最优秀的中国互联网法律律师事务所之一

数字化平台时代的非货币类“货币”:介于个人隐私和知识产权之间的“用户提供内容”

Gianclaudio Malgieri   2018-03-15 22:35
数字化平台时代的非货币类“货币”:介于个人隐私和知识产权之间的“用户提供内容”[1]


引言

在网络2.0和3.0时代,用户越来越多地成为内容的消费者。[2]用户提供内容的高估值主要可归结于以下理由:

它提升了数字化平台上信息交互的质量和频次,也即因此带动了其商业价值的增长;它作为个人信息会在特定的使用场景中透露更多的个人数据,本身即具有内在价值;
它有机会成为知识产权的客体,例如它有可能被视为作品而受著作权保护。

另一方面,UGC会在个人信息和知识产权之间存在大量交叉,盖因二者的界限本就十分模糊。这也是为什么我们称之为UGC的原因,既强调了它兼具个人信息和数字内容的双重属性,又指明了它的(工业)生产来源。

在数字市场和基于行为的算法领域,我们无法忽视UGC的价值。它已经被视为新型的数字化货币,且通常无需考虑最终的使用者(消费者、数据主体)[3]

有趣的是,欧盟法律中似乎正越来越多地考虑到UGC的价值和特殊性。这不仅仅是一个巧合,在各类IP资产和个人数据中,这类数据具有其独特的规则。尤其体现在如下方面:

1、在欧盟《数字内容合同指令议案》(下文简称《指令议案》)[4]中,用户所提供的数据(用户直接向网络服务提供者提供的个人信息或非个人信息 )被认为是金钱之外作为接收内容和接受服务的潜在对价。[5]
2、在GDPR中,针对数据主体所提供的数据也具有特定的规则。特别是,数据的可携权仅限于数据主体向数据控制者行使。
换言之,用户所提供数据因其“可商品化”而被明确地界定为一种个人的数字商品。事实上,一方面,具有唯一性的用户数据可以从一个平台移植到另一平台;另一方面,这也是唯一一类会在立法中被纳入数字化内容条款加以考虑,赋予其金钱之外法律地位的数据。

上述关于用户提供内容的法律规定和提案缺乏内容上的统一性,并且倾向局限在具体部门的角度探讨“信息”问题。此处在数字市场中的用户内容管理上,需要寻求跨部门维度的整合分析,以便实现有关“用户提供内容”在适用语境、概念、问题与机遇的统一化。很显然,并不是任何由“用户生产”的内容都是个人信息,也不是所有用户提供的个人信息都具有知识产权意义上的价值。

一、当前平台服务协议中有关用户提供内容的规定

欧盟委员会强调,消费者数据市场正在变得越来越重要:基于货币数据的商业模式正成为主流[6],大量消费者进入数字化服务市场并用其个人信息作为“回报”。

为了更好地了解用户提供内容在数字平台经济中的实际价值,同时考察此类商品在市场流通中的真实运行规则,有必要对常见数字平台上的服务条款如何规定用户提供内容进行考察分析。这里作为重点考察的对象有Facebook, Twitter, Instagram Second Life 的服务协议,这些所谓“免费”的社交网站上都存在大量的用户提供内容(文字、照片、绘画、视频等)。

上述服务条款的相同之处在于:它们都承认用户基于其自身提供内容而享有相应的知识产权(例如版权、专利、设计、数据库特殊权利保护等等),但与此同时,他们都保留了广泛的免费使用许可,以便于对上述内容进行重复使用、修改或者获取相应的经济利益。

需要特别指出的是,Facebook声称其用户保留他们在Facebook上传一切内容和信息的权利。然而,“鉴于这类内容可能会涉及知识产权,例如用户发布的照片和视频(IP内容),用户将针对其在Facebook或与Facebook相关平台上所生产的内容,特别授予Facebook一个“非排他、可转让、可再许可、免费的全球性使用许可(IP许可)。这个IP许可将在用户删除其IP内容或者注销账号之后终止,除非这些内容已经与他人共享且该其他人并未删除“[7]

