物聯網時代的資料保護防線－以歐盟GDPR為中心
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
根據美國公共電視台在2016年1月6日的新聞，指出生物支付將可能成為新興支付工具。生物支付之定義為利用生物辨識(biometric)技術驗證個人生物特徵，諸如：指紋、虹膜等進行支付。採用生物支付技術，未來將無須使用信用卡或行動裝置，僅需要個人生物特徵之辨識即可完成交易。此轉變將使未來交易更加快速、便利，但同時，生物支付的安全性卻也不無疑義。 即便生物辨識屬於高層級的資訊安全保護機制，但水能載舟，亦能覆舟。生物辨識利用生物不可變之特性進行身分識別，涉及高度個人隱私，為妥善保護個人資訊安全，需訂立生物辨識相關規範加以管制，否則將衍生許多法律問題。 例如：在2015年6月，美國線上出版商Shutterfly公司被控訴違法蒐集個人資料。原告稱其並非Shutterfly公司之註冊使用者，也從未同意其生物辨識資訊被該公司蒐集，但其面紋(Face print)卻被上傳至該公司網站，並標註姓名，儲存在自動針對相片標記臉部辨識系統之資料庫。 依據BIPA針對生物辨識定義及蒐集規範： 1.第10條： 生物辨識之態樣，包含視網膜、虹膜掃描、指紋或是手部、臉部外觀之掃描，但不包括簽名、照片、用於科學檢測之人體樣本、頭髮顏色等。 2.第15條(a)： 規定公司蒐集個人生物特徵資訊應有相關規範供公眾查閱，並應提供生物辨識資訊之保管及銷毀日期及相關資訊。 3.第15條(b)(1)： 蒐集生物辨識資訊應告知當事人。 Shutterfly公司提出要求法院不受理之抗辯，主張BIPA規定之臉部外觀，其文意解釋應為物理上個人親自接受掃描所得之資訊，並非原告所主張以照片辨識之臉部外觀，但法院認為Shutterfly之主張並不合理，因此同意受理此案。 觀察該案可發現，儘管生物辨識提高資訊安全之保護，但相關法規範解釋仍待實務完備。另一方面，生物特徵資訊極易被他人蒐集，因此，如何建置蒐集個人辨識資訊及完善相關措施，也是推行生物支付措施所需突破的關口。
美國發布關於標準必要專利之政策宣言草案，擬修改核發禁制令態度美國司法部（United States Department of Justice）、美國專利商標局（The United States Patent and Trademark Office）、美國國家標準與技術研究院（National Institute of Standards and Technology）於2021年12月6日共同發布「修改『標準必要專利』授權協議及司法救濟方法之政策宣言草案」（Draft Policy Statement On Licensing Negotiations And Remedies For Standards-Essential Patents Subject To Voluntary FRAND Commitments，下稱2021政策宣言草案），並徵集公眾意見，截止時間為2022年2月4日。2021政策宣言草案係在回應2021年7月9日「促進美國經濟體競爭性行政命令」（Executive Order on Promoting Competition in the American Economy）關於檢討2019年「有關『標準必要專利』司法救濟方法之政策宣言」（Policy Statement On Remedies For Standards-Essential Patents Subject To Voluntary FRAND Commitments，下稱2019政策宣言）之要求。 2021政策宣言草案揭示了兩大重點： （一）改變SEP被侵害時，對禁制令（injunction）之核發態度 2021政策宣言草案對於「SEP被侵害時，是否核發禁制令」一事，擬回歸適用聯邦最高法院自eBay Inc. v. MercExchange, L.L.C., 547 U.S. 388 (2006)案以來，就禁制令之核發所設立之原則—（1）原告（專利權人）會因專利侵權而遭受無法填補（irreparable）的損害；（2）目前法律上之其他救濟方法，是不足以賠償專利權人所受的損害；（3）衡量專利權人及被授權人可能遭遇之困難，足認有必要進行衡平法上的救濟；（4）核發禁制令不會傷害到任何公共利益。 （二）揭示何謂符合「誠信原則」（good-faith）授權協議的指導原則 （1）雙方應以合宜態度推進授權協議： 以SEP專利權人而言，其應向潛在被授權人告知可能侵害該SEP的行為態樣；其並以「公平、合理及無歧視」（fair, reasonable, and non-discriminatory, FRAND）原則進行授權。 以SEP被授權人而言，其應於知悉以上資訊後，於商業上得被認為合理的時間內，以合宜態度推進該協議，或逕自接受該授權協議，或拒絕原要約而反向提出一合於FRAND原則之新要約（counteroffer）。其他合宜態度例如：就SEP專利權人提出進一步探詢（例如：詢問該SEP目前之專利有效性及有無侵權情形）或請求提供更具體的資訊，或建議目前雙方所遇到的授權上爭議可透過公正第三方解決。 