個人資料保護法 – 喵喵科技法律隨筆

英國預計裁罰臉部辨識服務公司Clearview AI 1700萬元英鎊

2021-12-12由meowtechlaw撰寫發表留言

2021年11月29日，英國資訊委員辦公室（The Information Commissioner’s Office, ICO）宣布預計對Clearview AI公司裁罰1700萬元英鎊（約6億2000萬元）之初步意向，同時要求停止進一步處理英國人民的個人資料，並刪除涉及嚴重違反英國資料保護法的個人資料。

Clearview AI公司宣稱其擁有世界上最龐大的臉部資料網路，先前ICO曾與澳洲資訊委員辦公室（the Office of the Australian Information Commissioner, OAIC）進行聯合調查，主要關注於Clearview AI公司使用從網路上取得的圖像與資料，以及使用生物識別技術進行臉部辨識。客戶能夠向Clearview AI公司提供圖像，以進行生物特徵進行搜尋，識別相關的臉部圖像結果，並與超過100億張圖像的資料庫進行對比。

ICO認為Clearview AI公司資料庫中的圖像很可能包含大量英國人民的資料，且可能是在人民不知情的情形下從網際網路上公開資訊中所取得，包含社群媒體平臺。ICO初步認為Clearview AI公司在下列面向未能遵循英國的資料保護法：

未能以資料主體預期或公平的方式處理英國人民的資料。
缺乏適當程序以避免資料無限期被保留。
缺乏蒐集資料之合法性。
生物識別資料的處理未能符合英國資料保護法與GDPR規範。
未對英國人民告知相關資料處理情形。
要求提供額外的照片等個人資料，可能與反對其資料被處理之個人的意向有悖。

澳洲OAIC所發布之調查結論亦認為Clearview AI公司違反澳洲之隱私法。其同樣認為Clearview AI違反1998年澳洲隱私法，包含未經同意澳洲人民的敏感資料、以不正當手段蒐集個人資料、未採取合理措施告知個人蒐集資料之情形、未確保所揭露的個人資料正確性以及未採取合理程序確保遵循澳洲的隱私原則等情形。OAIC決定要求Clearview AI停止蒐集澳洲人民的圖像與生物識別資料，並銷毀從澳洲蒐集的資料。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.WHATSAPP因違反GDPR遭愛爾蘭資料保護委員會裁罰2.25億歐元
2.荷蘭資料保護主管機關因兒童隱私保護不足裁罰TIKTOK75萬歐元
3.如何落實GDPR法遵？英國ICO發布問責制框架
4.個資外洩，該怎麼辦？
5.歐盟法院SCHREMS II案與常見問答

AI人工智慧、臉部辨識、金融科技Fintech、個人資料保護、未分類

10個對匿名化的誤解

2021-11-252021-11-25由meowtechlaw撰寫發表留言

我國個人資料保護法（下稱個資法）制定之後，在相關討論時，常常聽見有關「去識別化」的探討，並且試圖將不同場景所處理的不同個人資料加以「去識別化」，希望能夠避免遵循個資法規定。而在歐盟一般資料保護規則（General Data Protection Regulation, GDPR）下，則區分有匿名化（anonymization）資料與假名化（pseudonymization）資料兩種概念。匿名化資料係指不涉及已識別或可識別自然人的資訊或以不再可識別的方式匿名化的資料。由於匿名化資料已失去個人資料之屬性，因此並無GDPR之適用。至於假名化資料，由於其仍可透過使用額外資訊進而識別當事人身分，因此其於GDPR之概念底下仍屬個人資料之一種。實務上，組織常常因為想要避免遵循GDPR或個人資料保護法等規範，想要透過將資料匿名化的方式來因應隱私保護法令之遵循，而對「匿名化」存有誤解。

西班牙的資料保護主管機關（AEPD）因此提出「10個對匿名化的誤解」指引，向大眾說明與釐清匿名化的概念，以下摘要如下：

誤解1：匿名化等於假名化

匿名化資料係指不能與特定個人相關連的資料，一但資料真正匿名化且無法識別個人，該資料便無GDPR的適用。而另外一個概念是假名化資料，依照GDPR的定義，假名化資料係指該個人資料在不使用額外資訊時，不再能夠識別出特定之資料主體，且該額外資料已被分開存放，並以技術及組織措施確保該個人資料無法或無可識別出當事人。然而本質上，假名化資料仍然屬於GDPR所保護的個人資料。

誤解2：加密等於匿名化

AEPD指出，加密並不是一種匿名化的技術，而是屬於假名化的工具。加密過程中使用金鑰來轉化資料，降低資料遭不當存取的風險，並保持一定的機密性，然而原始資料解密之後仍然可以被存取，此時解密的金鑰即屬於前述所提到的「額外資訊」，其使被加密的資料能夠讀取，並進而識別個人。同時，考量加密演算法與金鑰的強度與技術進步（例如量子運算）等因素，縱然將加密金鑰刪除，仍無法確保加密資料無法被解密，因此即使將加密金鑰刪除，仍無法認為加密資料是屬於匿名化資料。

誤解3：資料總是可以匿名化

匿名化是一個嘗試在降低重新識別風險與保持資料集在預期用途的可用性間找到正確平衡的過程。然而根據資料的情境與性質，可能無法充分減輕重新識別的風險，例如可能的個體總數太小時（例如一個僅包含705名歐洲議會成員的匿名資料集），或是當個體間資料類別特別不同時（例如位置資料），即有可能無法充分減輕重新識別風險。

