WTO歐盟生技產品案解析（上）
本文為「經濟部產業技術司科技專案成果」
歐盟執委會（European Commission, EC）於2020年3月24日發表新聞稿，說明在COVID-19疫情期間，各國政府要求人民保持社交距離甚或自我隔離；人民無法會面互動下，數位政府政策成為維持正常生活的解套方式。歐盟於新聞稿中重申先前建構「歐盟內部市場電子交易之電子身分認證與信賴服務規則」（REGULATION EU No 910/2014 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC，以下簡稱 eIDAS）、電子識別（electronic identification, eID）以及發展信任服務（trust services）的必要性，例如電子戳記（eTimestamps）、電子圖章（eSeals）、電子簽章（eSignatures）、網站認證（Website authentication）等均屬之。歐盟公民無須離開住宅，即可和公部門互動。 除了公部門，信任服務可以支援歐盟企業（特別是疫情嚴重地區的中小型企業）遠端執行業務，維持業務連續性。例如金融服務對交易、認證、安全性及防洗錢等領域發展數位化：eID識別客戶身分、整合同一客戶的海外金融帳戶服務、遠端驗證防洗錢要求；電子簽章可與客戶遠端簽署金融服務契約；電子註冊交付服務（electronic registered delivery service）則作為安全交換重要文件或契約之機制。 在零售業而言，安全的電子交易對於線上業務尤為重要。例如eID可對購買酒類等管制商品或藝術品等高價商品之消費者進行更嚴格的身分檢查；電子簽章和電子戳記則強化文件及流程追蹤機制，降低追蹤成本。 在運輸部門，以汽車共享服務為例，eID可用於證明客戶的身份，提供安全登錄，並允許客戶進行遠端車輛解鎖。而貨運及物流產業，若在不同營運商運送之間遇有延遲，則電子戳記可使責任歸屬更加明確。另外，對重要文件使用電子圖章，可證明文件完整性、有效性並減少對紙本文件的依賴，並降低疫情期間會面之風險。
英國資訊委員辦公室首次對違反資料保護案件開罰英國資訊委員辦公室（Information Commissioner’s Office，ICO）於今（2010）年11月24日首次對違反資料保護案件開罰。 賀福郡理事會（Hertfordshire County Council）員工在今年6月兩度將載有高度敏感性資料的文件傳真予錯誤的收件人。ICO經調查後認定，由於賀福郡理事會未能防止兩次資料外洩事件發生，導致嚴重損害，而在首次外洩事件發生後，亦未採取足夠的預防措施避免類似情況發生，因此裁定十萬英鎊之罰鍰。 另一家發生資料外洩事件的人力資源服務公司A4e，則是因其員工將含有兩萬四千筆個人資料的筆記型電腦帶回家後遭竊，且包括個人姓名、出生年月日、郵遞區號、薪資、犯罪紀錄等相關資料並未加密。ICO認為，A4e並未採取適當措施避免資料外洩，且A4e允許其員工將未加密的筆記型電腦帶回家時，已知內含個人資料種類及數量，因此裁定六萬英鎊之罰鍰。 ICO表示，希望本次處罰能對於處理個人資料的機構有所警惕。 ICO今年4月被賦予裁罰權，至於裁罰的標準，則有裁罰指引（fine guidance）可參考。根據裁罰指引，若資料控制者（data controller）故意違反資料保護法（Data Protection Act），或可得而知可能違法之情形，卻未採取適當措施預防之，而可能造成相當損害時，ICO得處以相當罰鍰。
法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法，開罰3.25億歐元法國國家資訊與自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）於2025年9月1日針對一起由歐洲數位權利中心（noyb - The European Center for Digital Rights）提出的申訴做成決議，指Google未經Gmail使用者同意，將廣告偽裝為電子郵件進行「偽裝廣告」（Disguised Ads）投放，以及在對Gmail使用者投放個人化廣告前，未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告（generic ads）的選項，違反了《電子通訊法》（code des postes et des communications électroniques）與《資訊與自由法》（loi Informatique et Libertés）中關於歐盟《電子隱私指令》（ePrivacy Directive）之施行規定，對Google裁處了3.25億歐元的罰鍰，並要求改善。