歐盟法院做成先決裁判，臉書粉絲專頁管理員也有責任保護用戶資料隱私
歐盟法院於2018年6月5日對德國行政法院依歐盟運作條約第267條（267 AEUV），就歐盟個人資料保護指令（95/46/EC）第2、4條之解釋適用，提起的先訴裁判申請做出先訴判決。判決提及利用臉書（Face Book）平台經營粉絲專頁，並獲取臉書相關服務的管理者，同樣負有保護用戶資料隱私的責任。此將影響眾多的粉絲專頁，判決指出不僅臉書，連粉絲專頁的管理員都有保護訪客資料安全的責任。
由於臉書粉絲專業的經營者，並未保存其粉絲的相關資料，既不經手資料處理，更無力影響資料如何呈現，因此主張資料處理的責任應該在於臉書身上，處罰對象也應該是臉書。判決理由指出，臉書作為粉絲專頁相關個人資料的控制者（data controller）應負相關責任並無疑問，但歐盟地區粉絲專業的管理者，應該和臉書一樣，作為資料處理的共同責任者。蓋管理者係運用臉書提供的設定參數，將粉絲專頁的近用者資料蒐集處理，應該負共同責任。因此歐盟法院判決，利用臉書平台經營粉絲專頁，並獲取臉書相關服務的管理者（administrator），並不能免於個資保護法律的法遵義務。
另外依據德國聯邦資料保護與資訊安全委員會（BFDI）意見，認為雖然判決是基於一般資料保護規則（GDPR）生效之前就已經存在的法律，但法院所確定的共同責任原則也適用於新的法律。BFDI特別建議公共機構以歐盟判決為契機，審查公共機構粉絲頁面的合法性與是否遵守法律規定，並在必要時說服Facebook調整資料保護。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
洪政緯
法律研究員 編譯整理
1. URTEIL DES GERICHTSHOFS (Große Kammer) 5. Juni 2018(*) http://curia.europa.eu/juris/document/document.jsf?text=&docid=202543&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=301200 (last visited June 07, 2018)
2. SCHLUSSANTRÄGE DES GENERALANWALTS YVES BOT vom 24. Oktober 2017, https://www.bundestag.de/dokumente/textarchiv/2017/kw13-de-carsharing/499944 (last visited June 07, 2018)
3. EuGH nimmt Betreiber von Facebook-Fanpages in die Verantwortung https://www.bfdi.bund.de/DE/Infothek/Pressemitteilungen/pressemitteilungen-node.html (last visited June 07, 2018)
德國聯邦政府（Bundesregierung）於2020年12月16日通過「提升資訊科技系統安全性的第二版法律（Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme）」草案，又稱「資訊科技安全法2.0（IT-Sicherheitsgesetz 2.0）」，該草案概述如下： (1)加強德國聯邦資訊安全局（Bundesamt für Sicherheit in der Informationstechnik, BSI）權限： BSI可對聯邦行政事務行使控制與審查權、檢測資訊系統和公共電信網路相連的安全弱點、發展分析惡意軟體和攻擊的系統與程序，並擴張其對聯邦通訊技術紀錄資料的儲存期間至12個月。 (2)加強消費者保護： 導入IT安全標籤（IT-Sicherheitskennzeichen），製造商應於該標籤中置入產品安全性聲明與由BSI提供之IT安全性資訊；此外BSI有權要求電信服務業者和產品製造商提供其儲存資料與相關必要資訊。 (3)加強企業作為義務： 關鍵基礎設施提供者有報告及使用攻擊檢測系統檢測安全威脅的義務，該報告義務在草案中將擴張適用於具特定公共利益之公司，如與國防和保密資訊IT產業相關、具經濟上重要性的公司，以及受重大事故條例（Störfallverordnung, StöV）所規範者。 (4)加強國家保護功能： 國家應建立認證機制，並課予關鍵基礎設施的供應者通過該認證的義務，即供應者需確保其設施內的零件不具不適當的技術特性，尤其可能被間諜活動或恐怖主義用以破壞關鍵基礎設施的安全與功能之重要零件。 該草案目前於德國聯邦議院（Deutscher Bundestag）進行審查。
