歐盟法院判決釐清GDPR民事賠償不受損害最低程度限制
歐盟法院（Court of Justice of the European Union, CJEU）於2023年12月14日對Gemeinde Ummendorf（C‑456/22）案作出判決。歐盟法院試圖釐清《歐盟一般個人資料保護規則》（General Data Protection Regulation, GDPR）第82條的民事求償規範中，資料主體受到非財產上的損害要到何種程度才可獲得賠償。
本案源自於兩位自然人原告與德國的烏門多夫市政府（Municipality of Ummendorf）之間的紛爭。2020年，烏門多夫市政府未經兩位原告同意情況下，在網路上公布市議會議程與行政法院判決，這些資訊內容均多次提及兩位原告的姓名與地址。兩位原告認為市政府故意違反GDPR，因此依據GDPR第82條請求市政府賠償，並進一步主張該條意義下的非財產損害，不需要任何損害賠償門檻。然而，市政府則持相反意見。
長久以來，德國法院傾向認為，GDPR的非財產上損害需要超過某個「最低損害門檻」才可獲得賠償。然而，承審法院決定暫停訴訟程序，並將是否應有「最低損害門檻」以及其基準為何的問題，提交給歐盟法院進行先訴裁定。
歐盟法院考慮到，GDPR的宗旨在於確保在歐盟境內處理個人資料時對自然人提供一致和高水準的保護，如要求損害必須達到一定的嚴重性閾值或門檻才可賠償，恐因為成員國法院認定的基準不同，進而破壞各國實踐GDPR 的一致性。因此，歐盟法院最後澄清，GDPR的民事賠償不需要「最低損害門檻」，只要資料主體能證明受有損害，不論這個損害有多輕微，都應獲得賠償。
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
楊政一
專案經理 編譯整理
Case C‑456/22, VX, AT, v. Gemeinde Ummendorf, https://curia.europa.eu/juris/document/document.jsf;jsessionid=35836399C145F7721BB485C7547149C2?text=&docid=280630&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=7527549 (last visited Jan. 25, 2024)
楊政一，〈歐盟個資保護委員會公布GDPR裁罰金額計算指引〉，2023年8月，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=0&d=9024 （最後瀏覽日：2024/01/25）。
今年7月，美國國會議員Issa提出了《2024年訴訟透明法案》（H.R. 9922, the Litigation Transparency Act of 2024，下稱《訴訟透明法案》），要求當事人揭露民事訴訟中所取得之金融支援的來源，如商業貸款機構等，以提高訴訟透明度並降低濫訴之情形，惟此提案恐導致美國新創及中小企業更難成功起訴竊取其專屬技術之大企業。 近年來，許多大型科技公司從較小的競爭對手竊取其專屬技術，然而僅有少數案例成功取得賠償金，如：伊利諾州地方法院要求Amazon向軟體公司Kove IO支付5.25億美元的賠償金等。這是由於新創及中小企業縱有證據證明其智慧財產權被盜，在訴訟中多面臨沒有足夠資力與大型科技公司抗衡之窘境，因此往往被迫接受遠低於其所受損失之和解金。透過這種方式，大型科技公司能掌握技術並支付低於取得該技術授權所需之成本，因此被稱之為「有效侵權（efficient infringement）」。 新創及中小企業近期透過與第三方金融資助者協議共享訴訟取得之賠償等方式，降低其進入訴訟程序的經濟門檻，以對抗大型科技公司所採取之「有效侵權」。然而最近一系列案例顯示，中國大陸所支持的第三方金融資助者助長了針對美國企業之智財訴訟，引發了國家安全問題，故立法者為降低營業秘密被外國競爭對手取得之風險、避免無意義之訴訟被廣泛提起，要求當事人揭露其於民事訴訟中所取得之金融支援來源。若《訴訟透明法案》通過，原告所採取之法律策略將可能外洩，而第三方金融資助者亦將受到各方之抨擊，進而導致新創及中小企業在訴訟中更難取得金融支援。 綜上所述，若要降低訴訟之可能性，新創及中小企業須強化其對於專屬技術之保護，從根本減少專屬技術洩露之風險，以避免訴訟發生或進入後端訴訟。有鑑於新創及中小企業與大企業相比，在智財保護觀念上更接近學研單位，且對於營業秘密之管理多未臻完備，因此為確保其能有效落實對營業秘密之管控，建議新創及中小企業可參考智慧局所發布之《學研機構營業秘密管理實作要領》，量身訂作符合自身需求的營業秘密管理制度，並循序完善相應之營業秘密管理措施，以降低專屬技術被竊取的風險。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
