歐盟法院裁決：網站「預先選取同意」不構成ePrivacy Directive及GDPR合法有效的同意
歐洲聯盟法院（CJEU）2019年10月1日對Planet49案（Case C-673/17）作出裁決。Planet49 GmbH為線上遊戲公司，用戶必須註冊並填寫姓名、地址等資料，點擊「參加」鍵後，會出現兩個選項框，一為「同意接收贊助商及合作夥伴的廣告訊息」，用戶必須勾選此一選項始可參加；另一選項框是「同意將用戶的Cookies用於廣告目的與分析」，此一選項已被預先勾選，而用戶可以取消勾選；在選項旁附有說明（如Cookie的用途等），並告知用戶可以隨時刪除所設置的Cookie。
歐盟法院針對《電子通訊隱私指令》（ePrivacy Directive, ePD）以及《一般資料保護規則》（General Data Protection Regulation, GDPR）進行闡明，重點如下：
一、ePD所要求對於Cookie儲存與使用的「同意」必須符合GDPR的「同意」原則，必須是當事人自願、具體、知情且明確的同意，本案「預先勾選同意」不構成有效同意。
二、「同意」必須特定對象，而不能藉由其他標的加以包裝、暗示，用戶點擊「參加遊戲」不能代表「Cookie的同意」。
三、ePD是對於用戶資料儲存與取得的保護，不論是否涉及「個人資料」均有ePD的適用，而必須取得用戶同意。
四、對於Cookie的使用必須清楚揭露，包括Cookie用途、運作期間、第三方是否有機會取得此一資訊等，以確保用戶確實了解其所為「同意」的內容與範圍。
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
楊皓勻
副法律研究員 編譯整理
1、ECJ Case C-673/17, Planet49 GmbH v. Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (2019), http://curia.europa.eu/juris/document/document.jsf?text=&docid=218462&pageIndex=0&doclang=EN&mode=req&dir=&occ=first&part=1&cid=1388757 (last visited Oct. 22, 2019).
2、ALLEN & OVERY, Cookies consent does not escape the GDPR: CJEU issue decision in the Planet49 case (2019), http://www.allenovery.com/publications/en-gb/Pages/cookies-consent-does-not-escape-the-gdpr.aspx (last visited Oct. 22, 2019).
3、Lennart Schüßler & James Fenelon, Planet49: CJEU Rules on Cookie Consent (2019), https://www.twobirds.com/en/news/articles/2019/global/planet49-cjeu-rules-on-cookie-consent (last visited Oct. 22, 2019).
考量各行各業的從業習慣及民眾對企業蒐集、使用、揭露永久居留證(National Registration Identification Card, NRIC)號碼之看法，新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年11月提議修改個人資料保護法的諮詢指引(Advisory Guidelines on the Personal Data Protection Act )，明確界定企業蒐集、使用、揭露NRIC及其號碼之範圍。 依據舊的諮詢指引，新加坡個人資料保護法允許企業在基於合理特定目的並依法獲得當事人有效同意之情況下，蒐集、使用或揭露NRIC號碼。因此，不少企業活動習慣蒐集利用民眾的NRIC號碼，包括零售商店所舉辦的抽獎活動。然而，在PDPC提出新的諮詢指引後，企業可蒐集利用NRIC號碼的情況受到大幅限縮。 由於NRIC號碼與個人資訊息息相關且具不可取代性，無差別地蒐集利用將增加資料被用以從事非法活動之風險，故新的諮詢指引闡明，原則上企業不應蒐集、使用或揭露個人NRIC號碼或複印NRIC，除非有下列兩種例外情況之一：(一)法律要求；(二)為確實證明當事人身分所必要。第一種例外情況，雖因法律要求無須取得當事人同意，但企業仍應踐行告知義務，使當事人知悉NRIC號碼被蒐集、使用或揭露之目的，並確保企業內已採行適當安全措施，防止NRIC號碼被意外洩漏。第二種例外情況則仍須就NRIC號碼的蒐集、使用或揭露取得當事人同意，除非符合個人資料保護法規定下毋庸取得當事人同意之例外(如急救等緊急狀況)。 此外，PDPC針對得蒐集、使用或揭露NRIC號碼或複印NRIC的情況，以情境案例方式於諮詢指引中說明供企業參考，另給予12個月的審視期間，使企業得修正組織內部政策並尋找可行替代方案。
