歐盟資料保護工作小組修正通過GDPR個人資料當事人同意指引
因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或譯為一般資料保護規則，下簡稱GDPR）執法之需，針對個人資料合法處理要件之一當事人「同意」，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年4月10日修正通過「當事人同意指引」（Guidelines on consent under Regulation 2016/679），其中就有效同意之要件、具體明確性、告知、獲得明確同意，獲有效同意之附加條件、同意與GDPR第6條所定其他法定要件之競合、兒少等其他GDPR特別關切領域，以及依據指令（95/46/EC）所取得之當事人同意等，均設有詳盡說明與事例。
GDPR第4條第11項規定個人資料當事人之同意須自由為之、明確、被告知，及透過聲明或明確贊成之行為，就與其個人資料蒐集、處理或利用有關之事項清楚地表明其意願（unambiguous indication）並表示同意。殊值注意的是，如果控制者選擇依據當事人同意為任何部分處理之合法要件，須充分慎重為之，並在當事人撤回其同意時，即停止該部分之處理。如表明將依據當事人同意進行資料之處理，但實質上卻附麗於其他法律依據，對當事人而言即顯係重大不公平。
換言之，控制者一旦選擇當事人同意為合法處理要件，即不能捨同意而就其他合法處理的基礎。例如，在當事人同意之有效性產生瑕疵時，亦不允許溯及援引「利用合法利益」（utilise the legitimate interest）為處理之正當化基礎。蓋控制者在蒐集個人資料之時，即應揭露其所依據之法定要件，故必須在蒐集前即決定其據以蒐集之合法要件為何。
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
李哲明
法律研究員 編譯整理
Guidelines on Consent under Regulation 2016/679 (wp259rev.01) http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051（last visited：May 25, 2018）
GDPR consent guidance https://ico.org.uk/about-the-ico/ico-and-stakeholder-consultations/gdpr-consent-guidance/ （last visited：May 25, 2018）GDPR consent guidance
美國航空公司(American Airlines, 以下簡稱AA)，世界最大的航空公司，控告Google私自銷售包含AA的名稱或註冊商標之搜尋關鍵字 AA日前向德州北區地方法院提出訴訟，控告Google將關於AA的名稱或註冊商標的搜尋關鍵字，如「American Airlines」或「AA.com」，銷售給其它公司作為廣告用途。 AA表示，Google甚至將該等搜尋關鍵字銷售給AA的競爭者。換言之，當使用者於Google搜尋引擎查詢關於前述之AA名稱或註冊商標之關鍵字時，Google除了提供相關連結之外，也可能會在「贊助者連結」中提供AA競爭者的連結，而引導使用者前往其競爭者的網頁。 AA於聲明中指出：「我們希望能減輕此類行為所造成的損害」。截至目前為止，AA並未透露求償金額等細節。 Google則在其聲明中指出：「我們相信本公司的商標政策已經在商標所有人的權益以及消費者的選擇之間取得適當的平衡，並且我們的立場在相關案例的判決中已經被證實是合法的」。
Codex研提進口食品含有未經核准之GMO含量的技術指導原則由聯合國農糧組織及世界衛生組織共同成立的The Codex Alimentarius Commission (Codex)，刻正研提一份與GMO有關的重要技術指導原則，以協助各國評估並管控進口食品是否含有未經核准的GMO或由未經核准的GMO所製程的風險，藉此降低食品貿易的障礙。 關於未經核准的GMO，目前歐盟採取的零容忍度政策（zero-tolerance policy），亦即，進口之食品或飼料中，絕對不能含有未經核准的GMO或由未經核准的GMO所製程，至於一般所知的歐盟0.9％的GMO標示義務，是適用在經依法核准上市的GMO，若因技術上不可避免的原因而使非基改產品含有此GMO之可容忍界線。 根據Codex調查，許多GMO的上市審查在歐盟受到延宕，但這些GMO在歐盟以外其實很多都已經被其他國家核准，或歐盟的技術審查單位—食品安全管理局（European Food Safety Authority, EFSA)也已提出正面的安全評估意見，但歐盟執委會卻遲遲未完成行政審查，造成在歐盟進口的食品或飼料中若含有這些GMO，即被認定為未經核准而影響產品之進口。 鑑於歐盟的GMO管理與出口國的GMO管理有重大的制度面差異，Codex認為此一制度面的衝突若不尋求解決，未來將越演越烈，影響的作物範圍也會越來越廣，因而Codex才會思考制定相關的技術指導原則，解決某GMO可能在一個或多個國家已經被核准上市，但在進口國還未經核准上市，而進口非基改食品或飼料中卻含有這些GMO的問題，目前Codex預計在2008年7月提出相關的技術指導原則建議。
學名藥品侵權 v. 競爭法中的假訴訟Generic Drug’s Patent Infringement v. Sham Litigation in Antitrust