以下節錄摘要該裁決之重點： 一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放 歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定，電子郵件直接推銷（direct marketing）僅在其目標是已事先給予同意的使用者時被允許。CNIL，依循歐盟法院（CJEU）判例法（C-102/20）見解，認為若廣告訊息被展示在收件匣中，且形式類似真實電子郵件，與真實電子郵件相同位置，則應被認為是電子郵件直接推銷，須得到當事人之事前同意。因此，CNIL認定偽裝廣告即便技術上不是狹義的電子郵件，僅僅因其在通常專門用於私人電子郵件的空間中展示，就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告，屬於電子郵件廣告，而與出現在郵件列表旁邊且獨立分開的廣告横幅不同，後者非屬電子郵件廣告。 二、 Cookie Wall下當事人的有效同意：「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明 CNIL參酌歐盟個人資料保護委員會（European Data Protection Board, EDPB）第2024/08號關於「同意與付費模式」意見，認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之，以「cookie wall」（註：拒絕cookie的蒐集即無法獲得服務之網站設計）取得之當事人「同意」，非當然不自由或無效。CNIL認為，在免費服務的框架下，cookie wall在維持提供服務與服務成本之間的經濟平衡上，要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為，這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。 CNIL要求，當事人在cookie wall的框架內仍應享有選擇自由，才能取得蒐集為投放個人化廣告之cookies的當事人有效同意，亦即：在個人化廣告處理更多個資和對當事人造成更多風險的情況下，當事人應被給予機會選擇「等值的替代選項」，亦即通用廣告，並完全且清晰地了解其選擇的價值、範圍及後果。 然而，CNIL發現，Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜，實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意，從而影響了當事人的選擇自由。CNIL也發現，Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall，以及對此使用者享有甚麼選擇，而其提供的資訊更引導使用者選擇個人化廣告，導致選擇一般廣告的機會遭到犧牲。 三、 為何不是愛爾蘭資料保護委員會（Data Protection Commission, DPC）管轄？ GDPR設有「單一窗口機制」，依據該合作機制，對Google進行的GDPR調查，應由作為主任監管機關（Lead Supervisory Authority）的愛爾蘭DPC管轄。惟在本案，CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇，而是適用電子隱私指令，CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制，但尚不足以弭平成員國間監管強度之差異。
打擊網路犯罪 歐美強化資料保存法制繼歐盟於 2006 年通過資料保存指令（ Directive on the retention of data ）後，美國司法部亦開始關注資料保存的議題，但不同於英歐盟資料保存之目的乃著眼於對抗恐怖主義及打擊嚴重犯罪，美國資料保存的目地則偏重於根除兒童色情相關的問題。 為因應科技時代的犯罪， 檢察官常需要透過 ISP 業者提供客戶通聯紀錄等資訊以協助犯罪偵察 ， 因此美國在 United States Code, Section 2703(f) 便早已規定 ， 有線或電子通信服務業者必須配合政府要求提供調查犯罪所須的資訊。但由於該法並未明白要求業者應主動收集哪些項資訊，因此美國 ISP 業者僅保存與商業利益有關之網路使用記錄，美國司法部長 Alberto Gonzales 4 月 20 日於國家兒童權益保護中心（ National Center for Missing and Exploited Children ， NCMEC ） 表示，目前 ISP 業者能提供的資料相當有限，這相當程度地阻礙犯罪調查工作的進行，因此他認為應研擬更利於法庭證據取得之資料保存法令。 為避免人權團體以資料保存侵害個人的隱私權為由，而妨礙立法的進度，因此美國目前資料保存法令的推動方向可能有兩種不同的發展方向，其一是僅由 ISP 業者記錄特定期間內民眾的活動紀錄，另一種方向則是與歐盟相似，保存電話通聯、網頁瀏覽以及 mail 、即時通訊等內容。