英國Ofcom提出「促進智慧聯網之投資與創新」報告並對英國智慧聯網管制應補強之方向提出建議英國電信主管機關Ofcom於2015年1月提出「促進智慧聯網之投資與創新」報告（Promoting investment and innovation in the Internet of Things），對英國智慧聯網（Internet of things, IOT）之管制發表意見。Ofcom認為就英國發展智慧聯網之現況而言，在商業上確實已經進行智慧聯網發展並投資之，然，並未對複雜的發展做好準備；Ofcom亦承認英國在基礎設施和政府管制架構上，尚未具備適當的發展。於此報告中，Ofcom提出四方向的建議，分別為資料隱私與消費者認識、網路安全與防護、智慧聯網可用之頻譜和電話號碼與網址管理等四項。 首先在資料隱私與消費者認識部分，Ofcom認為以現有管制保護智慧聯網下之隱私的效果有限，因此建議英國「資訊專員辦公室」（Information Commissioner's Office , ICO）需要發展未來隱私保護議題之解決方法，並且與政府及其他管制機關就資料隱私之法制議題共同進行，包括將現有之資料保護管制之範圍進行評估，考量是否需涵蓋到所有智慧聯網設施，和訂定智慧聯網資料共享之原則。 第二，在網路安全與防護管理上，Ofcom指出英國2003年通訊法（Communication Act 2003）已就服務提供者所提供之公眾可使用的網路與服務，課與特定安全與防護責任；例如網路與服務提供者必須採取適當的手段管理安全風險，尤其需將對終端使用者之影響降至最低、網路提供者必須採取所有適當的程序，盡可能的保護網路安全。然，Ofcom認為智慧聯網並未直接規定於現有的管制中，例如智慧電網設施之高度安全與防護範圍應涵括私人網路；故，應評估必須規定於法律中的智慧聯網網路與服務種類，以達完善防護。 再者，關於智慧聯網可用之頻譜議題，著重於用於智慧聯網之技術須改進。目前使用之頻譜在2.4和5GHz（此頻譜亦用於Wi-Fi服務）；而未來的設施也可能使用到1GHz以下的頻譜，同時Ofcom也說明其將來僅會監視頻譜的利用，而不會開放新的可用頻譜。 最後，在電話號碼與網址管理方面，就智慧聯網設施之網際網路協定，未來可能會從IPv4發展成為IPv6也是相當重要的。Ofcom認為未來智慧聯網可能會發展成一個「相當大數量且顯著的設施」，故採用IPv6將顯得更為重要；然，就目前而言，英國採用IPv6之情況系落後於其他國家的。 Ofcom現正致力於發展新的頻譜管制、數據隱私、網路安全與網址等管制，殊值得繼續觀察以俾利我國智慧聯網管制與發展。
印度政府發布監管數位市場法案印度政府發布監管數位市場法案 資訊工業策進會科技法律研究所 2024年06月25日 印度數位競爭法委員會（Committee on Digital Competition Law, CDCL）於2024年3月12日發布數位競爭法委員會報告，建議制定單獨法律規範數位市場競爭，同時發布《數位競爭法》草案（Draft Digital Competition Bill，下稱本草案），使印度競爭委員會（Competition Commission of India, CCI，下稱委員會）能夠在反競爭行為發生前介入調查，草案發布後公開徵求公眾意見至2024年5月15日，將參考公眾意見後再行發布本草案後續發展。 壹、緣起 印度企業事務部（Ministry of Corporate Affairs, MCA）於2023年2月6日成立數位競爭法委員會，主要由產業商會、政府機關以及學者組成，目的是檢視現行印度2002年《競爭法》是否足以解決數位經濟成長衍伸的問題。爾後於2024年3月發布數位競爭法委員會報告，數位競爭法委員會認為應有新的事前管制補充現行競爭法的事後管制模式，在動態的數位市場中於必要時進行事前干預，防止反競爭行為發生。 