EDPS發布「評估限制隱私權和個人資料保護基本權利措施之比例指引」
歐盟資料保護監督機關（European Data Protection Supervisor, EDPS）於2019年12月19日發布「評估限制隱私權和個人資料保護基本權利措施之比例指引」（EDPS Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data），旨在協助決策者更易於進行隱私友善（privacy-friendly）之決策，評估其所擬議之措施是否符合「歐盟基本權利憲章」（Charter of Fundamental Rights of the European Union）關於隱私權和個人資料之保護。
該指引分為三大部分，首先說明指引的目的與如何使用；第二部分為法律說明，依據歐盟基本權利憲章第8條所保護個人資料的基本權利，並非絕對之權利，得於符合憲章第52條（1）之規定下加以限制，因此涉及處理個人資料的任何擬議措施，應進行比例檢驗；指引的第三部份則具體說明決策者應如何評估擬議措施之必要性和比例性之兩階段檢驗：
- 必要性檢驗（necessity test）
（1） 步驟1：初步對於擬議措施與目的為詳細的事實描述（detailed factual description）。
（2） 步驟2：確定擬議措施是否限制隱私保護或其他權利。
（3） 步驟3：定義擬議措施之目的（objective of the measure），評估其必要性。
（4） 步驟4：特定領域的必要性測試，尤其是該措施應有效（effective）且侵害最小（the least intrusive）。
若前述評估認為符合必要性，則接續比例性檢驗，透過以下4步驟評估：
- 比例性檢驗（proportionality test）
（1） 步驟1：評估目的正當性（legitimacy），擬議措施是否滿足並達到該目的。
（2） 步驟2：擬議措施對隱私和資料保護基本權的範圍、程度與強度（scope, extent and intensity）之影響評估。
（3） 步驟3：繼續進行擬議措施之公平對等評估（fair balance evaluation）。
（4） 步驟4：分析有關擬議措施比例之結果。
科技時代的決策者在立法和政策擬定時，面臨的問題愈趨複雜，需要全面性評估，擬議措施限制應符合歐盟法規，且具必要性並合於比例，隱私保護更是關鍵，參酌該指引搭配EDPS於2017年發布之「必要性工具包」（Necessity Toolkit），將使決策者所做出的決策充分保護基本權利。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
孫鈺婷
專案經理 編譯整理
1. EDPS publishes new Proportionality Guidelines aimed at making privacy-friendly policymaking easier, EDPS, https://edps.europa.eu/press-publications/press-news/press-releases/2019/edps-publishes-new-proportionality-guidelines_en (last visited Dec. 24, 2019).
2. Assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data, EDPS, https://edps.europa.eu/data-protection/our-work/publications/guidelines/assessing-proportionality-measures-limit_en (last visited Dec. 24, 2019).
3. EDPS Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data, EDPS, https://edps.europa.eu/sites/edp/files/publication/19-12-19_edps_proportionality_guidelines_en.pdf (last visited Dec. 24, 2019).
4. Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit, EDPS, https://edps.europa.eu/sites/edp/files/publication/17-06-01_necessity_toolkit_final_en.pdf (last visited Dec. 24, 2019)
2021年7月13日，美國俄亥俄州（下稱俄州）副州長Jon Husted宣布推出《俄州個人隱私法》（Ohio Personal Privacy Act, OPPA，下稱本法），這是美國近期最新州級別的個人隱私保護法草案，並提出企業可資遵循隱私標準俾該州消費者隱私之保護。 首先，本法草案除賦予該州消費者知悉權、近用權、刪除權外，更賦予資料銷售退出權（right to opt out sales）及不受歧視權（right to discrimination）。並於俄州境內規範三種企業：（一）年營收逾2,500萬美元；（二）單一年度內經手10萬名以上消費者個資；（三）年營收半數源自於個人資料銷售且經手2.5萬名以上消費者個資。 惟所稱企業，排除如：州立機關或機構、受管制之金融機構及其附屬單位、實體或關係組織、高等教育機構等；至所稱消費者個資，則排除如：法規保護之個資（如健康資訊及紀錄、病患辨識資訊、人類受試者之個資及相關資訊、病患安全工作成果、個人信用等）、依法（如駕照法、家事法、醫療法及本法等）所得個資或依法授權得使用於公衛之資訊等。 特別的是，如企業違反本法，消費者並無獨立訴訟權，其執法權專屬州總檢察長。因此，如本法日後通過並施行，無論對俄州企業抑或消費者權益之影響，均有待觀察。
