数据保护官沙龙（DPO Salon）公益出品 美国华盛顿哥伦比亚特区 诉 Facebook 公司 官 译者序：薛颖 何国锋 沙 起诉书（中译文） 龙 针对违反《消费者保护程序法》的诉讼 翻译（姓氏音序排名）：陈子谦 何国锋 吴迪 2018年12月 数 据 保 护 审校（姓氏音序排名）：孟洁 薛颖 署名-非商业性使用-禁止演绎 2.5 中国大陆 1 / 16 译者序 2018 年是堪称数据隐私保护法律领域的“元年”，除了设定天价罚单的欧盟 《通用数据保护条例》正式生效，最为引人瞩目的事件就是媒体曝光的 Facebook 剑桥分析事件（Cambridge Analytica）和小扎随后在美国会度秒如年的听证会直 播。进一步的，这一事件终于在本年度进入了第一个美国本土司法案件程序—— 再次为“元年”增添了浓墨重彩的“尾巴”。 据 保 护 官 沙 龙 2018 年 12 月 19 日美国华盛顿哥伦比亚特区总检察长向哥伦比亚特区高等 法院提交诉状，正式就剑桥分析事件中 Facebook 违反哥伦比亚特区《消费者保 护程序法》 （吃瓜群众没看错，是为“消法”问题）起诉 Facebook。该案中 Facebook 平 台 上 一 个 名 为 “ thisisyourdigitallife ” 的 第 三 方 应 用 程 序 通 过 平 台 获 取 了 Facebook 用户个人数据（其中包括约 7000 万美国用户），这些数据被非法收集并 随后被出售。因被认为在本次事件中对于用户数据被非法收集和出售负有管理上 的疏忽与过失，Facebook 面临来自多国监管机构以及作为本次事件的“受害者”的 相关数据主体的多重追责。本次华盛顿哥伦比亚特区就该事件针对 Facebook 提 起诉讼，即属于来自美国本土州政府通过诉讼手段的追责。此次哥伦比亚特区对 Facebook 的起诉书分析了 Facebook 作为社交网站平台收集、处理用户数据的流 程，以及 Facebook 用户的数据如何被第三方应用程序收集、出售及使用，系统 地阐述了 Facebook 在该起事件中如何构成“不公平且具有欺诈性的交易行为”、 触犯了哪些法律法规，进一步提出了赔偿请求，并要求“以法律规定的最高陪审 员人数进行审判”。可以想见，此案也会影响和推动美国联邦层面制定相应的数 据安全与隐私保护法律法规。 数 我国是互联网大国，有众多类似 Facebook 的平台型互联网企业，需要与平 台上的应用开发者“共享”海量用户数据收集。在平台业务急剧扩展的过程中如 果落实数据流的上下游链条治理、如何在不断衍生的数据链条中落实用户的知情 同意和主体控制权利、平台是否对离岸数据还能落实控制措施、平台企业在 2B 和 2C 业务中的数据治理责任是否有边界……这些都是业界和法律人士需要共同 面对的挑战。 哥伦比亚特区对 Facebook 的这份起诉书，无论是对于国内的互联网企业还 是对于国内的法律界均具有研究与学习价值。译者正是本着研究与学习之目的， 同时为便于关心数据隐私领域的同行一起探讨，翻译了这份起诉书。希冀在对这 一诉讼案件的探讨过程中，与大家共同进步。译文如有不当之处，敬请指正。 接下来，吃瓜群众不妨搬起小板凳，围观一下 Facebook 的抗辩事由和后续 庭审报道，以及是否会引发美国其他各州类似诉讼的多米诺骨牌…… 薛颖 2 / 16 何国锋 哥伦比亚特区高等法院 民事法庭 哥伦比亚特区 市政 龙 西北区第四大街 441 号 沙 华盛顿哥伦比亚特区，邮编 20001 原告 官 Facebook 公司 黑客路 1 号 担任： 据 保 法人服务公司 护 加利福尼亚州门洛帕克市，邮编 94025 注册代理人 西北区佛蒙特大道 1090 号 华盛顿哥伦比亚特区，邮编 20005 数 被告 3 / 16 针对违反《消费者保护程序法》的诉讼 龙 原告哥伦比亚特区（“特区”）通过其总检察长，针对被告 Facebook 公司 （Facebook）违反特区《消费者保护程序法》 （CPPA），哥伦比亚特区法典§§ 283901 的规定，提起诉讼。为支持其主张，特区陈述如下： 沙 介绍 据 保 护 官 1. 此案起因于被告 Facebook 未能履行其保护消费者个人数据的承诺。 Facebook 运营着一个网站（www.facebook.com）和一个配套的移动应用程序，通 过它向其 20 亿活跃用户提供社交网络服务，其中包括华盛顿哥伦比亚特区（哥 伦比亚特区）的数十万消费者。Facebook 收集并维护其消费者户的大批个人数据 以及有关消费者在 Facebook 网站内外的数字化行为的数据。Facebook 允许第三 方开发者——包括应用程序开发者和移动设备制造商——访问与向 Facebook 的 消费者提供应用程序相关的敏感信息。Facebook 的消费者合理地预期 Facebook 会采取适当的措施来维护和保护他们的数据。Facebook 也这样告诉他们，并承诺 Facebook 要求应用程序尊重 Facebook 消费者的隐私。Facebook 未能履行这一承 诺。 数 2. Facebook 对第三方应用监管和执行上的疏忽凸显了这些失败。