分類: 個人資料保護

2021年5月2日，挪威資料保護主管機關Datatilsynet公布由於Disqus對於網站使用者的追蹤未能遵循歐盟一般資料保護規則（General Data Protection Regulation, GDPR），不符合合法性、透明性與問責原則的要求，因此預計對Disqus處以250萬歐元罰款。

Disqus是Zeta Global下的美國公司，該公司提供線上公眾留言分享平臺，Disqus 使用 Disqus小工具對挪威網站的使用者進行追蹤，其相關資料也揭露給第三方的廣告合作夥伴。

Disqus對於挪威資料主體的個人資料進行處理

Disqus認為其透過cookies所蒐集的資料並非GDPR所謂的個人資料，因為其無法從cookies IDs識別個人。

然而主管機關認為，儘管cookie ID無法像姓名或地址一樣能夠單獨識別（identify）自然人，然而每個cookie ID均為獨特且置放於自然人的瀏覽器，使得控制者（controller）能夠區別（distinguish）每個人，並監控該自然人與網路的互動，cookie ID構成GDPR第4(1)條規定所規定的可得識別（identifiable）個人資料。因此，Disqus將cookies置入於網站使用者的終端設備，賦予每一個使用者單一的cookies ID，並藉此追蹤使用者，蒐集IP位址、網站存取時間，進而分析相關資訊，根據網路活動、興趣或其他特徵將使用者分門別類，構成GDPR下個人資料的處理。

Disqus屬於控制者

主管機關認為Disqus基於其自身商業利益對網站使用者進行追蹤、分析與剖析，即其資料蒐集是為了線上行為定向廣告（online behavioural advertising），將資料揭露予Zeta Global與其他第三方，同時Disqus決定了個人資料處理的目的與方式，構成GDPR第4(7)條所謂的控制者。

本案有GDPR的適用

雖然挪威並非歐盟的成員國，但是挪威已將GDPR納入其個人資料法（The Norwegian Personal Data Act），並於2018年7月20日生效。同時GDPR已納入歐洲經濟區協議（EEA Agreement），因此GDPR也適用於歐洲經濟區（EEA）/歐洲自由貿易聯盟（EFTA），包含挪威、列支敦士登與冰島。

主管機關認為，Disqus提供Disqus小工具，讓挪威的網站使用者能夠透過小工具對於網站內容發表留言與評論，該小工具讓挪威的資料主體能夠存取使用，顯示挪威的頂級域名（top-level domain），並以挪威語言提供，因此可以認定Disqus向挪威的資料主體（data subjects）提供服務，而有GDPR第3(2)(a)條的適用。另外，Disqus置入cookie並透過cookies蒐集網站使用者的資料，同樣也構成GDPR第3(2)(b)條所謂監控位於挪威境內的資料主體。

因此，儘管Disqus並非於歐洲經濟區內設立的公司，但因為其行為構成向挪威資料主體提供服務與監控位於挪威境內的資料主體，因此仍有GDPR的適用。

Datatilsynet具有本案管轄權

Disqus表示不論是Disqus或Zeta Global都沒有於挪威進行商業活動，認為挪威資料保護主管機關Datatilsynet並沒有法律管轄權（legal jurisdiction）進行調查或採取相關措施。

主管機關認為，Disqus於歐洲經濟區並未有分支機構（establishment），因此本案沒有GDPR第56(1)條合作機制（cooperation mechanism）的適用。同時依據歐洲資料保護委員會（European Data Protection Board, EDPB）所認可的第29條工作小組（The Article 29 Working Party, WP29）指引，控制者於歐盟沒有任何分支機構時，其必須透過當地代表與各成員國的主管機關交涉，沒有GDPR第56條一站式機制（one-stop-shop system）的適用。因此，Datatilsynet作為挪威資料保護主管機關自然能夠依據GDPR第55(1)條所賦予的權限處理本案。

Disqus違反問責原則

根據GDPR的問責原則（accountability principle），控制者必須予以負責並顯示其確實遵循GDPR的規定。主管機關認為，Disqus作為控制者，其應於公司開始處理挪威資料主體的個人資料之「前」，確保遵循GDPR與確立個人資料處理的法律基礎。由於Disqus並未意識到其GDPR適用於挪威使用者，可見Disqus並未評估個人資料處理活動的合法性，因而違反GDPR的問責原則。

Disqus 未落實對資料主體的告知

根據GDPR第12(1)條規定，Disqus應在開始追蹤資料主體時向資料主體提供資訊，換言之，當資料主體打開網站時，Disqus便應於網站和小工具上提供隱私權政策，Disqus將隱私權政策至於網站的最底部的行為並不符合GDPR第12(1)條提供資訊義務、第13條告知義務與5(1)(a)透明性原則的規定。