誤解4：匿名化是永恆的

實際上隨著時間的演進，不論是因為科技的進步（雲端運算與量子運算等技術），或是因為多年的資料外洩事故，均可能會將以前匿名化資料重新識別個人。

誤解5：匿名化重新識別的風險為零

匿名化過程與其應用方式，將會對重新識別風險的可能性產生直接影響。強而有力的匿名化過程目的在於將重新識別的風險降低到特定閾值以下，該閾值取決於現有的緩解控制措施、重新識別對個人隱私的影響、動機與攻擊者重新識別的能力，實際上重新識別的剩餘風險並不會為零。

誤解6：匿名化是無法衡量的概念

AEPD認為，不應將匿名化資料理解為資料集單純區分為是否匿名。任何資料集都有可能根據其個人化的可能性進行識別，強而有力的匿名化過程應評估重新識別的風險，同時必須隨著時間進行管理與控制。

除非在資料非常籠統的特定情形下，例如統計一年中每個國家或地區的網站存取者之資料集，否則重新識別的風險永遠不會是零。

誤解7：匿名化可以完全自動化

匿名化的過程中，需要對原始資料集、其預期目的、要應用的技術與重新識別資料的風險進行分析。去除或遮蔽直接標識符是匿名化過程中的重要部分，但必須同時伴隨著尋找其他識別來源的謹慎分析。因此，儘管匿名化過程可以透過自動化工具來完成，但專家的干預仍然有其必要性。

誤解8：匿名化使資料喪失用處

匿名化資料的目標是防止資料集中的個人被識別，例如將出生年月日以年份為分組，匿名化資料在某種情形下降低資料集的可用性，但並不意味匿名化資料是毫無用處的，但其可用性將取決於被接受的重新識別目的與風險。

另外，個人資料的儲存時間不能超過其原始目的規定的時間，某些資料控制者的解決方案可能是將個人資料匿名化，例如將網站存取紀錄匿名化，僅保留存取日期與存取頁面之紀錄，而不保存何人存取網站的資料。

GDPR的資料最小化原則要求資料控制者確定是否有必要處理個人資料以實現特定目的，或者該特定目的是否可以透過匿名化資料實現。某些情形下，可能導出資料的匿名化不符合其預期目的的結論，資料控制者必須在處理個人資料與適用GDPR之間作出決策。

誤解9：遵循他人成功的匿名化流程，也會成功將資料匿名化

匿名化流程與食譜不同，甚至就算依照食譜操作仍然有可能作出風味各異的菜色，匿名化流程必須考量處理的性質、範圍、背景與目的，以及自然人權利與自由不同之可能性與嚴重程度的風險。

在不同的情境可能有不同的資料集，而可能與匿名化資料交叉比對，進而影響重新識別的風險，例如在瑞典有關納稅人的個人資料是公開資料，而在西班牙則為非公開。因此，一個包含西班牙與瑞典公民資料的資料集，縱使按照相同程序進行匿名化處理，重新識別的風險可能也會不同。

誤解10：知曉資料歸屬於何人並沒有風險或利益

個人資料本身即具有價值，對於個人本身或第三方都是如此，重新識別個人身份可能對該個人的權利與自由產生嚴重影響。匿名化攻擊的形式可能包含有意地重新識別、無意地重新識別嘗試、安全漏洞或公開揭露資料，無論是出於好奇、偶然或是利益（例如科學研究、新聞或犯罪活動）。

準確評估重新識別對個人私人生活的影響較為困難，因為該影響始終取決於情境與相關資訊，例如在對於電影偏好情境下重新識別感興趣的個人，可能可以推斷該人的政治傾向或性傾向，但是這些政治傾向或性傾向在GDPR中屬於敏感性個人資料，而需特別予以保護。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

行政法、個人資料保護、國家賠償法、未分類

教育部學習歷程出包，誰該負責？

2021-09-26由meowtechlaw撰寫

近日鬧的沸沸揚揚的「高中學習歷程」事件，據報導記載因為工程師疏失，相關虛擬主機的硬碟設定失誤，而導致有7854名學生總共2.5萬筆的資料遺失。儘管教育部長於今年9月26日已公開致歉，並表示將由專人協助學生檔案上傳等補救措施，並將依契約追究暨南大學團隊疏失及教育部國民及學前教育署（下稱國教署）督導不周的行政責任，然而目前的補救措施並未提及對學生的賠償或補償相關事宜。

學生歷程檔案為個資法所保護

依照個人資料保護法（下稱個資法）第2條第1款規定，個人資料係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。學生的學習歷程檔案，記錄學生於高中時期的學習表現，包含考試成果、學習軌跡、個人特質與能力發展等資料，其應屬於個資法所欲保護的個人資料。

學生可依國家賠償法向教育部與國教署求償

按受公務機關或非公務機關委託蒐集、處理或利用個人資料者，於本法適用範圍內，視同委託機關。（個資法第4條有明文規定），另外依照個資法施行細則第8條規定，委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督，且必須定期確認受託者執行之狀況，並將確認結果記錄之。另外當公務機關違反個資法規定，導致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任，且被害人如有非財產上損害（即精神慰撫金），亦可請求賠償相關金額（個資法第28條第1項與第2項）。

因此，儘管相關情形依報導記載可能是因為國立暨南國際大學資工團隊（下稱暨大團隊）的疏失所造成，然而依照前述個資法規定，委託機關（即國教署）不僅對暨大團隊負有監督義務，同時暨大團隊相關疏失亦應由國教署負擔相關賠償責任。類似學習歷程檔案因硬碟設定錯誤導致不可用，已對學生個人資料的正確性、完整性與可用性造成影響，而侵害學生之權利，學生自得循國家賠償程序向國教署求償（個資法第31條規定），被害人當然也可以選擇向直接對學生歷程檔案造成影響的暨大團隊求償。另外雖然相關賠償金額並不易證明，但學生仍得請求法院依侵害情節，依個資法規定酌定相當金額（以每人每一事件新臺幣500元以上2萬元以下計算）。

