法國國家資訊與自由委員會(Commission Nationale de l’Informatique et des Libertés, CNIL)於2025年9月1日針對一起由歐洲數位權利中心(noyb - The European Center for Digital Rights)提出的申訴做成決議,指Google未經Gmail使用者同意,將廣告偽裝為電子郵件進行「偽裝廣告」(Disguised Ads)投放,以及在對Gmail使用者投放個人化廣告前,未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告(generic ads)的選項,違反了《電子通訊法》(code des postes et des communications électroniques)與《資訊與自由法》(loi Informatique et Libertés)中關於歐盟《電子隱私指令》(ePrivacy Directive)之施行規定,對Google裁處了3.25億歐元的罰鍰,並要求改善。以下節錄摘要該裁決之重點:
一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放
歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定,電子郵件直接推銷(direct marketing)僅在其目標是已事先給予同意的使用者時被允許。CNIL,依循歐盟法院(CJEU)判例法(C-102/20)見解,認為若廣告訊息被展示在收件匣中,且形式類似真實電子郵件,與真實電子郵件相同位置,則應被認為是電子郵件直接推銷,須得到當事人之事前同意。因此,CNIL認定偽裝廣告即便技術上不是狹義的電子郵件,僅僅因其在通常專門用於私人電子郵件的空間中展示,就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告,屬於電子郵件廣告,而與出現在郵件列表旁邊且獨立分開的廣告横幅不同,後者非屬電子郵件廣告。
二、 Cookie Wall下當事人的有效同意:「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明
CNIL參酌歐盟個人資料保護委員會(European Data Protection Board, EDPB)第2024/08號關於「同意與付費模式」意見,認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之,以「cookie wall」(註:拒絕cookie的蒐集即無法獲得服務之網站設計)取得之當事人「同意」,非當然不自由或無效。CNIL認為,在免費服務的框架下,cookie wall在維持提供服務與服務成本之間的經濟平衡上,要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為,這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。
CNIL要求,當事人在cookie wall的框架內仍應享有選擇自由,才能取得蒐集為投放個人化廣告之cookies的當事人有效同意,亦即:在個人化廣告處理更多個資和對當事人造成更多風險的情況下,當事人應被給予機會選擇「等值的替代選項」,亦即通用廣告,並完全且清晰地了解其選擇的價值、範圍及後果。
然而,CNIL發現,Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜,實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意,從而影響了當事人的選擇自由。CNIL也發現,Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall,以及對此使用者享有甚麼選擇,而其提供的資訊更引導使用者選擇個人化廣告,導致選擇一般廣告的機會遭到犧牲。
三、 為何不是愛爾蘭資料保護委員會(Data Protection Commission, DPC)管轄?
GDPR設有「單一窗口機制」,依據該合作機制,對Google進行的GDPR調查,應由作為主任監管機關(Lead Supervisory Authority)的愛爾蘭DPC管轄。惟在本案,CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇,而是適用電子隱私指令,CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制,但尚不足以弭平成員國間監管強度之差異。
美國FCC在2011年12月22日發布了新廣電事業所有權限制規則的法規制定建議通知(Notice of proposed rulemaking, NPRM),進一步降低包括高功率無線電視台、廣播電台等地區性媒體集中、全國無線電視網所有權集中、以及地區性報社與無線電視台的跨媒體集中之管制密度。 廣電事業所有權限制規則自2000年之後歷經多次修正與涉訟,FCC於2003年的修正,於遭到2004年遭到聯邦第三巡迴法院的部份廢棄;2007年與2008年的修正,亦同樣遭到同法院的部份廢棄。而FCC在經2010年的四年一度檢視、並委託外界研究之後,再於此次進行修正、並諮詢各界。 FCC認為,寬頻網路確實使消費者轉向網路或行動平台接收新內容與影音節目,也連帶使媒體市場結構大幅變化。但新媒體目前尚未如傳統媒體般無所不在,主因是美國寬頻上網仍未普及,寬頻普及率僅70%;並有1400萬人無法接取寬頻基礎設施。而線上影音串流或下載節目皆要求最小寬頻頻寬,阻礙了新媒體的普及,因此廣電事業所有權限制規則對於維護競爭、在地化、多樣性、與保障少數族群、身心障礙者和女性的政策目標上,仍有存在必要。 此次NPRM重點如下: 1、維持地區無線電視所有權限制規則(Local Television Ownership Rule); 2、維持地區報社/地區無線電視跨媒體所有權限制規則(Newspaper/Broadcast Cross-Ownership Rule); 3、因既有地區無線電視、地區廣播所有權限制規則已足夠維護政策目標,廢除地區廣播電台/地區無線電視台跨媒體所有權限制規則(Radio/Television Cross-Ownership Rule); 4、維持複數全國無線電視網所有權限制規則(Dual Network Rule); 新訂少數族群與女性所有權保障規範。
