在移动领域,简化和行业介入的需求尤为迫切。如上所述,委员会计划在2012年5月30日的公开研讨会上解决移动信息泄露问题。
  • 公司应提供 合理使用 他们维护的消费者数据。访问范围应与数据的敏感性及其使用的性质成比例。例如,委员会敦促出于营销目的而保留数据的企业至少要为消费者提供访问此类数据的权限,并允许他们隐瞒他们不希望用于定位的类别。
  • 公司应努力 增加其数据增强实践的透明度。委员会不建议公司获得这种做法的同意;但是,它敦促业界依靠隐私框架的其他元素来解决它引起的隐私问题。委员会认为,这意味着公司应该例如向消费者解释数据增强的工作原理以及如何直接与数据增强源联系。他们还应鼓励其数据源提高自身的透明度。
  • 委员会鼓励公司继续参与 消费者教育 努力并邀请业界重塑品牌并使用委员会自己的材料。

结论

该报告反映了委员会对消费者承担的太多负担,因为消费者在理解和控制如何收集,使用,保留和披露其数据方面承担了过多的负担。该报告反映了它希望看到这种范例颠倒的愿望,从而使负担由公司承担。这种担忧转化为可执行要求的程度将在很大程度上取决于委员会从国会获得的支持,以及制定和采用自我监管行为准则的程度。