結論

學生歷程檔案對高中生的升學影響重大，當學生歷程檔案受到影響，其關於個資當事人的權利即已受到侵害，學生自然可以依個資法等相關規定選擇向國教署或暨大團隊求償，但最好的情況，則是教育部與國教署認知到自己的責任，除了道歉之外，還應適時予以補償或賠償學生的損害。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

行政法、個人資料保護、未分類

WhatsApp因違反GDPR遭愛爾蘭資料保護委員會裁罰2.25億歐元

2021-09-09由meowtechlaw撰寫有 6 則迴響

愛爾蘭資料保護委員會（Data Protection Commission, DPC）於2021年9月2日公布對WhatsApp Ireland Ltd. 歐盟一般資料保護規則（GDPR）的調查與結論，過程中審查WhatsApp是否已落實其對WhatsApp的使用者與非使用者之透明性原則，包含向資料主體提供有關WhatsApp與Facebooke之間資料處理的資訊。

自2018年12月10日開始，DPC便開始著手調查，經過漫長的程序之後，DPC於2020年12月依據GDPR第60條向所有相關主管機關（Concerned Supervisory Authorities, CSA）提交一份決定草案，且隨後即收到8個CSA的反對意見，由於DPC無法與CSA就反對意見達成共識，並於2021年6月3日觸發GDPR第65條的爭端解決程序（dispute resolution process）。

2021年7月28日，歐盟資料保護委員會（European Data Protection Board, EDPB）通過具有拘束力之決定，該決定明確要求DPC根據EDPB的決定所包含的因素進行重新評估，並提高原先擬議的罰款金額，在重新評估後，DPC決定對WhatsApp處以2.25億歐元的罰款。除此之外，DPC還命令WhatsApp應採取補正措施落實對於GDPR的法令遵循。

以下是DPC對於WhatsApp最終決定的摘要：

一、對非使用者（non-users）的透明性

1.在lossy hashing之前，非使用者的電話號碼構成個人資料。

2.在lossy hashing之後，非使用者的電話號碼亦構成個人資料。

DPC原先認為經過lossy hashing後的電話號碼並不構成GDPR的個人資料，然而EDPB強調個人資料的判斷因素與資料是否可直接或間接識別個人，以及資料控制者或第三方能夠於資料集（dataset）中挑選（single out）出資料主體的技術能力有關。EDPB參考第29條工作小組（WP29）關於匿名化的指引，認為K-Anonymity的方法僅能避免遭挑選出來的風險，而無法避免被連結（linkability）或被推論（inference）的風險。而lossy hashing後的電話號碼仍然有連結與推斷資料主體的風險，WhatsApp也具有此等能力，因此lossy hashing後的電話號碼應構成個人資料。

3.WhatsApp係基於資料控制者的地位處理非使用者個人資料。

4.WhatsApp對非使用者個人資料未能遵循GDPR第14條，即間接蒐集時的告知義務。

二、對使用者的透明性

1.未落實GDPR art.13(1)(c)與12(1)的規定

2.未落實GDPR art.13(1)(d)的規定

3.未落實GDPR art.13(1)(e)與12(1)的規定

4.未落實GDPR art.13(1)(f)與12(1)的規定

5.未落實GDPR art.13(2)(a)的規定

6.未落實GDPR art.13(2)(c)與12(1)的規定

7.WhatsApp儘管已遵循GDPR art.13(2)(d)規定，但須遵循關於在WhatsApp「您如何行使權利」部分提及該權利的指示，確保資料主體所需的資訊放在其可能希望找到的地方。

8.未落實GDPR art.13(2)(e)的規定

三、就WhatsApp與Facebooke之間任何資料共享的透明性

WhatsApp就其與Facebook之間的運作未證明其遵循GDPR art.13(1)(c)、13(1)(d)、13(1)(e)與12(1)之規定。除非WhatsApp具有具體的計畫包含明確且即將開始的日期，以基於安全（safety）與保護（security）的目的，於控制者對控制者基礎上與Facebook間共享個人資料，否則該關於法律基礎告知與Facebook FAQ相關誤導資訊應予以刪除，以反映真實情形。

四、透明性原則

綜合上述，WhatsApp並未證明其符合GDPR art.5(1)(a)之透明性原則。

最後，DPC參考歐盟法院競爭法的判決，由於Facebook公司能夠對WhatsApp施加決定性影響（decisive influence），認定WhatsApp與Facebook公司構成「歐洲聯盟運作條約（Treaty on the Functioning of the European Union, TFEU）」第101條與第102條的企業（undertaking），因此相關罰款將依據Facebook Inc.所領導的集團總營業額為計算基礎。

※你可能會對這些文章有興趣
1.荷蘭資料保護主管機關因兒童隱私保護不足裁罰TIKTOK75萬歐元
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

個人資料保護、未分類

愛爾蘭資料保護委員會針對處理員工疫苗接種資料提出指引

2021-07-242021-07-28由meowtechlaw撰寫發表留言

隨著越來越多人進行疫苗接種，愛爾蘭資料保護委員會（Data Protection Commission，DPC）指出，雇主是否可以合法蒐集員工的COVID-19疫苗接種情形的問題已經開始浮現出來。一般來說，愛爾蘭DPC認為在公共衛生主管機關尚未明確建議雇主與工作場所管理人員確定員工的疫苗接種情況下，進行疫苗資料相關的處理可能會有缺乏明確法律依據與過度蒐集資料的問題。

