歐盟法院裁決：網站「預先選取同意」不構成ePrivacy Directive及GDPR合法有效的同意
歐洲聯盟法院（CJEU）2019年10月1日對Planet49案（Case C-673/17）作出裁決。Planet49 GmbH為線上遊戲公司，用戶必須註冊並填寫姓名、地址等資料，點擊「參加」鍵後，會出現兩個選項框，一為「同意接收贊助商及合作夥伴的廣告訊息」，用戶必須勾選此一選項始可參加；另一選項框是「同意將用戶的Cookies用於廣告目的與分析」，此一選項已被預先勾選，而用戶可以取消勾選；在選項旁附有說明（如Cookie的用途等），並告知用戶可以隨時刪除所設置的Cookie。
歐盟法院針對《電子通訊隱私指令》（ePrivacy Directive, ePD）以及《一般資料保護規則》（General Data Protection Regulation, GDPR）進行闡明，重點如下：
一、ePD所要求對於Cookie儲存與使用的「同意」必須符合GDPR的「同意」原則，必須是當事人自願、具體、知情且明確的同意，本案「預先勾選同意」不構成有效同意。
二、「同意」必須特定對象，而不能藉由其他標的加以包裝、暗示，用戶點擊「參加遊戲」不能代表「Cookie的同意」。
三、ePD是對於用戶資料儲存與取得的保護，不論是否涉及「個人資料」均有ePD的適用，而必須取得用戶同意。
四、對於Cookie的使用必須清楚揭露，包括Cookie用途、運作期間、第三方是否有機會取得此一資訊等，以確保用戶確實了解其所為「同意」的內容與範圍。
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 美國聯網車監管制度與合規實務說明會
楊皓勻
副法律研究員 編譯整理
1、ECJ Case C-673/17, Planet49 GmbH v. Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (2019), http://curia.europa.eu/juris/document/document.jsf?text=&docid=218462&pageIndex=0&doclang=EN&mode=req&dir=&occ=first&part=1&cid=1388757 (last visited Oct. 22, 2019).
2、ALLEN & OVERY, Cookies consent does not escape the GDPR: CJEU issue decision in the Planet49 case (2019), http://www.allenovery.com/publications/en-gb/Pages/cookies-consent-does-not-escape-the-gdpr.aspx (last visited Oct. 22, 2019).
3、Lennart Schüßler & James Fenelon, Planet49: CJEU Rules on Cookie Consent (2019), https://www.twobirds.com/en/news/articles/2019/global/planet49-cjeu-rules-on-cookie-consent (last visited Oct. 22, 2019).
ePrivacy指令修正背景 原資料保護指令將於2018年由一般資料保護規則所取代，在此一背景下，電子隱私指令除補充資料保護指令外，亦訂定關於在電子通訊部門的個人資料處理的具體規則。具體作法，如在利用流量和位置資訊於商業目的之前，應徵得用戶的同意。在ePrivacy指令未特別規定的適用對象，將由資料保護指令（以及未來的GDPR）所涵蓋。如，個人的權利：獲得其個人資料的使用，修改或刪除的權利。 