WhatsApp因違反GDPR遭愛爾蘭資料保護委員會開罰2.25億歐元
愛爾蘭資料保護委員會（Data Protection Commission，DPC）於今（2021）年9月宣告WhatsApp Ireland Limited（下稱WhatsApp）違反歐盟一般資料保護規則（General Data Protection Regulation，GDPR）並處以高額裁罰。
DPC自2018年12月起主動調查WhatsApp是否違反GDPR下的透明化義務，包括WhatsApp透過其軟體蒐集用戶與非用戶的個人資料時，是否有依GDPR第12條至第14條提供包括個資處理目的、法律依據等相關資訊，以及該資訊有無符合透明化原則等，其中又以WhatsApp是否提供「如何與其他關係企業（如Facebook）分享個資」之相關資訊為調查重點。
歷經長時間的調查，DPC作為本案領導監管機關（lead supervisory authority），於2020年12月依GDPR第60條提交裁決草案予其他相關監管機關（supervisory authorities concerned）審議。惟DPC與其他相關監管機關就該裁決草案無法達成共識，DPC復於今年6月依GDPR第65條啟動爭議解決程序，而歐洲資料委員會（European Data Protection Board）在同年7月對裁決草案中的疑義做出有拘束力之結論，要求DPC提高草案中擬定的罰鍰金額。
DPC最終在今年9月2日公布正式裁決，認定WhatsApp未依第12條至第14條提供資訊予「非軟體用戶」之資料主體，而「軟體用戶」的部分也僅有41%符合規範，嚴重違反GDPR第5(1)(a)條透明化原則。據此，以母公司Facebook全集團營業額作為裁罰基準，DPC對WhatsApp處2.25億歐元之罰鍰，為GDPR生效以來第二高的裁罰，並限期3個月改善。
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
江佳芸
副法律研究員 編譯整理
Data Protection Commission (Ireland), Data Protection Commission announces decision in WhatsApp inquiry, Sep. 2, 2021, https://www.dataprotection.ie/index.php/en/news-media/press-releases/data-protection-commission-announces-decision-whatsapp-inquiry (last visited Oct. 19, 2021).
Data Protection Commission (Ireland), Decision in the matter of WhatsApp Ireland Limited made pursuant to Section 111 of the Data Protection Act 2018, Aug. 20, 2021, https://edpb.europa.eu/system/files/2021-09/dpc_final_decision_redacted_for_issue_to_edpb_01-09-21_en.pdf (last visited Oct. 19, 2021).
EDPB, Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR, July 28, 2021, https://edpb.europa.eu/system/files/2021-09/edpb_bindingdecision_202101_ie_sa_whatsapp_redacted_en.pdf, (last visited Oct. 19, 2021).
Jeanne Kelly, WhatsApp Decision and the Data Protection Commission, Sep. 16, 2021, https://www.lexology.com/library/detail.aspx?g=caffc629-642b-4a36-a1b1-21890700b152 (last visited Oct. 19, 2021).
A&L Goodbody, WhatsApp decision considers scope of transparency obligations under the GDPR, Sep. 24, 2021, https://www.lexology.com/library/detail.aspx?g=b72881aa-6bf8-4f0d-af40-e8f9736e357d (last visited Oct. 19, 2021).
