摘要
近年来，欧盟针对数字市场下的科技巨头的监管不断收紧。3月4日，欧洲欧盟委员会宣布了对苹果公司处以18.4亿欧元罚款的决定，理由为苹果在流媒体音乐业务中存在垄断行为【1】；3月6日，欧盟《数字市场法案》（Digital Market Act，下称“DMA”）正式落地，Alphabet（GOOGL.US）旗下谷歌、亚马逊、苹果等多个首次被指定为“守门人”的巨头企业为遵守该法案的整改期限已满。
谷歌、亚马逊等6个被认定为“守门人”的科技平台巨头（下称“巨头企业”）为遵守DMA相继开展了合规调整。该法规定限制平台数据融合、对数据进行兼容和开放、为数据可携带提供便利等义务，迫使巨头企业开展了一系列的数据合规优化整改。整改以数据收集端对于数据共享、个性化广告的同意模式修改、数据移植API工具为重点，让互联网个性化推送广告的规则和数据处理的规则更透明，但与此同时个性化广告的推送在未来也将变得更加复杂和艰难；数据可移植方案出台让数据流通迈向更高水平。
本文简要介绍该法案及守门人制度，同时解析巨头企业调整数据合规策略及其影响。
一、DMA是什么？
■ DMA的立法背景——创新监管模式，遏制数字经济市场的垄断巨头
DMA是欧盟探索“塑造欧洲数字未来”战略下数字市场竞争秩序的重要立法，其确定了以守门人（gatekeeper）为核心的大型平台监管模式。该法从公平交易、数据保护等多个维度对在欧盟运营的大型数字平台企业设置了一系列的积极和消极义务清单，督促巨头采取有效措施撕裂壁垒、开放网络平台进行互联合并，为数据移植和流通提供便利。
此举推动了欧盟数字市场监管方式由此前《欧洲联盟运行条约》TFEU第101条和第102条为代表的“事后监督”转向更具灵活性和前瞻性的“事前监督”，也将为长期于以美国科技巨头为代表的垄断下狭缝生存的欧盟本土中小型企业赢取更多公平和合理的竞争机会，巨头企业滥用其优势地位和支配力量导致“赢者通吃”的局面或能缓解；另一方面，该法案的施行也进一步保护了企业用户和终端用户的自主选择权和数据控制权。
DMA于2022年11月1日生效，2023年5月2日开始适用；2023年9月6日，欧盟委员会首次指定了Alphabet、Amazon、Apple、ByteDance、Meta、Microsoft共计6家守门人企业，涉及22项平台服务，同时要求守门人对相应的核心平台服务在2024年3月6日前完成合规整改。
■ DMA架构和主要内容
二、“守门人”是如何认定的？
■ 守门人指什么？
守门人指可提供DMA第2条列举的包括网络中间服务、搜索引擎、社交网络服务、视频共享平台服务等10种核心平台服务之一或多种，且营业额和用户量达到该法第3条规定阈值门槛的巨头企业。其作为链接企业用户和终端用户的重要纽带，拥有巨量的用户数据和经济规模，且具备稳固和持久的控制力或地位，对欧洲市场已发生或者预期发生重大影响。
■ 如何认定守门人？
首先，能够被认定为守门人企业应符合以下条件的叠加：
（1）巨头企业提供DMA Article 2中规定的核心平台服务；
（2）相应的平台业务满足DMA Article 3规定的守门人定性与定量的标准。
此外，守门人的认定的方式包括依据企业主动通知后认定和欧盟委员会主动认定。具体的守门人的清单可以根据请求或主动修正的方式进行调整。
满足守门人标准的企业应当向欧盟委员会提交材料，欧盟委员会在45个工作日内进行审核并认定该企业是否为守门人；如企业未及时通知提交材料的，欧盟委员会有权根据相关情况和信息进行守门人的直接认定。
如情况发生变化，欧盟委员会有权根据守门人的请求或主动重新进行守门人认定，一般每3年进行一次守门人重新审查认定并每年对于提供核心平台服务的新企业或相关新实践进行审核，以将符合阈值的新的守门人纳入管控范畴。
三、守门人为遵守DMA数据保护义务而进行的整改会产生什么影响？
根据前述内容，DMA第5条和第6条就保护终端用户个人数据和促进数据开放和流通目标列明了守门人须遵守的多项义务，相关规定为GDPR和ePrivacy指令的要求形成补充并保持了内在的一致性，督促巨头企业合法、透明、合理且公平处理数据，这对于个人数据主体实现其对个人数据的控制权，尤其是知情权、选择权还有数据可携带权有较大的影响。
■ 进一步限制了个性化广告推送，巨头企业或企业用户应根据用户授权情况进行区分，对于未经用户授权同意进行个性化广告的个人数据收集将不得进行相应个性化或定向广告推送
过往巨头企业利用其规模效应和多边链接能力从终端用户、第三方网站和APP、平台的其他业务等不同渠道集结个人信息，进行加工分析、用户画像描绘、交叉用于网络广告服务等其他业务的能力将被遏制，平台依赖巨量数据积累与规模效应造就的广告、个性化服务的准入门槛和壁垒将被降低。
此合规要求来源于DMA Article5所列明的守门人消极性义务，除非满足终端用户作出自主选择进行授权同意的前提，否则守门人不得做出以下行为：