Disqus 不具個人資料處理的合法基礎

主管機關認為，Disqus未能確立其個人資料處理的法律基礎，也未能取得資料主體的合法同意，而在GDPR第6(1)(f)條的正當利益（legitimate interes）衡平測試（balance test）檢驗下，儘管Disqus基於行銷與商業營利的目的販售廣告構成該條所謂的正當利益，但Disqus在整體個人資料處理與揭露第三方的商業模式，過於廣泛、不透明且以侵犯的方式追求Disqus自身的線上行為定向廣告利益，甚至未能依法告知資料主體，使資料主體無法控制或終止追蹤，因此不符合必要性。

最後在衡平測試的檢驗，Disqus將未取得同意所蒐集來的資料分享予第三方，這些第三方隨後又可能將該資料揭露予其他第三方，Disqus的商業利益並未優於資料主體的負面影響（包含剖析、資料保護與言論自由等基本人權），因此並無GDPR第6(1)(f)條的正當利益條款的適用。

本案裁罰決定

依照GDPR第83(1)條規定，裁罰應為有效（effective）、適當（proportionate）且具懲罰性（dissuasive）。主管機關基於前揭的論述，認為Disqus違反GDPR第5(2)、6(1)與第13條等規定，考量GDPR第83(2)條所列的各款因素後，依據GDPR第83(5)條，裁罰Disqus共2500萬元挪威克朗（約為250萬歐元），其裁罰金額大約等於Disqus公司2018年營業額的15％，然而這並非最終決定，Disqus公司仍可於2021年5月31日前表示意見，Datatilsynet後續將會考量該公司的回覆作出最終決定。

由於本案 Disqus 公司於歐洲經濟區並未有分支機構，因此後續裁罰將會如何執行值得關注。另外本案也提及GDPR一站式的機制不適用於在歐盟境內沒有分支機構的企業，因此當企業在歐洲經濟區內沒有設立分支機構，而有違反GDPR相關規定，且涉及各國資料主體時，似乎各國的主管機關對此情形均可能有管轄權，倘各國主管機關對此違反情形均為裁罰，對企業將會是一大衝擊。對於我國企業而言，仍然必須檢視業務流程是否會涉及其他國家法令，避免誤觸紅線。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

法國資料保護主管機關CNIL（Commission Nationale de l’Informatique et des Libertés, CNIL）於2021年1月27日分別對某資料控制者（Data Controller）及其資料處理者（Data Processor）2間公司分別處以150,000歐元與75,000歐元（共225,000歐元，約新臺幣756萬元）的罰款，理由是因為其未能採取充分的適當安全措施，導致資料控制者所經營網站的客戶個人資料遭受憑證填充攻擊（credential stuffing attacks），以致於資料外洩。

在2018年6月至2020年1月期間，CNIL收到數十份與網站相關的個人資料外洩通報，CNIL指出該網站遭受到無數次的憑證填充攻擊。

憑證填充攻擊，攻擊者通常使用因為資料洩漏而遭公布在網路上的帳號密碼，並藉由機器人以自動化方式嘗試登入網路服務。假設使用者經常在不同的網路服務中使用相同的帳號與密碼，則攻擊者使用憑證填充攻擊，嘗試與網路服務進行大量連接，身份驗證成功後，攻擊者將可以查看與帳戶相關的資訊。

CNIL表示，攻擊者因此取得該網站會員姓名、電子郵件地址、出生日期、會員卡的餘額以及與訂單相關的資訊。CNIL認為該兩間公司未能履行歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第32條規定的保護客戶個人資料安全義務。

儘管公司開發一種工具用偵測與組織來自機器人的攻擊，但是該工具的開發距離第一次攻擊長達1年的時間。CNIL認為，公司在防止攻擊與減輕衝擊部分，本來可以考慮採取其他更適當的措施，例如：(1)限制網站上每個IP地址允許的存取數量，可以有助於減緩攻擊發生的速度；(2)使用驗證使用者身份機制。 CNIL強調，資料控制者必須決定安全措施的實施，並向資料處理者說明，同時資料處理者也必須尋求最適切的解決方案，將其提供給資料控制者，以確保個人資料保護的落實。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

不論是Apple HomePod還是Google Nest Audio，語音助理在智慧家庭中的角色越來越重要，不管是想要知道天氣、行事曆或是播放音樂，只要動口不動手，優秀的語音助理都能替你完成。然而，語音助理也會知道你的一切相關資訊。

法國個人資料保護主管機關「國家資訊自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）」在2020年12月16日發布語音助理（voice assistants）白皮書「On the record」，指出由於語音助理在智慧手機、汽車甚至是冰箱等產品已經成為一種必需品，為了探求語音助理所涉及的倫理、技術與法律議題，CNIL透過與眾多研究人員與專家的合作，發表了該份白皮書。

