作者：Barri Mendelsohn 伦敦办公室

摘要

不同于英国法面面观中介绍的常见的公司与商事案例，我们正在全力投入一个数据保护案件，这个案件有可能引起所有涉及处理个人数据的公司的震动。

英国最高法院最近批准了劳埃德诉谷歌案[1]（“劳埃德案”）的上诉。个人若失去个人数据控制权能否提出损害赔偿这一问题将于今年晚些时候提交英国最高法院审议。自近两年前《通用数据保护条例》(GDPR)生效以来，令人生畏的巨额罚款不再是天方夜谭，英国航空公司和万豪国际都深有体会（英国数据保护监管机构信息专员办公室（Information Commissioner’s Office ）已宣布罚款意向，但截至2020年7月尚未要求这两家公司缴纳罚款）。

英国信息专员办公室虽宣布了罚款意向，但截至2020年7月，该监管机构并没有真的将罚款要求落到实处。不过，如果届时最高法院支持上诉法院在劳埃德案中的判决，那么可能就不仅仅是监管机构有权对企业进行经济处罚了。

关键要点

在深入探讨劳埃德案前，关键要点如下：

  • 就目前情况而言，个人可能仅因对其个人数据“失去控制权”而要求损害赔偿。
  • 现实意义尚不明确，而且怎样才算“失去控制权”这一问题仍未得到解答——“失去控制权”是仅限于像劳埃德案中的企业将个人数据用于个人不知道的目的之类的情形，还是范围比这更大？
  • 另一个问题是，如何以货币形式量化这些损害。劳埃德案可能会成为引发“毁灭性影响”的集体诉讼，也就是说，在已然高企的监管罚款之外还可能需额外支付损害赔偿金。例如，在劳埃德案中，劳埃德提出，谷歌应向每位受影响的用户赔偿750英镑。目前法院尚未考虑这类案件的赔偿金额，这样看来，劳埃德要求的赔偿金额似乎有些不切实际，但更严重的情况是，为了凸显集体诉讼的潜在影响，谷歌可能要因此承担总计近30亿英镑的赔偿金。
  • 劳埃德案今后值得关注，因为这可能对涉及处理个人数据的所有企业产生深远影响，同时也为以数据泄露为由提起集体诉讼铺平了道路（不管相关数据泄露是否能够避免，也不管受影响的个人是否真正遭受了任何经济损失和精神损失）。
  • 与此同时，企业在收集、使用、存储和保护个人数据方面应非常谨慎，确保制定适当的数据保护政策、隐私声明和Cookie通知/同意。数据保护审计可确定企业如何、在何地以及为何处理个人数据，在任何情况下都是一项有益的工作，可以突出需要补救的合规漏洞，减轻劳埃德案暴露出的风险。

案情陈述

劳埃德于2018年10月代表440万谷歌用户向英国高等法院提起诉讼，声称谷歌未经其同意使用隐藏Cookie获取浏览器信息以获得金钱回报，导致用户失去对其个人数据的控制权。

根据《通用数据保护条例》生效前的法律规定（英国为1998年《数据保护法》），个人提出损害赔偿的条件是，必须证明其因个人数据被滥用或丢失而遭受了经济损失。法院后来放宽了限制条件，因个人数据被不当处理或丢失而遭受了精神损失的个人也可以提出损害赔偿要求[2]。

不过，在英国提起集体诉讼必须证明所有集体诉讼成员有“相同的利益”。这一要求给劳埃德带来了一些问题。在他声称代表的谷歌用户中，没有一个人因谷歌滥用其个人数据而遭受了经济损失，而且即使造成了精神损失的话，也几乎不可能证明440万用户中的每一个人都遭受了相同程度的精神损失。

为规避这一问题，劳埃德根据之前的两个案件[3]提起诉讼，要求对“失去控制权”作出赔偿，因为显而易见，谷歌在未经用户知晓或同意的情况下使用了他们的个人数据，每个人都失去了对其个人数据的控制权。高等法院在一审时驳回了该主张，拒绝批准“维护性损害赔偿（vindicatory damages）”，并对提出“失去控制权”赔偿的合法性以及该集体诉讼的真正受益人（即索赔律师）是谁提出质疑。

上诉法院判决

企业因此获得的喘息机会较为短暂，因为上诉法院推翻了高等法院的判决，指出“失去控制权”原则上可以得到赔偿。上诉法院的论据是，如果谷歌寻求利用浏览器数据获取金钱利益，这意味着案涉数据对于数据所有人而言具有价值。既然具有价值，那么就应该视作财产，所以失去该财产控制权的个人应有权获得赔偿。

后续

如上所述，该案影响深远、意义重大。同时也及时提醒企业需要保持数据保护的秩序，尤其是要确保其隐私和Cookie声明的透明度。

上诉法院准许这桩集体诉讼继续推进。最高法院现需要就此作出判决。近来，这一领域的最新形势使得企业可以对“失去控制权”的大规模集体诉讼保持谨慎乐观的态度。在Atkinson诉Equifax案（据称是代表1,500万个人的集体诉讼）中，面对Equifax的激烈抗辩，索赔人在案件开始审理前撤回了索赔。但劳埃德案仍在审理中，一旦最高法院作出判决，我们将为大家提供最新消息。

 

 

[1] 劳埃德诉谷歌案[2019] EWCA Civ 1599，成功推翻高等法院对劳埃德诉谷歌案[2018] EWHC 1599的判决。

[2] Vidal-Hall诉谷歌案[2015] EWCA Civ 311

[3] Gulati诉MGN Ltd案[2015] EWHC 1482 (Ch)；和Wrotham Park Settled Estates诉Hertsmere BC案 [1993] 3 WLUK 250