Twitter的服务协议中声称用户将保留其”在使用服务过程中提交、发布、展示所有内容“的权利[8]。服务条款中还增加了“在使用服务过程中所提交、发布、展示的内容,(用户)授予Twitter一个世界性的,非排他性的免费许可(同时有权进行再许可),允许Twitter在任何媒体上或使用任意分发方式(包括既有的和未来发展出来的)使用、复制、处理、修改、发布、传输、展示和分发上述内容。这项许可还包括“允许Twitter为了提供、提升、改进服务之目的,向其他公司组织或个人提交或通过服务获取上述内容,以便于该内容的分发、推广或出版等”。有意思的是,该服务条款规定,“基于上述原因,Twitter或其他公司、组织或个人对于用户自行提交、发布、传输或通过其他方式提供内容的额外使用,可以不向用户支付费用“。

Second Life也承认用户保留其所提供内容上的所有知识产权[9]。有趣的是,考虑到该平台上广泛存在的潜在用途和创造力,Second Life在内容许可使用方面规定得尤为宽泛[10],即在使用、分发甚至是“销售、转售或者(多层级的)分许可”该内容时一个“无限制、无条件的、不可撤销的、永久性的全球范围免费”许可。

最后,Instagram的服务条款是最有趣的例子之一。首先它不明确承认用户对于IP的权属,但它也否认Instagram对于用户提供内容享有任何所有权[11]。此外,当描述其享有的使用或修改用户所提供内容的许可时,它的表述是“全额支付”[12]。注册Instagram是免费的,用户在分享内容时不会受到任何货币收益,因此这里的“全额支付”似乎是指代非货币类支付。 换句话说,根据Instagram的服务条款,用户和服务提供者达成了一场交易,即用户“付费”注册Instagram,而Instagram“付费”取得UGC的使用许可[13]:这种双向交易彼此相抵得到“零和”结果,因此一笔免费的数字交易呈现出一种看似付费的结果。这种关于非货币支付的提法貌似将与我们下文提到的《指令议案》中的规定相一致。

在上述简单的梳理之后,我们发现,消费者(用户)如果想免费使用一个现有平台,他们就必须授予该网络服务提供者对于用户自身内容的免费使用许可,并且网络服务提供者还可以从该许可(销售、转售、再许可)中获得经济利益。服务条款中所描述的非货币性交换可以令我们更好地回顾起数据和内容之间的这种“复合式交易”,也同时彰显了现代数字经济下,用户提供内容将作为主要“货币”形式的内核。

二、《指令议案》中的用户数据

欧盟法律体系中有关用户提供内容方面最有趣的“工具”之一,就是其在《指令议案》中有关“提供数字内容服务合同”的某些规定[14]。针对这些规定的政策影响评估中便明确指出“用户数据市场正在飞速发展,基于货币化数据的商业模式成为主流”[15]。因此,关于在线信息的免费提供条款,指令草案的第3(1)条限定了适用范围:网络服务提供者基于合同或承诺基于合同向用户提供数字内容服务,用户需支付对价或者”以主动提供个人数据或其他数据作为对价”。

实际上,关于将“主动提供数据”认定为一种非货币类支付形式的提议,与欧盟现有的个人数据保护框架存在若干不协调之处,与GDPR的冲突更为严重。当评估对于个人数据的处理是否需要取得自主同意时,GDPR第7(4)条规定“最重要的是需要考虑合同的履行(包括提供服务)是否是以同意处理个人信息为条件,并且此同意行为并非履行此合同的实际必要前提”。换言之,如果数据主体被要求事先必须(向网络服务提供者)给出处理其个人数据的同意(对于履行合同来说并无必要),并以此作为对方提供服务或履行合同的前提条件,这就很可能导致该同意被认定为并非“免费”,由此,该合同在GDPR下会被认定无效。[16]