（1）基于个人数据用于提供网络广告；
（2）结合、聚合来自其核心或非核心，内部或来自外部的个人数据；
（3）将核心平台的个人数据交叉使用于平台的不同业务，将非核心业务数据交叉使用于平台的不同业务，无论是核心还是非核心的业务；
（4）为整合个人数据将终端用户登录到守门人的其他服务。
为此，巨头企业纷纷展开业务同意模式的修改，基于提供个性化广告服务目的收集个人数据、在业务内或业务外服务之间共享数据的处理需要征求用户同意。相应平台的下游企业用户和广告商等也被要求重新部署同意模式，要求相关方进行协同调整，包括对同意授权、拒绝授权、用户未授权等情况进行区分并据此开展后续不同的数据处理行为，例如对于拒绝授权或者未响应的用户，以及拒绝进行数据共享的用户需要进行数据隔离，相应的加工、分析和共享等未经授权同意的处理行为也随之要求停止。亚马逊和谷歌发布的响应整改如下：
（1）谷歌在1月和3月公布了其合规整改措施，Alphabet的在线广告系统推出了谷歌同意模式（Google Consent Mode），要求在Google平台投放广告客户接入需要按照Google的要求在其网站或者是APP上部署谷歌同意模式，广告客户在收集、使用、分享终端用户个人信息时以及使用Cookie进行个性化推送广告之前，需先征得终端用户的同意。此外谷歌为使用搜索引擎服务的用户提供在YouTube、搜索、广告服务、Google Play、Chrome、Google 购物和Google地图上等业务上共享数据的选择，相应选择在3月6日生效。【2】
（2）亚马逊修改其广告管理策略，向访问其欧盟应用商店等业务平台的顾客征求收集个人数据用于个性化广告的许可，相应业务调整覆盖了亚马逊旗下的Amazon Prime Video、IMDb 和 Twitch以及Kindle 电子阅读器等。这些应用所进行以广告推送为目的数据收集、共享和使用的许可将迎来变化，可能会使亚马逊更难向欧盟用户销售和展示个性化广告。
这类调整主要围绕个人数据主体的对于数据处理行为的知情权和决定权而开展，用户授权同意、拒绝授权、撤回此前的同意和未回应等选择都将改变平台对于相应数据处理方式。对于未授权同意或者拒绝授权同意数据共享和个性化广告推送的终端用户，平台或相应的企业用户务必采取技术措施对相应的人群包进行区分，不得再进行数据共享以及个性化广告的错误发送；对于拒绝授权或者撤销同意个性化广告目的收集个人信息的用户，在未来1年内不得再次请求同意授权。可以预见的是，巨头企业将失去一定量的数据积累和广告推送目标用户，这样一来，个性化广告推送的精准度和覆盖率都将大打折扣。
■ 个人数据可携带权落地可期，巨头企业应就个人数据主体行使数据移植提供选项和配套的技术支撑，落实数据移植解决方案
GDPR规定的个人数据可携权在DMA Article6条第9点进一步得到了明确，其要求巨头企业在应终端用户和其授权的第三方的要求下免费向其提供由终端用户提供的数据的有效移植，或在使用相关核心平台服务的情况下通过终端用户的活动生成的数据的有效移植，包括免费提供促进有效运行此类数据移植的工具，也包括对此类数据的连续和实时访问。
目前涉及的巨头企业如谷歌和字节跳动也开展了相应的调整：
谷歌宣布推出了新的数据可移植性API，该工具将供相关开发人员在Google Takeout上进一步构建和完善，以支撑用户将其数据从Google服务中移出的请求。
字节跳动于其平台推出了一个可允许欧洲用户将数据传输到已注册 TikTok的其他应用程序的API。在用户同意后，注册开发者可将相应的帖子、关注者等相关内容从 TikTok移植到相应的应用程序，同时改进了“下载你的数据”工具，允许个人用户导出和下载他们的帖子和其他信息。
由其可见，各大巨头企业围栏内的个人数据移植到其相应平台或者第三方平台的可行性方案已在路上，GDPR下的可携带权落实对于未来的数据自由流动的曙光也已经显现。
结语
巨头企业依据DMA进行的数据保护模式和规则的整改，尤其个性化广告和数据共享同意授权的修改以及可携带权可行性方案的推出，迫使其降低竞争壁垒，对于提升数据处理规则的透明度、平台的互联度和数据的流通度均有好处，该法案的施行对于欧盟整体市场内维护个人数据、隐私权益与创造更合理公平的市场竞争秩序而言更是意义深远。
参考资料
1.https://ec.europa.eu/commission/presscorner/detail/en/IP_24_1161(最后访问时间为2024年3月12日10:30)
2.https://support.google.com/google-ads/answer/10000067?hl=zh-Hans&sjid=12821036615178883873-AP(最后访问时间为2024年2月27日10:30)
作者：许瑞凤 尤诗佳
审稿：梁艳芬
（文中观点不代表北源律师事务所的观点或法律意见）