歐盟執委會為進行ePrivacy指令（Richtlinie über den Datenschutz in der elektronischen Kommunikation）改革，於2016年8月4日提出意見徵詢摘要報告，檢討修正ePrivacy指令時著重的的幾個標的： (1)確保ePrivacy規則與未來的一般資料保護規則之間的一致性。亦即評估現有規定是否存在任何重複、冗餘、不一致或不必要的複雜情況。（如個人資料洩漏時的通知） (2)指令僅適用於傳統的電信供應商，而在必要時應該以新市場和技術的現實的眼光，重行評估更新ePrivacy規則。對於已成為電子通信行業新興創新的市場參與者，如：提供即時通訊和語音通話（也稱為“OTT供應商”），由於目前不需要遵守ePrivacy指令主要規定，而應納入修正對象。 (3)加強整個歐盟通訊的安全性和保密性。ePrivacy指令在規範上，確保用戶的設備免受侵入、確保通信的安全性和保密性。本指令第5條第3項，儲存資訊、或近用已存儲在用戶設備之資訊，需得其的同意。該條款的有效性已有爭論，因為新的追踪技術，如：指紋識別設備可能無法被現有的規則所涵攝。最後，有認需得同意的例外規定列表，有必要延伸到對資訊之其他非侵入性的儲存/近用：如網路分析等。這些都是應予以仔細評價和檢視之對象。 公眾諮詢摘要報告內容 經過4月13日到7月5日的公眾諮詢，歐盟執委會於8月4日提出報告。 諮詢意見主要來自德（25.9%）、英(14.3%)、比(10%)、法(7.1%)的回覆。 一、是否有必要在電子通訊部門訂定隱私特別規定？ 市民與公民團體咸認有必要在電子通訊部門，甚至流量資料和位址資訊也應該訂定新規（83%）、企業則認為無甚需要，只有在秘密性規則（31%）與流量資料（26%）有需要訂定；主管機關則咸認需要特別規定。 二、現行指令是否已足達成其立法目的？76%市民和公民團體認為未達立法目的，理由如下： ePrivacy指令的範圍太狹小，不包括即時訊息、語音通話（VoIP）和電子郵件應用服務。 規範太模糊，導致會員國之間適用結果和保護程度的差異、不一致。 法律遵循的程度展法程度太差。 三、是否應為新通訊服務訂定新規？ 76%市民和公民團體認為適用範圍應該涵蓋到OTT上。
美國交通部提出自駕車全面性計畫，以促進自動駕駛系統規範環境之整合、透明性與現代化美國聯邦運輸部（US Department of Transportation）於2021年1月11日發布「自駕車全面性計畫（Automated Vehicles Comprehensive Plan, AVCP）」，建立了交通部促進合作、透明性與管制環境現代化，並將自動駕駛系統（Automated Driving Systems）安全整合入交通系統之策略。基於過去「自駕車政策4.0」建立之原則上，自駕車全面性計畫定義了三個目標以達成其願景： 促進合作與透明性：交通部將會促進其合作單位與利益相關人可取得清楚且可靠之資訊，包含自駕系統的能力與限制。 使管制環境現代化：交通部將會現代化相關規範並移除對創新車輛設計、特性與運作模組之不必要障礙，並發展專注於安全性之框架與工作以評估自駕車技術的安全表現。 運輸系統之整備：交通部將會與利害相關人合作實施安全的評估與整合自駕系統於運輸系統之基礎研究與行動，並促進安全性、效率與可取得性。 政策文件中也就相關目標提出了關鍵目的以及行動，包含先前交通部所提出的「自駕系統安全性框架（Framework for Automated Driving System Safety）」草案，將透過建立框架定義、評估並提供自駕系統的安全性需求，並同時保留創新發展之彈性；另外此政策文件也提出了如何將自駕系統融合現有技術應用之實際案例。交通部將會定期的檢視相關行動與計畫，以反應技術與產業發展，並減少重複性之行動，並將資源投注於重要領域。
