法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法,開罰3.25億歐元

法國國家資訊與自由委員會(Commission Nationale de l’Informatique et des Libertés, CNIL)於2025年9月1日針對一起由歐洲數位權利中心(noyb - The European Center for Digital Rights)提出的申訴做成決議,指Google未經Gmail使用者同意,將廣告偽裝為電子郵件進行「偽裝廣告」(Disguised Ads)投放,以及在對Gmail使用者投放個人化廣告前,未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告(generic ads)的選項,違反了《電子通訊法》(code des postes et des communications électroniques)與《資訊與自由法》(loi Informatique et Libertés)中關於歐盟《電子隱私指令》(ePrivacy Directive)之施行規定,對Google裁處了3.25億歐元的罰鍰,並要求改善。以下節錄摘要該裁決之重點:

一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放

歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定,電子郵件直接推銷(direct marketing)僅在其目標是已事先給予同意的使用者時被允許。CNIL,依循歐盟法院(CJEU)判例法(C-102/20)見解,認為若廣告訊息被展示在收件匣中,且形式類似真實電子郵件,與真實電子郵件相同位置,則應被認為是電子郵件直接推銷,須得到當事人之事前同意。因此,CNIL認定偽裝廣告即便技術上不是狹義的電子郵件,僅僅因其在通常專門用於私人電子郵件的空間中展示,就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告,屬於電子郵件廣告,而與出現在郵件列表旁邊且獨立分開的廣告横幅不同,後者非屬電子郵件廣告。

二、 Cookie Wall下當事人的有效同意:「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明

CNIL參酌歐盟個人資料保護委員會(European Data Protection Board, EDPB)第2024/08號關於「同意與付費模式」意見,認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之,以「cookie wall」(註:拒絕cookie的蒐集即無法獲得服務之網站設計)取得之當事人「同意」,非當然不自由或無效。CNIL認為,在免費服務的框架下,cookie wall在維持提供服務與服務成本之間的經濟平衡上,要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為,這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。

CNIL要求,當事人在cookie wall的框架內仍應享有選擇自由,才能取得蒐集為投放個人化廣告之cookies的當事人有效同意,亦即:在個人化廣告處理更多個資和對當事人造成更多風險的情況下,當事人應被給予機會選擇「等值的替代選項」,亦即通用廣告,並完全且清晰地了解其選擇的價值、範圍及後果。

然而,CNIL發現,Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜,實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意,從而影響了當事人的選擇自由。CNIL也發現,Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall,以及對此使用者享有甚麼選擇,而其提供的資訊更引導使用者選擇個人化廣告,導致選擇一般廣告的機會遭到犧牲。

三、 為何不是愛爾蘭資料保護委員會(Data Protection Commission, DPC)管轄?

GDPR設有「單一窗口機制」,依據該合作機制,對Google進行的GDPR調查,應由作為主任監管機關(Lead Supervisory Authority)的愛爾蘭DPC管轄。惟在本案,CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇,而是適用電子隱私指令,CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制,但尚不足以弭平成員國間監管強度之差異。

相關連結
你可能會想參加
※ 法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法,開罰3.25億歐元, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=9412&no=86&tp=1 (最後瀏覽日:2026/07/03)
引註此篇文章
你可能還會想看
美國對法國數位服務稅採取301條款貿易報復

  美國貿易代表署(Office of the United States Trade Representative, USTR)於2020年7月10日針對法國數位服務稅(Digital Services Tax)首度採取「301條款」貿易報復。《1974年貿易法》第301條授權美國政府在對外之國際貿易協定未獲執行,或貿易夥伴採取不公平貿易行為時,進行調查及後續的貿易報復。法國作為全球第一個課徵數位服務稅的國家,法國國民議會於2019年7月11日通過數位服務稅,美國隨即於2019年7月16日開啟「301條款調查」並召開公聽會。美國貿易代表署於2019年12月6日發布調查報告(Report on France’s Digital Services Tax)指出法國數位服務稅是針對美國不合理或歧視性的貿易帳礙。美國總統川普和法國總理馬克宏於2020年1月23日達成暫緩數位服務稅課徵之共識,然而法國在6月再度實施數位服務稅。美國遂對法國啟動「301條款」貿易報復,貿易報復項目係法國進口美國的化妝品、手提包等貨品課徵25%的稅,受波及的貨品粗估高達13億美元。儘管美國企圖透過貿易報復作為警示,許多國家仍持續研擬採取或已經開始課徵數位服務稅。美國貿易代表署指出:「過去兩年,部分國家研擬或已經開始採取數位服務稅,而有相當多的證據可以證明數位服務稅是針對美國大型科技公司。」繼法國之後,美國貿易代表署於2020年6月2日再度開啟「301條款調查」,此次調查對象包括奧地利、巴西、捷克、歐盟、印度、印尼、義大利、西班牙、土耳其和英國等。

