随着美国电子商务巨头亚马逊发布了令人失望的第二季度财务报告和预期的第三季度指导， 上周五亚马逊股价遭受重创，盘后跌幅超过7%，创下14个月最大单日跌幅。

除了业绩，亚马逊股价暴跌的罪魁祸首也是 公司将面临卢森堡国家数据保护委员会（CNPD）的7.461亿欧元天价罚款， 原因是公司不符合欧盟《通用数据保护条例》（GDPR）。亚马逊说，CNPD这一决定毫无根据，将抗辩这个问题。

如果处罚坐实，将成为目前已知的GDPR数据监管机构自生效以来发布的最大罚款。接受《21世纪商业先驱报》采访的专家表示，处罚只是一个初步决定，最终处罚金额可能和一段时间的诉讼和其他法律程序7.46亿欧元有一定差距。先例之一是去年10月，英国信息专员办公室（ICO）对英国航空（British Airways）用户信息泄露的最终处罚金额由用户信息泄露决定1.83减少到2000万英镑，超过90%。

据悉，CNPD亚马逊的调查始于法国隐私保护组织La Quadrature du Net 2018年对亚马逊的投诉。该组织主张亚马逊的广告系统不是基于用户的独立同意（free consent）的基础上。

北京师范大学网络法治国际中心执行主任、中国互联网协会研究中心副主任吴沈括告诉《21世纪商业先驱报》，虽然亚马逊上诉的直接目的是降低处罚的可能性和水平，但实际上 与罚款金额相比，市场上的用户信任和品牌声誉和商誉的降低对企业来说确实是致命的。

对此，长期参与数据合规的律师王新瑞也认为，亚马逊否认数据泄露和未经用户同意向第三方提供数据是可以理解的。GDPR根据有关规定，如果亚马逊对此提出异议，首先需要证明它有法律基础来收集用户信息，并将用户信息用于广告推广。因此，亚马逊可能需要重新审视在当前广告系统下获得同意的有效性，并收集证据来证明这一点。王新瑞在接受《21世纪商业先驱报》采访时说。

在王新瑞看来，亚马逊可能认为广告系统下的独立同意有效性仍有抗辩的空间。毕竟，这个问题几乎涉及到大多数互联网巨头，行业实践的标准也会对具体问题的识别产生一定的影响。

2018年5月生效GDPR，它被称为世界上最严格的数据安全法规。法律和税务机关CMS的GDPR Enforcement Tracker数据显示，从法规生效到今年7月底GDPR共有731起处罚案件，比去年同期增长120%。

在数据相关立法方面，欧盟除外GDPR此外，《欧盟非个人数据自由流动框架条例》和《数据治理条例》也在制定中。

吴沈括表示，欧盟数据治理法律体系日益严密，强度越来越高。 一方面，其关注的数据范围从个人数据扩展到非个人数据，视野更广；另一方面，法律处罚强度不断提高。此外，欧盟内外跨国监管合作日益密切，全球执法网络不断扩大。

结合近年来的处罚，王新瑞总结了企业面临的高频问题：

(1)数据泄露相关处罚。 通常在数据泄露事件发生后，企业和机关不采取适当的安全措施，不完全履行报告和通知义务；

(2)定向广告和推送相关处罚；

(3)未经授权处理或提供个人数据。

从监管机构关注的数据类型来看，吴沈括表示，儿童、劳工、金融、医疗、航空运输和社交媒体领域的个人信息是关键保护区。

吴沈括认为，目前，受GDPR管辖范围内的中国企业整体合规良好，处罚比例不高，但仍不能掉以轻心。因为这不仅是中国企业的合规问题，主要原因是欧洲执法机构目前的执法重点是美国企业，所以还没有轮到中国企业作为执法重点，这需要特别注意。

中国企业合规建议

数字经济时代，数据已成为一个新的市场化要素，是各国竞争的基本战略资源。从《国家安全法》将重要领域的信息系统和数据纳入国家安全范畴，到《民法典》将数据纳入民事权利章节，再到《数据安全法》的发布，中国的数据监管立法也在全面推进。

吴沈括说， 目前，中国企业需要注意问题包括跨国双重合规、跨境数据业务规则设计、数据本地化安排和未成年人保护。此外，还需要特别注意内容管理、虚假信息等方面，以促进合规体系的建设。

在中欧双重合规时代的背景下，我们需要注意的一个问题是，在中国的数据治理领域，我们仍然有一条经常被忽视的红线，即互联网内容治理，吴沈括说。在合规设计中，一方面要注意当前数据治理法律规范的要求，另一方面，我们不能忘记我国关于互联网在线内容治理的红线规定，这与欧洲的监管重点不同。

“当数据权属问题尚未明确时，在商业价值和个人权益之间的平衡是一个值得深思的问题，” 王新锐表示。“对于受GDPR对于管辖范围内的中国公司来说，亚马逊受到惩罚事件和类似事件是监管方向的体现。如果后期官方处罚，与亚马逊有类似业务的中国公司也应及时采取相应的整改措施。