因此,有观点认为如果个人被要求“以数据进行支付”,则其必须事先给出处理其个人数据的同意,即使这些对于提供某项服务来说并非必要[17]。但这样带来的问题是,当用户以其数据(个人数据或非个人数据)进行支付时,他\她将不能任意撤回其同意:如果个人数据被作为一种“非货币类的对价”,那么阻止数据的处理就意味着拒绝接受该项服务。但是,GDPR序言中第42条主张,撤回同意对于数据主体来说必须是“无损”的。因此可以肯定的是,《指令议案》的第3(1)条与GDPR可能并不相容。

事实上,GDPR的第7(4)条并未禁止基于交换个人数据的非货币支付,其只是强调,在并非为履行合同所必需时,此时要求用户必须针对处理其个人数据给出同意时,那么这个同意就并非是免费做出的。故而,如果数据控制者声明服务合同的成立前提是基于数字内容和用户数据的互相交换,则数据主体对于自身数据处理的同意将被视为双方履行该合同的必要前提。那么,根据“目的有限性原则”和“数据最小化原则”[18],如果数据控制者将对于用户数据的处理权作为合同的非货币性对价,那么它就应当向数据主体明确阐释该合同的性质和目的。

三、用户所提供内容与数据的可携权

用户提供内容在GDPR中也有相应的法律规定。尤其是第20条规定了数据的可携权:其仅适用于“数据主体已经将数据提供给某个数据控制者”的情形。有观点认为,针对那些仅“被提供”数据的限制使用,对于保护数据控制者的知识产权来说可能是一种利好,尤其在避免数字服务提供者的智力成果(运用复杂算法计算出的用户数据)可能被竞争对手合法而免费公开的时候[19]。有趣的是,WP29最近主张应将“提供”这个概念做扩大化解释,以便于进一步涵括“数据主体的活动数据或者基于对数据主体的行为进行客观记录而非进一步分析得出的数据。然而,由数据控制者在对用户个人数据进行处理所产生的新数据(例如进行个性化定制或者个性化推荐,或者对用户进行分类或者画像等),属于用户数据的衍生或派生数据,并不属于数据可携权的行使范畴之内“[20]

实际上,EDPS也建议出于效率的考虑,数据可携权应具有“广泛的适用范围,且不仅仅适用于数据主体对于其所提供数据的处理行为”。[21]
考虑到上述这些原因,“用户提供数据”意味着所有未经数据控制者进行智能化处理过的数据,不仅包括用户以书面或类似方式明确披露给数据控制者的数据,也包括所有被数据控制者“观察”到的(例如地理位置数据、健康数据、cookies等等)[22],但未经过数据控制者的进一步处理(此种处理包括智能上的、经济上的和科学上的,例如运用算法后得到的结果)所得到的数据。

结语

在数字平台经济的发展过程中,个人信息市场日益崛起。一种特殊类别的信息数据已被正式纳入:这就是用户所提供的数据。考虑到这些信息兼具个人属性和版权属性,为了研究有关此类数据的内涵外延、法律问题和机遇管理等,需要引入一种多层次、跨部门的分析方法来进行。因此,使用“用户提供内容”这样的概括性表述相较于某些具体性术语(用户生成内容、用户提供的个人数据等等)要更为贴切。

对于用户提供内容的货币化在若干商业模式中正日益成为现实,同时也出现诸多法律问题,例如对于用户的保护,以及在不同的法律框架(如隐私保护、知识产权和电商等)之下寻求统一监管的要求。

有趣的是,尽管现有的服务条款已经显著倾向于网络服务提供者,对于其许可的范围也过于宽泛(且免费),但在服务条款中加入“许可使用”的内容已经成为时下大多数社交平台的现实做法。Instagram的服务协议约定该许可已“全额支付”,或许就是意指个人数据可以用来作为服务交易对价这种非货币类的本质。

一种建议方案是建立其一个以用户为中心的系统,使其能够对于自己的“个人内容”进行完全的控制管理及充分知情。这种控制应该建立在两种相互独立的法律工具之上:即对于UGC[23]的公平许可,以及对于该内容从一个平台移转到另一个平台的撤销权。例如:保障数据可携权的充分可操作性(最终将与数据擦除权合二为一)。所谓用户知情,即应充分告知用户基于何种商业目的要对其数据进行相应处理[24],以此来实现对于同意原则以及对目的性限缩原则的遵循。
 

