【個資法即時快報029】2026年06月26日全球個資保護動態焦點
達文西個資即時快報
盤點全球最新焦點
文章整理：林舒涵律師
審閱：孔德澔律師
▶ 監理動態 ◀
一、Medmate使用追蹤像素蒐集健康資訊再行銷，遭澳洲資訊專員辦公室OAIC認定違反隱私法。
1.事實
Medmate Australia Pty Ltd（下稱 Medmate）係提供遠距醫療、線上處方、醫療證明、心理健康支持及減重服務之健康服務業者。所謂tracking pixel（追蹤像素），通常是網站嵌入的一小段HTML或JavaScript程式碼；使用者開啟含有該程式碼的網頁時，瀏覽器即會自動向第三方平台伺服器發送請求，並傳送使用者所瀏覽之網址、進站時間、IP位址、裝置及瀏覽器資訊、頁面停留或點擊行為等資料。網站經營者可再利用該等資料分析廣告成效、建立廣告受眾，並在Meta、TikTok等社群平台向曾瀏覽網站的使用者再次投放個人化廣告。
Medmate自2021年4月起於網站嵌入Meta Pixel，並使用TikTok Pixel，以追蹤使用者瀏覽行為、衡量廣告及轉換成效、建立再行銷受眾並投放個人化廣告；其中Meta Pixel曾於2021年10月21日至2024年12月11日啟用Advanced Matching功能，可傳送經雜湊處理之姓名、電子郵件地址及電話號碼。TikTok Pixel則會傳送完整網址、經雜湊處理之電子郵件及電話號碼，而部分網址已直接顯示使用者所搜尋或欲諮詢之疾病、症狀或藥物，例如避孕、良性攝護腺肥大、泌尿道感染、氣喘或 COPD、鼻竇炎及細菌性陰道炎等。Medmate並利用追蹤像素建立Meta、TikTok的自訂受眾，對曾瀏覽特定頁面、填寫表單、購物、開始結帳或未完成預約之使用者，於Facebook、Instagram或TikTok進行再行銷。
澳洲資訊專員辦公室(Office of the Australian Information Commissioner, OAIC)於2024年12月9日依Privacy Act 1988主動展開調查，並於2026年6月11日認定Medmate在2021年4月至2024年12月9日期間，未經同意蒐集敏感資訊、未充分告知資料蒐集及揭露事項，且未經同意將敏感資訊用於直接行銷，構成對個人隱私之干預。資訊專員並命其不得再為或繼續該等行為；於裁定後60日內停止透過網站追蹤像素蒐集敏感資訊、在法律允許範圍內刪除第三方平台後台所保存之相關敏感資訊，並在重新啟用追蹤像素前，完成敏感資訊蒐集及直接行銷之同意機制與APP 5通知機制，並向OAIC提出遵循情形及重新啟用前之通知。
2.違規行為
(1)未經同意蒐集敏感資訊，違反澳洲隱私原則Australian Privacy Principles(APP) 3.3
OAIC認定，Medmate透過Meta及TikTok Pixel所蒐集的資料，並非單純匿名技術資料。使用者的瀏覽頁面、停留時間、表單提交、購物及預約流程、網址、裝置與瀏覽器資料，得與其社群平台帳號連結；再加上Meta Advanced Matching功能可傳送姓名、電子郵件及電話號碼等資訊，足以使個人受到辨識。
尤其，使用者瀏覽特定醫療服務頁面、搜尋特定藥物或疾病、填寫遠距醫療表單、進入結帳或預約流程等行為，足以揭露或使人推知其健康狀況、醫療需求或所欲取得之醫療服務，因此屬於健康資訊，亦即Privacy Act下的敏感資訊。Medmate並未在相關期間取得有效同意，即蒐集此類敏感資訊，違反APP 3.3。
(2)未採取合理通知措施，違反 APP 5.1
Medmate未於蒐集資料前或蒐集時，以合理方式告知使用者其正透過追蹤像素蒐集資料、蒐集目的為何，以及資料會例行性揭露予Meta、TikTok等像素供應商(Pixel Provider)。
2021年4月至2024年11月14日間，Medmate僅透過隱私政策提及瀏覽資料、行銷或web beacons（網路信標），並未在使用者首次進入網站時，以足以使其知悉的方式說明追蹤像素之蒐集、用途及對外揭露。自2024年11月15日起雖新增cookie同意視窗，但該視窗僅泛稱cookies與個人化廣告，未提及追蹤像素、Meta或TikTok，亦未清楚說明敏感健康資訊可能遭蒐集或揭露。因此，OAIC認定其未遵守APP 5.2(b)所定蒐集事實及情況、APP 5.2(d)所定蒐集目的，以及APP 5.2(f)所定通常揭露對象之通知義務。
