德國柏林高等法院(LG Berlin)判決「Facebook」違反聯邦資料保護法
德國柏林高等法院(LG Berlin)於2018年1月16日在德國聯邦消費者中心協會(Verbraucherzentrale Bundesverband)對 Facebook提起之訴訟中，判決 (Az. 16 O 341/15)Facebook網站之預設功能(Voreinstellungen)和部分使用及資料保護條款(Nutzungs- und Datenschutzbedingungen)，違反德國聯邦資料保護法(Bundesdatenschutzgesetz)之相關規定，因此，部分針對企業徵求用戶同意使用其資料之條款被判定無效。
Facebook在其隱私設定中心隱藏對用戶資料保護有利之默認設置，且在新用戶注冊帳戶時未充分告知，故未符合用戶同意條款之要求。依據聯邦資料保護法之規定，個人資料僅允許在相關人同意下徵集及使用。為讓用戶能在知情下自行判斷是否同意個資使用，網路供應商須清楚、詳盡告知資料使用之方式、範圍及目的。但Facebook並未遵守該項要求，Facebook在手機App上已自行啟用定位服務，一旦用戶使用聊天功能，將透露其所在位置。尤其在隱私設定中，已預設各種搜尋引擎可取得用戶個人版面之連結，任何人均可快速和簡易的透過此種方式，發現任一用戶在Facebook上的個人資訊。因用戶能否被事先告知無法確實保障，對此，法官判定5項Facebook備受聯邦消費者中心協會批評的預設功能無效。
此外，柏林高等法院亦宣告8項包括預擬同意之服務條款無效，依照這些條款之規定，Facebook可將用戶之姓名和個人資訊運用於商業、贊助商或相關事業之內容，且其條款並未明確說明，哪些資料會被傳送至美國，以及其後續處理過程與所採用之資料安全標準為何。法官認為，上述預擬條款之意思表示並非有效之資料使用同意授權。此外，用戶在Facebook僅可使用實名之義務亦屬違法，德國聯邦消費者中心協會對此表示，電信媒體法(Telemediengesetz; TMG)規定，網路供應商須儘可能讓網路用戶匿名或他名參與網路運作，然而柏林高等法院對此觀點仍持保留態度。
柏林高等法院於判決中強調，本案單就聯邦消費者中心協會對Facebook之用戶使用條款是否有效提起之訴進行判決，並非判斷支援此些條款運作的資料處理過程之合法性。儘管如此，法院之見解仍可能對資料處理過程合法性之判斷造成影響。該項判決目前仍未最終定讞，故本案兩造皆可上訴柏林最高法院(Kammergericht)，尤其聯邦消費者中心協會認為，Facebook以免費使用為廣告宣傳用語，不無誤導消費者之可能，故將對此提起上訴。至於未來本案上訴至柏林最高法院後之發展，關係個人資料保護程度之擴張及網絡供應商可用範圍之限制，故仍須持續關注。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
彭睿仁
資深法律研究員 編譯整理
Facebook: Urteil stellt Datenschutzverstöße fest https://www.datenschutzbeauftragter-info.de/facebook-urteil-stellt-datenschutzverstoesse-fest/ （最後瀏覽日：2018年2月13日）。
Das Landgericht Berlin in einem Urteil vom 16. Januar 2018 (Az. 16 O 341/15) https://www.vzbv.de/sites/default/files/downloads/2018/02/12/facebook_lg_berlin.pdf （最後瀏覽日：2018年2月13日）。