RFID應用發展與相關法制座談會紀實 解析生技製藥研發成果涉及智慧財產保護之新課題 資訊揭露與市場競爭評估–研析英國水平協議指引中之資訊交換資訊揭露與市場競爭評估– 研析英國水平協議指引中之資訊交換 資訊工業策進會科技法律研究所 2023年09月23日 英國競爭與市場管理局（Competition and Markets Authority，CMA）於2023年8月16日發布《1988年競爭法第一章禁令適用於水平協議之指引》（Guidance on the application of the Chapter I prohibition in the Competition Act 1998 to horizontal agreements，以下簡稱CMA水平協議指引），以規範實際或潛在競爭者間之協議[1]。CMA水平協議指引提供事業擬定協議內容的參考，事業間於業務合作的同時，亦能符合法遵之要求，以維護市場公平競爭。 壹、事件摘要 英國CMA水平協議指引解釋競爭法之適用，尤其是《1998年競爭法》（Competition Act 1998，CA98）第1章禁止水平協議。2023年1月1日，《1998年競爭法（專業協議集體豁免）2022年指令》（SABEO）與《1998年競爭法（研發協議集體豁免）2022年指令》（R&D BEO）生效，於2023年8月16日發布之CMA水平協議指引，協助事業評估特定類型的水平協議是否受益於SABEO和R&D BEO，和遵守競爭法之相關規範[2]。申言之，CMA水平協議指引協助事業評估其所簽訂之協議內容，是否屬於法規範豁免之類型，且合乎競爭法之規定。 CMA水平協議指引說明研發協議[3]、生產協議[4]、採購協議[5]、商業化協議[6]和標準化協議[7]之適用與範例。鑒於大數據分析與機器學習需使用大量的資料；而大數據分析的結果，或機器學習的應用，將影響決策的形成，資訊交換因而更顯重要[8]，CMA水平協議指引亦引導事業為合理的資訊交換。 資訊交換不僅為競爭市場的共同特徵，在一般的情形亦有利於消費者；例如資訊交換有助於解決資訊不對等而提升市場效率，事業能藉由比較最佳實踐方案，以提高內部效率；能減少庫存以節省成本，並處理不穩定的需求；或藉由演算法以開發新的產品或服務；[9]或減少搜尋成本，以提供消費者利益[10]。依據實際情況，資訊交換可以是有利於競爭，競爭中立或限制競爭[11]。換言之，競爭市場中適當的資訊交換，有助於事業降低成本，提升效率。 貳、重點說明 CMA水平協議指引第8章為資訊交換（Information Exchange），目的即在指導事業為資訊交換的競爭評估[12]。資訊交換是否會引發限制競爭之效應，取決於市場的特性，包含[13]： （1）市場透明度：越透明的市場，競爭之不確定性越小[14]。 （2）市場集中度：若市場中僅有少數事業，則易於達成共識，與控制市場偏差。若市場高度集中，則訊息的交換，將有助於事業了解競爭者的市場地位和策略，而扭曲競爭，甚而增加共謀（collusion）的風險；若市場分散，則競爭者間資訊的傳播與交換，對市場而言，可能為競爭中立或有利於競爭[15]。 （3）參進障礙：此使外部競爭者無法破壞市場中的共謀結果（collusive outcome）[16]。 （4）市場穩定度：在供需穩定的市場，亦可能有共謀的結果；而需求的波動、市場中事業內部的大幅成長、新事業的參進、顛覆性創新（disruptive innovation），均可能顯示市場的穩定度不足，需提升交流，以促進競爭[17]。 競爭對手間的資訊交換，依據共享資訊的內容、目的、法律與經濟背景，可能為侵權而應受限制。包含與競爭對手交換事業目前或未來的訂價方向、生產能力、商業策略、針對需求的規劃，對未來銷售的預測，和在特定市場上的財務狀況與經營策略[18]，提供價格資料而能預測事業未來的行為，和與競爭對手交換潛在參進者所提出之計畫要點[19]。申言之，事業應避免資訊所生之侵權行為；並需考量市場的特性，以評估資訊交換對競爭之限制。 參、事件評析 CMA水平協議指引第8章，提供事業間交換資訊的相關建議。為提升資訊交換對市場的效益，以資訊內容而言，事業須考量資訊交換的目的，以及藉由收集資訊、確認資訊交換的參與者係使用其具有所有權的原始資料、使用歷史資訊、僅交換與達到目標相符且必要的資訊，而能減少具有商業敏感性質的內容[20]。換言之，事業須避免機敏資料的流通，並具有使用資料的權限。 以資訊應用的角度，事業應採取措施，以控制資訊的交換與使用，包含減少頻繁的交換，以特定團隊（clean team）或信託方式進行資訊交換，或使用資料池（data pool）以確認近用資料之所有權[21]。亦即事業須確認資料的來源，與交換資料的相對人，並能管理資料流通的過程。 綜上所論，足夠的資料量，使大數據分析的結果能充分反映市場的實際需求，事業的決策和布局亦更為準確，適當的資訊交換有助於提升事業的市場競爭力。CMA水平協議指引協助事業評估資訊交換對競爭之影響，事業之資訊管理，除內部資訊之維護外，亦包含外部資訊之交換，如資訊交換之必要性，與資訊近用之權限、方式等，或可提供臺灣事業參考。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]Guidance on Horizontal Agreements, GOV. UK, Competition and Markets Authority, https://www.gov.uk/government/publications/guidance-on-horizontal-agreements (last visited Aug. 23, 2023). [2]CMA COMPETITION & MARKETS AUTHORITY, Guidance on the application of the Chapter I prohibition in the Competition Act 1998 to horizontal agreements, CMA184 (Aug. 2023), 6, at 6, https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1178791/Horizontal_Guidance_FINAL.pdf (last visited Sept. 01, 2023). [3]Id., at 35 below. [4]Id., at 83 below. [5]Id., at 124 below. [6]Id., at 145 below. [7]Id., at 203 below. [8]Id., at 165. [9]Id. [10]Id., at 166. [11]CMA Competition & Markets Authority, supra note 8. [12]Id. [13]Id., at 188. [14]Id. [15]Id., at 188-189. [16]Id., at 189. [17]Id. [18]Id., at 190. [19]Id., at 191. [20]Id., at 201. [21]Id.