尝试问责——欧洲法院裁决 C-683/21

fabiha01

本月我们已经报道了欧洲法院（ECJ）的几项突破性裁决。沿着这条思路，今天我们要讨论的是欧洲法院 2023 年 12 月 5 日（案件C-683/21）关于数据保护共同责任的非常有趣的裁决。

到目前为止，我们对共同责任了解多少？
人们可能会认为有关连带责任的法律规则非常简单。共同责任可能是数据保护领域最具争议的领域之一。

法律规定：“两个或两个以上的控制者共同决定处理的目的和方式时，他们应为共同控制者。” （GDPR 第 26 条第 1 款第 1 句，原文中没有强调）

如果存在共同责任，立法者希望通过“共同责任合同”——通常称为“共同控制人合同”——来规范各自的责任份额。但在日益复杂的数据流和无数数据中介的背景下，理论上看似简单易懂的事情却是一个巨大的挑战。 “共同决定”是什么意思，“处理方式”是什么，立法者制定这项法规的目的是什么？

这些问题目前还没有简单的答案。就像地图上的一个空白点一样，这片法律上未开发的领土在实践中是被避开的。即使 GDPR 实施五年后，也几乎没有签订任何共同责任合同。总体而言，数据保护倡导者希望尽快明确共同责任的愿望早已破灭。相反，缓慢的司法程序可能必须处理每一个个案——这是一场耐心的游戏。

正义如是说
在今天的案件中，立陶宛数据保护监察局（VDAI）和立陶宛卫生部国家公共卫生中心（NÖGZ）正在地区行政法院进行辩论。问题在于，NÖGZ 是否对一款名为 KARANTINAS 的 Corona 应用程序负有共同责任，该应用程序违反了数据保护法规，而制造商IT sprendimai sėkmei UAB (ITSS) 显然在很大程度上独立开发和发布了该应用程序。不幸的是，ITSS 在 NÖGZ 正式授予公共合同之前就推出了该应用程序。

立陶宛行政法院向欧洲法院询问根据《第 14 条》将一个实体归类为控制者的问题。 4 第 7 条 GDPR以及有关艺术下的联合控制要求。如果 NÖGZ 以非常小的方式参与数据处理，并且最重要的是故意不具约束力的方式参与数据处理，则26 GDPR 。

责任人基本分类
欧洲法院对第 14 条规定下的责任发表了评论。 GDPR第4条第7款规定，如果出于自身利益对数据处理施加影响，法国商务传真列表 并且处理的目的和方式按照法律定义共同确定，那么责任就已经存在。

对于大多数人来说这并不奇怪。这里当然仍然需要讨论，特别是当影响的可能性可以忽略不计时。立陶宛行政法院仍需就此如何适用于NZÖG做出最终决定。

共同责任的划分标准
关于共同责任，欧洲法院援引其Fashion ID 裁决，澄清相关机构必须各自独立遵守“控制者”的定义。

欧洲法院随后指出，共同责任并不一定意味着所涉机构承担同等责任——这是欧洲法院在其Fanpage 裁决中得出的一个众所周知的结论。必须根据个案情况来评估责任程度。

欧洲法院还提到，控制者之间的正式协议并不是被归类为联合控制者的先决条件。相反，根据《艺术》的联合控制者。 26 GDPR 有法律义务签订此类协议。

到目前为止，欧洲法院尚未做出任何新的决定！但欧洲法院随后更详细地解释了如何构建联合控制者的决策份额。

统一决策和综合决策
受总检察长意见书所述的影响，欧洲法院现进一步解释在共同责任案件中什么是重要的：

一方面，联合控制者可以通过联合决策来确定处理的方式和目的。

另一方面，联合控制者也可能做出并发决策， “这些决策“[…]相互补充，使得每个决策都对处理目的和方式的决策产生特定的影响”。 （第43段，原文没有强调）

这无疑为划分共同责任提供了新的潜力。如果像欧洲法院所解释的那样，“单一决定”或“综合决定”的案件组合导致共同责任的确立，那么相反， 如果控制者的决策不相互补充，并且对处理目的和方式的决定没有特定影响，则不存在共同责任。

目前还无法评估这是否真的有助于区分，以及我们是否会在未来适用共同责任法方面开辟新的局面。这个想法确实很有趣！这或许与欧盟当前通过《数据治理法案》（DGA）促进数据共享的努力相契合，或者有助于我们对用于大型语言模型（LLM）（例如 ChatGPT）的训练数据进行数据保护评估。