在沒有相關資料蒐集建議的情形下，雇主應該如何瞭解員工疫苗接種情形？愛爾蘭DPC表示可以由以下面向來討論：

就業環境

根據現行版本的安全工作協議（Work Safely Protocol: COVID-19 National Protocol for Employers and Workers），建議在特定的情形下應將疫苗接種作為工作場所的健康與安全措施，同時在提供第一線醫療保健服務的情境，根據相關具體指導，疫苗接種可以被視為必要的安全措施，在這些情形時，雇主很有可能可以根據實際需要處理疫苗接種資料。

資料最小化

根據安全工作協議，無論疫苗接種情形，相關公共衛生感染預防與控制措施（例如保持社交距離、手部衛生、口罩與適當的通風）、以及在家工作等相關措施仍應維持。因此，基於資料最小化的原則，雇主應優先實施避免蒐集員工個人資料的措施。

疫苗接種的自願性

有關個人疫苗的接種狀態的資訊在歐盟一般資料保護規則（GDPR）下的敏感性個人資料，受到法律特殊的保障。而依照現行的安全工作協議，COVID-19疫苗接種是採自願的方式。同時也因為國家疫苗規劃的關係，個人並無法控制其何時能夠接種疫苗，甚至因為疫苗的年齡限制，年輕人在短期內也無法接種疫苗，代表疫苗的接種一般不應視為必要的工作場所安全措施。

另外疫苗在免疫力的長期功效尚不清楚等因素，所以在就業環境中處理疫苗接種資料應不認為會符合必要性。而在工作環境中，個人資料的處理發生在員工（資料主體）與雇主之間，兩者的關係存在不平衡的情況，因此也不應以員工同意的方式處理疫苗接種資料，這種情況下，難以符合自由給予的同意要件。

醫務官員（Medical Officer of Health）

依相關法律規定，醫務官員在履行公共衛生職責的過程中，可能會需要瞭解員工的疫苗接種情形，在這樣的情形下，則可能會構成法律特別允許的情形。

員工旅遊情形

雇主或許會想知悉、處理員工的旅遊資料或疫苗接種資料，來知道員工是否處於自我隔離期間，但在這種情形，可以要求員工說明其可以重返工作的時間，來避免蒐集相關個人資料。

結論

我國隨著疫苗的施打與降級解封，日前也聽到有公司以系統跳出的方式訊息強制要求員工每日回覆施打疫苗的情形。與前述歐盟的情形相同，疫苗接種資料因為其敏感性，在我國同樣屬於特種個人資料，企業倘須蒐集、處理或利用這些疫苗接種資料，則必須遵循個人資料保護法第6條特種個資的相關規定。而在中央流行疫情指揮中心尚未有相關指示前，企業可以盡量避免蒐集此類特種個資，降低個資保存的風險，優先採取其他經公告的防疫措施。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

個人資料保護、未分類

企業常見資料保護錯誤

2021-04-17由meowtechlaw撰寫

英國資訊委員辦公室（Information Commissioner’s Office, ICO）為了幫助個人經營者、中小型企業瞭解資料保護事項，羅列一些常見的資料保護錯誤，並提供相關建議如下。

常見錯誤一、發送電子郵件給錯誤的對象

當你的通訊錄有好幾個相同名字的時候，這是非常容易發生的。當開始在收件者欄位輸入名字時，自動填入工具固然方便，可以加速寄信的過程。但是如果錯誤地將個人資料發送給錯誤的對象，那麼使用自動填入工具節省下來的幾秒鐘就會耗費你更多的時間。

※如何解決：

1.盡快收回電子郵件，如果無法收回，聯繫收信者並請他們刪除。同時，在後續寄送電子郵件時，考慮關閉自動填入工具。

2.如果符合個資外洩的情形，則應依循相關法律規定，在資料外洩後72小時候儘速處理。

常見錯誤二、服務資訊與行銷資訊的混用

服務資訊（Service messages）與行銷資訊（marketing messages）兩者並不相同，服務資訊旨在透過提供重要的事實資訊讓人們瞭解情形，例如關於產品安全的警示。另一方面，行銷資訊則旨在推廣服務、企業或組織。

※如何解決：

在蒐集與利用個人資料前，確保瞭解行銷的相關規定，無論是產品、服務或是想法，同時還需要注意不要將服務資訊與行銷資訊混為一談，即使在行銷郵件的末段添加一句服務資訊，仍然也需要遵守行銷的相關規定。

常見錯誤三、打開不熟悉的網頁連結或附件

你可能偶爾會收到陌生人的電子郵件，或者收到看起來可疑的連結或附件。有時候這些可能是釣魚郵件或其他類型的網路犯罪，而可能導致電腦系統的損壞。

※如何解決：

1.為所有工作設備設置合適的防火牆

2.合於用途的儲存系統

3.訓練人員知道如何在點擊連結或打開附件前識別可疑的電子郵件

常見錯誤四、保留不需要的資料

你擁有的個人資料越多，就需要更多的儲存空間與安全措施來確保資料的安全，意味著需要花費更多的時間與金錢。例如當處理一個當事人行使權利的請求時，你可能需要搜尋成千上萬的舊文件，這將花費許多時間。另外，根據資料保護法的規定，個人資料的保存時間不應超過你所需要的時間。

※如何解決：

如果你被要求保留一定時間的資訊，例如財務、醫療或法律紀錄，在保存政策中記錄理由。並且應該定期整理所擁有的資料，並且在不再需要資料時安全地銷毀個人資料。

常見錯誤五、忽略個人權利行使

在資料保護法中，人們對自己的個人資料能夠行使當事人權利，例如他們可以請求提供你所持有關於他的任何個人資料。

當事人權利行使可以透過書面或口頭的方式提出，人們不需要直接聯繫到組織的特定聯絡人或者使用特定的語言、形式。組織不能要求人們以書面行使當事人權利，或者要求他們使用特定表格。

