WhatsApp因違反GDPR遭愛爾蘭資料保護委員會開罰2.25億歐元
愛爾蘭資料保護委員會（Data Protection Commission，DPC）於今（2021）年9月宣告WhatsApp Ireland Limited（下稱WhatsApp）違反歐盟一般資料保護規則（General Data Protection Regulation，GDPR）並處以高額裁罰。
DPC自2018年12月起主動調查WhatsApp是否違反GDPR下的透明化義務，包括WhatsApp透過其軟體蒐集用戶與非用戶的個人資料時，是否有依GDPR第12條至第14條提供包括個資處理目的、法律依據等相關資訊，以及該資訊有無符合透明化原則等，其中又以WhatsApp是否提供「如何與其他關係企業（如Facebook）分享個資」之相關資訊為調查重點。
歷經長時間的調查，DPC作為本案領導監管機關（lead supervisory authority），於2020年12月依GDPR第60條提交裁決草案予其他相關監管機關（supervisory authorities concerned）審議。惟DPC與其他相關監管機關就該裁決草案無法達成共識，DPC復於今年6月依GDPR第65條啟動爭議解決程序，而歐洲資料委員會（European Data Protection Board）在同年7月對裁決草案中的疑義做出有拘束力之結論，要求DPC提高草案中擬定的罰鍰金額。
DPC最終在今年9月2日公布正式裁決，認定WhatsApp未依第12條至第14條提供資訊予「非軟體用戶」之資料主體，而「軟體用戶」的部分也僅有41%符合規範，嚴重違反GDPR第5(1)(a)條透明化原則。據此，以母公司Facebook全集團營業額作為裁罰基準，DPC對WhatsApp處2.25億歐元之罰鍰，為GDPR生效以來第二高的裁罰，並限期3個月改善。
- 製造業及技術服務業個資保護及資安落實－經濟部工業局112年企業個人資料保護暨資訊安全宣導說明會
- 【已額滿】2023科技研發法制推廣活動—科專個資及反詐騙實務講座
- 【實體】數位發展部數位經濟相關產業個資安維辦法說明會（南部場）
- 【線上】數位發展部數位經濟相關產業個資安維辦法說明會（南部場）
- 數位發展部數位產業署113年資訊服務業安維計畫常見問題分享說明會
- 商業服務業個資保護宣導說明會
- 個人資料保護新思維企業法遵論壇
- 【實體】2024科技研發法制推廣活動— 科專個資及反詐騙實務講座
- 【直播】2024科技研發法制推廣活動— 科專個資及反詐騙實務講座
- 中部場–商業服務業個資保護工作坊
- 南部場–商業服務業個資保護工作坊
- 北部場–商業服務業個資保護工作坊
- 數位發展部數位產業署113年資訊服務業者個資安維辦法宣導說明會
- 電商零售業法制宣導說明會暨產學研座談會
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
- 零售業個資保護及資訊安全教育講習
江佳芸
副法律研究員 編譯整理
Data Protection Commission (Ireland), Data Protection Commission announces decision in WhatsApp inquiry, Sep. 2, 2021, https://www.dataprotection.ie/index.php/en/news-media/press-releases/data-protection-commission-announces-decision-whatsapp-inquiry (last visited Oct. 19, 2021).
Data Protection Commission (Ireland), Decision in the matter of WhatsApp Ireland Limited made pursuant to Section 111 of the Data Protection Act 2018, Aug. 20, 2021, https://edpb.europa.eu/system/files/2021-09/dpc_final_decision_redacted_for_issue_to_edpb_01-09-21_en.pdf (last visited Oct. 19, 2021).
EDPB, Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR, July 28, 2021, https://edpb.europa.eu/system/files/2021-09/edpb_bindingdecision_202101_ie_sa_whatsapp_redacted_en.pdf, (last visited Oct. 19, 2021).
Jeanne Kelly, WhatsApp Decision and the Data Protection Commission, Sep. 16, 2021, https://www.lexology.com/library/detail.aspx?g=caffc629-642b-4a36-a1b1-21890700b152 (last visited Oct. 19, 2021).
