最近，欧盟法院作出了一项名为 Russmedia 的新裁决。该裁决对欧盟的平台监管和责任认定机制具有极其深远的影响。一向严谨的法律分析师 Erik Tuchtfeld 称其为一枚“重磅炸弹”，其引发的连锁反应直击 ActivityPub 和 atproto 等开放网络协议的核心功能。
该裁决的一个主要结果是，要求一家罗马尼亚在线市场“采取适当的技术和组织安全措施，以防止在其上发布的、包含该条例第9(1)条所述敏感数据的广告，被复制并被非法发布到其他网站上。”
“一个罗马尼亚的网络市场干了些坏事，关我什么事呢？”你可能会这么想。但这里的问题有两方面：首先，这项裁决的措辞方式使其能够推广到罗马尼亚在线市场之外，几乎适用于所有受 GDPR 管辖并处理社交数据的平台。其次，在其他网站上复制和发布数据，正是联合的本质。ActivityPub 和 atproto 等开放社交网络协议的核心功能，恰恰就是让社交数据被复制并发布到其他网站上。
呃……这就有点麻烦了。当欧洲的法律裁决使得联合本身是否符合 GDPR 变得非常不明确时，问题就来了。
但要理解到底发生了什么以及为什么它很重要，我得请大家读一些关于欧洲法律细节的科普，对此我深表歉意。另外请注意：我绝对不是律师。我的大部分分析都建立在法学学者 Daphne Keller 的研究之上，我强烈推荐她关于这项裁决的两篇文章（这一篇和这一篇），以及 Erik Tuchtfeld、Neil Brown 等人的作品。我已尽力做到准确无误，并解释了相关的背景及欧盟法律体系的运作方式，但我极有可能在某些地方弄错，所以请大家牢记这一点，也非常欢迎大家的反馈和纠正。
大多数读者可能都知道“230条款”是美国平台责任法的基础，该法规允许美国平台托管用户内容，而不会被视为用户所发布内容的出版商。欧盟在功能上与之对应的，是一个“通知并删除”（notice-and-takedown）系统，只要平台对非法内容的通知采取行动，就能获得有条件的豁免权，这由《数字服务法》来管辖。不过情况确实还要稍微复杂一些，因为欧洲在平台应如何处理用户数据方面，实际上实行两套不同的法律制度，而 GDPR 就是另一套。
斯坦福大学法学院平台监管工作中心主任 Daphne Keller 在对 Russmedia 案的分析中提出了以下设想：
“假设我在 Bluesky 上发布了关于法国政治家 Marine Le Pen 的虚假信息。如果她以诽谤为由要求 Bluesky 删除我的帖子，根据 DSA，欧盟法律提供了一个明确的‘通知并删除’流程。但如果她说，同一篇帖子在处理她的个人数据时违反了 GDPR，她就可以令人信服地主张应该适用完全不同的规则：即 Bluesky 对于在不知情的情况下托管虚假内容不享有豁免权，它有义务主动监控和过滤上传的内容，并且不应通知我，也不允许我对删除操作提出申诉。Russmedia 裁决将使欧盟成员国法院大大增加接受此类主张的可能性。”
这就触及了问题的核心，也是为什么你现在会在一个关于网络协议的博客里读到欧洲法院裁决的原因：该裁决意味着社交网络平台面临着更加严苛的责任，而主动监控和过滤上传内容，对于大多数在开放协议上运行的服务来说，是一项难以承担的重担。该裁决还明确命令一家市场必须确保其数据不会被复制到其他平台，这也与基于联合原则运行的网络息息相关。
Russmedia 案实际上造成了什么影响
这个案件始于一名身份不明的用户在罗马尼亚分类广告网站 Publi24 上发布了一条虚假广告，将一名女子伪装成性工作者，并附上了她的照片和电话号码。运营商 Russmedia 在接到通知后的一小时内删除了该广告。但到那时，该广告已被复制到其他网站，并在那里继续可见。该广告是如何被复制到其他网站的，裁决中并未说明，其他平台也未被点名，且 Publi24 是否允许了这种分发聚合，仍是裁决中未解答的部分。尽管如此，该女子提起了诉讼，案件最终提交到了欧盟法院。去年 12 月，法院做出了不利于 Russmedia 的裁决，认定对于涉及个人数据的内容，适用 GDPR，且平台的中介豁免权不再适用。马克斯·普朗克研究所的埃 Erik Tuchtfeld 称这项决定为“重磅炸弹”，并将其导致的模式戏称为“发布即毁灭”：平台从内容发布的那一刻起就要承担责任，而不是从接到通知的那一刻起。
