歐盟執委會於2020年11月10日對Amazon發佈反托拉斯調查之初步調查結果,針對其2019年7月之首次調查提出調查意見書(Statement of Objections, SO),認定Amazon使用大量非公開賣家資料,減少自身作為零售商之競爭風險,相關可能違反歐盟運作條約(TFEU)第102條禁止濫用市場主導地位。
歐盟於2019年7月17日對Amazon展開首次反托拉斯調查。Amazon作為平台,具有雙重身分,第一個身分是作為零售商,在網站上銷售商品;第二個身分是作為平台商,提供第三方賣家銷售商品的市場。因此歐盟認為Amazon在平台上收集價格或活動統計資料,將調查Amazon和第三方賣家的標準協議中,是否允許Amazon分析賣家的買賣統計資料?以及第三方賣家使用「黃金購物車」(Buy Box)的機制為何?
歐盟執委會調查說明,Amazon作為平台,可以大量使用第三方賣家資料,例如訂購及發貨數量、賣家收入、報價次數、物流資料、賣家表現評價、消費者索賠資訊等。然而相關統計數字及資料進入Amazon業務自動化系統,使Amazon零售業務可以大量使用上述非公開資料,以調整自身產品零售報價和業務決策,降低自身作為零售商的市場競爭風險。
此外,歐盟執委會認為,Amazon的「黃金購物車」和「Prime label」機制,使平台上的第三方賣家必須選擇使用Amazon物流、倉儲和售後服務(Fulfillment by Amazon, FBA),才能取得平台的「黃金購物車」和「Prime label」標章,才可能增加產品搜尋曝光度、交易成功率,進而提高銷售量(據統計,Amazon平台超過八成之交易是透過黃金購物車完成)。因此導致消費者大多選擇購買曝光度高、也就是使用Amazon物流的賣家,形成賣家之間的不公平競爭。歐盟執委會後續將啟動第二輪調查,且未言明結束調查時間。
本文為「經濟部產業技術司科技專案成果」
美國《健康保險可攜性及責任法》(HIPAA)係「保護個人電子醫療資訊隱私」的法規。其「受規範對象」(Covered Entity)為:使用電子方式傳送任何醫療資訊的醫療計畫、健康資訊處理機構(Health Care Clearinghouses)或醫療照護提供者。2018年12月14日,美國衛生及公共服務部(下稱:官方)發表〈公眾意見徵詢書:修改HIPAA規則以促進整合醫療照護〉(Request for Information on Modifying HIPAA Rules to Improve Coordinated Care),擬修正方向如下: (一)促進醫療行為、整合醫療照護、專案管理的資料分享 HIPAA原先僅允許受規範機關在醫療行為、支付、營運中揭露受保護健康資訊(PHI)。然而,這並不包含醫療照護或專案管理。官方傾向修法讓醫療照護或專案管理成為允許揭露PHI的情形。同時,也希望修法讓PHI的取得更具時效性,以利於病歷在受規範對象間的流通。 (二)推動親友參與解決當事人鴉片類藥物成癮和精神疾病問題 HIPAA允許受規範對象在特定條件下,向照護者(Caregiver)揭露PHI,包含緊急狀況,也包含嚴重的精神疾病。然而,許多受規範對象因為擔心違反HIPAA,而不願通知當事人的親友。這種狀況相當不利於整合醫療照護和專案管理的發展。目前官方尚未研擬出具體改善方法,希望外界可以提出方案。 (三)會計資料的揭露以存取報告代替 在當事人申請下,受規範對象或其商業夥伴應提供近六年內與PHI相關的會計資料。然而,許多受規範對象的系統無法分離出應提供給當事人的部分,只好提供整份會計資料,因而造成龐大負擔。官方擬修法,只提供當事人「存取報告」(Access Report),該報告會載明誰曾經存取電子紀錄。 (四)隱私權行為通知(Notice of Privacy Practices) 受規範對象在許多狀況下,需取得當事人隱私權行為通知的書面同意書,這次的修法希望可以減少書面同意,以利於受規範對象發展整合醫療照護。