在數位競爭法委員會報告[1]中提出9項反競爭行為態樣，包含反導向（Anti-steering）、自我偏好（Self preferencing）、綑綁及搭售（Bundling and tying）、非公開資訊使用（use of non-public data）、掠奪性定價（Predatory pricing）、排他性協議（Exclusive tie-ups）、搜尋及排名偏好（Search and ranking preferencing）、限制第三方應用程式（Restricting third party applications）、以及廣告市場整合（Advertising consolidation）等，將以上述反競爭行為為核心制定事前管制措施。 貳、本草案介紹 基於上述建立事前管制的報告結論，數位競爭法委員會連同報告一併提出本草案以回應反競爭行為的事前管制方向，本草案主要有四項重點以下整理。 一、適用範圍與對象 本草案適用於所有在印度境內提供核心數位服務的所有企業，包含延伸到印度境外且對本草案所規定義務有影響的行為，核心數位服務包含線上搜尋引擎、線上社交網路服務、影片分享平台服務、人際通訊服務、作業系統、網路瀏覽器、雲端服務、廣告服務、以及線上中介服務等。 二、對具有系統重要性數位企業之定義 具有系統重要性數位企業（Systemically Significant Digital Enterprise, SSDE，下稱重要企業）需要符合兩項標準，分別是財務標準及用戶標準，如果企業屬於集團則數值以集團整體計算： （一）財務標準 財務標準是在三個財政年度中達成以下任一項： 1. 印度境內營業額高於400億印度盧比； 2. 全球營業額高於300億美元； 3. 印度的商品總價值高於1600億印度盧比； 4. 全球市值高於750億美元。 （二）用戶標準 用戶標準是在三個財政年度中達成以下任一項： 1. 在印度提供的核心數位服務達到1000萬終端用戶； 2. 在印度提供的核心數位服務達到1萬企業用戶。 三、對重要企業及關係企業之指定 （一）符合條件企業之通報義務 當企業的核心數位服務達到前述雙門檻後90天內應通知委員會，如該企業有所屬集團應一併向委員會揭露該所屬集團有直接或間接參與該核心數位服務的其他企業，委員會得透過行政命令指定該企業為重要企業，有直接或間接參與的其他企業得指定為關聯數位企業（Associate Digital Enterprise, ADE）。 委員會可要求未主動提供相關資訊的企業提供必要資訊，如符合上述門檻則指定為重要企業。 委員會在確定企業符合雙門檻後應通知企業給予陳述意見機會，說明不符合系統重要性之理由。企業若未提供必要資訊或提供不完整或錯誤資訊，仍得在聽取企業意見後指定，企業不得有規避指定之行為。 （二）指定未達門檻企業之權力 除指定前述符合雙門檻之企業外，對於在核心數位服務領域有重要影響力但未符合雙門檻的企業，委員會得參酌企業營業額、企業規模與資源、企業市場力量、網路效應、市場結構、社會義務等要素直接指定，效期為三年。 四、重要企業之義務 重要企業被指定後應建立透明有效的投訴處理及法遵機制，並定期向委員會報告履行下列義務與相關規定所採取之措施。 （一）禁止反競爭行為義務 不得有自我偏好、限制第三方應用程式使用、反導向、搭售或綑綁等反競爭行為，並以公平和透明交易的態度與用戶合作。 （二）資訊使用義務 不得使用企業用戶的非公開資訊與之競爭，且不得未經用戶同意混合或交叉使用，或允許第三方使用不同服務所蒐集的用戶資訊，並實現資訊可攜性。 參、本草案評析 數位競爭委員會報告及本草案的發布宣示委員會將監管大型科技公司的反競爭行為，本草案參考了歐盟數位市場法（Digital Markets Act, DMA）對於守門人（gatekeepers）的規定及義務，對於重要企業賦予禁止反競爭行為的義務，雖然本草案仍在意見蒐集階段，是否施行仍須追蹤觀察。 本草案參考DMA規定監管大型科技公司代表印度政府認為數位市場的事前管制是必要的，擔心市場失靈的風險存在，但包含資訊科技與創新基金會[2]（Information Technology and Innovation Foundation, ITIF）、市場真相[3]（Truth on the Market）、網路自由基金會[4]（Internet Freedom Foundation）等單位對於本草案都提出質疑，認為本草案會阻礙數位市場創新，且印度的數位市場尚未成熟，貿然實施會損害印度的數位競爭力，阻礙對印度的數位投資。 40家印度新創公司發表聲明[5]支持本草案的推動，認為事前管制可以遏止Big Tech的反競爭行為，解決新創公司所擔心的發展問題，為新創環境提供空間。