美國聯邦貿易委員會（The Federal Trade Commission, FTC）於2026年3月13日發布《預先通知默示同意規則》（簡稱默示同意規則）（Rule Concerning the Use of Prenotification Negative Option Plans）之「法規制定預告」（Advance Notice of Proposed Rulemaking, ANPRM），期望針對現代消費市場中廣泛存在的商業模式，如健身房、數位串流之預設自動續約與試用轉付費機制等進行全面規範，並將現行不完整且分散的消保法規加以整合，建立全國性標準。 FTC曾於2024年底修訂默示同意規則，後遭聯邦上訴法院以程序瑕疵為由撤銷。因應法院要求，FTC依法重啟修法程序，就以下核心議題廣徵意見： (1)產業現況與普及性：企業透過「默示同意」方式行銷產品和服務的規模，以及在各行業中的具體運作模式。 (2)市場不當作法：包含哪些情況未取得消費者「明確知情同意」便逕行收費，以及如何阻礙消費者取消訂閱等。 (3)可能的監管方式：修訂現行規則、訂立新法，或實施替代方案（例如教育消費者和企業如何避免「默示同意」行銷行為）。 FTC已於2026年4月13日完成首輪意見徵集，後續將評估是否提出正式修正條文並進行第二輪意見徵集。美國監管機關未來在審查契約與數位服務介面時，將更嚴格審視「暗黑模式」（Dark Patterns）設計，避免消費者被迫加入不想要或無法取消的訂閱服務，持續為無意訂購的產品或服務支付費用。
美國能源關鍵基礎設施議題觀察 日本對未來2020年至2030年間網路基礎設施之預測日本總務省未來網路基礎設施研究會（将来のネットワークインフラに関する研究会）4月份針對日本人工智慧（Artificial Intelligence 簡稱AI）、物聯網（Internet of Things 簡稱IoT）、資訊及通訊技術（Information and Communication Technologies 簡稱ICT）等技術相對應之網路基礎設施做作出預測。 在2020年以後第五代通信技術（5G）、物聯網系統、高畫質通訊等技術相繼成熟及普及化，相關業者勢必發展出多樣化、高度專業化使用者需求之網路結構，而手機聯網系統從單純的資訊傳遞網路，逐漸變成社會系統之神經網絡（社会システムの神経網）。 物聯網服務目前係由專用終端設備，並根據特定的應用目的建構，但在未來的網絡基礎設施，可能出現如橫向合作應用的通用平台，到2030年左右物聯網服務中M2M（Machine to Machine，機器和機器之間的通訊）的佔有率估計將達到10％。 人工智慧網路技術不僅僅是虛擬化層網路（仮想化レイヤのネットワーク）之維護和操作，更是物理層面的網路（物理レイヤのネットワーク）資源的管理，AI仍然只擔任協助之工具。其中，物理網絡（物理ネットワーク）和邏輯網絡（論理ネットワーク）應分別處理，邏輯網絡將型成多層次化，將變得難以檢測故障和調查原因，但在安全和可靠的網絡基礎設施下，經營者使用AI技術仍然是沒有問題的。 由於雲端技術、通訊技術之提昇，非電信營運者進入網路經營之商業型態逐漸產生，型成網路使用者、資料提供者之多樣性及複雜性。網路流量方面，在2030年左右將超出100Tbps核心網絡所需的傳輸容量，達到以往的光纖的容量限制，將透過無線電接入技術進一步發展，補足不足的光學寬頻。然而，人們對於網路更快的通信速度、安全性及可靠性的功能需求是沒有改變的。
韓國個人資訊保護委員會（PIPC）宣布個資法施行令修法草案，強化個資事故通報義務及違規罰鍰韓國個人資訊保護委員會（PIPC）於 2026 年6月2日公布《個人資訊保護法》施行令修法草案，本次修訂的具體內容如下： 一、強化企業首席隱私官（Chief Privacy Officer, CPO）選任程序 首席隱私官CPO是指在企業內部，負責督導與管理個人資訊處理業務的最高負責人，在本次修法前，雖然法規已規定特定規模的企業必須選任CPO，但CPO在企業內部的職權並無較嚴謹的法律約束，導致CPO在公司內的獨立性與話語權往往不足，難以有效制衡在個資保護義務上失職的高階主管或部門。 為保障CPO的獨立性與地位，此次修法要求企業在選任、變更或撤銷CPO時，必須經由董事會決議，並在人事異動的一個月內向個人資訊保護委員會報告。 二、要求一定規模以上業者應接受國家級ISMS-P認證 ISMS-P 是韓國綜合性的安全認證制度，認證範圍包含「資訊安全管理」與「個人資訊保護」。修法前的ISMS-P 認證多採取「自主申請」或僅針對極少數超大型電信、網路服務業者進行強制規範，許多掌握大量民眾個資的系統營運商及新興身分驗證機構，主管機關並無強制力要求其取得認證。本次修法後明確須強制接受 ISMS-P 認證的範圍，包含：公共系統營運商、行動通信業者、身分驗證機構及其他持有個資筆數達一定規模之大企業。 三、強化業者於個資事故之通報義務 此次修法針對個資事故之通報義務進行調整，發現有「非法存取個人資料」或「個人資料被非法交易或傳播」之情形時，即應在72小時內向主管機關及可能受影響之當事人通報，使民眾能第一時間更改密碼或採取防範措施。 此外，以往具通報義務的情形僅限於個資遺失、外洩或遭竊，修法後個資遭到偽造、竄改或損壞等情形，業者也必須依規定通報。 四、修訂裁罰標準 對於過往情節輕微，裁處「免罰緩並施以警告」的違規行為，修法後該警告將計為一次違規記錄，若未來再次發生相同的違規行為，將直接適用「第二次違規」的加重處罰標準。 此次韓國個人資訊料護法實施細則的修訂，從組織架構、認證系統、通報應變流程到事後裁處，建立了一套更為主動且嚴格的個資保護系統，該修正案目前已進入公告並廣泛收集各界意見階段，預計於今年9月正式施行。