鄧湘全觀點:歐盟GDPR之個資法新知─不能不看!

2018-05-26 06:50

? 人氣

歐盟個資新規範出枱,臉書、蘋果、谷哥等科技巨擘都要遵守。圖為祖克伯出席臉書執行歐洲議會聽證會,場外出現揮著歐盟旗幟,頭戴「怒」表情面具的抗議民眾。(AP)

歐盟個資新規範出枱,臉書、蘋果、谷哥等科技巨擘都要遵守。圖為祖克伯出席臉書執行歐洲議會聽證會,場外出現揮著歐盟旗幟,頭戴「怒」表情面具的抗議民眾。(AP)

這幾天登入Google、FB或其他帳號時,是否發現紛紛跳出「編輯您的隱私選項」的按鍵?各大網站為因應歐盟最新上路的「個人資料保護規則」(General Data Protection Regulation, GDPR),相繼做出個資及隱私政策調整,以符合歐盟最新個資法的規定。

GDPR是2016年4月27日經歐盟議會及歐盟理事會通過的歐盟法規Regulation (EU) 2016/679,於2018年5月25日生效施行,取代的前身法規是1995年的「歐盟資料保護指令」(Data Protection Directive)。歐盟素來十分重視「個人資料」的保護,我國「個人資料保護法」也是受歐盟影響下立法,此與美國法著重「隱私權」的保護,雖屬不同脈絡卻殊途同歸。近年來,隨著全球化及科技快速發展,甚至大數據的趨勢,資料的流通、處理的規模擴大,自有必要修改法規來規範「保護個人資料」與「資料自由流通」的均衡。

GDPR的規範對象

臺灣必須關心歐盟個資法的修正,是因為GDPR擴大了適用範圍,除了歐盟境內的資料控制者與資料當事人之外,也規範到歐盟「境外」的機構,在跨境提供商品或服務的過程中,蒐集/處理關於「歐盟境內之資料主體」(data subjects who are in the Union)時,也在GDPR的規範範圍內。理論上,臺灣的公司縱使沒有在歐盟境內設立分公司,只要相關業務處理到任何歐盟人民之個資時,都必須遵守GDPR的規定。像是Google、FB、Apple等全球性科技巨擘,自然必須跟著修正相關條款。

蘋果首席設計長強納森·艾夫(Jonathan Ive)與執行長提姆·庫克(Tim Cook)(圖/取自twitter)
歐盟推出個資保護新規範,包括蘋果在內的科技巨擘都得遵守。圖為蘋果首席設計長強納森·艾夫(Jonathan Ive)與執行長提姆·庫克(Tim Cook)(圖/取自twitter)

GDPR規範的個人資料範疇

GDPR對個人資料的定義係「有關識別或可得識別自然人(資料主體)之任何資訊」。包含姓名、身分證統一編號、位置資料、網路識別碼,或該自然人之身體、生理、基因、心理、經濟、文化、或社會認同等具體因素之識別工具。規範相當廣泛,而且例示了網路識別碼(IP位址、cookie碼等),此為我國個資法尚未明確規定的。再者,如同我國個資法第6條對「特種個資」有特別規定,GDPR規定之特種個資包含種族/人種、政治意見、宗教或哲學信仰、工會會員,以及基因資料、生物特徵識別資料、與健康相關、性生活或性傾向資料,規範範圍較我國法更廣。

GDPR修法重點

首先,GDPR提高了行政裁罰的上限,違反GDPR規定之資料處理原則、侵害資料主體權利等違反義務者,最高處以2000萬歐元之行政罰鍰,如為企業,最高處以前一會計年度全球年營業額之4%,取其高者,此鉅額的罰鍰應可促使各大企業謹慎依法處理取得之個資。其次,GDPR明確規定如企業發現有任何個資侵害事故發生(如駭客入侵)時,必須在72小時內通知主管機關,並即時通知當事人,因此隱蔽或延遲通知都是違法的。

GDPR對當事人(即資料主體)的保護相當周全,當事人對自己的個資之相關蒐集、處理、利用,有相當完整掌控權,包含近用權(right of access)、資料攜取權(Data Portability)等,以及著名的「被遺忘權(right to be forgotten)」,即當事人有權要求更正、刪除自己的個資,此權利也使Google開放民眾申請將特定搜尋結果下架,這些權利是我國個資法相對較不足之處,未來修法勢必也應借鑑於GDPR。另外,GDPR也要求一定條件以上的機構要設置專責的資料保護官(data protection officer)來監督管理個資。臺灣目前尚未設立個資保護專責機構,此部份是有待加強的。

歐盟GDPR已經生效上路,對臺灣會產生如何的具體影響還有待觀察。不過,全球化的年代,無論是跨國企業或中小型企業經營者,多少都會因此受到影響,國人了解個資保護的最新觀念,乃有其必要,始得避免無知違法。

*作者為陽昇法律事務所所長

關鍵字:
風傳媒歡迎各界分享發聲,來稿請寄至 opinion@storm.mg

本週最多人贊助文章