Facebook verstößt gegen deutsches Datenschutzrecht https://www.vzbv.de/pressemitteilung/facebook-verstoesst-gegen-deutsches-datenschutzrecht （最後瀏覽日：2018年2月13日）。
近來國際藥商逐漸將研發眼光放在市面上既存的蛋白質生技學名藥（follow-on biologics, Biosimilar, Biogenerics）上，顧名思義，生技學名藥乃是仿製市面上的生技藥品，而在臨床效用上與所仿製的藥品完全一樣或只是做些微調整改良。 目前生技學名藥並無法適用Hatch-Waxman Act下之「簡易新藥申請」（Abbreviated New Drug Application，ANDA）程序，原因在於生技製藥通常為複雜的大分子，難以確認其與上市產品100％相同，故美國FDA採取另立新法管理的態度，但迄今仍未通過任何法律。在歐盟，由歐洲藥品管理局（European Medicines Agency）所發布的生技學名藥核准準則只要求藥商提出其分子具有與上市藥品相同之物理特性及毒性安全數據即可上市，故現行已有少部分生技學名藥在歐洲上市。 因而藥商在無簡易上市的程序下，只能循完整的臨床有效性試驗程序。事實上這與現行美國擬對生技學名藥上市管理所提出的法律草案內容一致，目前提出於國會山莊的三個法律草案版本（Sen. Ted Kennedy’s S.1695, Sen. Judd Gregg’s S.1505 & Rep. Anna Eshoo’s H.R.5629）皆強制大部分生技學名藥上市前必須經過完整的臨床有效性試驗。 相反的，傳統學名藥在自1984年的Hatch-Waxman Act以來，並無需進行最昂貴的第二及第三階段之臨床試驗，也因此對於病患、消費者等而言，生技學名藥價格並不友善，通常只比其所仿製的上市藥品便宜一至二成，在有市場利基的功用調整下則有可能更貴；這比起競爭激烈的學名藥價格動輒較其原始藥品便宜五成以上相去甚多。並且所費不貲的臨床實驗亦將使生技學名藥只有擁有龐大資源的少數大藥廠能取得入場門票，因此專家預估生技學名藥的立法並不會像Hatch-Waxman Act一樣，進而形成生技學名藥業（generic biotech industry），而是形成所謂的生技仿製業（me-too industry）。
“.cn”網域名稱爭議處理規則修正中國網路資訊中心（ Chinese Internet Information Network, CINIC ）日前修改其網域名稱爭議處理規則，嘗試在商標持有人與網域名稱註冊人權益間取得一平衡。新修正的規則已於今（ 2006 ）年 3 月 17 日正式生效，將使商標持有人更難取得相同或近似的網域名稱。 新修正規則將不再適用已註冊網域名稱超過 2 年的域名，對於此類案件爭端解決的途徑將僅能循法院管道處理。此將導致商標持有人將定期注意搶註網域者（俗稱網路蟑螂）之行為，並對註冊不到 2 年之域名提起申訴。 先前的網域名稱爭議處理規則將註冊人「註冊域名乃為求移轉並取得不當利益」的行為視為惡意，在是該案件中 CINIC 會將該域名移轉與申訴人。而新修正的規則即要求申訴人必須證明註冊人已移轉該域名與申訴人或申訴人之競爭者。 新修正規則亦要求註冊人若能證明以下事項，則得主張其註冊有正當權利： •註冊人已基於善意使用該域名提供商品或服務； •該域名已透過使用而使社會大眾對其產生一定信賴；或 •在無企圖混淆消費者以獲取商業利益的前提下，基於商業或非商業理由合法使用。