如果你收到當事人以口頭的方式行使其權利，如果他願意的話，可以邀請他以書面形式提出，或是人們於電話中提出請求時，將其請求以書面記錄下來，有一個書面紀錄對雙方都是有益的。但無論是否有書面紀錄，人們的口頭請求仍然有效，例如員工在會議上要求公司提供他們的個人資料，這將被視為當事人權利行使的一種。

※如何解決：

確保組織與員工瞭解如何識別當事人權利行使，以及如果收到相關請求應該怎麼辦。簡單來說，如果有人要求組織提供他們的個人資料，你需要在法定的期限內提供他們個人資料的複製本。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.從抖音案看中國大陸個人資料保護的發展
2.靠攏GDPR，日本通過新修正個人情報保護法
3.中國大陸個人信息保護法草案全文發布
4.如何落實GDPR法遵？英國ICO發布問責制框架
5.歐盟法院SCHREMS II案與常見問答

個人資料保護、未分類、民法

中國大陸公布網路交易監督管理辦法，強化網路交易監管

2021-03-17由meowtechlaw撰寫發表留言

中國大陸國家市場監督管理總局於2021年3月15日發布網路交易監督管理辦法，針對網路交易經營者羅列總共56條規定，該管理辦法旨在規範網路交易活動、維護網路交易秩序、保障網路交易各方主體合法權益，進而促進數位經濟持續健康發展。以下謹就該辦法關於個資保護的部分說明如下：

一、規範對象：網路交易經營者

該辦法所謂網絡交易經營者，是指組織、開展網絡交易活動的自然人、法人和非法人組織，包括網絡交易平台經營者、平台內經營者、自建網站經營者以及通過其他網絡服務開展網絡交易活動的網絡交易經營者。

二、強化個資當事人自主權

該辦法於第13條規範網路交易經營者蒐集、使用消費者個人資料的應遵循事項，包含合法、正當與必要等原則。同時該辦法也強調，網路交易經營者不得採行一次概括授權、預設授權、綑綁授權或停止安裝使用等方式，強迫或變相強迫消費者同意蒐集、使用與經營活動無直接相關的資料。

如果網路交易經營者蒐集或使用消費者個人生物特徵、醫療健康、金融帳戶、個人位置等敏感資料，則應該逐項取得消費者同意。

三、當事人拒絕行銷

依辦法第16條，網絡交易經營者在未經消費者同意或者請求的情形下，不得向其發送商業性資訊。而當網絡交易經營者發送商業性資訊時，應明示其真實身份和聯繫方式，並向消費者提供顯著、簡便、免費的拒絕繼續接收資訊的方式。消費者明確表示拒絕後，網路交易經營者應立即停止發送，且不得更換名義後再次對消費者發送。

四、罰則

倘網路經營者違反前述規定，依該辦法第41條規定，如無其他法令適用時，則市場監督管理部門可以限期改正，並可以裁罰人民幣5,000元以上30,000元以下的罰款。

儘管目前中國大陸關於個人資料保護法的立法仍然在審議中，然而現行對於個資保護仍然有民法與前揭辦法等規範的適用。同時，該網路交易監督管理辦法除了前述關於個資保護規定之外，也針對網路直播、商品綑綁搭售、自動續約等網路交易常見爭議情形進行規範，並定有相關罰則，我國民眾與企業在中國大陸經營相關網路交易業務時，對此必須特別注意。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

個人資料保護、未分類、民法

個資外洩求償判決與舉證責任轉換之運用

2021-03-09由meowtechlaw撰寫發表留言

根據媒體報導，去（2020）年民眾通報高風險賣場前5名，分別是Momo購物網、小三美日、讀冊生活、486團購網與Hito本舖，其通報數量均超過200件，其中以Momo購物網383件居冠。

以法學搜尋系統Lawsnote搜尋網路購物相關個資外洩求償判決，2018年至2020年的民事判決件數僅有18件，其中原告勝訴的判決為11件，勝訴率約為60%。然而仔細檢視原告敗訴的案件，其中不乏因為原告（即消費者）無法證明詐騙集團所使用的資料來自被告公司的個資外洩行為，而因此敗訴。

以臺灣高雄地方法院109年度雄小字第3154號判決為例，法院即表示「當事人主張有利於己之事實，他造對之有爭執者，有提出證據以證明其事實為真實之責任，主張積極事實者應負舉證之責任，乃為舉證責任分配之原則。依上開規定，本件原告主張被告違反個資法規定，致其權利受損，則原告就其有利於己之事實即主張其遭詐騙時之個資係來自被告公司網站，及被告違反個資法規定之事實，即應先負舉證責任。」

然而，個資存放與安全措施的相關資料與證據均為企業所持有，一般民眾要證明遭詐騙時的個資是來自被告公司何其困難，因此即有法院判決透過舉證責任轉換的運用，降低民眾求償的舉證門檻。

「按當事人主張有利於己之事實者，就其事實有舉證之責任，但法律別有規定，或依其情形顯失公平者，不在此限，民事訴訟法第277條規定甚明。上開但書規定係於89年2月9日該法修正時所增設，肇源於民事舉證責任之分配情形繁雜，僅設原則性之概括規定，未能解決一切舉證責任之分配問題，為因應傳統型及現代型之訴訟型態，尤以公害訴訟、商品製造人責任及醫療糾紛等事件之處理，如嚴守本條所定之原則，難免產生不公平之結果，使被害人無從獲得應有之救濟，有違正義原則。是法院於決定是否適用上開但書所定之公平要求時，應視各該具體事件之訴訟類型特性暨求證事實之性質，斟酌當事人間能力之不平等、證據偏在一方、蒐證之困難、因果關係證明之困難及法律本身之不備等因素，以定其舉證責任或是否減輕其證明度，最高法院103年度台上字第1311號判決參照。」（臺灣臺北地方法院106年度北小字第2161號民事判決參照）