美國通過基礎建設法案,加密貨幣之交易資訊應向國家稅務局申報於美國時間2021年11月15日,基礎建設法案(Infrastructure Investment and Jobs Act,以下稱基建法案)由美國總統拜登(Joe Biden)簽署後正式成為法律。依據白宮聲明,該法案旨在提供工作機會,改善港口與運輸以改善供應鏈,及其他關於美國基礎建設的投資等。此外該法案內容因涉及加密貨幣交易資訊申報議題,受到加密貨幣產業眾多矚目。 基建法案與加密貨幣產業有關者,主要是在美國國內稅收法典(Internal Revenue Code of 1986)第6050I與第6045條之既有規定中,分別將交易標的現金之定義新增數位資產(Digital Asset),及新增經紀商(Broker)之申報義務。所謂數位資產係以數位方式表彰一定價值,並透過加密保全的分散式帳本或其他類似技術所記錄之資產。經紀商認定範圍新增包括「關於任何為獲得報酬,而負責定期提供任何服務,代表他人實現數位資產轉移者」。法規生效後,任何價值超過10,000美元之交易訊息(諸如交易者姓名、社會安全號碼等資訊)應申報至美國國家稅務局(IRS),經紀商亦被要求申報其所經手交易至美國國家稅務局,新規範將適用於2023年12月31日後所應依法申報之文件。 區塊鏈技術去中心化的特性讓加密貨幣交易得以匿名化方式進行,然而新法一概將價值超過10,000美元的交易納入申報範圍。有論者認為,對於未建立身分驗證機制之小型平台業者、礦工以及散戶等經紀商或交易人,如何調整去匿名化之交易模式以遵循申報義務之法令,將是一大挑戰。綜上,新規範揭示政府將深化對於加密貨幣產業之監管,如何兼顧交易自由與交易秩序,將考驗著監管當局及業者之智慧。
歐洲法院對標準必要專利權人聲請禁制令之條件作出判決2015年7月16日歐洲法院(European Court of Justice)作對華為技術有限公司(以下簡稱華為公司)訴中興通訊股份有限公司(以下簡稱中興公司)侵權案作出判決,在判決中說明了向標準制定組織承諾以公平、合理及非歧視的原則(Fair, Reasonable, Non-discriminatory,以下統稱FRAND原則)對第三人授權之標準必要專利權人,在何情況下應依據《歐洲聯盟運作公約(Treaty on the Functioning of the European Union,以下簡稱TFEU)》第102條禁止濫用優勢地位的歐盟法一般規定,不得向法院聲請對被控侵害標準必要專利之人發出禁制令(injunction)。 歐洲法院認為,當標準必要專利權人承諾依據FRAND原則授權時,其已創造第三方對標準必要專利權人將以授權獲利,而非透過行使其排他權利而獲利之合理期待。因此標準必要專利權人必須以合理方法(包括通知被控侵權人侵害事實及表達願依FRAND原則與其達成授權契約之意願)與被控侵權方尋求達成授權契約,否則則構成優勢地位濫用。 至於被控侵權方雖無義務接受標準必要專利權人的要約以作為免除禁制令的條件,但仍應給予真誠並依據商業慣例的回應,包括(1)不拖延回覆;(2)即時提出新的書面要約;(3)被控侵權人正在使用標準必要專利且無法達成授權契約時,必須就其過去使用該專利之數量等依據商業慣例提供適當擔保;(4)雙方不拖延地接受由第三方來認定授權金額;(5)在進行授權協商時,被控侵權人不能挑戰標準必要專利的有效性、必要性或保留其後續相關權利。
世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準(ISDP)世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準(ISDP) 資訊工業策進會科技法律研究所 2026年07月25日 世界運動禁藥管制機構(World Anti-Doping Agency,下稱 WADA)於 2025 年 12 月 1 日至 5 日在韓國釜山舉行第六屆世界運動禁藥管制大會,通過《2027 年世界運動禁藥管制規約》及配套的各項國際標準。大會將 2009 年施行的《隱私與個人資訊保護國際標準》(International Standard for the Protection of Privacy and Personal Information,下稱ISPPPI)更名並改版為《資料保護國際標準》(International Standard for Data Protection,下稱ISDP),預計於 2027 年 1 月 1 日生效[1]。 