美國聯邦第三巡迴上訴法院於2014年時對於Takeda Pharmaceutical Co.(Takeda) v. Zydus Pharmaceuticals (Zydus) 一案判定：學名藥廠Zydus並無構成專利侵權，且原廠Takeda於本案的系爭專利並無失效[1]。惟本案的學名藥廠Zydus隨後向Takeda提起另一訴訟：Zydus聲稱該案的專利侵權訴訟是假訴訟(sham litigation)[2]，亦即，Takeda 提起專利侵權訴訟之本意在於阻卻Zydus的學名藥參與市場競爭，而非旨在確認侵權事實或請求賠償。Takeda隨後提起反訴，主張美國The 1984 Hatch-Waxman Act[3]已明確賦予專利權人提起專利權侵權訴訟之權利，既有訴訟權，便無假訴訟之虞。 美國聯邦貿易委員會(Federal Trade Commission, FTC)對於上述兩藥廠間的假訴訟爭議，在2018年6月時發布法庭之友意見書(amicus brief [4])，以5-0決議呼籲本案法院應對於假訴訟爭議進行審查。本意見書指出，The 1984 Hatch-Waxman Act、競爭法、專利法或其他醫藥法規，無任何關於藥品侵權訴訟得以免除假訴訟審查之規定。再者，FTC實有權限依據豁免原則（Noerr-Pennington Doctrine）及相關判例，就主觀與客觀要件，審查相關爭訟是否為假訴訟：(1)該爭訟程序客觀上是否無理由，提出爭訟者現實上是否不期待勝訴；(2)該爭訟程序當事人主觀上是否有意利用程序，直接地干擾競爭對手的商業關係。本意見書並進一步說明，原廠Takeda所提專利權侵權訴訟，即使學名藥廠Zydus之專利侵權事實為真，惟只要Takeda行為符合假訴訟主、客觀要件，仍有可能構成假訴訟；亦即，「是否侵權」與「是否該當假訴訟」兩者之判斷是分開的。 [1] 原廠藥之英文為branded drug，指一個藥廠自研發、生產、上市，而握有專利權之藥品，通常具有強大品牌名聲、價格通常也高；學名藥廠則是待原廠藥專利權屆滿後、或以侵權之方式，而製造與原廠藥相同或相似之藥物，學名藥價格相對較低，但在安全與效用上時常有疑慮。 [2] 美國競爭法豁免原則(Noerr Pennington Doctrine)下，私人爭訟方或單位，運用爭訟或政府程序等以促進法案的通過、增進法律執行等，免除競爭法之相關責任。但該責任免除之原則下，當事人若僅是利用政府或爭訟程序作為有害市場競爭的工具，並無合法地尋求正面結果; 或該爭訟僅是純粹的假訴訟，以干擾正當商業關係或市場競爭時，無該原則免除競爭法相關責任的適用，亦即，仍須受到競爭法的檢視與求責可能。 [3] The 1984 Hatch-Waxman Act 旨在促進學名藥參進市場競爭、兼顧學名藥與原廠藥間的利益保護，並明定原廠藥與學名藥廠均有權利提起專利權合法爭訟(validity)，以避免學名藥進入市場的受阻、也欲杜絕學名藥廠進行藥品侵權行為。 [4] 此指法庭意見書，乃為了釐清法律爭議或協助解釋法律等所提之文書，供參考用、不具強制法律效力，我國翻譯則稱法庭之友。
VIZIO將為該公司為未獲消費者允可即蒐集收視行為等個人資料支付和解金。美國聯邦貿易委員會（Federal Trade Commission, 以下稱FTC）在2017年2月6號於其網站中公布， VIZIO, Inc.（以下稱VIZIO），世界最大的智慧電視製造商之一，在未取得購買該公司產品之千萬餘名消費者同意下，即於所生產之智慧型電視中，安裝蒐集消費者收視行為數據之軟體，然此舉業涉及違反美國聯邦貿易委員會法第45條（15 U.S.C. § 45 (n)）以及紐澤西州消費者欺詐法（New Jersey Consumer Fraud Act）。為此VIZIO將支付和解金與美國聯邦貿易委員會及紐澤西州檢察總長辦公室。 本案起訴狀內容指出，VIZIO及其相關企業於2014年2月起便開始於其製造之智慧電視中獲取消費者在收視有線電視、寬頻、機上盒、DVD播放機、無線廣播以及串流裝置等相關影像資料時之資訊。這些資訊包含了性別、年齡、收入、婚姻狀況、教育程度、住屋資訊等交付與VIZIO、第三方及其相關企業做為行銷、發送特定廣告使用。 起訴狀中並稱該公司所謂之智能互動機制，雖可做為協助節目製作和建議，卻也同時於未對消費者詳細說明之下，逕行蒐集相關收視資訊，而此類追蹤消費者資訊屬不公平且欺騙的行為，已違反了FTC與紐澤西州對於消費者保護之法律。 為達成本案之和解，該公司願支付兩百二十萬美元作為和解金，包含向FTC繳納的一百五十萬美元及一百萬美元罰款與紐澤西州消費者事務所。聯邦法院命令並要求VIZIO必須清楚揭露其蒐集資料及分享給他方單位之行為，並取得消費者明示同意；另一方面，該命令亦禁止VIZIO對他們所蒐集消費者之隱私、安全及機密性資訊做誤導性的不實陳述以及刪除於2016年3月1日前所有以不當方式取得之消費者個人資料。該公司尚須接受兩年一次的隱私權安全保障計畫(名詞)，包括全面性隱私風險評估、識別消費者個資之潛在不當使用情形，並制訂相關措施來修復這些風險。另新增一項銷售管理計畫，以確保該公司產品經銷商及售後服務均能就消費者個人資料得到保障。 此次事件而言，和解金雖非屬可觀之金額，然重點在於作為世界最大的智慧電視製造商之一的VIZIO，經揭露此一訊息後對其商譽之影響，或許才是最大的打擊。為了在大數據時代中能有效的管控法律風險，任何蒐集消費者行為等個人資料時，均應符合相關法令的規範，如建立個人資料保護機制並事前告知取得消費者蒐集之同意為宜。