歐盟更新資料法問答助釐清適用範圍，企業宜因應調整資料管理機制歐盟委員會（European Commission）於 2025年2月3日因應將於2025年9月12日施行的資料法（Data Act），就其常見問題說明進行補充與更新為1.2版（Frequently Asked Questions on the Data Act，下稱FAQs），以協助企業面對資料法施行後的挑戰。 於新版FAQs中就資料法進行補充說明，以助企業了解資料法之適用範圍，就資料法所稱之聯網裝置與服務，聯網裝置泛指可以連上網路的裝置，包含智慧型手機，並僅限於由使用者所擁有的聯網裝置，另就聯網服務則須具備雙向資料傳遞且須與聯網產品的操作功能有影響之服務。 就資料持有者有義務提供之資料適用範圍，僅限於聯網裝置與相關服務所產出的原始資料與預處理資料（原始但可用），資料持有者就原始資料或預處理資料進行加值所產生資料，如經分析所產生之衍生資料、經投入重大資源進行清理之資料等，則不在共享義務之範圍內，另就資料的內容有其他法律保護亦不在資料法的範疇中，如網路攝影機之照片/影片有受著作權法保護係屬於資料內容，網路攝影機之使用模式/電池狀態/照明強度等資料才是資料法所規範之資料，惟須留意若影像之內容非屬著作權保護之標的，如網路攝影機因具感測功能而自動就影像判斷是否異常現象或提供建議，此類影像因不具人類創意而不受著作權保護，仍屬資料法所涵蓋範圍。 於FAQs之解釋中，就資料法實際操作與預期有所差異，歐盟委員會後續亦會整合與數位資料相關之法規，如建立資料聯盟策略（Data Union Strategy），以助於企業促進數位資料的使用與共享。國內廠商若有提供歐盟客戶相關聯網設備與服務時，須留意內部資料管理制度能否滿足資料法要求，確保組織有因應相關法規議題的變化進行制度的變更，如何將外部議題與資料管理制度連結，可參資策會科法所創意智財中心就數位資料管理機制所公布之《重要數位資料治理暨管理制度規範（EDGS）》，將組織營運所在國別之法規範變動納入關注之外部議題，並設定對應之資料政策與目標，建立符合法令規範之資料管理制度，如是否得以識別為資料法所適用之資料等，以確保組織資料管理機制符合法令要求。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
數位創作透過非同質化代幣（NFT）交易之智財侵權風險數位創作藉由區塊鏈轉化為具獨特性之加密貨幣─非同質化代幣（non-fungible token，後稱NFT），仿佛數位創作者對創作成品簽名落款或標示出處來源，NFT也因此解決數位創作成品之來源與真偽驗證等問題，使其有如傳統的藝術作品更具收藏價值也更有利於在市場中交易，然而在此數位創作成為新型態數位收藏標的之同時，潛藏的智慧財產議題也衍生而出。 儘管NFT解決數位創作之產出來源等驗證問題，卻無法確保該NFT交易標的是否抄襲其他擁有著作權保護之創作。當收藏者轉售購入之數位創作時，便有可能構成販售侵權作品，根據美國著作權法第504條（c）項所列之賠償金額在750美元以上至3萬美元以下，甚至故意侵權賠償15萬美元。因此，如同一般傳統藝術交易，在NFT投資或收藏交易前，建議先對創作者或藝術家進行相關調查，甚至可諮詢法律顧問以確保交易標的智財狀況；此外，當交易標的屬戲謔創作時，則建議評估相對應之投資風險。 而數位創作之形式相當多元，除了數位影像、數位相片外，也含括社群媒體產出之網路迷因（meme）、虛擬圖片影像等，過去因為易於大量複製流傳而無法追溯原始創作者，如今在區塊鏈技術轉化下使前述類型之數位創作產出皆可能成為NFT交易標的。例如，今（2021）年三月美國數位藝術家Beeple於佳士得拍賣透過NFT將其作品〈每天：最初的五千天〉（Everydays: The First 5000 Days）以超過6,900萬美元的價格售出；Twitter共同創辦人Jack Dorsey以290萬美元透過NFT售出其第一則推文；此外，2011年在Youtube爆紅的像素影片〈彩虹貓〉（Nyan Cat）與2007年的英國小兄弟生活紀錄〈查理咬我的手指〉（Charlie Bit My Finger）等也透過NFT分別以超過50萬美元與超過76萬美元的金額售出。此外，根據比特幣交易所CoinDesk統計，NFT銷售額在今年上半年達到24.7億美元，反觀去年同期的1,370萬美元，NFT成了難以忽視的活絡產業。