該份白皮書旨在為設計師（designers）、應用程式開發人員（application developers）、整合人員（integrators）與期望推出語音助理的組織提供領先的隱私保護實踐指引，強調聲音是屬於個人的生物特徵（biometric characteristic of individuals），因此語音助理的設計必須符合透明性與安全性，以符合歐盟一般資料保護規則（General Data Protection Regulation, GDPR）與保護個人隱私。白皮書還提供使用者如何實施良好安全措施的建議，例如確保資料傳輸的機密性，或保護可能與這些設備互動的兒童。

對於語音助理的使用者，CNIL強調除了喚醒的條件與資訊、可用的服務、安全措施等條件的選擇之外，最重要的是認識到這些設備所伴隨的挑戰，使用者應該注意下列五點事項：

一、確保交流的機密性

※選擇使用的設備

1.與進行遠距資料處理（remote processing）的設備相比，優先使用進行本機資料處理（local data processing）的設備。

2.選擇配備物理式麥克風靜音的設備。

3.選擇透過手動按壓啟動而非透過喚醒詞來啟動的設備，這將會讓使用者對於啟動時間有更多控制。否則，請優先考慮啟動與結束時會發出訊號的設備，並於設定語音助理時啟動該功能。

※關於設備的使用

1.如果你不想讓別人聽到你的對話，在設備允許的情形下，關閉基於改善產品對你的互動進行分析的功能。

2.如果你不想分享技術資料，關閉基於改善產品對你的互動進行分析的功能。

3.如果你不想被語音助理聽到，可以將其關閉或靜音。

4.通知第三方（訪客、家事清潔人員）關於對話錄音的潛在風險，或關閉/靜音設備的麥克風。

5.相對的，如果你待在一個有語音助理的地點，如果你不想被錄音，可以要求擁有者關閉設備/拔掉插頭。

6.當嵌入專用設備時，請將語音助理放在顯眼且對所有人可見的位置。

7.定期檢查使用者帳戶中記錄資料的歷史紀錄，並刪除機敏資料。

二、個人資料將被用來營利

1.留意你在裝置前所說的內容可能會被用來建立關於你的廣告資料。

2.選擇不需要建立帳戶即可使用的設備。

3.如果功能允許，選擇使用「私密瀏覽」模式。

4.考量共享個人資料與敏感性的隱私風險後，再連結到真正有用的助理服務。

5.定期檢查哪些服務與助理連結，並禁用很少或沒有使用的服務。

6.如有任何疑問可以與服務專線聯繫，必要時也可以與主管機關聯繫（即CNIL）。

三、留意沒有螢幕的設備

1.除了透過語音介面進行裝置管理與資料刪除，選擇也能透過螢幕或使用者帳戶進行的設備。

2.定期檢視助理的儀表板以及根據需要自定義其功能，例如選擇使用的預設搜尋引擎或資料來源。

3.可以使用語音助理功能來設定關於本章節內容的小訣竅提醒。

四、監督兒童使用

1.以明確得指導方式說明語音助理的工作方式並示範簡單的設置（例如關閉按鈕）。

2.避免將設備放置在兒童專用區域（臥室、遊戲室等）。

3.監督兒童與設備的互動，當兒童使用設備時，留在房間裡陪伴他使用，當兒童不使用設備時，將其關閉。

4.確保預設情形下，將裝備設置為過濾兒童資料。

5.如果裝備記錄了歷史紀錄，則以尊重兒童隱私的方式查閱相關統計情形與過去的互動情況。

6.定期刪除歷史記錄。

五、預防駭客入侵的風險

1.避免使用無法識別或無法輕鬆識別其來源、設計者、控制者等的設備。

2.謹慎選擇可以由語音助理控制的服務，並避免那些有風險的服務（開門、上鎖或開車）。

3.謹慎安裝與存取合法的應用程式，駭客可以建立惡意軟體來蒐集使用者資料（帳戶、信用卡號碼、密碼、地址或聯繫方式等）。

4.如果設備允許，則透過雙因素身份驗證（例如透過電子郵件或簡訊發送驗證碼）來設置設備或某些敏感應用程式的安全性。

5.仔細選擇與你帳戶相關服務（電子郵件、日曆、銀行帳戶、電話等）的啟動。

6.保護語音助理連接到的網路（尤其是Wi-Fi）。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

愛爾蘭資料保護委員會（Ireland’s Data Protection Commission）於2020年12月制定「針對兒童資料處理方法的基礎概念（Fundamentals for a Child-Oriented Approach to Data Processing）」草案文件，其中納入專門針對兒童的資料保護解釋原則與建議措施，這些原則與措施將提供對於兒童的保護水準，使兒童免於資料處理風險所帶來的影響，該份草案文件的公開諮詢程序至2021年3月31日止，任何人都可以向愛爾蘭資料保護委員會提供相關意見與評論。