(3)未經同意將敏感資訊用於直接行銷，違反 APP 7.1
Medmate利用網站追蹤資料建立自訂受眾，並依使用者是否瀏覽特定醫療服務、提交表單、開始結帳、購買或未完成預約等行為，於Meta、TikTok平台再次投放醫療服務廣告。此種依個別使用者線上行為所進行的再行銷，屬於直接行銷。敏感資訊如欲用於直接行銷，須符合APP 7.4所定「取得當事人同意」之例外。惟Medmate未取得使用者對於將其敏感健康資訊用於或揭露予第三方以進行直接行銷之有效同意，故違反 APP 7.1。
3.裁罰理由
CNIL認定，本案資料並非匿名資料，而僅屬「假名化」（pseudonymous）資料，個人身份仍可透過合理手段重新識別。IQVIA曾援引2025年歐盟法院「SRB 判決」主張資料屬匿名性質，無須適用GDPR，但CNIL指出，IQVIA蒐集大量高度敏感的個人資訊，包含出生年份、性別、就醫記錄、處方內容，以及 EMR 倉儲中的婚姻狀況、子女數、社經地位、診斷、症狀、過敏、體重、身高、脈搏、疫苗接種、檢查結果與病假紀錄等，且每位病患均有唯一識別碼（unique identifier），可追蹤其完整就醫歷程，重新識別風險過高，不符匿名化標準，故仍應適用GDPR規範。綜合考量違規行為涉及健康等敏感個人資料、受影響人數高達數千萬人、公司在市場上的主導地位，以及集團的財務能力，CNIL裁定上述罰款金額，以充分反映違規的嚴重性。
3.裁罰理由
(1)資料雖傳送至第三方伺服器，仍屬Medmate的蒐集與持有
Medmate主張追蹤資料直接儲存於 Meta、TikTok 等第三方伺服器，自己並未蒐集或持有個資。然而OAIC認為Medmate主動選擇並部署追蹤像素、控制其嵌入網站與參數設定，且可透過第三方平台後台設定受眾、調整追蹤內容及指示再行銷，因此對資料蒐集及後續處理具有控制與支配力。
(2)「可合理識別」不以知道真實姓名為必要
OAIC採取較符合數位追蹤技術特性的解釋，認為「可合理識別」(reasonably identifiable)不以企業能直接得知當事人姓名、住址或身分證明文件為限。只要資料足以讓企業或其合作平台將某人從其他人中區分出來，並據此對其進行個別化處理、再行銷或影響其權益，即可認定該人為可合理識別。本案中，Meta、TikTok可利用cookies、登入帳號或Advanced Matching資料，將網站活動與特定社群帳號連結；Medmate又確實以此為基礎對個別使用者投放再行銷廣告，因此相關資料屬個人資料。
(3)健康服務網站使用軌跡可揭露健康資訊，應受更高程度保護
OAIC認為，個人造訪健康服務網站的特定頁面、搜尋或購買特定處方藥、進入特定疾病或症狀之遠距醫療表單、提交醫療申請或開始預約等行為，均可能揭露其健康狀況、醫療需求或有意接受的健康服務。即使資料未記載完整病歷，也足以使Medmate或第三方推知使用者健康情形，故屬健康資訊及敏感資訊。
由於資料涉及處方藥、心理健康、性健康、呼吸道疾病或其他醫療問題，若遭追蹤、剖析或再行銷，可能對當事人造成顯著情緒、心理及隱私風險，因此Medmate負有更高的同意與告知義務。
(4)Cookie 同意視窗不足以構成敏感資訊之有效同意
有效同意必須具備知情、自願及特定性；對敏感資訊，原則上更應取得明確同意。Medmate在2024年11月15日以前並未提出任何取得同意的證據；其後雖設置cookie 視窗，但該視窗未說明追蹤像素與cookies的不同、未揭露使用Meta或TikTok之追蹤像素、未交代健康資訊可能被蒐集或披露，也未具體說明資料會用於依個人醫療需求或網站行為進行再行銷。因此，使用者即使點選「接受全部」，仍不足以被視為已就敏感健康資訊之蒐集、揭露及直接行銷作出有效且特定的同意。
(5)隱私政策不能取代即時、明確的蒐集通知
OAIC指出，發布隱私政策是 APP 1下的獨立義務，並不當然等同於APP 5所要求、應在蒐集時或蒐集後儘速提供的通知。追蹤像素在使用者首次進入網站時即開始運作，且會持續蒐集資料，因此Medmate理應於使用者進站時即透過顯著橫幅、彈窗或其他即時機制，說明追蹤像素的運作、資料類型、蒐集與行銷目的，以及對Meta、TikTok 等第三方之揭露。OAIC並認為，以網站規模、資源及像素供應商已提供consent mode 等技術工具而言，採取此類通知及同意措施並不會造成顯不相當的成本或技術困難。
▶ 新聞動態 ◀
- 本週無重大新聞動態
▶ 司法動態 ◀
- 本週無重大新聞動態