法國CNIL重罰微軟因搜尋引擎Bing違法運用cookie
法國國家資訊自由委員會（Commission Nationale de l'Informatique et des Libertés, CNIL）基於cookie聲明（cookie banner）違反法國資料保護法（Act N°78-17 of 6 January 1978 on Information Technology, Data Files and Individual Liberties）裁罰微軟愛爾蘭分公司（Microsoft Ireland Operations LTD，下稱微軟）搜尋引擎Bing，並根據cookie蒐集資料間接產生的廣告收入、資料主題數量及處理的資料範圍定出6千萬歐元之罰鍰額度，且要求微軟應於3個月內限期改正，如逾期按日處以6萬歐元罰鍰。本案是繼2022年1月6日以來，CNIL以相同理由分別對Google與Facebook裁罰1.5億及6千萬歐元罰鍰後，再增1件科技巨頭因違法運用cookie遭受裁罰之案例。本案對我國隱私執法機關參酌於數位環境中，應就cookie聲明如何進行管理之理由與細節，具有參考價值。
而本案微軟之搜尋引擎Bing遭受裁罰之理由，主要可分為二面向：
一、未經使用者事前同意，逕於使用者設備中設置cookie
依法國資料保護法第82條規定，業者利用cookie或其他追蹤方式針對使用者終端設備上的資料進行讀取或寫入資料前，應盡告知義務並取得使用者同意。惟搜尋引擎Bing在使用者造訪網站時，未經使用者同意便設置一種具有安全及廣告等多種用途的cookie（MUID cookie）於其電腦設備，且當使用者繼續瀏覽網站時，將會另設置其他廣告cookie，然微軟亦未就此取得使用者同意。
二、拒絕設置cookie與給予同意之方式便利性應相同
在有效同意的標準與具體判斷上，由於搜尋引擎Bing的cookie聲明第一階層僅提供「接受」與「設定」兩類按鈕，並未提供「拒絕」按鈕，因此使用者同意或拒絕設置cookie之流程便利性有其差異，並未一致，如下說明：
（一）使用者同意設置cookie
如使用者同意設置cookie，僅需於cookie聲明的第一階層點擊「接受」按鈕，即完成設置。
（二）使用者拒絕設置cookie
若使用者欲拒絕設置cookie，需於cookie聲明的第一階層點擊「設定」按鈕；其後進入第二階層，使用者可於各類型cookie選擇開啟或關閉，再點擊「保存設定」按鈕，始完成設置。
是以使用者拒絕同意設置cookie與給予同意之方式，兩者的便利性並未一致。又因第二階層顯示默認未設置cookie，恐導致使用者誤以為網站並未設置cookie，故CNIL認為此種同意欠缺自願性而屬無效者。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
盧秉羲
專案經理 編譯整理
Cookies: MICROSOFT IRELAND OPERATIONS LIMITED fined 60 million euros, Commission Nationale de l'Informatique et des Libertés, Dec 22, 2022, https://www.cnil.fr/en/cookies-microsoft-ireland-operations-limited-fined-60-million-euros（last visited December. 29, 2022.