另外也有判決從常態事實與變態事實兩者的舉證責任出發，認為駭客入侵公司電腦竊取大量客戶資料屬於常態事實，侵入個人電腦竊取個人消費資料屬於變態事實，而應由被告公司先舉證證明其已善盡客戶消費資料的保存責任且未遭不法蒐集。

「按事實有常態與變態之分，其主張常態事實者無庸負舉證責任，反之，主張變態事實者，則須就其所主張之事實負舉證責任。查，被告為資本額達億元以上之公司，且經營規模非小，依常情而言其能力自較一般消費大眾來得強大。甚且被告經營網路消費平台，於公司電腦中、或資料庫中又或者於所於營網站上儲存客戶之消費資料（含所留之聯繫資料，例如：手機號碼、住家地址等）更屬常態；反之一般消費者於其電腦或手機中留存其個人聯繫資料，則屬變態。被告雖辯稱系爭消費資訊之所以外洩，或可能出自原告，對於客戶資訊保護責任，不應全由被告承擔云云。究其所辯固非絕無可能，惟依前開說明，駭客入侵營業公司之電腦竊取其大量客戶資訊，要屬常態；反之，侵入個人電腦以竊取個人之消費資料，則屬變態。是應由被告先行舉證證明其確已善盡對於該公司客戶（含本件原告在內）所留消費資料之保存責任，且未遭不法蒐集，而不應推責於原告。」臺灣士林地方法院107年度湖簡字第110號民事判決參照。

本文將相關法院判決與舉證責任轉換運用與否，粗淺地整理如下表。由下方表格可以觀之，18件判決中，法院有適當運用舉證責任轉換的判決均是對原告有利的結果（如表格灰色標記處）。而法院未運用舉證責任轉換共有12件，其中原告敗訴的判決有7件（約佔58%），儘管案件的勝負尚有其他影響因素，但仍然可以看出，法院倘運用舉證責任轉換，對於原告（民眾）是較為有利的。

民事訴訟法第277條也提到「當事人主張有利於己之事實者，就其事實有舉證之責任。但法律別有規定，或依其情形顯失公平者，不在此限。」，因此法院在相關案件適用前述條文時，仍應適當考量原告與被告雙方能力之不平等、證據偏在一方、蒐證之困難、因果關係證明之困難及法律本身之不備等情形，來決定雙方舉證責任或是否減輕證明度。倘若法院一律機械式套用當事人主張有利於己的事實，均對該事實有舉證之責任，則難免無法達到個案正義，同時不免有法律強人所難之嘆。同時，法院判決兼具「傳達訊息」之功能，儘管個資外洩相關判決，因為其所涉及金額較低，往往無法上訴到最高法院，然而隨著隱私權與資料保護的重視，也期待法院為相關判決時，可以多加著墨，引領相關議題的討論。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.CNIL對遭受憑證填充攻擊的資料控制者與資料處理者處以225,000歐元罰款
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

AI人工智慧、個人資料保護、未分類

愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

2021-01-032021-01-03由meowtechlaw撰寫發表留言

愛爾蘭資料保護委員會（Ireland’s Data Protection Commission）於2020年12月制定「針對兒童資料處理方法的基礎概念（Fundamentals for a Child-Oriented Approach to Data Processing）」草案文件，其中納入專門針對兒童的資料保護解釋原則與建議措施，這些原則與措施將提供對於兒童的保護水準，使兒童免於資料處理風險所帶來的影響，該份草案文件的公開諮詢程序至2021年3月31日止，任何人都可以向愛爾蘭資料保護委員會提供相關意見與評論。

值得注意的是，愛爾蘭資料保護委員會也直接向兒童諮詢相關意見，兒童們紛紛提出他們對於資料保護的各種看法，愛爾蘭資料保護委員會也特別於該份文件內呈現出來。

在愛爾蘭，兒童的定義是指未滿18歲的人，與聯合國兒童權利公約（UN Convention on the Rights of the Child, UNCRC）的定義相同，而愛爾蘭資料保護委員會確立組織應遵循的14個基本原則，組織在處理個人資料時應注意對於兒童的保護，為兒童們提供一個比目前更安全、更合適以及更尊重隱私的網路環境，讓孩子們盡情得玩耍、互動、學習與創造。以下是該文件所列出的14個基本原則：

1.一定程度的保護（FLOOR OF PROTECTION）

線上服務提供者（Online service providers）應對所有使用者提供一定程度的保護，除非其採取風險導向的方法（risk-based approach）來驗證使用者的年齡，以將基本原則中所規定的保護措施應用於所有處理兒童資料的行為。