美國田納西州《確保肖像、聲音和圖像安全法案》要求第三方若利用生成工具重製肖像、聲音或圖像應得本人之事前同意

作為鄉村音樂發源地的美國田納西州,有著蓬勃的音樂產業,匯聚來自各路的表演藝術工作者,因而對相關從業者的個人公開權(Right of Publicity)保障尤為重視,早在1984年即制訂《個人權利保護法》(Personal Rights Protection Act),確保該權利不會因權利人死亡而消滅,屬於可由他人繼承之財產權,允許繼承人自由轉讓和授權,包含其姓名(Name)、肖像(Image)、形象(Likeness)之權利主張,但被繼承人之聲音仍不在權利主張的範疇。 惟現今AI深偽仿聲技術所生成之音樂亦可能侵害音樂人及藝術家的智慧財產權,因而於2024年3月21日由州長簽署《確保肖像、聲音和圖像安全法案》(Ensuring Likeness Voice and Image Security Act),簡稱貓王法案(ELVIS Act),該法案於3月7日獲得州議會兩黨一致支持,首度明確將個人公開權得主張之範圍擴及至表演者的聲音(NIL+V),其目的是為了應對AI生成音樂的突破性進展,以保護音樂創作人及表演藝術家之權利免受AI技術侵害,這是全美首部禁止他人未經授權使用或重製權利人的聲音以供訓練AI模型或生成深偽內容所制定的法律(註:加州雖已將聲音作為權利保護客體但非針對AI技術之侵害),明確規定第三人在未得本人之同意下,若意圖利用AI深偽技術生成經仿製、偽造或變造的圖片、影音、聲音等數位檔案,而後續冒用本人名義進行公開發表或公開演出詞曲創作人及表演藝術工作者之聲音或影像的行為,則須承擔相應的民事侵權行為責任,以及構成歸類在微罪的刑事犯罪,刑期最高可處11個月又29天的監禁或2,500美元以下的罰金,該法案預計於今年7月1日生效,且僅適用於在田納西州境內的工作者。 該法案所保護之主體除音樂創作人及表演藝術家外,亦包含動畫配音員及串流媒體盛行下廣播與網路節目的播音員(俗稱播客),以確保這類主要仰賴聲音維生的工作者能免於AI仿聲技術而減損其專業價值;另外若有與詞曲創作人或表演藝術工作者締結專屬合約之唱片公司或經紀公司亦為訴訟程序的適格當事人,可代理公司旗下的工作者尋求救濟管道;最後,若利用權利人的姓名(Name)、肖像(Image)、形象(Likeness)或聲音(Voice)屬於法案中列舉的合理使用行為,如基於公益目的、新聞播報、轉化性使用、偶然入鏡或著作之附帶性利用等,則應屬美國憲法第一修正案之保障範圍而非在該法案的規範射程。 除田納西州之外,美國尚有其他39個州提出或正在推動相似的法案,但全美目前仍欠缺統一性的立法;聯邦政府仍尚在研擬如何保護表演藝術工作者個人公開權的階段,日前在田納西州政府今年1月時提出貓王法案的草案後不久,由美國眾議院議員組成的跨黨派小組曾公佈《禁止人工智慧偽造和未經授權的重製法案》(或稱為《禁止人工智慧詐欺法案》),旨在推動建立聯邦層級的框架性立法,以確保個人的聲音或肖像權屬美國憲法第一修正案的保障範圍,而該提案據稱是針對美國參議院去年10月提出的《鼓勵原創、培育藝術和維繫安全娛樂法案》(或稱為《禁止仿冒法案》)的更新及補充,以維護公共利益,創造具有原創性、正當性及安全性的休閒娛樂環境。