[1] 为了便于理解、区分以及遵循惯例,本文中的User-provided personal content统一译为用户提供内容,user generated content(用户生产内容)统一简化译为UGC,而personal information 和 personal data并未做刻意区分,视语境译为个人信息或个人数据,译者注。

[2] Brendan Van Alsenoy, Joris Ballet, Aleksandra Kuczerawy & Jos Dumortier, ‘Social Networks and Web 2.0: Are Users also Bound by Data Protection Regulations?’ (2009), Identity in the Information Society, Volume 2, Issue 1, pp. 65–79

[3] See, Gianclaudio Malgieri, Bart Custers, ‘Pricing Privacy: the right to know the value of your personal data’ (2017), Computer and Security Law Review, forthcoming, 2017. See also Bilyana Petkova and Philipp Hacker, ‘Reining in the Big Promise of Big Data: Transparency, Inequality, and New Regulatory Frontiers’ (2016), Lecturer and Other Affiliate Scholarship Series. Paper 13

[4] Proposal for a Directive on the supply of digital content。

[5] See Proposed Directive on the Supply of Digital Content, recital 14.

[6] European Commission, Impact Assessment Accompanying the proposed Directive on certain aspects concerning contracts for the supply of digital content, COM/2015/0634 final

[7] Facebook Statement of Rights and Responsibilities, §2 “Sharing your Content and Information”, https://www.facebook.com/terms.

[8] Twitter, Terms of Service, “Content on the Services”, “Your Rights”, https://twitter.com/en/tos.
 “What’s yours is yours — you own your Content (and your photos and videos are part of the Content)”.

[9] Second Life, Terms of Services, “Content Licenses and Intellectual Property Rights”, https://www.lindenlab.com/tos, § 2.3.

[10] “非排他的、无限制的、无条件的、不可撤销的、全球性的永久免费权利,许可其使用、复制、记录、分发、复制、披露、修改、展示、公开表演、传播、出版、广播、翻译、制作衍生作品、销售、转售或再许可(多层次的)(…),或利用任何方式,包含您用户内容的所有部分(及其衍生作品),基于任何形式下的任何目的(…)”。

[11] “对于您在使用Instagram期间上传的所有文件、图像、照片、视频、音频、音乐作品、署名作品、应用程序或其他(统称为“内容”),Instagram不会对此主张任何所有权”。

[12] See Instagram Terms of Use, § “Rights”, Art. 1, < https://help.instagram.com/478745558852511> accessed 29 May 2017. Italics added.

[13] See Gianclaudio Malgieri and Bart Custers, ‘Pricing Privacy: the right to know the value of your personal data’ (2017), Computer and Security Law Review, forthcoming, 2017, supra.

[14] COM/2015/0634.

[15] Impact Assessment Accompanying COM/2015/0634 final.

[16] See the definition of “consent” at Article 4, GDPR.

[17] See Gianclaudio Malgieri & Bart Custers, ‘Pricing Privacy’, supra.

[18] Article 5(1), GDPR.

[19] See B. Van Der Auwermeulen, ‘How to attribute the right to data portability in Europe: A comparative analysis of legislations’, Computer Law & Security Review 33 (2017), 57–72, p. 61.

[20] “Article 29 WP, Guidelines rev01, supra, pp. 10-11. See also Article 29 Working Party Issues Results of Fablab Workshop on the GDPR.

[21] EDPS recommendations on the EU’s options for data protection reform (2015/C 301/01).

[22] Art.29WP, Guidelines rev01, supra, p.10: “They may for example include a person’s search history, traffic data and location data. It may also include other raw data such as the heartbeat tracked by fitness or health trackers” and also “transaction history and access log” (see page 9, footnote 12).

[23] See recital 38 of the draft opinion on the proposed directive on copyright in the digital market, supra.

[24] See Gianclaudio Malgieri and Bart Custers, supra.