2.明確同意（CLEAR-CUT CONSENT）

當兒童同意處理其資料時，必須是明確、知情且自由得陳述，或給予明確同意。

3.零干擾（ZERO INTERFERENCE）

線上服務提供者處理兒童資料時，應確保追求合法利益的同時，不會對兒童的最佳利益造成干擾、衝突或負面影響。

4.瞭解受眾（KNOW YOUR AUDIENCE）

線上服務提供者應採取措施來識別其使用者，並確保針對兒童或可能被兒童所接觸的服務已制定針對兒童的資料保護措施。

5.每個情景的資訊（INFORMATION IN EVERY INSTANCE）

兒童有權獲得有關處理其自身個人資料的資訊，即便是由父母所代理同意處理的個人資料。

6.針對兒童的透明性（CHILD-ORIENTED TRANSPARENCY）

必須以簡潔、透明、可理解與可接觸的方式提供有關如何使用個人資料的隱私資訊，並應使用兒童易於理解且適合兒童年齡的語言。

7.讓兒童自主行使權利（LET CHILDREN HAVE THEIR SAY）

兒童本身即是資料主體，在任何年齡都擁有與其個人資料有關的權利。愛爾蘭資料保護委員會認為，只有兒童有能力，且符合他們的最佳利益，兒童可以隨時行使這些權利。

8.同意不會改變兒童的本質（CONSENT DOESN’T CHANGE CHILDHOOD）

從兒童或父母/監護人所取得的同意不應作為將所有年齡的兒童當作成年人對待的理由。

9.平台責任（YOUR PLATFORM, YOUR RESPONSIBILITY）

透過數位與線上技術提供或出售服務而獲得收入的公司，對於兒童的權利和自由可能會構成特殊的風險，如果此類公司使用年齡驗證或依靠父母同意進行資料處理，則愛爾蘭資料保護委員會期望公司在關於年齡驗證以及父母同意的驗證方面能夠更加努力。

10.不要拒絕兒童使用者或剝奪其使用體驗（DON’T SHUT OUT CHILD USERS OR DOWNGRADE THEIR EXPERIENCE）

如果公司所提供是提供針對兒童或可能被兒童所接觸的服務，公司不能透過將兒童拒於門外或剝奪使用體驗來繞過公司所應負擔的義務。

11.最小使用者年齡並非藉口（MINIMUM USER AGES AREN’T AN EXCUSE）

設置提供服務的使用者最小年齡不會取代組織遵守歐盟一般資料保護規則（General Data Protection Regulation, GDPR）的資料控制者與對未成年人保護等相關義務。

12.禁止剖繪（PROHIBITION ON PROFILING）

考量兒童的特殊脆弱性（particular vulnerability）與對行為廣告的敏感性（susceptibility to behavioural advertising），因此線上服務提供者不得基於行銷/廣告的目的對於兒童進行剖繪（profile）或針對兒童使用自動化決策（automated decision making），或以其他方式利用其個人資料，除非能夠清楚得說明「如何」以及「為什麼」這樣做符合兒童的最佳利益。

13.實施資料衝擊影響評估（DO A DPIA）

線上服務提供者應進行資料保護衝擊影響評估（Data Protection Impact Assessments, DPIA），以最大程度得降低其服務的資料保護風險，尤其是因為處理個人資料所對於兒童造成的特定風險。兒童的最佳利益原則必須是資料衝擊影響評估的關鍵標準，並且當兩者利益間發生衝突時，兒童的最佳利益必須優於組織的商業利益。

14.融入制度（BAKE IT IN）

定期處理兒童個人資料的線上服務提供者應根據「從設計與預設階段著手資料保護」原則，使其具有一貫的高標準資料保護程度，並將其融入於服務之中。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.投資個資保護的價值？

個人資料保護、未分類

中國大陸國家互聯網信息辦公室公布App蒐集個人資料的必要範圍

2020-12-232020-12-23由meowtechlaw撰寫發表留言

中國大陸國家互聯網信息辦公室於2020年12月1日公布「常見類型移動互聯網應用程序（App）必要個人信息範圍（徵求意見稿）」文件，指出現行App往往有超出範圍、強制蒐集使用者個人信息（即個人資料）的情形，而使用者拒絕同意則無法安裝使用App。因此該文件羅列了地圖導航、網路約車、即時通信等38種常見類別App的基本功能與必要個人信息。

必要個人信息是指保障App基本功能正常運行所必須的個人信息，缺少該信息App即無法提供基本功能服務，只要使用者同意蒐集必要個人信息，App不得拒絕使用者安裝使用。

從該份文件可以知道，要滿足一般App基本功能的必要個人信息範圍並沒有想像得來的多，業者在超出必要範圍的部分，不僅不能拒絕使用者安裝使用App，在其他個人信息的取得與利用更應該要尊重使用者的自主意志。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.從抖音案看中國大陸個人資料保護的發展
2.中國大陸個人信息保護法草案全文發布
3.個資外洩，該怎麼辦？
4.如何落實GDPR法遵？英國ICO發布問責制框架
5.歐盟法院SCHREMS II案與常見問答

常見類型移動互聯網應用程序（App）必要個人信息範圍（徵求意見稿）:

1.地圖導航類：

基本功能服務：定位和導航。

必要個人信息：位置信息。

2.網絡約車類：

基本功能服務：預約汽車出行。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）乘車人出發地、到達地、位置信息、行踪軌跡。

3.即時通信類：

基本功能服務：提供文字、圖片、語音、視頻等即時通信服務。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）賬號信息：賬號、聯繫人賬號列表。

4.網絡社區類：

基本功能服務：博客、論壇、社區等話題討論、信息分享和關注互動。

必要個人信息：註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

5.網絡支付類：

基本功能服務：收款人或付款人依托公共網絡遠程發起支付指令，由支付機構提供貨幣資金轉移服務（如支付、提現、轉賬等）。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）付款人姓名、證件類型和號碼、證件有效期限、證件影印件、銀行卡號碼、銀行預留移動電話號碼。