仅举一个 例子，从 2013 到 2015 年，Facebook 允许剑桥大学的一位名叫 Aleksandr Kogan （Kogan）的研究人员使用第三方应用程序来收集大约 7000 万 Facebook 美国消 费者的个人数据，然后将其卖给剑桥分析（Cambridge Analytica）——一家依赖 Facebook 数据定位选民并影响美国选举的政治咨询公司。虽然 Kogan 的应用程 序只由 852 名不同的 Facebook 哥伦比亚特区消费者安装，但该应用程序还收集 了 Facebook 用户好友的个人信息，包括超过 34 万未下载该应用程序的哥伦比亚 特区居民。该系列事件充满着监管和执行上的失败。例如，Facebook 直至今日仍 未采取基本的措施来审查 Kogan 的应用程序条款，而这些条款本可以提醒该公 司有关 Kogan 计划不正当的出售用户数据的事实。此外，在发现 Kogan 不正当 地将用户数据出售给剑桥分析后，Facebook 未能采取合理措施来确保这些数据 得到说明和删除以保护消费者的隐私。Facebook 更未能及时通知公众（包括哥伦 比亚特区居民）其数千万消费者的数据被出售给了剑桥分析，尽管 Facebook 知 道或者应当知道这些数据是在违反其政策的情况下获取并且被用在与政治广告 有关的用途上。 3. Facebook 与包括移动设备制造商在内的合作伙伴公司的关系也证明了这 些失败。Facebook 允许选定的合作伙伴公司有特别权限访问在开发与 Facebook 4 / 16 相关的应用程序方面有关的消费者数据。通过这些关系，选定的合作伙伴公司被 允许越过 Facebook 的消费者隐私设置，在消费者不知情或未经同意的情况下访 问他们的信息。 沙 龙 4. Facebook 有关第三方访问和使用用户数据的政策和做法违反了特区消费 者保护法。第一，Facebook 没有如实陈述其对消费者个人数据的保护程度、要求 第三方开发者尊重其消费者个人数据，以及用户与第三方应用程序之间的协议如 何控制这些应用程序以何种方式使用他们数据。第二，Facebook 未向 Facebook 消费者充分披露以下事实，即他们（消费者）的数据在他们未知情或确认同意的 情况下能够被他们 Facebook 好友下载的第三方应用程序所访问。第三，Facebook 未向受影响的用户披露他们的数据何时被第三方应用程序以及其他方在违反 Facebook 政策的情况下不正当收集和使用，如 Kogan 和剑桥分析案。第四，综 合这些虚假陈述以及披露失败，Facebook 的隐私设置模糊不清、混乱且难以理 解。最后，Facebook 未披露其授予某些公司（许多为移动设备制造商）特别的权 限，使得这些公司能够访问消费者数据以及越过消费者隐私设置。 据 保 护 官 5. Facebook 本应如其在其公开声明、服务条款和政策中所陈述的那样，阻 止第三方滥用其用户的数据，针对第三方应用程序实施和保持合理的监督。特区 提起本诉讼是为了确保 Facebook 为其在保护其消费者个人数据隐私方面的失败 而承担责任。特区寻求禁令性救济以阻止 Facebook 从事这些以及类似的非法交 易行为、民事惩罚和罚款以阻止 Facebook 从事这些以及类似的非法交易行为， 以及为用户寻求合理的赔偿。 管辖 6. 依据哥伦比亚特区法典§§ 11-921 and 28-3909 的规定，本法院对本案件拥 有管辖权。 数 7. 依据哥伦比亚特区法典§ 13-423(a)规定，本法院对被告 Facebook 拥有属 人管辖权。 当事人 8. 原告哥伦比亚特区（特区）是有权起诉和被诉的市政机构，是构成联邦 政府永久席位之领土辖区的当地政府。特区通过哥伦比亚特区总检察长提起本诉 讼。总检察长是特区的首席法律官员。总检察长负责维护公共利益，并被特别授 权执行特区的消费者保护法（包括 CPPA）。 9. 被告 Facebook 公司（Facebook），是一家特拉华州公司，总部和主要营业 5 / 16 地址为加利福尼亚州门洛帕克市黑客路 1 号，邮编 94025。Facebook 通过运营其 网站 www.facebook.com 以及相应的移动应用程序向哥伦比亚特区的消费者提供 社交网络服务。 Facebook 的消费者数据收集 龙 10. Facebook 网站1允许消费者与其他 Facebook 消费者建立社交网络， 并在该网络中分享信息。它是世界上最繁忙的网站之一，在全球拥有超过 20 亿 的活跃用户。Facebook 的消费者中有数十万华盛顿居民。 沙 11. 在开始使用 Facebook 网站时，用户首先创建一个 Facebook 账户。然 后，用户可以添加其他 Facebook 用户作为“好友”，并通过累积 Facebook 好友在 Facebook 网站上建立社交网络。 护 官 12. 随着 Facebook 用户逐渐扩大他们 Facebook 网站上的社交网络以及 与好友的互动，他们的信息和活动被 Facebook 数字化地收集、记录和维护。如 本文所述，该数据可分为两大类：(i)由消费者直接提供的数据，以及(ii)与消费者 在 Facebook 网站内外的活动有关的数据。 据 保 13. 首先，消费者直接向 Facebook