为了避免这种责任，平台必须在发布前对内容进行审查。Tuchtfeld 指出，在实践中，根据 GDPR 实施“技术和组织措施”的义务，实际上等同于一般性的监控义务，这正是《电子商务指令》和《数字服务法》明确禁止的，只不过现在被贴上了 GDPR 义务的标签。如果涉及敏感个人数据（第9条规定的类别包括种族、政治观点、宗教信仰和性取向等，这正是人们在社交平台上发帖的主要内容），平台必须验证发帖人是否为该数据的“主体”。于是，ActivityPub 和 atproto 上默认的参与模式——假名制，就成了一种合规负债。
该裁决还要求平台“采取安全措施，以防止在其上发布的、包含敏感数据的广告被复制并被非法发布到其他网站上”。这正是 Russmedia 案直接冲击开放社交协议的地方，因为复制和发布数据恰恰是联合与互操作的本质。ActivityPub 的核心机制就是将每篇帖子广播到其他服务器。让数据在其他平台上被复制和发布，正是 ActivityPub 存在的全部意义。Atproto 则通过一个任何人都可读的中继来分发内容，人们可以借此将其发布在自己的网站上。开放协议的设计初衷就是向其他服务器发送数据，而为了防止数据“被发布到其他网站”去“实施安全措施”，最终只会导致你得到一个瘫痪的协议。
法院是如何得出这一结论的
欧盟法院（CJEU）是处理欧盟法律事务的最高法院。当成员国国家法院遇到无法依据本国法律解决的问题时，会通过“初步裁定程序”将其提交给 CJEU。CJEU 对该问题的裁决随后将适用于每个成员国的法院。Russmedia 案正是由罗马尼亚上诉法院通过这种方式提交的。此案由 15 名法官组成的大审判庭（而非通常的 3 名或 5 名法官）进行审理，这标志着法院将其视为具有重大法律影响的案件。
欧盟的平台法有两个并行运行的主要制度。第一个是中介责任框架：2000年的《电子商务指令》，现已被针对在线平台的2024年《数字服务法》（DSA）所取代。这是美国第230条款在欧洲的功能对应物，赋予对非法内容通知采取行动的平台有条件的豁免权。第二个制度是数据保护：2018年的《通用数据保护条例》（GDPR），它监管任何处理个人数据的主体，无论其是否为平台。平台上的大多数内容都涉及个人数据，这意味着大多数案件可能会同时受这两个制度的管辖。
GDPR 在“控制者”和“处理者”之间做出了区分，这决定了谁来承担该条例的实质性义务。控制者决定数据处理的目的和方式；处理者代表控制者执行操作。控制者承担了该条例几乎所有的实质性义务，而处理者主要只需遵循控制者的指示并保证数据安全。社交平台很难套用这种区分，因为是用户决定具体发布什么内容，而平台决定整个系统如何运作（包括内容如何变现和分发，以及其服务条款的许可范围）。过去十年来，CJEU 一直在稳步扩大其对“控制者”的定义，而 Russmedia 是最新的一步，这意味着社交平台越来越多的法律义务将由 GDPR 而非 DSA 来界定。
法院裁定，Russmedia 是这则广告中个人数据的“共同控制者”（与身份不明的用户一起）。佐审官曾主张 Russmedia 是处理者：由用户决定发布什么以及为什么发布，而 Russmedia 只是代表用户提供托管服务。但法院不同意，并指出 Publi24 运营的四个特征确立了其控制者地位：
- 授予广泛使用、修改和分发内容权利的服务条款；
- 将广告分类组织；
- 设定传播参数；
- 允许匿名发布。
法院将这些视为确定控制者地位的备选特征，这意味着其中任何一个都足以确立其地位。法院指出的这些特征几乎是所有平台的共性，这也是该裁决影响如此广泛的原因。
这两套制度适用于大多数平台上的大多数内容，它们注定会在某些地方发生碰撞。立法者试图通过两项法规中的“不影响”条款来处理这个问题：GDPR 第 2(4) 条规定，GDPR 的实施不影响中介责任规则，而《电子商务指令》则表示其规则不应适用于数据保护。在没有案件迫使发生直接冲突之前，这些条款起到了作用，但它们无法说明当冲突发生时哪套制度优先。Russmedia 是第一个必须做出选择的重大裁决，而法院选择了 GDPR。一旦认定 Russmedia 是控制者，《电子商务指令》的中介豁免权就无法保护它免受违反 GDPR 的惩罚。
这对开放协议意味着什么
如果将 Russmedia 案的控制者测试标准应用于典型的 Mastodon 实例：
- 该实例通过其联合政策和中继选择来设定传播参数。
