WhatsApp因違反GDPR遭愛爾蘭資料保護委員會開罰2.25億歐元
愛爾蘭資料保護委員會（Data Protection Commission，DPC）於今（2021）年9月宣告WhatsApp Ireland Limited（下稱WhatsApp）違反歐盟一般資料保護規則（General Data Protection Regulation，GDPR）並處以高額裁罰。
DPC自2018年12月起主動調查WhatsApp是否違反GDPR下的透明化義務，包括WhatsApp透過其軟體蒐集用戶與非用戶的個人資料時，是否有依GDPR第12條至第14條提供包括個資處理目的、法律依據等相關資訊，以及該資訊有無符合透明化原則等，其中又以WhatsApp是否提供「如何與其他關係企業（如Facebook）分享個資」之相關資訊為調查重點。
歷經長時間的調查，DPC作為本案領導監管機關（lead supervisory authority），於2020年12月依GDPR第60條提交裁決草案予其他相關監管機關（supervisory authorities concerned）審議。惟DPC與其他相關監管機關就該裁決草案無法達成共識，DPC復於今年6月依GDPR第65條啟動爭議解決程序，而歐洲資料委員會（European Data Protection Board）在同年7月對裁決草案中的疑義做出有拘束力之結論，要求DPC提高草案中擬定的罰鍰金額。
DPC最終在今年9月2日公布正式裁決，認定WhatsApp未依第12條至第14條提供資訊予「非軟體用戶」之資料主體，而「軟體用戶」的部分也僅有41%符合規範，嚴重違反GDPR第5(1)(a)條透明化原則。據此，以母公司Facebook全集團營業額作為裁罰基準，DPC對WhatsApp處2.25億歐元之罰鍰，為GDPR生效以來第二高的裁罰，並限期3個月改善。
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
- 長照系統相關資服業個資線上宣導說明會
江佳芸
副法律研究員 編譯整理
Data Protection Commission (Ireland), Data Protection Commission announces decision in WhatsApp inquiry, Sep. 2, 2021, https://www.dataprotection.ie/index.php/en/news-media/press-releases/data-protection-commission-announces-decision-whatsapp-inquiry (last visited Oct. 19, 2021).
Data Protection Commission (Ireland), Decision in the matter of WhatsApp Ireland Limited made pursuant to Section 111 of the Data Protection Act 2018, Aug. 20, 2021, https://edpb.europa.eu/system/files/2021-09/dpc_final_decision_redacted_for_issue_to_edpb_01-09-21_en.pdf (last visited Oct. 19, 2021).
EDPB, Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR, July 28, 2021, https://edpb.europa.eu/system/files/2021-09/edpb_bindingdecision_202101_ie_sa_whatsapp_redacted_en.pdf, (last visited Oct. 19, 2021).
Jeanne Kelly, WhatsApp Decision and the Data Protection Commission, Sep. 16, 2021, https://www.lexology.com/library/detail.aspx?g=caffc629-642b-4a36-a1b1-21890700b152 (last visited Oct. 19, 2021).
A&L Goodbody, WhatsApp decision considers scope of transparency obligations under the GDPR, Sep. 24, 2021, https://www.lexology.com/library/detail.aspx?g=b72881aa-6bf8-4f0d-af40-e8f9736e357d (last visited Oct. 19, 2021).