美國參議院重新提出FDA現代化法案3.0,加速新藥開發之動物實驗新替代方法發展

.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國前任總統拜登於2022年底簽署《FDA現代化法2.0》(FDA Modernization Act 2.0, FDAMA 2.0),修改FDA自1938年以來新藥必須實施動物試驗之要求,將進入人體臨床試驗之前階段試驗改稱為「非臨床試驗(nonclinical test)」並許可採取非動物實驗方法,為美國在藥物安全監管方面的重大改變。 在FDAMA 2.0通過後,FDA仍未啟動修改監管法規以符合該法,為了確保改革能加速進行,2024年2月6日美國兩黨參議員合作提出《FDA現代化法案3.0》(FDAMA 3.0) 草案並於同年12月12日參議院無異議通過,惟眾議院在第118屆國會結束前並未討論該案,參議員於2025年2月第119屆國會重新提出該法案。 FDAMA 3.0重點包括: 1. 一般規定:FDA應於1年內,建立針對藥品的非臨床測試方法資格認定流程(Nonclinical Testing Methods Qualification Process);個人可申請特定用途的非臨床測試方法資格認定。 2. 符合資格之非臨床測試方法:非臨床測試方法必須可替代或減少動物測試;且提高非臨床測試對安全性和有效性的預測性,或縮短藥物(含生物製品)的開發時間。 3. 符合資格認定之應用:獲資格認定之非臨床測試方法,FDA應加速相關藥品申請(包括變更申請)的審核流程;允許申請人於藥品申請中引用相關數據與資訊。 4. 本法生效日起兩年內應每年向國會報告流程運行情形,包括已認定的方法類型、申請數量、審查天數、批准數量,以及該流程減少的動物數量估算等。 目前雖然其他國家尚未有類似立法,但歐美均投入大量研發資源減少動物實驗,且FDA亦於近日提出《減少臨床前安全試驗使用動物實驗之路線圖》,後續應密切關注本法案是否通過及相關產業影響。

調和國際標準!美國食藥署提出醫療器材品質系統規則修正草案

  美國食藥署(US Food and Drug Administration, FDA)於2022年2月23日提出「醫療器材品質系統規則修正草案(Medical Devices; Quality System Regulation Amendments proposed rule)」。本次修正旨在釐清現行條文與國際標準ISO13485醫療器材品質管理系統之異同,並進行適度調和。   根據修正說明,草案就現行條文與ISO13485一致之處將予保留,不一致者若屬落實授權母法「美國聯邦食品藥粧法(US Federal Food, Drug and Cosmetics Act, FD&C Act)」之必要內容,將斟酌條文用詞明確性調整後予以保留,其餘將予刪除。此外,草案也透過名詞解釋界定不同用語之定義範疇,嫁接現行條文與ISO13485落差處。對於現行條文中,與ISO13485性質相同但內容產生衝突之條文,基於依授權母法意旨,以現行條文為準。   FDA注意到,部分FD&C Act所重視的品質管理系統要求,在ISO13485中並未被重點凸顯,如記錄控管(control of records)、醫材標示(device labeling)及包裝控管(packaging controls)。本次修正特別針對此三部分保留並增補較ISO13485要求更為詳細的規範內容。在記錄控管部分,除依照ISO13485要求,記錄標的應為日期及簽署確認外,進一步依據FD&C Act規定,要求特定的服務及執行紀錄應予以紀錄,以作為醫材報告之內容。此外,也規定應詳實記錄醫療器材單一識別碼(Unique Device Identification, UDI)。在醫材標示及包裝控管部分,由於ISO13485僅指出產品應標示及包裝,但未詳述細節要求。因此,本次修正保留現行條文對於標示及包裝的細節性規定,以確保產品安全性及有效性。   本草案目前進入意見徵集期間,時間自2022年3月25日起至2022年5月24日止。後續FDA將視所徵集之意見,決定是否調整草案內容或公告施行。本次修定將使醫療器材品質系統規則與ISO13485趨於一致,預計可減輕廠商行政作業及支出負擔。

TOP