（3）收款人姓名、銀行卡號碼。

6.網上購物類：

基本功能服務：購買商品。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）收貨人姓名、地址、聯繫電話。

（3）支付信息。

7.餐飲外賣類：

基本功能服務：購買餐飲。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）收貨人姓名、地址、聯繫電話。

（3）支付信息。

8.快遞物流類：

基本功能服務：包裹、印刷品等物品的快遞寄收件。

必要個人信息：

（1）寄件人真實姓名、地址、聯繫電話。

（2）收件人姓名、地址、聯繫電話。

9.交通票務類：

基本功能服務：交通相關的票務服務及行程管理（如票務購買、改簽、退票、行程管理等）。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）旅客姓名、證件類型和號碼、旅客類型。旅客類型通常包括兒童、成人、學生等。

（3）旅客出發地、目的地、出發時間、車次/船次/航班號、席別/艙位等級、座位號（如有）。

（4）支付信息。

10.婚戀相親類：

基本功能服務：婚戀相親。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）婚戀相親人的性別、年齡、婚姻狀況。

11.求職招聘類：

基本功能服務：職位信息查詢和求職簡歷投遞。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）求職者提供的簡歷。

12.網絡借貸類：

基本功能服務：通過互聯網平台實現的個人消費貸款。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）借款人姓名、證件類型和號碼、證件有效期限、證件影印件、銀行卡號碼。

13.房屋租售類：

基本功能服務：個人房源信息發布、房屋出租或買賣。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）房源基本信息：房屋地址、面積/戶型、期望售價或租金。

14.二手車交易類：

基本功能服務：二手車買賣。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）購買方姓名、證件類型和號碼。

（3）出售方姓名、證件類型和號碼、車輛行駛證號、車輛識別號碼。

15.問診掛號類：

基本功能服務：在線問診、掛號。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）患者姓名、證件類型和號碼。

（3）患者預約掛號的醫院、科室。

16.旅遊服務類：

基本功能服務：旅遊產品訂購。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）出行人旅遊目的地、旅遊時間。

（3）出行人姓名、證件類型和號碼。

17.酒店服務類：

基本功能服務：酒店預訂。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）住宿人姓名、聯繫方式，入住、退房時間，入住酒店名稱。

18.網絡遊戲類：

基本功能服務：通過網絡提供遊戲產品和服務。

必要個人信息：註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

19.學習教育類：

基本功能服務：在線輔導、網絡課堂等。

必要個人信息：註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

20.本地生活類：

基本功能服務：家政維修、家居裝修、二手閒置物品交易等日常生活服務。

必要個人信息：註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

21.女性健康類：

基本功能服務：女性經期管理、備孕育兒、美容美體等健康管理服務。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）用於健康管理的歷史信息。

22.用車服務類：

基本功能服務：共享單車、共享汽車、租賃汽車等服務。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）使用共享汽車、租賃汽車服務用戶的證件類型和號碼，駕駛證影印件。

23.投資理財類：

基本功能服務：股票、期貨、基金、債券等相關投資理財服務。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）投資理財用戶姓名、證件類型和號碼、證件有效期限、證件影印件。

（3）投資理財用戶資金賬戶、銀行卡號碼。

24.手機銀行類：

基本功能服務：通過手機等移動智能終端設備進行銀行賬戶管理、信息查詢、轉賬匯款等服務。

必要個人信息：

（1）註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

（2）用戶姓名、證件類型和號碼、證件有效期限、證件影印件、銀行卡號碼、銀行預留移動電話號碼。

（3）收款人姓名、銀行卡號碼。

25.郵箱雲盤類：

基本功能服務：郵箱、雲盤等。

必要個人信息：註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

26.遠程會議類：

基本功能服務：通過網絡提供音頻或視頻會議。

必要個人信息：註冊用戶移動電話號碼或其他真實身份信息（App提供者提供多種選項，由用戶選擇其一）。

27.網絡直播類：

基本功能服務：向公眾持續提供實時視頻、音頻、圖文等形式信息服務。

必要個人信息：無須個人信息，即可使用基本功能服務。

28.在線影音類：

基本功能服務：影視、音樂播放和下載。

必要個人信息：無須個人信息，即可使用基本功能服務。

29.短視頻類：

基本功能服務：不超過一定時長的視頻搜索、播放。

必要個人信息：無須個人信息，即可使用基本功能服務。

30.新聞資訊類：

基本功能服務：新聞資訊的瀏覽、搜索。

必要個人信息：無須個人信息，即可使用基本功能服務。

31.運動健身類：

基本功能服務：運動記錄、健身管理等服務。

必要個人信息：無須個人信息，即可使用基本功能服務。

32.瀏覽器類：

基本功能服務：瀏覽互聯網信息資源。

必要個人信息：無須個人信息，即可使用基本功能服務。

33.輸入法類：

基本功能服務：文字、符號等輸入。

必要個人信息：無須個人信息，即可使用基本功能服務。

34.安全管理類：

基本功能服務：查殺病毒、清理惡意插件、修復漏洞、清理優化、騷擾攔截、權限管理等。

必要個人信息：無須個人信息，即可使用基本功能服務。

35.電子圖書類：

基本功能服務：電子圖書閱讀。

必要個人信息：無須個人信息，即可使用基本功能服務。

36.拍攝美化類：

基本功能服務：拍攝、美顏、濾鏡等。

必要個人信息：無須個人信息，即可使用基本功能服務。

37.應用商店類：

基本功能服務：App下載和管理。

必要個人信息：無須個人信息，即可使用基本功能服務。

38.實用工具類：

基本功能服務：日曆、天氣、詞典翻譯、計算器、遙控器、手電筒、指南針、時鐘鬧鐘、文件傳輸、文件管理、壁紙鈴聲、截圖錄屏、錄音、協同辦公等。

必要個人信息：無須個人信息，即可使用基本功能服務。