加拿大法院命令ISP業者提供非法下載者資訊給著作權人加拿大聯邦法院在Voltage Pictures LLC v. Does一案中核發命令要求第三人ISP業者TekSavvy提供在該案中被控非法下載電影的2千多位使用者姓名與地址資訊給著作權人Voltage電影公司，此例在著作權、科技與隱私的微妙關係中投出一記變化球。在本案例中，法院需要對2件事進行判斷，一是是否核發該命令，二是若核發命令，法院如何降低對隱私權的侵害並確保權利人以正當的目的使用相關資訊。 在判斷是否核發命令時，法院考量到下列因素，包括：法院命令是唯一合理取得資訊的方式，TekSavvy擁有係爭資訊，且命令不會對其造成不當的花費與影響。同時，認定Voltage有真實的意圖向非法下載者提出侵權訴訟，且對於資訊的揭露並無不當的目的。此外，在本案所提供的證據上，也認定Voltage確為善意的主張（bona fide claim），因此其著作權比受影響的使用者隱私權利益來得重要等因素。 不過，法院仍然必須進一步決定Voltage在本案中，是否將以善意的方式（bona fide manner）使用其所取得之隱私資訊，法院考量英、美著作權蟑螂（copyright trolls）濫發警告信勒索使用者的案例，認為在命令中對Voltage聯繫接觸使用者的方式作了限制與要求是平衡著作權與隱私權，及同時抑制著作權蟑螂的最好作法，包括：法院有權檢視並要求修改Voltage寄給使用者的信件、信件中必須表明尚未有侵權的裁決、收件者未必有責、並提示收件者可尋求法律意見，同時要求該信件以法院命令做為附件，確保命令不會被濫用。 Voltage一例對於著作權人、ISP業者與使用人而言相當關鍵，著作權人只要有適當的證據就可以取得法院命令要求ISP業者提供侵權使用者資訊，不過法院也表明會透過命令內容的限制，平衡著作權與隱私權，抑制蟑螂類型的商業模式在加拿大蔓延。
歐盟發布新版「向第三國傳輸個人資料標準契約條款」歐盟執委會以（EU）2021/914號執行決定（Implementing Decision）所發布的新版「向第三國傳輸個人資料標準契約條款（New Standard Contractual Clause for the transfer of personal data to third countries，下稱SCC）」已於9月27日起正式取代舊版條款。 新SCC發布於2021年6月27日，旨在滿足歐盟法院（the Court of Justice of the European Union, CJEU）以2020年7月Schrems II判決所訂定之資訊保護需達「足夠充分（substantially sufficient）」標準。該版SCC為因應不同情境之跨境資料傳輸，而設計採取4種模組之規範條款供涉及歐盟境外之第三方資料傳輸者（控制者與接收者）依循參採，包括： 規範模組一：從資料控制者（Data Controller）到資料控制者的資訊傳輸（Transfer from controller to controller, C2C） 規範模組二：從資料控制者到資料處理者（Data Processor）的資料傳輸（Transfer from controller to processor, C2P） 規範模組三：從資料處理者到資料處理者的資料傳輸（Transfer from processor to processor, P2P） 規範模組四：從資料處理者到資料控制者的資料傳輸（Transfer from processor to controller, P2C） 本次執行決定亦設立了轉換期以利各方進行合規審查與契約調整：雖然舊版已於2021年9月27日廢止不再適用，原已適用舊版SCC之契約，至遲仍得實施至2022年12月27日止。（亦即新版SCC公佈後的18個月內）。 在此執行決定下，歐洲資料保護委員會 （European Data Protection Board）亦發布「關於如何確保對個人資料傳輸採取適當保護措施建議（Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data）」釐清GDPR「傳輸影響評估（Transmission Impact Assessment, TIA）之機制流程 。 隨著資通科技之快速崛起跨境個資傳輸已成為企業常態，而此種現象近期甚至在交通自動化的科技發展下逐漸擴及交通業別，其中全球航運和物流公司在全球範圍內傳輸個資，其中甚至包括用於履行和營銷目的之乘客資料、員工個人資料和客戶業務聯繫資訊等敏感個資已成為常態，應儘速因應相關法制之發展，解決全球範圍內快速發展的隱私合規問題。
瑞典法院就iPhone 是否屬於著作權法上「私人重製工具」之實務見解瑞典最高法院（Högsta domstolen）於2015/11/18 針對集管團體Copyswede 與瑞典電信公司Telia Sonera 之訴訟案發出審查允許（prövningstillstånd）之決定。此案之爭點在iPhone手機若屬於瑞典著作權法 § 26 k上之為私人重製之工具（en produkt som är särskilt ägnad för privatkopiering），則應納入私人重製補償金之對象。 Copyswede是依瑞典著作權法管理私人重製補償金之團體，於本案中向Telia Sonera 請求繳納補償金，理由在於瑞典電信公司Telia Sonera自2009/01/01進口iPhone各型式手機，Copyswede主張iPhone手機型式為一種適合用於私人重製之工具，故Telia Sonera應繳納補償金，於是向此案一審法院Södertörns tingsrätt提出訴訟。一審法院以iPhone手機之功能及其實際使用情形為判斷基準，以中間裁定方式（Mellamdom）認定iPhone手機確屬瑞典著作權法上之「私人重製之工具」，二審法院Svea hovrätt亦採相同見解。不服此一認定之Telia Sonera於是請求瑞典最高法院進行審查。