- 它通过标签、列表和时间线结构来组织分类。
- 它几乎默认允许匿名发帖。
- 其通常摘自通用模板的服务条款，主张广泛的内容权利。
对于非商业实例来说，唯一能提供一些抗辩余地的因素是“商业目的”要素，但法院对此的解读非常宽泛。许多实例甚至不需要 Russmedia 案就会被视为控制者；它们通常从通用法律建议中提取的隐私政策模板，就已经明确声明自己是控制者了。英国技术律师 Neil Brown 表示：“即使对于一个小型 Fediverse 实例（例如由朋友运营的、面向小群用户的 Mastodon 实例）来说，这似乎也是不切实际的，无论如何都需要进行大量的设计更改。”
在 Russmedia 案下，作为控制者需满足三项要求：对敏感个人数据进行发布前审查、对敏感内容发布者进行身份验证，以及采取技术措施防止第三方复制。第一项要求意味着需要自动化的内容分类系统，而 Mastodon 并没有自带这种系统，志愿管理员也无法合理地去构建它。对于许多实例来说，第二项要求更是对最初吸引用户加入联邦宇宙的应用场景的直接打击。至于第三项要求，ActivityPub 中的联邦机制就是将帖子广播到其他服务器，而防止这种复制，就等同于被要求停止联邦互联。一个符合 Russmedia 裁决的 Mastodon 实例，就是一个不向其他实例发送帖文的实例，也就是说，它变成了一个停止参与网络互联的孤岛。
Atproto 由于其分层架构，使得“控制者问题”表现得有所不同，这意味着 Russmedia 引发了两个问题。第一，根据法院的测试标准，哪些层级有资格成为控制者。第二，哪些层级的核心功能，会因为落在了无论谁是控制者头上的实质性义务，而变得无法实现。
按照 Russmedia 案版本的控制者测试标准，AppView 似乎很可能符合条件。AppView 负责建立索引、组织内容、通过信息流设定传播参数，并且（至少在 Bluesky 的 AppView 情况下）基于具有商业目的的服务条款运营。法院在 Russmedia 案中指出的特征几乎完全对应了 AppView 的功能。如果 atproto 中有任何组件类似于 Publi24，那就是 AppView。
PDS 被归类为控制者的可能性似乎较小。PDS 托管用户的存储库并通过协议将其提供出去，但它不组织分类，也不设定传播参数，而且自托管的 PDS 除了其唯一的用户之外，甚至不与任何人存在服务关系。比较合理的解读是，用户是其自身存储库的唯一控制者，而 PDS 运营商要么是处理者，要么纯粹是基础设施。托管众多用户存储库的大规模商业化 PDS 服务的风险更大，但单纯的 PDS 功能并不像 AppView 那样符合 Russmedia 案的模板。
中继向任何订阅的人转发完整数据流，不进行分类，不定位接收者，不主张内容权利，实际上也不与任何用户建立关系。在控制者测试标准下，中继看起来更像是一个网络层的穿透通道，而不是一个平台。但是，Russmedia 案强加给“无论谁是控制者”的实质性义务，是防止敏感内容被复制到其他网站。中继的核心功能就是从 PDS 复制内容并提供给任何订阅者。因此，即使中继器本身不是控制者，上游控制者的合规义务也是阻止内容到达中继器。无论涉事的控制者是 AppView、PDS 还是某种联合配置，其面临的实质性义务就是要打破协议的传输机制。
同样的模式在身份认证方面重演。法院要求包含敏感个人数据帖子的控制者，去验证发帖人就是该数据的主体。这是一项比 KYC 更严格的义务：它不仅要求控制者识别用户身份，还要求证明用户发布的内容确实关乎用户自己。Atproto 的身份层设计并不支持这两个步骤。DID（去中心化标识符）和句柄是与存储库控制权绑定的密码学标识符，而非真实法定身份，并且该协议没有提供任何机制来将 DID 绑定到经过验证的真人，也无法确认存储库中的内容是否与控制该存储库的人相关。
假名制是开放社交网络具有价值的核心特征之一，许多用户之所以参与其中，完全是因为他们可以在不向大众暴露身份的情况下这样做。使用假名的原因各不相同，有的是出于现实需要（例如在身份被定罪地区的 LGBTQ+ 用户，或是政治异见人士），也有的只是出于随性（人们就是喜欢保持匿名）。Russmedia 案将匿名发帖视为触发控制者地位的一个因素，然后要求控制者在涉及敏感数据时验证发帖人的身份。Keller 称这种逻辑是循环的：允许匿名使得平台成为控制者；而作为控制者就意味着平台不能允许匿名。Atproto 和 ActivityPub 都没有支持身份验证的机制，而要符合 Russmedia 裁决，就必须添加与这两种协议架构相悖的身份验证层。
