欧盟《数字服务法》：对主机托管意味着什么

《数字服务法》是为每个欧盟成员国的主机服务商制定规则的欧盟条例。就主机托管而言，它做了四件事：保留附条件的责任豁免，禁止施加一般性监控义务，要求设立“通知与行动”机制并对限制措施说明理由，以及为法院和有关机关发出的命令设定条件。

本指南依据条例原文，逐条解读《数字服务法》中的主机规则。对离岸主机而言，在欧盟境内，DSA 是对无视 DMCA 主机这一承诺的主要限制。

一段话读懂《数字服务法》

欧盟第 2022/2065 号条例于 2022年10月19日通过，自 2024年2月17日起全面适用（第 93 条）。它在每个成员国直接适用，并取代了 2000年《电子商务指令》中有关中介服务提供者责任的规则（第 89 条）。它并不界定什么是违法：“违法内容”是指违反欧盟法律或某一成员国法律的信息（第 3 条第 (h) 项），而欧盟版权法与其并行适用（第 2 条第 4 款）。

这些义务层层递进：有些适用于所有中介服务（第 11 条至第 15 条），托管服务另有更多义务（第 16 条至第 18 条），而向公众传播内容的在线平台义务更多（第 19 条至第 28 条）。序言第 29 段将云计算和网站托管列为托管服务，因此服务器托管通常处于中间这一层。每个成员国都须指定本国的数字服务协调员（第 49 条），罚款最高可达全球年营业额的 6%（第 52 条）。

《数字服务法》的主机规则在我们哪些服务器上适用

在我们的七个地区中，DSA 直接适用于其中的三个欧盟成员国：

有一点需要注意：DSA 的适用范围跟随的是用户，而不是机器。它涵盖向在欧盟设立或位于欧盟的服务接收者提供的中介服务，“无论这些中介服务的提供者的设立地在何处”（第 2 条第 1 款）。如果您运营着面向欧盟用户的平台，那么无论您的服务器在哪里，DSA 都可能适用于作为运营者的您。我们的投诉处理流程则跟随服务器：在我们的欧盟地区适用 DSA 的“通知与行动”规则，在其他地区适用当地法律。

主机服务商的责任与无一般性监控义务

第 6 条保留了托管服务的责任豁免。对于应客户要求存储的信息，只要主机服务商“对违法活动或违法内容没有实际知悉”（就损害赔偿请求而言，还须不知晓足以使违法性显而易见的事实），或者在获得此类知悉后“迅速删除违法内容或禁止访问违法内容”，就无需承担责任。

该豁免不适用于在主机服务商授权或控制下行事的客户（第 6 条第 2 款），也不妨碍法院或有关机关要求主机服务商终止或防止侵权行为（第 6 条第 4 款）。失去豁免本身并不会使主机服务商承担责任：序言第 17 段将责任问题交由欧盟其他法律或各国法律规定。

第 8 条禁止施加任何“对中介服务提供者所传输或存储的信息进行监控的一般性义务”，也禁止施加主动查找表明存在违法活动之事实的义务。主机服务商本着善意、审慎地自愿审查内容，不会因此失去豁免（第 7 条）。DMCA 在 17 U.S.C. 512(m) 中也有类似规定。

DSA 的“通知与行动”：有效通知应包含哪些内容

DSA 第 16 条要求每个主机服务商设立“易于访问且便于用户使用”的通知机制，让任何人都能“完全以电子方式”提交通知。该机制必须便于通知包含以下四项要素：

1. 一份有充分依据的说明，解释该信息为何属于违法内容；
2. “该信息的确切电子位置，例如确切的一个或多个 URL”；
3. 发送方的姓名和邮箱地址，但涉及儿童性虐待犯罪的通知除外；
4. 一份声明，表明发送方“善意地相信”通知准确且完整。

只有当通知能让“一个审慎的托管服务提供者无需详细的法律审查即可识别相关活动或信息的违法性”时，才会使主机服务商构成“实际知悉”（第 16 条第 3 款）。针对明显违法内容的精确通知能够做到这一点；而取决于许可或例外情形、存在争议的版权主张则未必。正因如此，通知并不是自动生效的下架命令。

如果发送方留有电子联系方式，主机服务商须无不当延误地确认收到通知，“以及时、审慎、非任意和客观的方式”作出决定，并将决定及可用的救济途径告知发送方（第 16 条第 4 款至第 6 款）。条例并未规定以小时计的期限。可信标记者（第 22 条）以及对屡次发送明显缺乏依据之通知者的暂停措施（第 23 条）仅涉及在线平台。

理由说明（第 17 条）

当主机服务商因内容违法或违反其条款而对客户采取限制措施时，只要掌握该客户的电子联系方式，就必须自限制生效之时起，向该客户提供“清晰而具体的理由说明”。这涵盖删除内容、禁止访问内容或降低内容的可见度，停止支付款项，暂停或终止服务，以及暂停或关闭账户。理由说明必须包括：

• 该决定及其地域范围和持续时间；
• 所依据的事实，包括该决定是源于通知还是主机服务商自己的调查；
• 是否使用了自动化手段；
• 法律或合同依据，以及该内容为何属于该依据所涵盖的范围；
• 可用的救济途径。

