達文西個資即時快報

盤點全球最新焦點

文章整理：林舒涵律師

審閱：孔德澔律師

▶ 監理動態 ◀

• 本週無重大監理動態

▶ 新聞動態 ◀

• 本週無重大新聞動態

▶ 司法動態 ◀

• 打擊禁藥也要顧隱私！歐盟法院最新判決：公開資訊須做「個案利益衡量」
  • 事實：
    • 奧地利運動員AR、YT、DI及RN因違反反禁藥規則，遭處以定期或終身禁賽。依奧地利法律，Nationale Anti-Doping Agentur Austria GmbH (NADA Austria)及Österreichische Anti-Doping Rechtskommission (ÖADR)應在網站公開受處分運動員的姓名、運動項目、違規事由及禁賽期間。四人認為該公開制度違反GDPR，遂向奧地利資料保護機關提出申訴，但於2021年11月26日遭駁回，嗣後向奧地利聯邦行政法院提起訴訟，由該法院聲請歐盟法院作成先決裁定。
    • 歐盟法院大法庭於2026年7月14日判決認定，反禁藥違規資訊的網路公開適用GDPR；該等資料原則上不屬健康資料或刑事犯罪資料，但如足以間接揭露健康狀況，仍可能構成健康資料。會員國得依法要求公開受處分運動員資訊，但須保留依個案進行比例衡量的可能；此外，資料雖尚未公開，但已有具體跡象顯示即將公開時，當事人仍得向監督機關提出預防性申訴。
  • 爭點：
    • 反禁藥機構依奧地利法律，將運動員姓名、運動項目、違規情形、制裁內容及制裁期間公布於網路，是否屬於歐盟法及GDPR的適用範圍？
    • 運動員違反反禁藥規則並遭禁賽的資訊，是否屬於GDPR第9條所稱的「健康資料」？
    • 奧地利法律原則上要求公開所有受處分運動員的姓名、禁賽期間及理由，僅排除休閒運動員、特別脆弱者及協助揭發違規者，是否符合GDPR第5條及第6條的比例原則與資料最小化原則？公開前是否必須進行個案利益衡量？
    • 反禁藥違規及禁賽等制裁資訊，是否屬於GDPR第10條所稱的「刑事有罪判決及犯罪相關個人資料」？
    • 在個人資料尚未實際公開，但已有具體跡象顯示即將公開時，資料當事人是否得依GDPR第77條向資料保護監督機關提出申訴？
  • 法院判決理由：
    • 反禁藥違規資訊的網路公開適用GDPR​​​​​​
      • 歐盟法院指出，運動員的姓名、運動項目、違規行為及制裁內容均涉及已識別的自然人，屬於GDPR第4條所稱的個人資料；將該等資料公布於網站，亦屬個人資料的處理行為。
      • GDPR第2條第2項第(a)款所稱「不屬於歐盟法範圍的活動」屬例外規定，應從嚴解釋，主要僅排除國家安全或可與國家安全歸於同類的國家活動。反禁藥工作雖屬會員國權限範圍，且體育活動未必具有經濟性質，但均不代表其可與國家安全活動相提並論。因此，國家反禁藥機構所進行的個人資料公開仍受GDPR規範。歐盟法院並指出，GDPR前言第112點本身即提到為消除運動禁藥而進行的國際資料交換，亦可印證反禁藥資料處理並未被排除在GDPR之外。
    • 反禁藥違規及禁賽資訊原則上不是健康資料，但仍須視公開內容判斷
      • 歐盟法院認為，健康資料的概念應採廣義解釋，不僅包括直接記載疾病、醫療或身體狀況的資料，也包括透過比對、聯結或推論，足以間接揭露當事人身心健康狀況的資料。
      • 不過，單純公開某人違反反禁藥規則及遭禁賽的事實，原則上不足以揭露其健康狀況，因而不當然屬於GDPR第9條的健康資料。即使公開禁用物質的名稱，通常也不必然足以顯示運動員的健康狀況。
      • 但若公開內容提及特定禁用物質或方法，且與其他已知資訊結合後，足以推知運動員過去、現在或未來的身心健康狀況，即可能構成健康資料。例如，某項物質通常係因特定疾病或健康狀況而使用，而運動員又未依規定申請治療用途豁免，公開該物質名稱即可能間接揭露其健康情形。是否達到此程度，應由奧地利法院依實際公開內容及相關背景資訊判斷。
      • 如最終認定屬健康資料，公開原則上即受GDPR第9條第1項禁止；除非符合第9條第2項的例外，例如基於法律所規定的重大公共利益，且該法律符合比例原則、尊重資料保護權的核心內容，並設有適當及具體的權利保障措施。
