法國CNIL重罰微軟因搜尋引擎Bing違法運用cookie
法國國家資訊自由委員會（Commission Nationale de l'Informatique et des Libertés, CNIL）基於cookie聲明（cookie banner）違反法國資料保護法（Act N°78-17 of 6 January 1978 on Information Technology, Data Files and Individual Liberties）裁罰微軟愛爾蘭分公司（Microsoft Ireland Operations LTD，下稱微軟）搜尋引擎Bing，並根據cookie蒐集資料間接產生的廣告收入、資料主題數量及處理的資料範圍定出6千萬歐元之罰鍰額度，且要求微軟應於3個月內限期改正，如逾期按日處以6萬歐元罰鍰。本案是繼2022年1月6日以來，CNIL以相同理由分別對Google與Facebook裁罰1.5億及6千萬歐元罰鍰後，再增1件科技巨頭因違法運用cookie遭受裁罰之案例。本案對我國隱私執法機關參酌於數位環境中，應就cookie聲明如何進行管理之理由與細節，具有參考價值。
而本案微軟之搜尋引擎Bing遭受裁罰之理由，主要可分為二面向：
一、未經使用者事前同意，逕於使用者設備中設置cookie
依法國資料保護法第82條規定，業者利用cookie或其他追蹤方式針對使用者終端設備上的資料進行讀取或寫入資料前，應盡告知義務並取得使用者同意。惟搜尋引擎Bing在使用者造訪網站時，未經使用者同意便設置一種具有安全及廣告等多種用途的cookie（MUID cookie）於其電腦設備，且當使用者繼續瀏覽網站時，將會另設置其他廣告cookie，然微軟亦未就此取得使用者同意。
二、拒絕設置cookie與給予同意之方式便利性應相同
在有效同意的標準與具體判斷上，由於搜尋引擎Bing的cookie聲明第一階層僅提供「接受」與「設定」兩類按鈕，並未提供「拒絕」按鈕，因此使用者同意或拒絕設置cookie之流程便利性有其差異，並未一致，如下說明：
（一）使用者同意設置cookie
如使用者同意設置cookie，僅需於cookie聲明的第一階層點擊「接受」按鈕，即完成設置。
（二）使用者拒絕設置cookie
若使用者欲拒絕設置cookie，需於cookie聲明的第一階層點擊「設定」按鈕；其後進入第二階層，使用者可於各類型cookie選擇開啟或關閉，再點擊「保存設定」按鈕，始完成設置。
是以使用者拒絕同意設置cookie與給予同意之方式，兩者的便利性並未一致。又因第二階層顯示默認未設置cookie，恐導致使用者誤以為網站並未設置cookie，故CNIL認為此種同意欠缺自願性而屬無效者。
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
盧秉羲
專案經理 編譯整理
Cookies: MICROSOFT IRELAND OPERATIONS LIMITED fined 60 million euros, Commission Nationale de l'Informatique et des Libertés, Dec 22, 2022, https://www.cnil.fr/en/cookies-microsoft-ireland-operations-limited-fined-60-million-euros（last visited December. 29, 2022.
吳采薇，〈法國資料保護機關要求Clearview AI刪除非法蒐集的個人資料〉，資訊工業策進會科技法律研究所，2022/1，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8774&no=64（最後瀏覽日：2022/12/29）。
羅健倫，〈歐盟個人資料保護委員會提出關於資料主體接近使用其個人資料權利之指引〉，資訊工業策進會科技法律研究所，2022/3，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8796&no=64（最後瀏覽日：2022/12/29）。
科法觀點
加拿大總理賈斯汀．杜魯道（Justin Trudeau）於2016年10月提出一項改革方案，要求全國各省份或地區於2018年開始，須擇一實施碳稅（Carbon tax）制度或碳交易系統（Cap-and-Trade System）：前者，聯邦政府將制定徵收下限，從2018年每噸10元，逐年提高10元，直至2022年每噸50元為止；至於碳交易系統，則須設立嚴格管控規範，以達聯邦政府實施碳稅制度所得減少碳排放量之預期值。同時，杜魯道更進一步表示，費用將交由各省區自行向排放者進行徵收，並可就其所得作自由運用，反之，倘若未確實執行該項政策者，聯邦政府則將強制介入實施。 事實上，綜觀國際間徵收碳稅制度，主要有兩種類型：一類為全國落實碳稅徵收，例如：荷蘭、丹麥、德國或南韓等，其中尚可再細分是否作為一獨立稅目進行徵收，前述荷蘭及丹麥二國，即直接設立碳稅進行徵收，至於德國與南韓，則是將碳排放作為能源稅之計算因子之一作收取；另一類為國內部分地區自行決定收取，如：美國加州地區及原先加拿大不列顛哥倫比亞省與魁北克省等。 至於未來觀察重點，應在於加拿大實施上述碳排放費用徵收政策後，勢必對於民生消費習慣具相當程度影響，諸如：暖氣、民生用電、交通工具燃料、公共運輸、食品、服裝或其他消費服務，預期均有相應之漲幅，再者，各省區之經濟政策及投資環境，亦可能有不小程度之衝擊，此兩處後續發展，均值得作持續性觀察。