吳采薇，〈法國資料保護機關要求Clearview AI刪除非法蒐集的個人資料〉，資訊工業策進會科技法律研究所，2022/1，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8774&no=64（最後瀏覽日：2022/12/29）。
羅健倫，〈歐盟個人資料保護委員會提出關於資料主體接近使用其個人資料權利之指引〉，資訊工業策進會科技法律研究所，2022/3，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8796&no=64（最後瀏覽日：2022/12/29）。
科法觀點
自從2004年聯合國發布之「Who Cares Wins」文件首次提及ESG原則，近年來國際企業不斷倡導ESG原則，即企業針對環境（Environmental）、社會（Social）、公司治理（Governance）三大面向之要求。歐盟從一開始倡導呼籲企業遵守ESG原則的階段逐漸發展為將ESG原則融入具有法律效力之規範。目前歐盟針對ESG原則擁有兩大基石，也就是2019年11月頒布的「歐盟永續財務揭露規則」（Sustainable Finance Disclosure Regulation）以及2020年6月頒布的「永續經濟活動分類規則」（Taxonomy Regulation）。 「永續經濟活動分類規則」係起源於歐盟委員會於2018年3月發布之「歐盟關於金融永續發展行動計畫」。直到2020年6月，歐洲議會與歐盟理事會終於共同公布「永續經濟活動分類規則」，該法規的目的為：為歐盟建立一個統一通用的法律框架，以分類經濟活動是否具有環境永續性。該法規規定所有金融商品都必須根據該分類規則進行分類。對於宣佈具有環境永續性之商品，皆必須揭露如何適用分類規則以及符合該分類規則；而針對不符合環境永續性之其他商品（包括那些具有ESG目標但不具備環境永續性的商品）將必須提出聲明該金融商品未符合歐盟的永續經濟活動分類規則。 而針對金融商品是否具備環境永續性，需視其是否對於下列事項作出重大貢獻。例如：減緩氣候變化；適應氣候變化；水和海洋資源的持續利用和保護；發展可循環性經濟；污染防治；生物多樣性和生態系統的保護和恢復。 「永續經濟活動分類規則」雖然於2020年6月公布，並於同年7月12日生效，但其中許多重要規定仍尚未明文，須待後續授權之施行細則規範。重要時程如下： 2020年12月31日通過就氣候相關目標的科技篩選標準之施行細則。 預計於2021年12月31日通過就所有其他環境相關目標的科技篩選標準之施行細則。 預計於2022年1月1日達成氣候相關之目標。 預計於2023年1月1日達成所有其他環境相關之目標。 隨著歐盟「歐盟永續財務揭露規則」以及「永續經濟活動分類規則」的發展，逐漸將ESG原則融入法規中，可以明顯看出國際間對於ESG原則愈發要求。我國金管會亦跟隨國際潮流，於2020年8月公布之「綠色金融行動方案2.0」提及永續金融之概念，是以，我國企業亦應著重企業自身針對ESG原則之要求，以與國際趨勢接軌。
日本政府擬修法全面禁止濫發商業電子郵件為解決日益嚴重的騷擾郵件問題，日本總務省於今（2008）年2月29日向國會提出「特定電子郵件送信適當化法修正案（特定電子メール送信適正化法改正案）」，將全面禁止未經收件人事前同意而擅自寄發宣傳廣告郵件，並將海外寄送之騷擾郵件列入適用範圍。 依據現行法之規定，未取得收件人同意寄送廣告或宣傳之郵件時，必須在主旨上標明「未經同意廣告」，並負有標示寄件人名稱、電話號碼之義務。如收件人發出拒絕收件之通知時，即禁止再傳送相關郵件；違反者將處以一年以下拘役或100萬日圓以下罰金。然而，一旦收件人回覆拒絕收件，將使業者察知該郵件帳號為有效帳號；故收件人對騷擾郵件大多不予理會，但如收件人未回覆拒絕收件之訊息時，該騷擾郵件仍得合法寄送。此外，依據調查，目前騷擾郵件中，有九成的電腦郵件及半數的行動電話簡訊，均是從海外所發出，而迴避了現行法之規範。 因此，本次修正草案明定全面禁止未經同意擅自傳送商業電子郵件至他人電腦或行動電話；即使取得收信同意，如中途拒絕時，其後即禁止再傳送郵件。此外，草案並課以郵件中應明示寄件者姓名、名稱及電子郵件地址，並要求須保存如何取得收件者同意之相關記錄。現行法不適用之海外寄送之騷擾電子郵件，也將與日本國內電子郵件受到相同規範。如偽裝電子郵件地址而傳送郵件時，或經總務省要求改善而未加以改善時，將處以最高3000萬日圓罰金。本修正法案預定於2008年中施行。
