联合国人权专家发出了明确的信息：纸面上的隐私法是不够的。在日内瓦发布的一份声明中，专家们表示，数据保护机构的独立性和诉诸法院的有效途径对于保障隐私权至关重要，尤其是在涉及强大的科技公司时。对于任何个人数据存于企业数据库中的人来说，这一点具有现实意义。独立的数据保护机构与隐私权相辅相成，当一方薄弱时，另一方也会受损。
联合国专家对监督与司法公正的看法
这份由联合国人权事务高级专员办事处（OHCHR）发布的声明围绕一个简单原则展开。用专家的话说，“隐私权不能仅靠法律来保护。”该新闻稿公开发布的部分较为简短，因此我们将本报道限定在专家直接陈述的内容上：监督机构必须保持独立，人们在其权利受到侵犯时必须能够诉诸法院。
这是两项各自独立但协同运作的保障机制。数据保护机构负责调查投诉、审计组织，并可以施加处罚。法院则为个人提供了寻求救济的途径，也可以对公司的决定、甚至监管机构自身的决定提出质疑。如果其中任何一个层面缺失或受到损害，数据遭到滥用的个人可能无处寻求有意义的帮助。
为什么仅有法律无法对抗强大的科技公司
大多数国家现在都有某种形式的数据保护立法。但法律的效力取决于执行它的机构。大型科技公司掌握着大量个人信息，并拥有雄厚的法律和财务资源。面对其中一家公司的个人用户处于不对等的地位。
这种失衡正是专家强调独立性和司法救济途径的原因。一个受到政治或商业压力的监管机构可能不愿追究大型公司。一个缺乏足够权力或资源的监管机构可能无力为之。而如果法院成本过高、程序过慢或难以进入，个人可能干脆放弃行使自己的权利，即使法律站在他们一边。
在实践中，这意味着隐私法的文本只能说明部分情况。谁任命监管机构、如何为其提供资金、它能否同时对政府和公司采取行动，以及人们能否对其决定提出申诉，这些都决定了现实中究竟存在多少保护。
当监管机构缺乏独立性：印度DPDP法案的例子
印度的《数字个人数据保护法》为这些问题为何重要提供了一个有用的案例研究。当该法律于2023年通过时，大部分公众讨论集中在数据泄露通知、处罚和公司的同意要求上。较少有人关注该法案与透明度规则的互动方式。我们关于印度DPDP法案第44(3)条如何影响RTI法下的信息获取的解读文章探讨了一项条款如何缩小公众获取信息的能力，进而限制对数据处理方式的监督。
这一教训与联合国专家的警告相吻合。一个数据保护框架可以包含同意规则和处罚措施，但如果豁免条款削弱了问责机制，或者监督缺乏独立性，仍然会留下漏洞。关注任何国家相关讨论的读者都可以使用同样的问题：监管机构是否独立于其所监督的机构？公民能否对决定提出质疑？是否存在减少透明度的例外条款？
这对你意味着什么
你可能无法控制你的国家如何构建其监管机构，但你可以采取一些措施让现有的保护发挥作用。
- 行使你的法律权利。 取决于你所在的地区，你可能可以请求获取公司持有的关于你的数据、要求更正或删除，以及反对某些使用方式。如果你日后需要投诉，这些请求也会留下记录。
- 了解你的监管机构。 查明哪个数据保护机构负责你所在地区，以及如何提交投诉。投诉是监管机构了解问题的主要途径之一。
- 保留记录。 当你认为你的数据被不当处理时，保存隐私通知、通信记录和截图。如果争议提交到监管机构或法院，这些记录会很有用。
- 关注豁免条款。 当新的隐私法被提出或通过时，不要只看 headline 保护条款。豁免条款和薄弱的执行规定往往决定了它的实际效果。
- 多层防护。 法律权利在数据被收集之后发挥作用。技术工具则在之前发挥作用。加密、强唯一密码、双因素认证，以及使用VPN来限制网络流量所泄露的信息，可以减少一开始暴露的数据量。VPN不能替代法律保护，法律保护也不能替代良好的安全习惯。
要点
联合国专家的声明提醒我们，隐私既是技术问题，也是制度问题。独立的数据保护机构与隐私权相互依存：强有力的法律需要能够在不受压力的情况下采取行动的监管机构，个人也需要他们能够切实诉诸的法院。
对读者而言，最有用的回应是综合多种方法。行使你的访问权、删除权和投诉权，使用加密和隐私工具来减少数据暴露，并密切关注法律的制定和执行方式。要了解薄弱的监督和豁免条款如何在实践中侵蚀隐私和透明度，请阅读我们关于印度DPDP法案及其对RTI信息获取的影响的案例研究。