歐盟執委會（European Commission）設有6區域中小企業智慧財產服務台（IP SME Helpdesk），其中歐洲智慧財產服務台（European IP Helpdesk）以及中華區小企業智慧財產服務台（China IP SME Helpdesk）於2022年9月聯合推出「網路犯罪與營業秘密保護指南」（Cybercrimes and trade secret protection : guide，下稱本指南），最大特色之處即在企業如何回應營業秘密遭網路竊取時之事後應對手段。 中華區中小企業智慧財產服務台透過提供免費資訊服務，支援歐盟（EU）中小企業（SME）在中國大陸、香港、澳門和臺灣保護和執行其智慧財產權（IPR），陸續發布如2020年「保護你在中華區的營業秘密」（Protecting your trade secrets in China）等一系列指導企業如何於中華區保護智財之指南。 本指南首先揭示企業營業秘密之事前保護手段，包括(1)技術手段：加強網路安全（加密資料、安裝防毒軟體、辨識雲端風險、制定網路安全策略）以及利用區塊鏈技術作為資料、證據保存的手段；(2)內外部人員管制手段：內部員工培訓與管理、第三方（市場、競爭對手）監控。而營業秘密遭竊之事後應對手段，包括(1)回應手段：確認資訊外洩原因、建立緊急處理機制（回報、蒐證流程）、採取法律步驟；(2)回復手段：控制損害（端視營業秘密是否被公開而有不同做法）、亡羊補牢（重新檢視企業智財布局、資安措施、緊急處理計畫），對於在中華區之企業，本指南作法具參考價值之外，資策會科法所發布之營業秘密管理指針2.0版亦可同步參考。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
澳洲通過新修正之隱私法，大幅提高罰責以期遏止個資事故澳洲司法部長Mark Dreyfus於2022年10月26日提出聯邦《2022年隱私法修正案（執法及其他措施）》（Privacy Legislation Amendment (Enforcement and Other Measures) Bill 2022 (Cth) ），並於11月28日正式通過，顯示澳洲政府對於近期多起大型個資事故的重視，以及民眾對於個資保護之公民意識逐漸成熟。 近期澳洲發生之兩起大規模個資事故，其一為9月底澳洲第二大電信業者Optus表示受到網路攻擊，約有1,000萬人（約占澳洲人口40%）的個資遭到外洩，除了姓名、性別、生日等資料之外也包括用戶的住址、駕照和護照號碼等；無獨有偶，於十月底澳洲最大的私人健康保險公司Medibank亦公開聲明發生200GB的資料遭到竊取的個資事故，被竊資料中有大約970萬名現在或過去客戶的姓名、出生日期、地址、電話號碼和電子郵件地址等資料，因為此兩起大型個資事故的發生，促使澳洲政府不得不予以重視，在極短時間內通過新法修正。 此次修正案修改1988年《隱私法》（Privacy Act）、2010年《澳洲資訊委員法》（Australian Information Commissioner Act）和2005年《澳洲通訊及媒體管理局法》（Australian Communications and Media Authority Act 2005），修正重點包含加重裁罰、加強資訊委員執法權限及域外管轄權。 一、加重裁罰之部分，依修正《隱私法》第13G條，當嚴重或反覆侵犯他人隱私事件發生時，若行為人為「非法人」（a person other than a body corporate，即我國法之自然人）時，其由行政機關課予當事人之罰金（civil penalty）上限提高到250萬澳幣（約新台幣5,200萬）；若行為人為「法人」（body corporate）時，罰金上限增加到5,000萬澳幣（約新台幣10億）或其所得利益價值的三倍（兩者取其高）。如果法院無法確定利益的數額，則取法人違規期間或事故發生後12個月內（擇其時間較長者）調整型營收（adjusted turnover*）的30%。 二、關於資訊委員執法權限強化部分，其擴大資訊委員與他公私部門間交換及查閱資訊之權限，資訊委員得向嫌疑人進行調查或要求交付相關證據，且賦予資訊委員得不待法院裁判，逕對妨害查辦者課以民事制裁，甚至得將屢次妨害查辦之法人團體之行為定為刑事犯罪。 三、有關域外管轄權部分，原先僅適用於「未在澳洲設立登記，但有在澳洲境內蒐集個資且經營業務」之公司；現刪除「有在澳洲境內蒐集個資」之規定，故未在澳洲登記之公司往後即使未在澳洲境內蒐集個資，若有在澳洲境內經營業務即受有域外效力之管轄，其範圍甚至將比歐盟GDPR之域外管轄權更為寬廣。 至於提高裁罰金額能否提升資安及個資保護之效益仍有待商榷，惟提高罰鍰額度應能使持有個資業者採行較高之資料保護安全措施等級。我國近期亦發生2,300萬筆民眾戶政資料外洩事件，依我國《個人資料保護法》規定，個資事故發生時，若被害人不易或不能證明其實際損害額時，法院依侵害情節，以每人每一事件500以上至2萬元以下計算財產損害。且同一原因事實造成的事件，原則上其賠償最高總額以2億元為限。若我國將來修法適當調整金額，相信有望遏止類似事故不斷發生。 *調整型營收（adjusted turnover）：指公司（及相關企業）在違規期間內營業額扣除應調整之稅額例外項目後，所有商品及服務價值的總和。