壹、事件摘要 ISDP 是 WADA 世界運動禁藥管制計畫下的強制性國際標準,其第 1.0 條「導論與範圍」載明,本標準由 WADA 專家參考小組納入經濟合作暨發展組織(OECD)1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會《個人資料自動化處理之個人保護公約》(第 108+ 號公約)、亞太經濟合作(APEC)隱私保護綱領、《歐洲聯盟基本權利憲章》、歐盟《一般資料保護規則》(General Data Protection Regulation,下稱 GDPR),以及其他國際與區域資料保護規範及判例所擬定[2]。其目的在確保運動禁藥管制組織(Anti-Doping Organization,下稱 ADO;我國為財團法人中華運動禁藥防制基金會〔Chinese Taipei Anti-Doping Agency,CTADA〕)及其第三方代理人處理個人資料時,對運動員與運動員輔助人員採取適當、充分且有效的隱私保護。 貳、重點說明 ISDP 全文分為兩部分,第一部分為導論與範圍、規約相關條文及解釋,第二部分為個人資料處理標準,計第 4 條至第 12 條共九條,並附「附件 A:保存期間」。以下依規範定位、隱私始於設計、法律依據、資料分享與委外、安全維護,以及告知、保存與當事人權利六個層次,說明本次改版的重點與差異。 一、規範定位:以較嚴者為準 ISDP 就其與內國法的關係採「較嚴者為準」,要求高於 ADO 所在地資料保護法時,ADO 仍須遵循 ISDP(第 4.1 條);反之內國法要求更高時,ADO 應確保其處理符合所有適用法律(第 4.2 條)。問責面向則要求 ADO 能證明其個資處理確依本標準辦理,並以相應的內部政策與程序作為證明方法(第 4.3 條);另須指定專責人員負責遵循本標準及所有適用的隱私與資料保護法令,並將其聯絡資訊主動提供予當事人(第 4.4 條)。相較 2021 年 ISPPPI 僅要求當事人請求時提供該人員姓名與聯絡方式(2021 年版第 4.5 條),本次改版轉為主動揭露,並與第 8 條告知義務相互銜接。 二、隱私始於設計原則之操作化 本次改版新增第 5 條「落實隱私始於設計」(Implementing Privacy-by-Design),將散見的紀錄、風險評估與資料正確性義務整併: 1.在設計或改版階段及個人資料生命週期全程,評估處理活動是否符合 ISDP 第二部分各項標準,並就評估所發現的風險採行必要或適當的減輕措施,包括額外的安全控制與資料最少化等技術及組織措施(第 5.1 條); 2.維持並更新處理活動紀錄,載明處理目的、個人資料類型、當事人類別、可能受領人類別、ADO 與受領人的角色,以及所適用的技術與組織安全措施(第 5.2 條第 a 款); 3.評估並於必要時檢視處理所生的風險,並採行措施降低個人資料侵害及其他資料保護風險(第 5.2 條第 b 款); 4.處理特種個人資料時,應依適用隱私與資料保護法令及本標準所定特別保障或程序辦理(第 5.3 條); 5.採行措施確保所處理個人資料正確、完整並保持更新,對知悉不正確或不準確的個人資料應儘速更正或修正(第 5.4 條)。 三、處理的法律依據:同意非唯一,亦非絕對 ADO 處理個人資料的前提,是具備有效的法律依據,包括履行法定義務、執行公益任務、基於重大公共利益或公共衛生之必要、履行契約,或保護當事人重大利益(第 7.1 條第 a 款);於許可範圍內亦得以當事人同意為依據(第 7.1 條第 b 款)。而且除有依據之外,處理須限於相關且相稱的目的範圍;以同意為依據者,並有其要件與例外: 1.ADO 僅得於相關且相稱的範圍內,為《規約》或各項國際標準所許可的目的,或於法律、強制法律程序所要求,或為行使、防禦法律請求所必要時,處理個人資料(第 6.1 條);明文所列以外的處理並非一律禁止,但須進行資料保護風險評估,衡酌該處理對反禁藥工作的有效性,並採行所辨識的風險減輕措施後,始得為之(第 6.2 條);此為 2021 年 ISPPPI 所無的新增關卡。 2.以同意為依據者,該同意須屬知情、自願、特定且明確(第 7.1 條第 b 款);且應告知當事人拒絕同意可能招致的不利後果(第 7.2 條第 a 款)。 3.為展開或進行疑似違規的分析或調查、進行或參與相關程序、確立、行使或防禦法律請求,或遵循法律或強制法律程序所必要者,縱當事人拒絕或事後撤回同意,ADO 對其個資的處理仍可能屬必要,除適用法律另有禁止外不受影響(第 7.2 條第 b 款)。 4.以同意作為處理特種個人資料的依據時,須取得明示同意(第 7.3 條)。