巴西基因改造科技管理法制簡介 美國明尼亞波利斯市禁止政府部門使用人臉辨識技術美國明尼蘇達州明尼亞波利斯市的市議會鑑於人臉辨識技術有可靠性的疑慮，以及對有色人種有潛在的傷害，該議會於2021年2月12日通過修正《明尼亞波利斯條例》（Minneapolis Code of Ordinances）關於資訊治理（Information Governance）的部分，新條例規定除有例外情形，禁止政府部門採購人臉辨識技術及使用從該技術獲得之資訊。明尼亞波利斯是繼波士頓、舊金山、奧克蘭等，新加入禁用人臉辨識技術的城市。 新條例是由該市市議會議員Steve Fletcher倡議，其指出市民擔心在未得其同意時使用人臉辨識技術進行監視，是否會侵害市民的隱私權。此外，根據研究亦顯示人臉辨識技術仍存在瑕疵，尤其是辨別婦女、兒童和有色人種的錯誤率相當高，而不正確的識別，恐怕讓弱勢者受到更不利的對待。 明尼亞波利斯市以明尼蘇達州《明尼蘇達政府資料應用法》（Minnesota Government Data Practices Act）中所定資料隱私原則，作為制定新條例的基礎，規定在蒐集有關個人資料時應考慮並重視個人隱私，包含僅在具備理由時始得蒐集資訊，並且就蒐集的內容與原因保持透明。再者，新條例要求在市議會設置專門的委員會，市政府應向該委員會提出書面報告，說明新條例遵守的情形，以及追蹤及報告違反的情形及賠償措施。惟隨著技術和情事的變化，政府部門可能有使用人臉辨識技術的需求，就此，新條例規定政府部門需向市議會解釋使用該技術的必要性、說明如何使用該技術及所獲取之資訊、對技術及所獲取之資訊進行監管的計畫，市議會依規定應召開公聽會。若例外情形符合消除歧視、保護隱私、透明與公眾信任的目標，市議會則可同意政府部門使用人臉辨識技術，或要求政府部門修正前述監管計畫，作為市議會同意的條件。
南韓個人資料保護委員會宣布通過修訂個人資料保護法施行法2024年3月6日，南韓個資保護委員會（Personal Information Protection Commission, PIPC）宣布通過個人資料保護法施行法（Enforcement Decree of the Personal Information Protection Act, PIPA Enforcement Decree）修正案，並於2024年3月15日正式實行。 本次修法重點如下： 1.明訂個資主體可要求公開自動化決策過程之權利及應對不利結果時可採取之措施 針對使用AI等自動化系統處理個資並做出的自動化決策，個資主體（即，個人）有權要求解釋決策過程並進行審查，尤其當決策結果對個資主體權益有重大影響時（例如：不通過其社福補助申請），個資主體可拒絕自動化決策結果，並要求改為人為決策及告知重新決策結果。另為確保透明、公平，自動化決策依據的標準與程序亦須公開，並於必要時向公眾說明決策過程。 2.確立隱私長（Chief Privacy Officers, CPOs）的資格要求及適用範圍 為確保CPO能順利開展個資保護工作，要求處理大量或敏感個資機關之CPO至少具有4年個資、資安相關經驗，且個資經驗至少2年。適用機關包括：年營業額達1,500億韓元以上、處理超過100萬人個資或超過5萬人特種資料者；學生超過2萬人的大學；處理大量特種個資的教學醫院或大型私人醫院等；疾管局、社福、交通、環保等公共系統運營機構。 3.明訂評估公共機構個資保護效能之標準及程序 依據個資法第11-2條規定，PIPC每年需對公共機構（如：中央行政機關及其所屬機關、地方政府及總統令規定者）進行個資保護程度評估，而為使評估作業有所依循，本次新增評估標準及相關程序包括：政策和業務表現及其改進情形、管理體系適當性、保護個資措施及執行情形、防範個資侵害及確保安全性措施及執行情形等。 4.調整需要承擔損害賠償責任的適用範圍及門檻 為確保機關履行個資主體損害賠償責任，將需履行投保保險等義務之適用範圍由網路業者擴大至實體店面及公共機構等。同時，調整適用門檻，將年銷售額由5千萬韓元調整為10億韓元、個資主體數由1千人調整為1萬人，以減輕小型企業負擔。另亦明訂可豁免責任的對象包括：不符合CPO資格的公共機構，公益法人或非營利組織，及已委託給已投保保險之專業機構的小型企業。 PIPC另將公布一份指引草案，內容包括自動決策權利、CPO資格要求、公共機構個資保護評估標準、賠償責任保障制度等，並舉行說明會來收集回饋意見。