A&L Goodbody, WhatsApp decision considers scope of transparency obligations under the GDPR, Sep. 24, 2021, https://www.lexology.com/library/detail.aspx?g=b72881aa-6bf8-4f0d-af40-e8f9736e357d (last visited Oct. 19, 2021).
「數位轉型監視站（the Digital Transformation Monitor）」為歐盟執委會中小企業執行機構（Executive Agency for Small and Medium-sized Enterprise, EASME）所資助執行的一項計畫，主要是研析數位轉型發展與知識並提供政策提案，3D列印技術為其計畫知識庫鎖定的項目之一。去（2017）年11月23日歐洲議會法律事務委員會（the European Parliament’s Committee on Legal Affairs）公告一份關於3D列印技術之智財權及法律責任之意見書（Working Document on three-dimensional printing, a challenge in the fields of intellectual property rights and civil liability，下簡稱意見書），提出3D列印技術對產業界所帶來的影響，範圍包括：醫療、航太、以及汽車零組件、玩具、電器等產品製造，甚至涉及古文物之修復、考古等。 該意見書點出智財權與法律責任兩個關鍵議題，前者係考量當物品透過數位設計，其後續將可能產生無數次的調修或應用，為了從根本上預防仿製造成侵權，應發展合法之3D列印服務，確保作者得到公平報酬；後者則基於3D列印技術包括數位及實體兩層面，個人可透過線上編修檔案，而開啟了大眾參與創新之生產形式，然而當有人被3D列印產品侵害權益，該由產品製造者、3D列印機生產者、或者是軟體創作者負起責任？ 此意見書雖未提出具體解決方式，但試著勾勒出可能的緩解方案，包括：建置全球資料庫以使具著作權保護的3D物品受到重製管制；規範合法之私製3D物品次數以避免違法重製；施行3D列印稅以補償智財所有權人之損失等。儘管3D列印技術未使一般傳統製造業造成巨大影響，但其所衍生的相關問題，未來是否需要專為3D列印技術制定新歐盟法規或者在現行法規之下特例規範，仍值得持續觀察。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
英國政府推動Midata計畫，促進智慧商業創新及跨產業應用近來國際間許多國家投入智慧商業及智慧消費之發展，為兼顧保障個人資料權利前提下，鼓勵產業界從事商業創新，英國商務創新技術部（Department for Business, Innovation & Skills）於2013年7月宣布促成「Midata創新實驗計畫平台」（midata innovation lab），由英國政府、企業界、消費者團體、監管機構和貿易機構共同組成，此為示範性自律性組織，參與之業者/機構於應消費者要求（consumer’s request）情形下，將所擁有消費者資料，特別是交易資料（transaction data），以電子形式及機器易讀取形式（electronic, machine readable format）對「我的資料」（Midata）體系公開（release）；並且，將可更便利消費者利用這些資料瞭解自己的消費行為，在購買產品和服務時可以做出更為明智的選擇。 英國商務創新技術部係於2011年4月，開始提出所謂「Midata計畫」：於「更好選擇；更好交易環境；提昇消費者權力」政策（Providing better information and protection for consumers），宣示推動「Midata計畫」，作為提昇資訊力量（power of information）重要策略。為積極推動，「Midata計畫」，並協助產業界能有更詳細遵循指引，於2012年7月公告「Midata政府產業諮詢報告」（midata: government response to the 2012 consultation），同年12月出版「Midata隱私影響評估報告」 （midata: privacy impact assessment report）。 