當事人因年齡、心智能力或法律承認的其他正當理由無法自行同意者,得由法定代理人、監護人或其他有權代理人代為同意,並代為行使第 12 條所定權利(第 7.4 條)。 四、資料分享與委外控制 ISDP 將 ADO 得與他人分享個人資料的情形限於三種:依《規約》或各項國際標準所許可的目的、依第 7 條取得當事人明示且有效的同意且不違反適用法律,或法律、強制法律程序所要求,或為確立、行使及防禦法律請求所必要(第 9.1 條)。除符合三種情形之一外,ADO 仍須遵守其他各項標準,特別是以受分享之人具知情必要、具備有效法律基礎且個人資料安全獲確保為前提,此並明文及於與執法機關、政府或其他機關的分享(第 9.2 條)。2021 年 ISPPPI 原僅就對其他 ADO 的揭露,要求受領方能證明其取得個資的權利、權限或需要(2021 年版第 8.2 條),本次改版將知情必要、法律基礎與安全確保三項要件一體適用於所有分享對象,並明文納入執法與政府機關,屬既有條文的增修與擴充。 於委由第三方代理人處理時,ISDP 要求 ADO 應選擇能就技術性與組織性安全措施提供充分保證的代理人(第 9.3 條第 a 款),並以適當的控制,包括契約與技術控制,保護所分享的個人資料,並確保代理人僅為 ADO 或在其受託、委任範圍內處理個資(第 9.3 條第 b 款)。 五、安全維護:知情必要與特種個資的更高門檻 ADO 應採行實體、組織、技術、環境等一切必要的安全保障措施,以防止個人資料侵害事件發生(第 10.1 條);就個人資料的內部管理,ISDP 並具體要求: 1.確保近用個人資料的人員符合知情必要、與其角色職責相稱,受完全可執行的契約或法定保密義務拘束,並已就保密必要與 ADO 的政策程序接受資訊提供及訓練(第 10.2 條); 2.安全措施應反映所處理個資的敏感程度,對特種個人資料採更高層級的安全措施,以對應其侵害對當事人所生的較高風險(第 10.3 條); 3.發生可能重大影響個人權利利益的侵害事件時,應於知悉侵害細節後不遲延告知受影響當事人,說明侵害性質、可能的負面後果與已採或將採的補救措施,並通知依第 4.4 條指定的專責人員,並保存侵害事件、其影響與補救作為的紀錄(第 10.4 條)。 六、告知、保存與當事人權利 ISDP 於告知、保存與當事人權利面向,課予 ADO 相當細膩的義務: 1.告知事項(第 8.1 條):涵蓋蒐集個資的 ADO 身分與依第 4.4 條指定人員的聯絡方式、可能處理的個資類型、利用目的、可能受領人類別(含 WADA 等 ADO 及可能位於運動員參賽、訓練或旅行所在他國的第三方代理人)、於適用法律許可下可能公開揭露的情形與情境(如違規處置的公開)、當事人依本標準或其他法律所享權利及行使方法、依第 12.5 條提出申訴的程序及向資料保護主管機關申訴的可能、儲存期間或其判斷標準,以及為確保處理公平所必要的其他資訊。 2.告知時點與方式(第 8.2 條、第 8.3 條):原則上應於蒐集前或蒐集時告知;自第三方而非直接自當事人取得個資者,除他方已告知外,應儘速且不遲延告知。告知可能危及反禁藥調查或損及反禁藥程序完整性者,得例外遲延或暫停,但須適當記載理由,並於合理可行時儘速提供。告知並須以當事人易於理解的方式與格式、清晰淺白的用語為之,並斟酌其年齡、相關障礙及當地慣行與具體情境。 3.保存期間(第 11 條及附件 A):附件 A 以「模組/資料類型」、「保存期間」、「說明」三欄呈現,並就基本與身分資料、行蹤申報、治療用途豁免(TUE)、檢測、實驗室與運動員生物護照管理單位(APMU)紀錄、結果管理、調查、教育八類紀錄模組訂定最長保存期間;落在附件 A 範圍外者,ADO 應自訂明確的保存期間或判斷標準(第 11.2 條)。個人資料一旦不再具正當理由即應刪除、銷毀或匿名化,特種個資的保存須具更強而有力的理由(第 11.3 條),並應訂定安全保存及最終銷毀或匿名化的計畫與程序(第 11.4 條)。保存期間僅於法律明文許可、法律或強制法律程序要求、有繫屬或可合理預期的違規、調查或其他法律程序、當事人明示有效同意,或附件 A 另有規定等情形,始得延長(第 11.5 條),且決定延長者須另行評估資料保護風險並採行減輕措施(第 11.6 條)。 4.