法國CNIL重罰微軟因搜尋引擎Bing違法運用cookie
法國國家資訊自由委員會（Commission Nationale de l'Informatique et des Libertés, CNIL）基於cookie聲明（cookie banner）違反法國資料保護法（Act N°78-17 of 6 January 1978 on Information Technology, Data Files and Individual Liberties）裁罰微軟愛爾蘭分公司（Microsoft Ireland Operations LTD，下稱微軟）搜尋引擎Bing，並根據cookie蒐集資料間接產生的廣告收入、資料主題數量及處理的資料範圍定出6千萬歐元之罰鍰額度，且要求微軟應於3個月內限期改正，如逾期按日處以6萬歐元罰鍰。本案是繼2022年1月6日以來，CNIL以相同理由分別對Google與Facebook裁罰1.5億及6千萬歐元罰鍰後，再增1件科技巨頭因違法運用cookie遭受裁罰之案例。本案對我國隱私執法機關參酌於數位環境中，應就cookie聲明如何進行管理之理由與細節，具有參考價值。
而本案微軟之搜尋引擎Bing遭受裁罰之理由，主要可分為二面向：
一、未經使用者事前同意，逕於使用者設備中設置cookie
依法國資料保護法第82條規定，業者利用cookie或其他追蹤方式針對使用者終端設備上的資料進行讀取或寫入資料前，應盡告知義務並取得使用者同意。惟搜尋引擎Bing在使用者造訪網站時，未經使用者同意便設置一種具有安全及廣告等多種用途的cookie（MUID cookie）於其電腦設備，且當使用者繼續瀏覽網站時，將會另設置其他廣告cookie，然微軟亦未就此取得使用者同意。
二、拒絕設置cookie與給予同意之方式便利性應相同
在有效同意的標準與具體判斷上，由於搜尋引擎Bing的cookie聲明第一階層僅提供「接受」與「設定」兩類按鈕，並未提供「拒絕」按鈕，因此使用者同意或拒絕設置cookie之流程便利性有其差異，並未一致，如下說明：
（一）使用者同意設置cookie
如使用者同意設置cookie，僅需於cookie聲明的第一階層點擊「接受」按鈕，即完成設置。
（二）使用者拒絕設置cookie
若使用者欲拒絕設置cookie，需於cookie聲明的第一階層點擊「設定」按鈕；其後進入第二階層，使用者可於各類型cookie選擇開啟或關閉，再點擊「保存設定」按鈕，始完成設置。
是以使用者拒絕同意設置cookie與給予同意之方式，兩者的便利性並未一致。又因第二階層顯示默認未設置cookie，恐導致使用者誤以為網站並未設置cookie，故CNIL認為此種同意欠缺自願性而屬無效者。
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
盧秉羲
專案經理 編譯整理
Cookies: MICROSOFT IRELAND OPERATIONS LIMITED fined 60 million euros, Commission Nationale de l'Informatique et des Libertés, Dec 22, 2022, https://www.cnil.fr/en/cookies-microsoft-ireland-operations-limited-fined-60-million-euros（last visited December. 29, 2022.
吳采薇，〈法國資料保護機關要求Clearview AI刪除非法蒐集的個人資料〉，資訊工業策進會科技法律研究所，2022/1，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8774&no=64（最後瀏覽日：2022/12/29）。
羅健倫，〈歐盟個人資料保護委員會提出關於資料主體接近使用其個人資料權利之指引〉，資訊工業策進會科技法律研究所，2022/3，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8796&no=64（最後瀏覽日：2022/12/29）。
科法觀點
美國聯邦商務部（Department of Commerce, DOC）下之工業及安全局（Bureau of Industry and Security, BIS）於2021年10月20日公布一暫行最終規則（interim final rule），對出口管制規則（Export Administration Regulation, EAR）進行修訂，其於商品管制清單（Commerce Control List）中增訂「可用於監視、間諜活動或其他破壞、拒絕、降低網路及其設備性能之工具」相關之出口管制分類編碼（Export Control Classification Number, ECCN）項目及說明文字，並增訂「授權網路安全出口（Authorized Cybersecurity Exports, ACE）」的例外許可規定（15 CFR §740.22），該暫行最終規則將於2022年1月19日生效。 被列入商品管制清單內的項目，原則上即不允許出口（或再出口、於國內移轉，以下同），惟透過ACE之例外許可，使前述項目可出口至大多數國家，僅在下列「再例外」情況需申請出口許可： 出口地為反恐目的地：出口目的地為15 CFR §740補充文件一所列類別E:1和E:2之國家時，須申請出口許可。 出口對象為國家類別D之政府終端使用者（Government end user）：政府終端使用者係指能提供政府功能或服務之國家、區域或地方之部門、機關或實體，當政府終端使用者歸屬於國家類別D時，須申請出口許可。