澳洲競爭及消費者委員會(ACCC)就大型數位平臺對於消費者權益和市場競爭的問題提出建言

澳洲競爭及消費者委員會(Australian Competition and Consumer Commission, ACCC)於2022年11月發佈了數位平臺第五份調查報告。該報告係ACCC受澳洲政府委託,於2020年起對數位平臺相關的消費者權益和市場競爭問題的調查,本次報告將重點放在監管如何改革。主要提供的建議和警示可分為五個方向:

1.反競爭行為
大型數位平臺擁有巨大的市場力量和重要的財政資源,佔據主導地位的數位平臺公司有能力和動機透過排他性行為和收購潛在競爭對手,以維持其在市場中的優勢地位。

2.消費者和中小企業保護不足
ACCC於2022年所發佈的最新報告與其自2017年開始進行數位平臺研究起所發布的其他報告一致,皆指出數位平臺的服務有以下潛在危害:
● 利用消費者偏見或引導消費者的方式向消費者提供服務。
● 數位平臺上的詐騙明顯且持續增加。
● 來自應用程式商店提供的不當和欺詐性應用程式的危害。
● 創建、購買和銷售虛假評論以及以其他方式操縱評論的做法。
● 欠缺救濟和爭議解決的途徑。

3.保護消費者的新措施
澳洲現有的競爭和消費者法律已難以因應數位平臺市場所面臨的消費者權益侵害和競爭危害等問題。該報告建議進行立法改革,具體如下:
● 商業市場中的消費者保護措施,包括禁止不公平交易行為和不公平契約條款。
● 針對數位平臺的消費者爭議措施,包括強制規定內部和外部的爭議解決流程,以及平臺對詐騙、有害程式和虛假評論的預防和刪除義務。
● 建立新的競爭框架,使受指定的數位平臺提供服務時受到適用於此一領域的強制性法規拘束。
● 受指定數位平臺將應遵循之新框架和守則,以遵守競爭義務,避免其在市場中的反競爭行為,如競爭行為中的自我偏好(self-preference)等。

4.管轄
該調查報告亦指出適當且明確的管轄權限劃分對於新的監管框架來說非常重要,應在考慮到其專業知識和權責範圍的前提下,將監管責任分配給正確的管理機構,並且這些監管在流程中的各個環節都應受到適當的監督。
對於新的競爭框架及監管措施,ACCC建議可以參考英國當前的制度設計;英國政府成立了數位市場部門(Digital Markets Unit, DMU),該部門隸屬於競爭與市場管理局(Competition and Markets Authority),DMU負責監督受指定數位平臺,並在符合公平貿易、選擇開放、透明及信任等前提之下,DMU得視各個公司不同的情況對其進行特定的要求,如建立面對非法內容、對成人或未成年人有害內容時的應對措施等。

5.與國際方針的一致性
過去,澳洲在數位平臺監管策略採取了領先國際的創新行動,透過實施《新聞媒體議價法》(News Media Bargaining Code),要求數位平臺為新聞內容付費。但未來澳洲政府最終採用的策略將可能仿效他國經驗或是依循國際間共通模式,如英國推行中的《網路安全法》(Online Safety Bill)或歐盟的《數位市場法》(Digital Market Act)和《數位服務法》(Digital Services Act),而非獨樹一幟。
澳洲數位平臺監管策略之後續變化與進展值得持續追蹤,以做為我國數位平臺治理政策之借鏡。

相關連結
※ 澳洲競爭及消費者委員會(ACCC)就大型數位平臺對於消費者權益和市場競爭的問題提出建言, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8965&no=57&tp=1 (最後瀏覽日:2026/09/16)
引註此篇文章
你可能還會想看
德國將放寬非基因改造標示法規

  德國聯邦食品農也消保部(BMELV)發言人宣布,針對非基因改造食品標示制度之修正,今(2008)年初已達成政治協商,未來德國的非基因改造食品標示,將會容許那些在無可得替代產品的情形下而使用了基因改造維他命、添加物或加工輔助用料等基因改造產品之終端食品,標示為非基因改造食品。如此一來,那些使用目前只能以基因改造加工製成之維他命(如維他命B21、lyside等)所飼養之動物,日後動物來源食品以其作為原料時,這些食品將來也可以標示為非基因改造。此修法預計可在明年初完成實施。   德國此次修法目的,實係為了促進食品產業使用非基因改造標示。自從1990年建立非基因改造食品專有之標示制度起,動物來源食品如要作非基因改造標示,必須連在飼養時都使用非基因改造飼料,但食品產業卻表示此規定審為嚴苛且維持基因改造聲明所需的文件繁多,此機制實際上根本難以運用。BMELV為了促進食品產業使用非基因改造標示,遂決定修法放寬標準。   然而,這樣的修法仍然引起部分反對意見,例如德國食品產業聯盟(German food industry federation)即表示,非基因改造標示應當只能給予完全未使用基因改造之產品,其他產品則應使用諸如未含基因改造植物之類的聲明,否則就是誤導民眾之行為。此外,假如標有非基因改造標示的食品以此種方式使用過基因改造材料的話,更可能會折損非基因改造食品標示可性度。