賦予當事人查閱與申訴權利:當事人有於一個月內取得複本的權利(第 12.1 條),並得請求更正、封鎖或刪除(第 12.4 條);ADO 拒絕近用應儘速以書面告知理由(第 12.3 條);已將個資揭露予另一 ADO 者,應將更正等變更告知該組織;當事人得向 ADO 提出申訴,ADO 須訂有公平公正處理申訴的書面程序;未能妥適解決者,得通知 WADA,由 WADA 依《簽署方規約遵循國際標準》處理,且不排除當事人向有權的資料保護主管機關提出申訴,ADO 並應配合該機關調查(第 12.5 條)。 參、事件評析 運動產業的高度敏感運動員個人生物資料,正因數位科技的運用而快速累積,國際運動組織自訂資料治理規範已成常態。國際職業足球員協會(Fédération Internationale des Associations de Footballeurs Professionnels,FIFPRO)早於 2022 年 9 月即與國際足球總會(FIFA)合作發布《球員資料權利憲章》(Charter of Player Data Rights),以 GDPR 為基礎,列舉職業球員就其表現、健康及生物特徵資料所享的知情、近用、撤回同意、限制處理、可攜、更正、申訴與刪除八項權利[3]。ISDP 雖只拘束我國 CTADA 的禁藥檢測,卻是國際運動組織對標 GDPR 與最新國際個資保護規範的近期共識,適可作為運動部提供運動產業個資管理指引的藍本。 尤其,近期運動治理場域接連出現運動員個資爭議事件,歐盟法院於 2026 年 7 月 14 日就 C-474/24 案作成判決,認於網路公告違規運動員姓名、禁賽期間及理由,雖原則上不牴觸 GDPR,但公告機關須於公告前就相關利益個別權衡並符合比例原則,尤其公告期間的長度;運動員並須能於公告前向資料保護主管機關提起預防性申訴[4];加拿大隱私專員公署(Office of the Privacy Commissioner of Canada,OPC)就 WADA 所轄運動員個資被用於性別審查一案進行調查後,於 2026 年 3 月與 WADA 簽訂合規協議,WADA 雖未承認違法,仍承諾自 2027 年 1 月 1 日起將 ADAMS 系統的運動員個資限於反禁藥目的[5];國際奧會則於 2026 年 3 月通過女子組資格政策,自 2028 年洛杉磯奧運起,採以一次性 SRY 基因篩檢認定資格[6]。這三起爭議,分別指向告知未涵蓋公開揭露、目的外利用僅設限制而無事前風險評估、基因雖列特種個資卻缺乏依風險決定是否事前把關的機制。ISDP 所要求的隱私始於設計、處理風險評估、目的限制與分享控制,恰可作為避免同類問題的工具。 ISDP 雖是禁藥組織所訂標準,但內容面向完整、接軌國際,其隱私始於設計、處理活動紀錄、就處理風險所課予的評估義務(含《規約》與各項國際標準明文所列以外的處理及延長保存期間時的風險評估),以及附件 A 依八類紀錄模組分列保存期間與理由的保存排程,均有對應的規範。我國《人工智慧基本法》已於 2025 年 12 月 23 日經立法院三讀通過,全文 20 條,並自 2026 年 1 月 14 日總統公布日施行。該法第 4 條揭示政府推動 AI 研發與應用應遵循的七項原則,其中第 3 款要求應妥善保護個人資料隱私,尊重企業營業秘密,避免資料外洩風險,並促進非敏感資料的開放及再利用[7]。當運動與健康數據結合 AI 分析、敏感度益增,運動部作為運動產業目的事業主管機關,可循 ISDP 重點為運動員敏感生物資料建立風險導向、產業共通的個資保護制度準繩,既接軌國際標準,落實個資法監督非公務機關的要求,也呼應我國 AI 治理原則。 本文著作權屬財團法人資訊工業策進會科技法律研究所所有,如需引用或轉載,請註明出處。 本文同步刊登於TIPS網站(https://keid.nat.gov.tw/tips/) [1]World Anti-Doping Agency, 2027 International Standard for Data Protection (ISDP), at 2 (2025)(前置說明頁載明 ISPPPI 更名為 ISDP、自 2027 年 1 月 1 日生效),https://www.wada-ama.org/sites/default/files/2025-12/2027_international_standard_for_data_protection_isdp.pdf(最後瀏覽日:2026 年 7 月 25 日);ISDP 於 2025 年 12 月 1 日至 5 日韓國釜山第六屆世界運動禁藥管制大會通過,見 WADA, 2025 World Conference on Doping in Sport, https://www.wada-ama.org/en/2025-world-conference-doping-sport-busan(最後瀏覽日:2026 年 7 月 25 日)。 [2] 同前註 1,ISDP 第 1.0 條「導論與範圍」(Introduction and Scope);所列參考規範包含 OECD 1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會第 108+ 號公約、APEC 隱私保護綱領、《歐洲聯盟基本權利憲章》、GDPR,以及歐洲人權法院 2018 年 1 月 18 日 FNASS and others v. France 判決等。 [3] FIFPRO, Charter of Player Data Rights Launched for Professional Footballers (Sept. 19, 2022), https://fifpro.org/en/supporting-players/competitions-innovation-and-growth/player-performance-data/charter-of-player-data-rights-launched-for-professional-footballers/(最後瀏覽日:2026 年 7 月 25 日)。 [4] Judgment of the Court of Justice of the European Union of 14 July 2026, Case C-474/24, NADA Austria and Others;並見 Court of Justice of the European Union, Press Release, The online publication of the names of professional athletes who have infringed anti-doping rules may be compatible with EU law (July 14, 2026), https://curia.europa.eu/site/upload/docs/application/pdf/2026-07/cp260103en.pdf(最後瀏覽日:2026 年 7 月 25 日)。 [5] Office of the Privacy Commissioner of Canada, Compliance Agreement Between the Privacy Commissioner of Canada and the World Anti-Doping Agency (Mar. 17, 2026), https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/2026-wada-ca/(最後瀏覽日:2026 年 7 月 25 日)。 [6] International Olympic Committee, International Olympic Committee Announces New Policy on the Protection of the Female (Women's) Category in Olympic Sport (Mar. 26, 2026), https://www.olympics.com/ioc/news/international-olympic-committee-announces-new-policy-on-the-protection-of-the-female-women-s-category-in-olympic-sport(最後瀏覽日:2026 年 7 月 25 日)。 [7] 人工智慧基本法,2025 年 12 月 23 日經立法院三讀通過,總統中華民國 115 年 1 月 14 日華總一義字第 11500001671 號令制定公布,全文 20 條,自公布日施行;條文見全國法規資料庫,https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=H0160093(最後瀏覽日:2026 年 7 月 25 日)。