加拿大聯邦上訴法院判決無實體酒店仍得就酒店服務註冊商標加拿大聯邦上訴法院於Miller Thomson LLP v. Hilton Worldwide Holding LLP案指出，儘管企業在加拿大未設立實體店面，但如在加拿大有提供與該實體店相關聯的服務，仍可就其服務使用該企業之商標。 該案背景為希爾頓集團（Hilton Worldwide Holding）在加拿大未有華爾道夫酒店（Waldorf Astoria）的實體店，卻將WALDORF ASTORIA（下稱系爭商標）於加拿大註冊用於「酒店服務」。對造Miller Thomson欲在加拿大註冊「WALDORF」、「THE WALDORF」、「WALDORF HOTEL」等類此名稱的商標，遭希爾頓集團反對。Miller Thomson為此主張商標註冊官應命希爾頓集團依商標法第45條規定，提出有在加拿大使用系爭商標的證明。希爾頓集團指出，系爭商標有使用於全球預訂、付款服務，且加拿大客戶為忠誠會員亦有獎勵積分等。然而，商標註冊官以先前Motel 6 Inc. v. No. 6 Motel Ltd. [1982] 1 FC 638 (FCTD) (“Motel 6”)判決，與加拿大商標異議委員會（Trademarks Opposition Board，TMOB）Stikeman Elliott LLP v. Millennium & Copthorne International Ltd., 2015 TMOB 231 (“M Hotel”) and Maillis v Mirage Resorts Inc, 2012 TMOB 220等案，認為須由實際位於加拿大的酒店，始能提供酒店服務，遂撤銷系爭商標的註冊。 經希爾頓集團提起訴訟後，聯邦上訴法院認為商標法未有「服務」的定義，因此有無使用商標，認定方式應符合現代的商業慣例。聯邦上訴法院指出，無論企業提供的是主要服務、附帶服務或輔助服務，只要消費者從中獲得實質利益，即代表企業已實現其服務。準此，華爾道夫酒店在加拿大雖僅有預訂、付款服務，屬於附帶或輔助服務，但若消費者有因系爭商標的原因，而願意在加拿大利用華爾道夫酒店提供的附帶或輔助服務，並從中獲得利益，則可認定系爭商標有在加拿大被使用。 該判決的重要性在於確立即便在加拿大無實體存在，商標權人仍可將商標與其服務結合，但聯邦上訴法院提醒，僅在加拿大境外在網站上顯示商標，尚不足證明該商標有使用於所註冊的服務。此外，商標若結合於網路服務使用，則商標人與加拿大消費者間須有足夠程度的互動，因此，商標權人為了持續受商標法的保護，有必要詳細記錄業經註冊商標的使用情況，俾利在發生爭議時，有證據資料得以佐證。
Google被遺忘權近期歐洲法院判決趨勢德國聯邦最高法院（Bundesgerichtshof, BGH）於今（2020）年7月「VI ZR 405/18」」案中拒絕當事人請求Google刪除有關其健康個資之主張，為2018年歐盟通過一般資料保護規則（General Data Protection Regulation, GDPR）後，德國聯邦最高法院第一件與被遺忘權相關之判決。本案當事人曾為德國一慈善團體之負責人，該團體於2011年陷入財務危機，而當時有報導指稱當事人作為團體負責人，竟稱病不回應媒體訪談。當事人認為上述報導資料有損其名譽，請求Google刪除與其健康個資相關之搜尋結果。德國聯邦最高法院於判決中強調，網路搜尋結果是否須被移除，應衡量相關之基本權利，個案分別認定。本案中大眾知的權利（right to information）優於當事人被遺忘權，故駁回原告之請求，判決Google勝訴。 被遺忘權首見於2014年歐盟判決（Google Spain v. AEPD and Mario Costeja Conzalez），賦予人民要求搜尋引擎移除對自身造成負面影響資訊之權利。GDPR進一步於第17條明文化此一權利之內涵，於個資依原本蒐集之目的已不具必要性、當事人撤回同意、當事人反對個資自動化處理、當事人個資遭不法侵害、依照法律規定應刪除個資及青少年與兒童個資等六種情形，當事人得請求資料控制者刪除個資。 法國近期亦有被遺忘權相關法院判決。法國最高行政法院（Conseil d’État）於今（2020）年3月撤銷法國國家資訊自由委員會（Commission nationale de l’informatique et des libertés, CNIL）於2016年3月對Google作出十萬歐元之裁罰，因其僅刪除存在於法國網域內之當事人個資，而未及於全球網域。法國最高行政法院於本判決重申2019年歐盟法院（European Court of Justice）於Google v. CNIL之立場，認定Google履行被遺忘權之網域範圍僅適用於歐盟地區，而不及於全球，撤銷CNIL於2016年對Google作出之裁罰。