2019
3/28
[法律新知]
GDPR之規範與企業因應-Google案之經驗
搜尋引擎龍頭Google因違反GDPR遭罰款5000萬歐元,成為企業因違反GDPR遭鉅額裁罰之首例。企業應儘速評估自身是否受GDPR規範,並規劃、落實相關法律遵循工作

《歐盟通用資料保護規則》(General Data Protection Regulation,下稱「GDPR」)自2018年5月25日施行至今已近半年,由於違反者最高可處2,000萬歐元或前一會計年度全球年營業額4%之鉅額罰鍰,且GDPR具有域外效力,適用範圍可包含歐盟境外國家,全球企業對GDPR相關規定無不嚴陣以待,國內業界亦有各種因應方案之討論。
2019年1月21日,法國資訊監管機關「國家資訊自由委員會」(Commission Nationale de l'Informatique et des Libertés,下稱CNIL)依GDPR規範對全球搜尋引擎龍頭Google公司重罰5,000萬歐元(約新臺幣17.6億元),此為GDPR施行至今最高行政罰鍰金額,Google已決定上訴,以下將對Google遭CNIL裁罰一案(下稱本案)進行評析,供企業評估現行規定是否有違反GDPR之風險:

Google遭法國主管機關CNIL裁罰案之評析

2018年5月,資訊隱私倡議團體None of Your Business(NOYB)與La Quadrature du Net(LQDN)向CNIL投訴Google違反GDPR之規範,譴責Google對於其用戶之個人資料蒐集與處理均欠缺合法基礎,尤其是用於放送個人化廣告之部分。最終CNIL以Google違反GDPR之透明原則及訊息明確、完整性要求,且未取得用戶「特定」及「明確」之同意,欠缺進行資料蒐集、處理行為之合法基礎,對Google處以5,000萬歐元之行政罰緩。

CNIL之認定理由包括:

1、 Google用戶必須經過數個繁複的步驟才能看見完整的隱私權條款,無法以簡單的方式理解其隱私資訊可能被利用的完整訊息,故Google並未提供其用戶完整且透明化的隱私權相關資訊;
2、 Google用戶的隱私權設定被預設勾選同意「隱私資訊可用於投放個人化廣告」,創建帳戶時,也須「包裹式同意」所有類型、目的的資訊利用,此類設計都不符合GDPR要求取得用戶「特定」及「明確」之同意的要求。

企業之營業有涉及蒐集、處理歐盟境內個人資料者,應密切注意本案建立之以下指標,以利未來進行法律遵循及風險評估:
1、 企業在歐盟境內設有數個分支機構者,若存在「主要分支機構」,則可適用單一窗口通報機制(one-stop-shop mechanism),即該企業僅須向主要分支機構所在地的主管機關通報。主要分支機構須有權決策、處理、執行個人隱私資料管理、保護等事宜。本案中,Google於歐盟之總部設立於愛爾蘭,惟該總部並未被認定為主要分支機構,無法適用單一窗口通報機制。據此,CNIL所在之法國及其他歐盟國家的主管機關對本案均有審理與裁罰權限。
2、 依據GDPR規範之透明原則與充分告知等要求,企業進行資訊蒐集或處理時,應向用戶說明其資料蒐集、處理之目的,且應提供完整之資訊使其理解該蒐集或處理對其有何影響、影響之範圍、程度為何,並應告知資料保存期限。上開重要資訊不得分散於數個文件中,導致用戶難以全盤理解。本案中,Google用戶需要經過5至6個步驟,按下無數次按鈕及連結後始能完全取得與其個資相關之重要資訊,此類設計遭CNIL認定已違反GDPR規範。
3、 企業為進行資料蒐集、處理,欲事前取得用戶之同意時,應充分盡資訊告知義務,尤其應取得用戶積極、明確、非包裹式之同意。據此,網站設計預先主動為用戶在「同意」欄位中勾選,或將複數服務、網站、應用程式之資料處理、利用事項以「包裹式同意」納入用戶授權範圍中,均不符合GDPR應取得用戶積極、明確、非包裹式同意之要求。
4、 本案罰鍰數額超出2,000萬歐元,係以被裁罰企業前一會計年度全球年營業額4%為基礎計算,罰鍰金額之高低涉及評估因素包括:侵害行為之性質、侵害行為之存續期間、侵害行為之範圍、因侵害行為取得之收益等。

結語

Google被CNIL依據GDPR規範重罰一案,反映出歐盟對於其資訊安全保護之態度漸趨強硬,建議企業應立即檢視自身是否受GDPR規範,亦應借鑒Google案之經驗,儘速完善內部GDPR法規遵循制度,以免面臨遭歐盟各成員國資訊監管機關裁處高額行政罰緩之風險,本所將持續關注本議題並撰擬專文具體說明GDPR之適用標準與應注意事項。


如果您需要更多資訊,歡迎聯繫~

許兆慶博士 主持律師
+886.2.2719.6955
andrew.hsu@lexprolaw.com


林欣頤律師 助理合夥律師
+886.2.2719.6955
christina.lin@lexprolaw.com


蘇琬鈺律師
+886.2.2719.6955
jercy.su@lexprolaw.com


王武龍律師
+886.2.2719.6955
will.wang@lexprolaw.com
本法規新訊僅供參考,並非正式法律意見
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>