惟若類別D之國家同時被歸類於類別A:6（如賽普勒斯、以色列及台灣），在特定情況下，如為弱點揭露、犯罪調查等目的，出口予該國之電腦安全事件回應小組；為犯罪調查、訴訟等目的，出口可展現資訊系統上與使用者相關、對系統造成危害或其他影響活動之數位製品（digital artifacts）予警察或司法機關；或出口數位製品予前述政府，而該數位製品涉及由美國公司之子公司、金融服務者、民間健康和醫療機構等優惠待遇網路安全終端使用者（favorable treatment cybersecurity end user）擁有或操作資訊系統相關之網路安全事件時，不適用ACE之再例外規定，而不須申請出口許可。 終端使用者為國家類別D:1、D:5之非政府單位：結合上述第二點之說明，不論出口至國家類別D:1、D:5之政府或非政府單位，皆受ACE之「再例外」拘束，而須申請出口許可。僅當出口特定之ECCN網路安全項目予優惠待遇網路安全終端使用者、基於弱點揭露或網路事件回應之目的出口予非政府單位，或對非政府單位的視同出口（deemed export）行為，方不適用再例外規定，而不須申請出口許可。 終端使用者限制：已知或可得而知該物品將在未獲授權之情況下，被用於影響資訊系統或資訊之機密性、完整性或可用性時，須申請出口許可。
概念驗證中心（Proof of Concept Center, PoCC）概念驗證中心（Proof of Concept Center, PoCC）源自美國研究型大學各校為加速大學科研成果商業化，於內部建立的專業型機構。全美第一所PoCC是2001年設立於加州大學聖地牙哥分校的「里比西中心」（the William J. von Liebig）。 為了因應美國大學科研成果商業化過程中所遇到的阻礙，例如：資金與資源缺乏導致研發人員動力不足、研發人員對於市場需求資訊不對等、技術開發提升緩慢以及政府激勵政策不足等問題。PoCC以解決大學與企業之間存在的各種差異與衝突為目標，並透過下列手段強化科技成果商業化動力，提升商業化績效：1、通過種子基金資助，為無法獲得資金支持的早期研究提供經費挹注；2、為大學科研成果商業化提供市場顧問與技術開發諮詢，以及智慧財產權保護等諮商；3、創業人才教育及培訓，促進創業文化並進行創業教育，以增強大學與產業協同創新能力。
英國資訊委員辦公室推出資料分析工具箱協助組織檢視資料保護情形英國資訊委員辦公室(Information Commissioner's Office, ICO)於今（2021）年2月17日推出資料分析工具箱（data analytics toolkit）供所有考慮對個人資料進行資料分析的組織使用，旨在幫助組織駕馭人工智慧（Artificial Intelligence, AI）系統對個人權利所可能帶來的挑戰。 ICO表示，越來越多的組織使用AI來完成特定任務，例如使用軟體自動發現資料集（data sets）的模式，並藉此進行預測（predictions）、分類（classifications）或風險評分（risk scores），組織在使用個人資料進行資料分析時，納入資料保護的概念是至關重要的，除符合法律要求外，也能增強民眾對技術的信任與信心。 使用ICO的資料分析工具箱時，首先會詢問組織所適用的法律，並引導至相對應的頁面，並透過合法性（lawfulness）、問責與治理（accountability and governance）、資料保護原則（data protection principles）以及資料主體權利（data subject rights）等一系列的問題瞭解組織的資料保護情形，在回答所有問題之後，工具箱將產生一份報告，提供組織關於資料保護的建議，提高組織資料保護的法令遵循程度。 ICO強調，組織應該要在個人資料處理的過程中考量報告中所提及的建議，並向組織的資料保護長（Data Protection Officer, DPO）徵詢其意見，在組織委託、設計與實施資料分析時落實個人權利與自由的保障。
歐洲專利局（EPO）專利申請案件數量持續增加歐洲專利申請案件於2015再次創下新高，達到279,000件之多，較2014年多了近5000件，前五名的國家分別是；美國、德國、日本、法國、荷蘭。當中，向European Patent Office (EPO，歐洲專利局)提出專利申請的就有160,00o件（2014年為152700件），其中美國以及中國的專利申請案件數量頗具貢獻，較2014年增加了16.4%以及22.2%。此數據顯示了全球商業對於專利保護的重視。 EPO 負責人Benoît Battistelli 對此表示，這代表著歐洲不儘有著高度吸引力的科技市場使企業以及研發者爭相投入，更是全球創新能量的核心。 像是義大利和西班牙是在他們近四年來表現最好的一年，專利申請案件分別成長了9%、3.8%；同時，比利時為5.9%、英國為5.7%、荷蘭為3.3%、瑞士為2.6%。甚至也有大幅成長的國家，波蘭成長17.8%、立陶宛成長62.5%。不過，部分國家專利申請案件數量卻是持續下滑，德國下降了3.2%、芬蘭下降8.3%、丹麥下降2.7%。 另外，值得一提的是，不僅是非歐洲當地企業在歐洲的專利申請案件數量有所增加，歐洲當地企業或是研發者於歐洲以外地區的專利申請案件數量也有亮眼的表現，再次顯現了歐洲的創新潛力。 以產業別觀之，醫學科技相關專利申請案數量再次位於EPO中的第一名，成長了11%，引擎相關專利成長18%、 藥學相關專利成長10%、電腦相關專利成長8%。 然而，這樣的成長都與接下來在歐盟會員國之間要實施的單一專利政策有著高度關聯性。單一專利目前由EPO執行，相關的準備已於2015年就緒，包含內部結構的調整，以達到高效率高品質的專利審查過程（去年僅有48%的申請案成功取得歐洲專利）。 當中還有統一專利法庭的設置（United Patent Court），而真正的落實就等德國和英國國內進一步批准United Patent Court Agreement 。EPO對此表示樂觀的態度，認為2016年將會完成所有程序。 最後，歐洲專利開始在歐洲以外地區生效，版圖逐漸擴大。摩洛哥和摩爾多瓦在去年3月、11月都陸續成為非EPO會員卻簽署EPO相關協議，使得該協議法律效果於其國內產生效力。相信這樣的單一專利體制將會對我國有意進入歐洲市場的企業有所助益。 本文同步刊登於TIPS網站（https://www.tips.org.tw）。