对主机托管客户而言，救济途径主要是法院：内部投诉处理系统和经认证的庭外争议解决机构属于在线平台的义务（第 20 条和第 21 条）。依据第 9 条发出的命令则适用其自身的规则（第 17 条第 5 款）。

机关命令（第 9 条和第 10 条）

第 9 条并未创设新的权力（序言第 31 段）。它为各国司法或行政机关“依据适用的欧盟法律或符合欧盟法律的国内法”发出的命令设定了最低条件。命令必须援引其法律依据，通过引用具体条款说明内容为何违法，表明发令机关，指明内容的位置（“例如一个或多个确切的 URL”），并说明可用的救济途径。其地域范围必须限于严格必要的程度。

主机服务商须无不当延误地告知发令机关是否以及何时执行了命令，并最迟在执行命令时（或在命令规定的时间）告知客户，同时说明理由和救济途径（第 9 条第 5 款）。第 10 条将同样的模式适用于要求提供特定服务接收者相关信息的命令，此类命令只能涉及“为提供服务而已收集、且处于其控制之下”的信息。

由谁发出命令，由各国法律决定。在罗马尼亚，第 50/2024 号法律授权行业监管机构和司法机关发出命令；2024年，ANCOM 共记录了四项移除令和两项信息提供令。此外，根据欧盟第 2021/784 号条例，恐怖主义内容还可被责令在一小时内下线。

涉嫌刑事犯罪（第 18 条）

主机服务商一旦知悉“足以引起怀疑，认为一项涉及威胁一人或多人生命或安全的刑事犯罪已经发生、正在发生或可能发生”的信息，就必须立即通知相关成员国的执法机关或司法机关。如果无法确定是哪个成员国，则须通知其自身或其法定代表所在成员国的有关机关，或通知欧洲刑警组织（Europol），或两者都通知。

这一条的适用范围很窄：只涉及对生命或安全的威胁，并非所有犯罪，也不包括版权主张。另外，根据我们自己的规则，在每个地区，儿童性虐待材料都会被立即删除，并上报给主管机关。

DSA 与 DMCA：两套制度对比

两者都将主机服务商所受的保护与其知情程度挂钩，但在细节上有所不同：

因此，一份发往阿姆斯特丹服务器的 DMCA 通知，并不会因为送达那里就变成 DSA 通知。只有当它包含第 16 条规定的要素，并且涉及依据欧盟或荷兰法律属于违法的内容时，才算作 DSA 通知。我们关于无视 DMCA 的国家的指南介绍了我们其他地区转而适用哪些规则。

我们如何处理《数字服务法》通知

1. 针对荷兰、罗马尼亚或保加利亚服务器的每一项投诉都会被记录，并依据欧盟法律和该国法律进行审查。
2. 援引美国 DMCA 不会改变任何事情。关键在于通知是否符合第 16 条的要求并涉及违法内容：符合的，无论由谁发送，都会依据其实质内容进行评估；不符合的，则依据我们的 DMCA 与投诉政策作为外国通知处理。
3. 有效的法院命令、依据第 9 条发出的命令，或符合第 16 条要求的通知，均可要求我们采取行动。除非法院禁止，我们会先通知客户，客户可以作出答复；如果事项既不紧急、也无须保密，我们通常会给予 5 个工作日。采取限制措施时会附上理由说明。
4. 各项请求及其处理结果都会统计在我们的季度透明度报告中（不含任何客户数据），报告中专门设有 DSA 通知这一类别。

常见问题

《数字服务法》适用于主机服务商吗？

适用。托管是 DSA 涵盖的三类中介服务之一，另外两类是单纯传输和缓存。DSA 对主机服务商规定的核心义务包括：“通知与行动”机制、理由说明、处理有效命令，以及报告对生命或安全的威胁；此外，主机服务商保留附条件的责任豁免。在线平台和规模最大的服务还须承担额外义务。

DSA 中的“通知与行动”是什么？

它是第 16 条规定的程序。任何人都可以就其认为违法的内容通知主机服务商，并提供理由、确切的 URL、本人姓名和邮箱地址以及善意声明。如果一份通知能让审慎的主机服务商无需详细的法律审查即可看出违法性，就会使其构成“实际知悉”，主机服务商随后必须以及时、审慎、客观的方式作出决定。

DSA 和 DMCA 是一回事吗？

不是。DMCA 是一部仅涉及版权的美国法律，有一套固定的下架和反通知流程。DSA 是涵盖所有违法内容的欧盟条例，它将决定权交给主机服务商，但须提供理由说明，并接受法院审查。DMCA 通知在 DSA 下不具效力，除非它同时符合第 16 条的要求。

DSA 适用于欧盟以外的服务器吗？

不作为当地法律适用。DSA 不属于瑞士、摩尔多瓦或马来西亚的法律，目前也尚未成为冰岛法律的一部分。不过，它的适用范围跟随用户：第 2 条第 1 款涵盖向欧盟境内人士提供的服务，无论服务提供者设立在何处；因此，面向欧盟用户的平台即使使用欧盟以外的服务器，也可能受其管辖。

根据 DSA，主机服务商必须监控内容吗？

不必。第 8 条禁止施加监控所存储信息的一般性义务，也禁止施加主动查找表明存在违法活动之事实的义务。主机服务商须做的，是对具体的通知和命令采取行动。主机服务商仍可自愿审查内容，且不会因此失去责任豁免，前提是本着善意、审慎行事（第 7 条）。