欧盟'简化'立法包：当去监管化话语遇上执法能力缺口

在巴登-符腾堡州数据保护机构（LfDI Baden-Württemberg）举办的第五届AI周上，欧洲议会绿党/欧洲自由联盟党团顾问Ralf Bendrath描述了欧盟委员会近年立法话语的演变轨迹：从'竞争力'到'简化'，再到如今公开谈论'去监管化'。他指出，这套被称为'综合立法包'（Omnibus-Gesetze）的法律修改工具，一次变更多部法规，表面上是行政减负，实际触及的是欧盟过去十年为保护基本权利和环境所建立的规则体系。

具体到2025年11月提出的'数字综合立法包'，Bendrath列出了他认为攻击《通用数据保护条例》核心的几项修改：重新定义个人数据、限制数据主体的知情权、为人工智能训练发放通行证。此外，委员会计划自行通过实施法案决定何时将假名化数据视为匿名，以及将'科学研究'的定义扩展到涵盖以'新颖方式'应用已有知识——Bendrath认为这主要是为AI训练开后门。noyb的一项调查显示，德国受访Meta用户中仅7%希望自己的数据被用于AI训练。

但并非所有简化都遭到反对。Bendrath欢迎Cookie横幅的一键拒绝功能、具有约束力的机器可读浏览器信号（类似此前失败的'请勿追踪'标准），以及全欧洲统一的隐私影响评估触发清单。他引用欧洲央行前行长Mario Draghi的观点承认，《通用数据保护条例》在各成员国确实存在严重不一致的执行。

柏林艺术大学教授Max von Grafenstein则从实践角度切入。他参与撰写了创新经济学家Nicholas Martin的综述，该综述显示欧洲初创企业自2018年以来获得的风险投资减少，但von Grafenstein认为根源在于法律不确定性和复杂性，而非保护水平本身。他提出一个关键区分：降低合规成本不必以牺牲保护水平为代价。

von Grafenstein将最大的杠杆放在《通用数据保护条例》第25条第1款的'技术现状'概念上。在环境法中，这个术语意味着'最有效的可用技术'，已经运作数十年；在数据保护领域却几乎未被激活。他建议监管机构要求企业提交有效性证明，例如证明Cookie横幅确实有效拒绝而非仅形式合规。这样市场会自发产生更好的解决方案，如同当年柴油颗粒过滤器催生了有效市场。

他的研究项目YourPrivacyLawyer衍生出的Consenter同意代理就是一个实例：用户预设偏好后，代理自动执行选择。研究显示，用户做出了更有针对性的决定，而具有可识别高保护水平的服务反而获得了更多同意——数据保护由此成为竞争优势。

然而，一个令人不安的矛盾浮出水面。Bitkom的调查显示，90%的企业认为需要有针对性地改革《通用数据保护条例》，但细看其诉求：88%抱怨具体规定不明确，61%抱怨监管机构缺乏指导，76%希望有一个集中的监管决定数据库。换言之，企业要求的是更多监管指导、更多可依赖的判例，而不是更少监管。

讽刺的是，巴登-符腾堡州正在做相反的事。根据绿黑联盟政府的预算草案，Keber的数据保护机构到2029年将逐步削减40%的岗位，尽管它获得了额外任务。一个由网络数据保护专家组织、混沌计算机俱乐部斯图加特分部、Digitalcourage、德国数据保护协会、FIfF和巴登-符腾堡州人文联盟组成的广泛联盟已致公开信反对这一削减，援引《欧盟基本权利宪章》第8条第3款和《通用数据保护条例》第52条第4款，要求监管机构必须配备足以'有效履行其职责'的资源。

von Grafenstein将此称为数据保护的'规模化问题'：监管机构早已无法审查所有案件。他指出，立法者可以通过削减监管资源来'降低'数据保护成本——'这是区位政策'。他提出的出路是让市场为监管机构工作：要求企业提交保护有效性的证明，这样企业自身就有动力开发更好的解决方案。但他也承认，这些证明仍然需要有人来审查。

这一论证的核心张力在于：去监管化的政治动力来自数字产业每年1.51亿欧元的游说支出（Meta一家即1000万欧元），而实际合规需求指向更多而非更少的监管互动。当两者同时发生——规则被松动、执法资源被削减——保护水平在纸面之外的实际效力便面临系统性风险。Bendrath对此有一个务实的底线判断：与制定新法不同，这里已有生效的规则，如果各方无法达成一致，一切照旧即可。