茲有附言者，SEP專利權人在收到以上回應後，亦應「於合理的時間以合宜態度」推進授權協議，例如接受被授權人反向提出之新要約，或為使原授權協議較可被接受，再行提出一合於FRAND原則之授權條款，或回應被授權人想得知更多資訊之請求，或亦提出「可透過公正第三方解決雙方所遇到之授權紛爭」的方案等。 （2）雙方應合宜妥善解決紛爭： 如雙方因授權而生紛爭，建議尋求替代爭議解決方式（alternative dispute resolution）；如仍欲透過司法解決，建議雙方就管轄法院達成合意，而非單方面擇定法院而提起訴訟。 此次徵求公眾意見的主要議題如下： （1）2021政策宣言草案是否較可適當平衡SEP專利權人及被授權人之利益？ （2）「可申請核發禁制令」一事是否為SEP專利權人願意遵守FRAND原則的重要因素？ （3）如何提升SEP授權協議之效率及透明度？ （4）2021政策宣言草案所揭示對於SEP授權時之「誠信原則」之指導原則，可否為SEP授權協議建構良好架構？ （5）是否有潛在SEP被授權人願意及不願意接受FRAND授權協議之情形？ （6）有關單位是否曾經或應就SEP授權協議提供其他參考資訊？
WhatsApp與英國ICO達成協議將停止與Facebook間之資料共享英國資訊專員辦公室(Information Commissioner's Office，簡稱ICO)在歐盟資料保護主管機關(European Data Protection Authorities) 針對WhatsApp與其母公司Facebook間進行資料共享之行為提出相關顧慮之後，於2016年8月就上開事件是否涉及違反英國資料保護法(Data Protection Act)啟動調查，調查結果終於在2018年3月14日出爐並且雙方達成協議。 ICO調查結果是WhatsApp並無正當且合法之理由與Facebook進行資料共享，惟並未對WhatsApp進行任何懲罰，原因乃是WhatsApp並未分享英國用戶之資料予Facebook，並未直接違反英國資料保護法，因為WhatsApp被定位在資料處理者(data processor)，只要運作是合法的且不侵擾人們之人權，即可容許。不過WhatsApp仍向ICO承諾將停止分享其用戶個人資訊予Facebook，此協議將持續到GDPR生效為止，亦即此後WhatsApp與Facebook間之資料共享若符合GDPR之規範，則可在基於安全防護之目的下進行或是改善其產品與廣告行銷。 ICO調查專員Elizabeth Denham指出WhatsApp不應與Facebook間進行資料共享之理由有三：一、WhatsApp並未確認其與Facebook間所進行之個人資料分享係基於何種法律依據；二、WhatsApp並未向其用戶適當且公平地揭露其如何處理、分享用戶之資料；三、對於WhatsApp既有之用戶而言，WhatsApp與Facebook間資料共享之處理目的與當初WhatsApp獲取其用戶資料之目的，二者並不相符。 惟歐盟其他國家對於WhatsApp之處置可能不若英國寬容。例如，法國國家資訊自由委員會(Commission nationale de l'informatique et des libertes，簡稱CNIL)正對其採取執法行動，而漢堡資料保護與資訊自由委員會(Hamburg Commissioner of Data Protection and Freedom of Information)將案件提交到高等行政法院，該法院並已禁止Facebook使用從WhatsApp共享中所獲得之資料。
美國對於聯網環境中「關鍵基礎設施」之資訊安全議題展開行動面對境外網路安全的風險，美國歐巴馬總統於2013年2月12日，正式簽署「改善關鍵基礎設施之網路安全」行政命令（Executive Order 13636–Improving Critical Infrastructure Cyber security），據該行政命令第二款，將「關鍵基礎設施」定義為，「對於美國至關重要，而當其無法運作或遭受損害時，將削弱國家安全、經濟穩定、公共健康或安全之有形或虛擬系統或資產」，遂採取相對廣義之解釋。該行政命令第七款，亦指示美國商務部「國家標準技術研究所」（National Institute of Standard and Technology, NIST），將研議ㄧ個提升關鍵基礎設施資通訊安全之架構（Framework to Improve Critical Infrastructure Cybersecurity），將美國聯邦憲法所保障的企業商業機密、個人隱私權和公民自由等法益納入考量。 針對關鍵基礎設施引發重要之法制議題，美國副司法部長Mr. James M. Cole表示，由於關鍵基礎設施影響所及者，乃人民在法律下的權益，公部門政府將在該項議題上與私部門共同合作（partnership），且未來將研議通過立法途徑（legislation），將隱私權和公民權保護（the incorporation of privacy and civil liberties safeguards）納入關鍵基礎設施資通訊安全法制之全盤考量，相關趨勢殊值注意。