印度政府公告個人資料保護法草案

  2018年7月27日印度電子及資訊科技部(Ministry of Electronics and Information Technology, MeitY)公告個人資料保護法草案(Protection of Personal Data Bill),若施行將成為印度首部個人資料保護專法。   其立法背景主要可追溯2017年8月24日印度最高法院之判決,由於印度政府立法規範名為Aadhaar之全國性身分辨識系統,能夠依法強制蒐集國民之指紋及虹膜等生物辨識,國民在進行退稅、社會補助、使用福利措施等行為時都必須提供其個人生物辨識資料,因此遭到人權團體控訴侵害隱私權。最高法院最後以隱私權為印度憲法第21條「個人享有決定生活與自由權利」之保護內涵,進而認為國民有資料自主權,能決定個人資料應如何被蒐集、處理與利用而不被他人任意侵害,因此認定Aadhaar專法與相關法律違憲,政府應有義務提出個人資料專法以保護國民之個人資料。此判決結果迫使印度政府成立由前最高法院BN Srikrishna法官所領導之專家委員會,研擬個人資料保護法草案。   草案全文共112條,分為15章節。主要重點架構說明如下: 設立個資保護專責機構(Data Protection Authority of India, DPAI):規範於草案第49至68條,隸屬於中央政府並由16名委員所組成之委員會性質,具有獨立調查權以及行政檢查權力。 對於敏感個人資料(Sensitive personal data)[1]之特別保護:草案在第4章與第5章兩章節,規範個人與兒童之敏感個人資料保護。其中草案第18條規定蒐集、處理與利用敏感個人資料前,必須獲得資料主體者(Data principal)之明確同意(Explicit consent)。而明確同意是指,取得資料主體者同意前,應具體且明確告知使用其敏感個人資料之目的、範圍、操作與處理方式,以及可能對資料主體者產生之影響。 明確資料主體者之權利:規範於草案第24至28條,原則上資料主體者擁有確認與近用權(Right to confirmation and access)、更正權(Right to correction)、資料可攜權(Right to data portability)及被遺忘權(Right to be forgotten)等權利。 導入隱私保護設計(Privacy by design)概念:規範於草案第29條,資料保有者(Data fiduciary)應採取措施,確保處理個人資料所用之技術符合商業認可或認證標準,從蒐集到刪除資料過程皆應透明並保護隱私,同時所有組織管理、業務執行與設備技術等設計皆是可預測,以避免對資料主體者造成損害等。 指派(Appoint)資料保護專員(Data protection officer):散見於草案第36條等,處理個人資料為主之機構、組織皆須指派資料保護專員,負責進行資料保護影響評估(Data Protection Impact Assessment, DPIA),洩漏通知以及監控資料處理等作業。 資料保存之限制(Data storage limitation):規範於草案第10條與第40條等,資料保有者只能在合理期間內保存個人資料,同時應確保個人資料只能保存於本國內,即資料在地化限制。 違反草案規定處高額罰金與刑罰:規範於草案第69條以下,資料保有者若違反相關規定,依情節會處以5億至15億盧比(INR)或是上一年度全球營業總額2%-4%罰金以及依據相關刑事法處罰。 [1]對於敏感個人資料之定義,草案第3-35條規定,包含財務資料、密碼、身分證號碼、性生活、性取向、生物辨識資料、遺傳資料、跨性別身分(transgender status)、雙性人身分(intersex status)、種族、宗教或政治信仰,以及與資料主體者現在、過去或未來相連結之身體或精神健康狀態的健康資料(health data)。

販賣或製造色情光碟的人並非不可原諒之徒

色情光碟在澳洲高中校園內的網路流傳,且以一片美金五元的價格販售,其光碟的內容有女性被性虐待的畫面,例如撒尿在女生身上,或燒女生頭髮等。澳洲警方警告,任何學生觀看或下載這些色情影片將處以罰款。   維多利亞警局資深警官麥可‧亨瑞表示,「罰款並不能阻止這些色情的影片。」色情犯罪偵查小組為了調查色情光碟在校園流竄的問題,整夜和這些青少年進行面談,以了解色情光碟對他們的影響。麥可說:「這些色情光碟影響青少年對於性的想法,而且現在並沒有任何人因為此事被罰款,即使要罰款,也要有證據來界定罰款的金額。」   澳洲法院總理約翰‧南斯說道:「販賣或製造這些色情光碟是一種可怕且無恥的行為,但我們不能因為我們的感受而以刑罰作為報復的工具,因為這些青少年年紀尚輕,而且有些人是因為同儕的壓力而犯罪的,我們應該試著體諒並且確定他們的人生不會因此次事件而留下不可抹滅的印記。」    因為即使以法律對販賣或製造色情光碟的青少年施以懲罰,在他們人生的紀錄中留下一個可恥的印記,但這些懲罰對於改善他們的未來,並沒有任何助益。