值得注意的是，愛爾蘭資料保護委員會也直接向兒童諮詢相關意見，兒童們紛紛提出他們對於資料保護的各種看法，愛爾蘭資料保護委員會也特別於該份文件內呈現出來。

在愛爾蘭，兒童的定義是指未滿18歲的人，與聯合國兒童權利公約（UN Convention on the Rights of the Child, UNCRC）的定義相同，而愛爾蘭資料保護委員會確立組織應遵循的14個基本原則，組織在處理個人資料時應注意對於兒童的保護，為兒童們提供一個比目前更安全、更合適以及更尊重隱私的網路環境，讓孩子們盡情得玩耍、互動、學習與創造。以下是該文件所列出的14個基本原則：

1.一定程度的保護（FLOOR OF PROTECTION）

線上服務提供者（Online service providers）應對所有使用者提供一定程度的保護，除非其採取風險導向的方法（risk-based approach）來驗證使用者的年齡，以將基本原則中所規定的保護措施應用於所有處理兒童資料的行為。

2.明確同意（CLEAR-CUT CONSENT）

當兒童同意處理其資料時，必須是明確、知情且自由得陳述，或給予明確同意。

3.零干擾（ZERO INTERFERENCE）

線上服務提供者處理兒童資料時，應確保追求合法利益的同時，不會對兒童的最佳利益造成干擾、衝突或負面影響。

4.瞭解受眾（KNOW YOUR AUDIENCE）

線上服務提供者應採取措施來識別其使用者，並確保針對兒童或可能被兒童所接觸的服務已制定針對兒童的資料保護措施。

5.每個情景的資訊（INFORMATION IN EVERY INSTANCE）

兒童有權獲得有關處理其自身個人資料的資訊，即便是由父母所代理同意處理的個人資料。

6.針對兒童的透明性（CHILD-ORIENTED TRANSPARENCY）

必須以簡潔、透明、可理解與可接觸的方式提供有關如何使用個人資料的隱私資訊，並應使用兒童易於理解且適合兒童年齡的語言。

7.讓兒童自主行使權利（LET CHILDREN HAVE THEIR SAY）

兒童本身即是資料主體，在任何年齡都擁有與其個人資料有關的權利。愛爾蘭資料保護委員會認為，只有兒童有能力，且符合他們的最佳利益，兒童可以隨時行使這些權利。

8.同意不會改變兒童的本質（CONSENT DOESN’T CHANGE CHILDHOOD）

從兒童或父母/監護人所取得的同意不應作為將所有年齡的兒童當作成年人對待的理由。

9.平台責任（YOUR PLATFORM, YOUR RESPONSIBILITY）

透過數位與線上技術提供或出售服務而獲得收入的公司，對於兒童的權利和自由可能會構成特殊的風險，如果此類公司使用年齡驗證或依靠父母同意進行資料處理，則愛爾蘭資料保護委員會期望公司在關於年齡驗證以及父母同意的驗證方面能夠更加努力。

10.不要拒絕兒童使用者或剝奪其使用體驗（DON’T SHUT OUT CHILD USERS OR DOWNGRADE THEIR EXPERIENCE）

如果公司所提供是提供針對兒童或可能被兒童所接觸的服務，公司不能透過將兒童拒於門外或剝奪使用體驗來繞過公司所應負擔的義務。

11.最小使用者年齡並非藉口（MINIMUM USER AGES AREN’T AN EXCUSE）

設置提供服務的使用者最小年齡不會取代組織遵守歐盟一般資料保護規則（General Data Protection Regulation, GDPR）的資料控制者與對未成年人保護等相關義務。

12.禁止剖繪（PROHIBITION ON PROFILING）

考量兒童的特殊脆弱性（particular vulnerability）與對行為廣告的敏感性（susceptibility to behavioural advertising），因此線上服務提供者不得基於行銷/廣告的目的對於兒童進行剖繪（profile）或針對兒童使用自動化決策（automated decision making），或以其他方式利用其個人資料，除非能夠清楚得說明「如何」以及「為什麼」這樣做符合兒童的最佳利益。

13.實施資料衝擊影響評估（DO A DPIA）

線上服務提供者應進行資料保護衝擊影響評估（Data Protection Impact Assessments, DPIA），以最大程度得降低其服務的資料保護風險，尤其是因為處理個人資料所對於兒童造成的特定風險。兒童的最佳利益原則必須是資料衝擊影響評估的關鍵標準，並且當兩者利益間發生衝突時，兒童的最佳利益必須優於組織的商業利益。

14.融入制度（BAKE IT IN）

定期處理兒童個人資料的線上服務提供者應根據「從設計與預設階段著手資料保護」原則，使其具有一貫的高標準資料保護程度，並將其融入於服務之中。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.投資個資保護的價值？