同時新創公司擔心門檻過低，阻礙非重要企業的發展，應提高門檻針對佔據主導地位的企業。 我國的數位市場政策仍有立法空間，該傾向管制市場或是鼓勵創新投資需要考量我國數位市場成熟度、規模、影響力等要素，印度已經跨出數位市場治理第一步，我國應持續追蹤各國法制政策，以滾動調整、擬定適合我國的數位市場政策。 [1] MINISTRY OF CORPORATE AFFAIRS, Report of the Committee on Digital Competition Law 27 (2024). [2] Comments to the Indian Ministry of Corporate Affairs Regarding Digital Competition Law, INFORMATION TECHNOLOGY & INNOVATION FOUNDATION, https://itif.org/publications/2024/05/15/comments-to-the-indian-ministry-of-corporate-affairs-regarding-digital-competition-law/ (last visited June 25, 2024). [3] India Should Question Europe’s Digital-Regulation Strategy, Truth on the Market, https://truthonthemarket.com/2024/04/12/india-should-question-europes-digital-regulation-strategy/?_gl=1*1mrmph7*_ga*MTI0MTU5NTkwMS4xNzE4MzM2OTUz*_ga_R1FRMJTK15*MTcxODMzNjk1Mi4xLjAuMTcxODMzNjk2MS4wLjAuMA. (last visited June 25, 2024). [4] Summary of IFF’s submission on the draft Digital Competition Bill, Internet Freedom Foundation, https://internetfreedom.in/iffs-submission-on-the-digital-competition-bill/ (last visited June 25, 2024). [5] 40 Indian Startups urge MCA to move forward with Digital Competition Bill; 'not give in to delaying tactics by Big Tech', STORYBOARD18, May 16, 2024, https://www.storyboard18.com/digital/40-indian-startups-urge-mca-to-move-forward-with-digital-competition-bill-not-give-in-to-delaying-tactics-by-big-tech-31771.htm (last visited June 25, 2024).
日本政府將於東京都及愛知縣成立「自駕車實證一站式中心」日本政府於2017年9月4日所召開之國家戰略特區區域會議(下稱戰略區域會議)，決定由政府、東京都及愛知縣，共同成立「自駕車實證一站式中心」，協助企業及大學之自駕車相關實證研究。在自動駕駛實驗開始前，中心接受道路交通法等各程序相關諮詢，必要時可將相關程序以其他方式置換，將複數程序整合為一，推動相關實驗。 戰略區域會議並決定將窗口設置於東京都及愛知縣，欲進行實驗之企業可至前述窗口諮詢，東京都及愛知縣應與相關省廳及所管轄之警察、交通部門進行協調，並將所需之資訊彙整後回覆予企業，如此一來，企業可減輕實驗前繁瑣程序所帶來之負擔，進而降低啟動實驗之門檻。 東京都小池百合子知事於會後向記者們表示「自駕系統於汽車產業中，已是國家間之競爭」，且東京都將致力於「沙盒特區」體制之推動，於必要時可暫時停止相關現行法規之限制。愛知縣大村秀章知事則期待「透過實證實驗累積技術，促使愛知縣能維持引領世界汽車產業聚集地之地位」。 針對上述特區的設置，未來實際落實情況以及法規排除作法與範圍，值得我國持續投入關注。