是什么可能限制 Russmedia 案的适用范围
Russmedia 案是否真的会改变平台的运作方式，与该裁决字面上怎么说，是两个不同的问题。法院的裁决不会自动生效执行。监管机构必须对其进行解释，各国法院必须将其应用于具体案件中，而新的问题不可避免地会被送回 CJEU 要求澄清。每一个环节都可能将裁决的应用范围缩减得比目前字面上读起来更窄。
Daphne Keller 列举了法院可以用来限制该裁决的七种理论，例如，认为该裁决仅适用于严重有害的内容，或者仅适用于高风险服务或在线市场。她个人的观点是，没有一种理论单拿出来是有足够说服力的，尽管某些理论的组合可能会说服有此意向的法院。强烈推荐去 TechPolicy Press 上阅读她出色的上下两篇分析文章，以了解完整的论点。凯勒指出，在她查阅律师事务所对 Russmedia 案的评论时，没有一家发表的意见认为其影响可以被限制在广告或市场领域。柏林和汉堡的德国数据保护机构已经发出信号，表示他们将宽泛地解读这项裁决，这是一个强烈的早期信号，因为德国的执法往往会确立其他数据保护机构效仿的先例。
从“市场平台原则”延伸到“社交平台原则”最直接的路径，要看德国的 Renate Künast 案。德国联邦最高法院（BGH）此前一直在等待 Russmedia 案的结果，以便决定 Facebook 是否必须阻止一则错误引用这位前部长言论的帖子在平台上被反复重新发布。专门研究互联网和数据保护法的柏林法学教授 Niko Härting 预测，联邦最高法院现在将判决 Künast 胜诉，对 Meta 下达禁令并判处 GDPR 损害赔偿，理由是 Meta 是其平台上个人数据的共同控制者，不能依赖 DSA 的主机提供商豁免特权。Härting 的解读是 Russmedia 案可以直接适用，他也是追踪 BGH 如何适用该裁决的权威德国评论员。
核心问题在于，将 Russmedia 裁决应用于社交网络会产生完全不合逻辑的结果。Russmedia 案的验证要求假设了这样一种发帖结构：发帖人就是帖子中数据的主体，就像发布关于自己的市场广告一样。但在社交网络上，帖子通常包含除发帖人以外其他人的敏感数据，而控制者没有机制来识别这些第三方，更无法联系他们来验证其是否同意。假名制的情况也是如此：控制者通常也无法识别发帖人，而 Russmedia 案却将匿名发帖视为触发控制者地位的因素，同时又要求控制者验证发帖人的身份。
这或许至少提供了一种限制 Russmedia 裁决适用范围的潜在途径：将该裁决应用于社交网络不仅会毁掉这些网络的运作能力，而且其结果本身就是荒谬的？要求社交网络平台在每次有人发布关于他人的敏感数据时，都要去验证所有相关人员的同意，这简直荒唐可笑。从理论上讲，这或许可以作为反对宽泛解读 Russmedia 的一个论点。这种荒谬性还不止于此，因为它直接破坏了欧盟试图减少对大型科技平台依赖的努力。只有中心化的大科技平台才能负担得起 Russmedia 裁决所假定的合规和责任体系。欧盟委员会是去中心化和开放社交网络的坚定支持者，甚至还运行着他们自己的 Mastodon 服务器。欧盟非常热衷于大谈数字主权，标榜我们绝对、肯定、彻底可以独立于科技巨头。然而，CJEU 的裁决却假定了一个只有大型科技平台才能存在、而开放的联邦网络绝对无法生存的世界，这真是让人抓狂、荒谬至极，坦白说，简直他妈的滑稽透顶。
Russmedia 案的潜在意义不亚于一次重大的“230条款”改革，对于依赖联合或分布式架构的互联网部分来说可能更是如此，但它是通过一项法院裁决出台的，并没有像美国类似事件那样引起公众的广泛关注。要想跟进协议政策的后续讨论，就必须去了解欧盟法律在现实中到底是如何运作的。
在列举了限制 Russmedia 案的七种理论之后，Daphne Keller 在 Bluesky 上发帖称，其实还有一种理论她没有写进去，但也许本应该加上：“Russmedia 没那么糟糕，因为成员国法院不会去遵守 CJEU 的裁决。” 让我们祈祷她在这点上是对的，因为否则的话……好吧，只能呵呵了。