韓國公共行政安全部制定《公部門AI倫理原則》草案,以提升民眾對公部門應用AI之信任2025年11月,韓國公共行政安全部(Ministry of the Interior and Safety,下稱MOIS)於新聞稿宣布制定《公部門AI倫理原則》草案,追求公益、公平無歧視、透明、問責明確、安全性及隱私保護等六大核心價值,旨於促進創新、提升民眾對公部門應用AI之信任。 一、適用範圍 《公部門AI倫理原則》草案適用對象為公部門,包含中央、地方政府機關等,其性質為不具強制力的指引。 二、檢核表分三階段漸進式管理 《公部門AI倫理原則》草案依AI 應用的複雜程度分為三階段漸進式管理,設計最高達90個細項的檢核表(Checklist),惟目前尚未公開詳細內容: (一)第一階段:基礎導入(AI基礎應用) 針對技術引進的初步活用階段,共包含31個檢核項目,旨在建立基礎的倫理合規防線。 (二)第二階段:進階應用(AI決策支援) 適用於AI提供資料分析與建議以輔助人員進行行政決策的情境。隨著影響力提升,檢核項目擴增至74個,強化透明性與責任性的審查。 (三)第三階段:深度融合(AI自主決策) 針對AI具備高度自主決策權的高風險情境(如自主化服務或複雜判斷),執行最嚴密的倫理檢查,共達90個檢核項目。 建議公部門依檢核表自行檢查,並依結果建立「調整與回饋」的循環機制,以因應不斷變化的技術環境。 MOIS部長指出,未來將進一步蒐集學界意見以完備倫理原則,並開發一套AI倫理原則之培訓課程,確保一線能落實執行這90個檢核項目,保障人權與基本權利。 由於目前未見90個檢核項目內容,值得持續追蹤後續進展。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)
歐盟對於不可申請專利的基本生物學方法做出新解釋大多數國家是認為動植物為法定不得授予專利之標的,歐盟以往因為歐洲專利公約實施細則(Implementing Regulations to the Convention on the Grant of European Patents,下簡稱實施細則)跟擴大上訴委員會(the Enlarged Board of Appeal,簡稱EBA)決定不一致而造成爭議,EBA於2020年5月做出的新決定,對於動植物是否為可授予專利之標的做出一致性解釋。 在歐洲專利公約(European Patent Convention,簡稱EPC)第53條第2款規定用以生產動植物的基本生物學方法不可授予專利,並於2017年生效的實施細則第28條第2項將其進一步擴張解釋成,僅運用基本生物學方法所產生的動植物不可授予專利,這與EBA在2015年所做出的決定(G 2/12、G 2/13)並不一致,在2015年的決定中提到,運用基本生物學方法來界定動植物的請求項仍可以被接受,因此實施細則第28條第2項與2015年的決定產生衝突。 於2019年,技術上訴委員會(Technical Board of Appeal)在案例T 1063/18中發現了這個問題,並提到EBA討論,EBA表示,考慮到法條涵義可能因時間產生變化,需要對EPC第53條第2款進行動態解釋(dynamic interpretation),實施細則第28條第2項與EPC第53條第2款並未矛盾,而是進一步擴展為,僅通過基本生物學過程,或是由基本生物學方法界定動植物之情況,皆屬於不可授予專利之情況,而推翻之前的決定。而為維持法律安定性,本決定(G 3/19)對於2017/07/01前生效或申請的案件並不具效力。 「本文同步刊登於TIPS網站(https://www.tips.org.tw )」
日本成立供應鏈資通安全聯盟(Supply Chain Cybersecurity Consortium)日本經濟產業省(下稱經產省)於2020年6月12日發布其國內產業資通安全現況與將來對策(昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性)報告,指出近期針對供應鏈資通安全弱點企業所展開的攻擊,有顯著增長趨勢。為此,該報告建議共組供應鏈的企業間,應密切共享資訊;於關鍵技術之相關資訊有外洩之虞時,應向經產省提出報告;若會對多數利害關係人產生影響,並應公開該報告。遵循該報告之建議要旨,同年11月1日在各產業主要的工商團體引領下,設立了「供應鏈資通安全聯盟(原文為サプライチェーン・サイバーセキュリティ・コンソーシアム,簡稱SC3)」,以獨立行政法人資訊處理推進機構(独立行政法人情報処理推進機構,IPA)為主管機關。其目的在於擬定與推動供應鏈資通安全之整體性策略,而經產省則以觀察員(オブザーバー)的身分加入,除支援產業界合作,亦藉此強化政府與業界就供應鏈資通安全議題之對話。 只要贊同上述經產省政策方向與聯盟方針,任何法人或個人均得參加SC3。針對產業供應鏈遭遇資安攻擊的問題,經產省與IPA已有建構「資通安全協助隊(サイバーセキュリティお助け隊)」服務制度(以下稱協助隊服務),邀集具相關專長之企業,在其他企業遭遇供應鏈資安攻擊時,協助進行事故應變處理、或擔任事故發生時之諮詢窗口。而SC3則規畫為這些參與提供協助隊服務的企業建立審查認證制度。其具體任務包含擬定認證制度的審查基準草案、以及審查機關基準草案,提供IPA來建構上述基準。依該制度取得認證的企業,將獲授權使用「資通安全協助隊」的商標。同時在業界推廣協助隊服務制度,讓取得認證的中小企業得以之為拓展其業務的優勢與宣傳材料。