德國與愛爾蘭對於個人資料處理是否須明示同意之見解不同德國與愛爾蘭資料保護局對於資料保護指令所規定個人資料（以下簡稱個資）的處理（process），是否須取得資料當事人明示同意，表示不同的見解。德國資料保護局認為臉書網站所提供之人臉辨識（預設加入）選擇退出（opt out consent）的設定，並不符合資料保護指令（Data Protection Directive）對於同意（consent）的規範，且有違資訊自主權（self-determination）；然而，愛爾蘭資料保護局則認為選擇退出的機制並未牴觸資料保護指令。 德國資料保護局委員Johannes Caspar教授表示，預設同意蒐集、使用與揭露，再讓資料當事人可選擇取消預設的作法，其實已經違反資訊自主權（self-determination）。並主張當以當事人同意作為個人資料處理之法律依據時，必須取得資料當事人對其個資處理（processing）之明示同意（explicit consent）。對於部長理事會（Council of Ministers）認同倘資料當事人未表達歧見（unambiguous），則企業或組織即可處理其個人資料的見解，Caspar教授亦無法予以苟同。他認為部長理事會的建議，不但與目前正在修訂的歐盟資料保護規則草案不符，更是有違現行個資保護指令的規定。 有學者認為「同意」一詞雖然不是非常抽象的法律概念，但也不是絕對客觀的概念，尤其是將「同意」單獨分開來看的時候，結果可能不太一樣；對於「同意」的理解，可能受到其他因素，特別文化和社會整體，的影響，上述德國和愛爾蘭資料保護局之意見分歧即為最好案例。 對於同意（consent）的落實是否總是須由資料當事人之明示同意，為近來資料保護規則草案（The Proposed EU General Data Protection Regulation）增修時受熱烈討論的核心議題。資料保護規則草案即將成為歐盟會員國一致適用的規則，應減少分歧，然而對於企業來說，仍需要正視即將實施的規則有解釋不一致的情況，這也是目前討論資料保護規則草案時所面臨的難題之一。
中國大陸國家互聯網信息辦公室、國家市場監督管理總局聯合發布《個人信息出境認證辦法》中國大陸國家互聯網信息辦公室、國家市場監督管理總局於2025年10月17日聯合發布《個人信息出境認證辦法（下稱認證辦法）》，並將於2026年1月1日施行。中國大陸所稱之認證即為臺灣所稱之驗證，屬兩岸詞語使用之差異，容易產生混淆誤認先予敘明，下將以臺灣慣用之驗證一詞說明。 依照《中華人民共和國個人信息保護法》第38條須向境外提供個人資料方法有四種：分別為1.透過國家網信部門組織的安全評估、2.經專業機構進行個人資料保護驗證、3.依照國家網信部門制定的標準化契約與境外接受者訂定契約，以約定雙方之權利義務、4.法律、行政法規、國家網信部門所規定之其他條件。而認證辦法係依據第二種方法所訂，主要規範：1.處理者資格限制、2.傳輸資料數量、3.影響評估內容、4.驗證機構申請資料與報告義務、5.對驗證機構之監督。 處理者資格限制與傳輸資料數量方面，認證辦法規定向境外提供個人資料：1.不可為關鍵信息基礎設施營運者、2.向境外提供的個人資料須為10萬人以上未滿100萬人之個人資料或未滿1萬人之敏感個人資料（須注意，中國大陸之敏感個人資料包含：生物識別、宗教信仰、特定身分、醫療健康、金融帳戶、行蹤軌跡等資料，以及不滿14週歲未成年人的個人資料，故與臺灣個資法第6條之特種個資並不一致）。且認證辦法規定不得對個人資料的數量為拆分，意即如將資料數量拆成數筆10萬人以下，藉以規避認證辦法資料數量10萬人以上的境外傳輸申請限制並不合法。 除依法應履行的告知外，向境外傳輸前應取得當事人的單獨同意，並採取個資影響評估，影響評估之內容須包含：1.處理者與境外接收者處理個資的特定目的、範圍、方式、2.個資出境的風險、3.境外接收者的個資保護能力與義務、4. 提供事故通報管道、5.境外國家或地區的政策、法規影響。 最後，認證辦法應較注意的是驗證機構的報告義務與受檢義務的明確立法，使得除藉由驗證機構對個人資料處理者的審查確保個人資料國際傳輸的安全外，再透過政府機關對於驗證機構的檢查，以確保監管個人資料跨境傳輸，亦屬於我國政府機關可以參考之個人資料國際傳輸監管面向。