防制洗錢金融行動工作組織針對虛擬資產與其服務提供業者發布進一步監理指引防制洗錢金融行動工作組織（Financial Action Task Force on Money Laundering, FATF）為因應虛擬資產（Virtual Assets）對於打擊洗錢與資恐主義措施所帶來的衝擊，協助各國建立可供遵循的一致性標準，於2018年10月修改FATF建議書（The FATF Recommendations），定義「虛擬資產」與「虛擬資產服務提供業者」（Virtual Asset Service Providers, VASPs），將其納入國際洗錢防制之範疇。 為使各國監管機關依據FATF相關建議，正確評估與降低虛擬資產與VASPs所可能涉及的洗錢與資恐風險，有效進行管理並建立公平競爭的虛擬資產產業體系，FATF於2019年6月21日，針對建議書中第15點－新科技所可能隱藏的洗錢隱憂，加入解釋性說明，列出FATF對於虛擬資產和VASPs的應用標準，包含建議監管機關採取註冊或許可制度，以利進行監督與審查，而非透過自律組織方式進行督導，並與他國進行國際合作。以及為防止不法份子與其同夥擁有對VASPs的控股權（controlling interest）或管理職能（management function），各國主管機關須採取必要的法律或監管措施。另監管機構應有足夠權力監督並確保VASP遵守打擊洗錢和恐怖主義融資的要求，包括進行檢查，強制公開資訊和實施金融制裁。 FATF同時公布「虛擬資產與虛擬資產服務商之風險基礎指引」（Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers），指導各司法管轄區如何應用風險基礎方法，針對虛擬資產相關活動與服務商，進行洗錢與資恐防制。相關主管機構在進行風險評估時，應考量特定的虛擬資產類型或VASP活動，了解其具體架構與運作在金融體系和國家經濟的作用，以及對洗錢與資恐防制的影響，將類似風險的產品或服務應用類似的監理原則處理，並針對虛擬資產的匿名性加強客戶識別機制。隨著VASP活動發展，主管機關亦應審視其他監管措施（如消費者保護、資訊安全、稅務等）與洗錢與資恐防制之間的關聯，進行短期與長期的政策擬定，以制定全面性的監管框架。 FATF預計於2020年6月開始啟動上述新審查機制，為期12個月，檢視各國對於前述具體要求之落實情況。以及持續與民間企業合作，共同探討虛擬資產的基礎技術、使用類型、相關業務模式。
日本擬以金融商品交易法對虛擬貨幣之首次代幣發行予以監管由日本金融廳（FSA）與各界相關人士組成的「虛擬貨幣交換產業相關研究會」（仮想通貨交換業等に関する研究会）於2018年11月2日再度召開會議，本次會議主要針對是否需就ICO監管予以討論。 按ICO，乃是指虛擬貨幣之首次代幣發行（Initial Coin Offering），即向社會大眾發行數位代幣（token），並收取主流虛擬貨幣之籌資行為。在過去，日本僅以向金融廳諮詢會報的方式督導，對於虛擬貨幣之交易所僅課予註冊義務，並未對於ICO行為予以規範。而ICO因其大量之籌資行為可能產生之風險如詐欺、非法募資或洗錢，從而日本金融廳研擬將ICO列入「金融商品交易法」規範之。 而就ICO是否有受到金融監管之必要，會議中主要之考量有以下兩點： 使用虛擬貨幣之行為是否具有金錢上融資之功能，會議中對於不具權利性質之虛擬貨幣認為無監管必要； 引入金融監督機制是否符合社會期待。 另外，會議中並就ICO和首次公開募股（Initial Public Offerings，以下簡稱IPO）進行比較，有認為，倘若ICO具有如同IPO籌集資金之經濟功能，並且也可能產生如同IPO之相同風險，理應受到相同之規範。可為之規範例如對於賣家進行最低度審查，避免透過籌資為詐欺之可能；限制權利內容模糊不清之虛擬貨幣流通，並對發行人之財務和業務狀況進行篩選；課予ICO負有如同IPO之揭露義務，並須在網站上公布對於投資人有影響性之資訊；使發行價格更有衡量基準。另外JVCEA（日本仮想通貨交換業協会）作為監管機構，擬對於ICO在銷售開始、銷售結束，甚至銷售結束後仍課予持續的情報提供義務。 而於後續2018年11月26日召開之第十次會議中，表示對於ICO在未來不會採取禁止之態度，仍保持鼓勵之立場，但對於投資人之保護需要更全面予以考量，減少利用ICO詐欺之情形。另外，對於虛擬貨幣交換業者，需要加強對客戶財產之管理和維護，亦可能對其施加信託義務，俾利加強投資人信心。 ICO在日本非常盛行，但也因此詐欺案件頻傳，對於日本將以何種方式監管ICO；對於虛擬貨幣交換業者之規範，對投資人之保護是否足夠；又或是此類規範將形成交換業者反抗，依目前會議頻繁討論之程度應很快會有定論。惟對於此種新創之產業，往往需在監管與鼓勵發展間求取平衡，而日本在虛擬貨幣之發展上，又領先亞洲各國，對於此次監管議題後續發展，實值關注，並得以借鏡我國，作為我國在相同議題上之參考。