歐盟GDPR保護適足性審核與因應作為

歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要   歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1],對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速,網際網路與各項應用興起,既有歐盟個人資料保護指令面對這些變化已經難以為繼,歐盟執委會(European Commission) 出新的資料保護規則(General Data Protection Regulation, GDPR),於2016年4月27日通過,5月4日公布,正式成為歐盟第2016/679號規則(Regulation (EU) 2016/679)[2]。由於歐盟原則上禁止個人資料跨境傳輸,只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸,因此如何獲得歐盟保護適足性認可,就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定   1995年的個人資料保護指令,就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中,對於保護適足性的審查,包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等,透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準,則依照第29條規定資料保護工作小組(Article 29 Data Protection Working Party)的指導文件[5],其中對於法律規範審查,除了內容外,更重視個資保護的執行面。 二、GDPR保護適足性審查規定   GDPR延續了個人資料保護指令的規定,原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定,適足性的評估包括以下要素: 法治、對人權與基本自由之尊重、一般與部門之相關立法,包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作,或對象為國際組織時,確保及執行資料保護規則之遵守,包括充足之執行權,以協助及建議資料主體行使其權利,並與會員國之監管機關合作; 個人資料向其他第三國或國際組織進一步移轉,該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟;第三國或國際組織所加入之國際協定,或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務,尤其關於個人資料保護者。   以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化,同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定,填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況   保護適足性認可的程序[7]為: 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。   縱然取得認可,之後也會每四年檢驗一次[8],如果被判定不具保護適足性,則仍會取消原本的認可[9]。   現階段已通過保護適足性審核的國家地區包括:安道爾、阿根廷、加拿大(民間機構)、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭,另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 (一)保護適足性認可的效益   除了取得適足性認可外,個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC);2.拘束企業準則(Binding Corporate Rules, BCR);或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本,減輕企業負擔,同時也有助於整體產業突破歐盟貿易壁壘。 (二)通過保護適足性審核的困難   雖然現行通過適足性審核的國家地區有11個,惟需注意的是,根西島、馬恩島、以及澤西島都是英國屬地,法羅群島是丹麥屬地,而安道爾和瑞士都是在歐洲境內,這些國家地區的法規範本來就與歐盟差距不大,加上美國及加拿大國家本身不被認可具適足性,實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間,因此也不能作為短期的因應措施。   此外,在要件方面,規範上雖然我國個資保護規範與GDPR未有極大歧異,但只要存有差異,要取得認可就有極高困難度,這些都需要與歐盟執委會溝通。而在監管機關要求方面,雖然沒有要求單一機關,但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準,但在歐盟法院判決中,有因為德國的州對州層級的資料監管機關進行調查的權力,而被認為不具獨立性[11]。 (三)通過適足性審核的具體作為   以日本為例,為了取得歐盟適足性認可,在2015年9月就其個人資料保護法(個人情報保護法)進行修正,其中設立個人資料保護委員會(個人情報保護委員会)即是為了符合適足性要求中「獨立監管機關」規定,而第24條跨境傳輸的規定更是重要。   日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12],同時在2017年發出共同聲明[13]。在不修正法律的狀況下,日本個人資料保護委員會頒布一指導方針來消除差異,並於於2018年2月9日先揭示調適方向[14],包括: 將歐盟視為敏感性個人資料而日本未明文規定者,解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間,一律可以主張權利,而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資,不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉,必需要透過契約等規制,確保資料受保護水準。 關於歐盟跨境傳輸的個資,在去識別化一定要確認無法再識別,以與歐盟去識別化資料定義相符。 肆、結語   歐盟GDPR已施行在即,如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰,更是跨越歐盟貿易壁壘的重要關鍵,而在眾多例外許可跨境傳輸的方法中,又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高,但仍有許多能努力的空間,目前我國也著手申請適足性認可的準備,未來能得到何種程度的回應,值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会,個人情報保護委員会の国際的な取組について,https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO,個人データ保護の「十分性認可」取得の好機に-日EU首脳が共同声明-,https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会,EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ,https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).

TOP