為配合上述政策施行，由產業界、組織、政府機構所共同組成的「Midata創新實驗計畫平台」（midata innovation lab），已開始展開運作。此平台認為，近來越來越多實務情形證明，個人資料對於企業而言已被視為日漸重要的資產，並且未來將成為提供更個人化、多元化之產品服務之重要基礎。倘若能在確保消費者個人資料相關權利之前提下，促成產業界積極投入發展，以「我的資料（Midata）創新實驗計畫」為運作平台，對於企業所持有個人資料，兼顧企業與消費者原則共同獲益，將可因應趨勢取得商業先機。 以英國商務創新技術部規劃政策，前期試行推動先以「核心產業」（core sectors）（金融產業、電信產業、能源產業）為導入適用，待實施具一定成效後，將延伸推廣至其他產業領域（non-core sectors），而後也將由現行初期以產業自律性參與計畫模式，進展至以法令規範強制實施的階段。
日本政府對於「小型無人機進階安全確保制度」進行研議，並研提「航空法」修正建議日本政府於2016年1月5日成立「小型無人機進階安全確保制度設計相關小組委員會」(小型無人機の更なる安全確保のための制度設計に関する分科会)，聚焦無人機飛安方面之實務議題。會議由内閣官房内閣参事官擔任議長，並由國土交通省航空局協助辦理，民間參與者則多為相關產業公協會，目前規劃每兩個月開1-2次會議，其運行方式包括：原則上為非公開會議，其會議資料將於會後公開，但若議長認有必要，則得決定一部或全部不公開；此外，對於委員會成員以外的民間企業及專家學者之意見，亦應聽取。 為更進一步確保小型無人機於飛行時之安全性，本次會議對「航空法」提出如下修正建議： (1)除「航空法」第一百三十二條之二所規範之飛行方式及禁飛區域外，尚有其他相關飛安重要事項亦應注意，例如：機體本身之缺陷、操控者失誤、不可預期的天候變化、機體重量等(一定重量以上之無人機，對於機體性能及操控者技術應有更高要求，未來可思考訂定罰則或提供擔保)。 (2)對於機場周邊應有比現行法更嚴格之規範，除因此處操控無人機容易誤入禁區外，該範圍以內通常是飛安事故搜救區，恐妨害搜救之進行。 (3)關於禁區內飛行許可之審查，應包含：機體機能與性能、操控者知識、技術與經歷。 (4)對於商業、營業用無人機，應有更高的安全性要求。但何謂商業、營業用之定義及更高安全性究何所指須有更明確的標準！
落實資訊傳遞之流程透明與提昇效率，英國成立照護資訊標準化委員會資訊的保密機制和數據的標準化是當代的醫護過程中，相當關鍵重要的一部分，使得資訊得以安全地蒐集、記錄和交換，同時也是衛生照護系統在品質和服務管理上得以維繫的關鍵。過去英國負責處理醫療資訊交換標準的單位為「衛生和社會照護資訊標準委員會（Information Standards Board for Health and Social Care, ISB）」，負責就國家性的資料標準進行評核、統一資料標準格式，進而符合國際規範。為了因應國家治理在資訊標準、資料收集和資料提取上新的規劃，自今（2014）年4月1日起，ISB轉型為照護資訊標準化委員會（Standardisation Committee for Care Information, SCII）。 新的照護資訊標準化委員會－SCCI主要負責發展、批准並保障資訊標準、資料蒐集與資料提取。該委員會的成員組成廣泛地來自國家單位和相關衛生、照護服務組織。現階段的主要目標為標準化醫院和家庭醫生之間的醫療資訊交換，將醫療資訊標準提升至國家層級，透過該委員會的運作來監督、改善照護服務、照護系統和資訊的處理方式，進而達到流程公開和運作透明。以下為ISB轉型為SCCI之主要原因： 1、2012衛生和社會照護法（Health and Social Care Act 2012）之規定，該法§250賦予衛生部長和NHS England（英國國家健康服務）發布資訊標準的權力； 2、NHS成立新的國家資訊委員會（National Information Board, NIB），該委員會前身為資訊服務調查小組（Information Services Commissioning Group, ISCG），主要針對衛生和社會照護提供國家層級的資訊服務整合規劃，以確保資訊標準統一，使得不同IT系統間得以相互傳輸、驅動更多整合服務給人民。SCCI即隸屬於NIB，負責識別、調查和完整執行資訊標準、資料蒐集和提取。 3、衛生部於2012年發布衛生和照護系統的10 年資訊策略（ten year information strategy for the health and care system）。