澳大利亞政府擬修正《支付系統管理法》將數位支付，如Apple Pay、Google Pay納入法律規範中澳大利亞國庫部（Department of the Treasury）於2023年10月11日發布《支付系統管理法》（Payment Systems（Regulation）Act 1998）修正草案，擬擴張法案適用主體，將Apple Pay、Google Pay等數位支付或提供此項支付服務事業納入規範，其目的在於提升企業的開放性及責任，並關注大型科技企業在其中扮演的角色。 本次修正案中，將修改現行支付系統的定義及適用主體，擴大至提供支付服務平臺企業，將被視為金融機構受到拘束，並授權澳大利亞準備銀行（the Reserve Bank of Australia，下稱RBA）監管數位支付平臺。修正草案內容整理如下： 1.重新定義「支付系統」。現行法定義為「透過任何形式或方式促進貨幣流通的系統」，草案則納入非貨幣（non-monetary，如數位貨幣）及提供便利支付服務的支付平臺系統。 2.擴大「參與者」定義。現行法規中參與者僅包含管理、運作支付系統的企業，草案則擴張至與支付價值鏈（payments value chain）具直接或非直接相關連之所有企業。 3.現行規範中，僅RBA在可能涉及使用者財務安全及公共利益（下述）考量時，有指定支付系統的職權，並有權監管該支付系統，包含決定新參與者的加入、訂定制度內參與者應遵守的標準及指引、對相關爭議問題進行仲裁等。修法後國庫部部長（Minister）將擁有相同權力。規範所稱之「公共利益」，指有助提升財務安全、高效率並具有競爭性，且不會導致金融體系風險增加。 4.提高法案中刑事處罰的罰金金額。現行法規授權RBA訂定支付制度之相關標準及指引，若制度內參與者未依標準或指引行事，RBA會提出要求企業為特定行為或不行為之指示，仍未依循可能會科處澳幣5,500元的罰金（約臺幣11萬3千元），修法後將提高至2倍，惟罰金之處罰權最終仍須法院審判決定。 我國針對電子支付產業有電子支付機構管理條例、金融消費者保護法規範，並要求第三方支付服務業者落實洗錢防制法規定，避免淪為洗錢或地下匯兌工具，未來可持續觀察澳大利亞及其他國家對於支付平臺議題之討論及發展趨勢，作為我國評估相應治理措施及手段參考基礎。
歐盟隱私工作小組支持擴大通知義務之業者範圍歐盟隱私權工作小組(working party)日前公布其對「隱私與電子通訊指令」(Directive on Privacy and Electronic Communications, 2002/58/EC)之修正意見，藉此重申支持個人資料外洩通知責任立法之立場，並建議擴大適用通知責任之業者範圍至涉及線上交易之電子商務之服務提供者。此項建議隨即遭到歐盟理事會及委員會之反對，認為通知責任應僅限於電信公司，而不應擴及其他電子商務服務提供者。 歐盟隱私權工作小組於2009年2月初提出的報告指出，個人資料外洩通知責任法制(Data Breach Notification Law)之建立對於資訊社會服務(Information Society Service)之發展是必要的，其有助於個人資料保護監督機構(Data Protection Authorities)執行其職務，以確認受規範之服務提供者是否採取適當的安全措施。再者，亦可間接提高民眾對於資訊社會相關服務使用之信心，保護其免於身份竊盜(identity theft)、經濟損失以及身心上之損害。 然而，歐盟理事會及歐洲議會則反對該項修正建議，其一方面認為不應擴張資料外洩通知責任制度適用之業者，另一方面則認為對於是否透過法制規範課予業者通知之義務，應由各國立法者決定是否立法，甚或由業者依資料外洩情形嚴重與否，來判斷是否通知其各國個人資料保護相關組織及客戶。此外，參考外國實施之成效，美國雖有多數州別採用資料外洩通知責任制度，但並非所有的隱私權團體皆肯認該項制度；英國資訊委員會對於該制度之成效則仍存質疑，因從過去為數眾多的個人資料外洩事件看來，其效果已逐漸無法彰顯。 雖然歐盟個人資料保護官(European Data Protection Supervisor)與歐盟隱私權工作小組之看法一致，但其與歐洲議會與歐盟理事會仍存有歧見，對於個人資料外洩通知責任制度之建立，似乎仍有待各方相互協商尋求共識，方能決定是否納入歐盟隱私及電子通訊指令之規範。