    • 具名公開具有正當公共利益及適合性，但仍須保留個案比例衡量空間
      • A.公開具有法律依據及公共利益目的
        • 本案公開行為係依奧地利反禁藥法所規定的法律義務進行，可能以GDPR第6條第1項第(c)款「履行法律義務」作為合法依據；同時，打擊禁藥亦屬執行公共利益任務，可能適用同項第(e)款。打擊禁藥的目的包括維護競技運動的公平、完整性及客觀性，保障運動員平等競爭的機會、保護運動員健康，並維護體育倫理，均屬歐盟承認的一般公共利益。
      • B.具名公開有助於嚇阻違規及確保制裁有效執行
        • 法院認為，公開運動員的姓名及制裁資訊，可以使其他運動員知悉違規後果，發揮一般預防及嚇阻作用，也可防止受處分運動員再次違規。
        • 具名公開亦可使賽事主辦者、運動協會、現任或潛在雇主及贊助商得知禁賽情形，避免受禁賽者規避制裁或繼續參賽。相較之下，僅匿名公開，或僅向賽事主辦者及運動協會等特定對象揭露，未必能同樣有效達成嚇阻、預防及確保制裁執行的目的。因此，具名公開原則上具有適合性及必要性。
      • C.網路公開對隱私權造成嚴重干預
        • ​​​​​​​即使公開具有公共利益，仍須衡量其對《歐盟基本權利憲章》第7條私人生活權及第8條個人資料保護權造成的影響。法院指出，將違反禁藥規則及受制裁的資訊具名公布於網路，可能引發社會負面評價並使當事人遭受污名化；資料亦會向不特定且人數可能無限的閱聽者開放。資訊一旦公開，還可能被其他網站複製，即使原網站日後刪除，仍可能長期留存於網路，加深對當事人基本權利之侵害。
      • D.法律得預先設定原則及例外，但不得完全排除個案利益衡量
        • ​​​​​​​奧地利立法者已預先規定應公開的資料項目，並針對休閒運動員、特別脆弱者及協助揭發違規者設有例外，這可以視為立法者已進行一般性、抽象性的利益衡量。然而，法院認為，鑑於網路具名公開對隱私及個人資料保護權構成嚴重干預，不能排除在法定例外以外，仍可能存在特殊個案情況，使公開結果與比例原則不符。因此，GDPR雖然不要求每一案件一律重新進行個案衡量，但當法律預先設定的類型及例外不足以確保個案比例性時，資料控管者必須在公開前考量個案情況，衡量打擊禁藥的公共利益與當事人的隱私及資料保護利益。換言之，立法上的抽象衡量可以作為基礎，但不得完全剝奪資料控管者進行個案衡量的權限。
        • 個案衡量時，可考量：
          • ​​​​​​​違規行為的嚴重程度；
          • 當事人的身分及知名度；
          • 是否屬在國內外具有高度知名度的頂尖運動員；
          • 公開期間的長短；
          • 公開是否已超出達成禁賽及嚇阻目的所必要的期間。
        • 法院特別指出，公開期間超過制裁期間，原則上不符合比例原則。即使公開期間與禁賽期間相同，如禁賽期間極長或為終身，而公開持續至運動員已超過實際可能從事該項運動的年齡，仍可能構成不成比例的干預。
        • 因此，歐盟法院並未全面否定奧地利的公開制度，而是認定該制度須以「容許公開前進行必要的個案利益衡量」為符合GDPR的前提。
    • 反禁藥違規及制裁不屬GDPR第10條的刑事犯罪資料
      • ​​​​​​​GDPR第10條僅適用於刑事有罪判決、犯罪及相關保安處分資料，不包括所有具有懲戒或不利益效果的違規資料。法院認為，反禁藥規則僅適用於特定群體，即運動員，其目的在於要求該群體遵守體育領域特有的行為規範，性質較接近職業團體或專業組織的紀律處分，而非對一般社會大眾適用的刑事制裁。其目的除制裁違規者外，亦在維護賽事完整性及運動項目的聲譽。因此，即使制裁包括撤銷頭銜、追回獎金、長期或終身禁賽，甚至限制運動組織僱用受處分者，仍不因此轉化為GDPR第10條所稱的刑事犯罪資料。
    • 資料公開迫近時，可以依GDPR第77條提出預防性申訴
      • ​​​​​​​歐盟法院認為，GDPR第77條並未明文排除對未來資料處理提出申訴。資料保護監督機關依GDPR第58條第2項第(a)款，本來即有權在預定的資料處理可能違反GDPR時，事先向資料控管者提出警告，因此監督機關的權限不僅具有事後矯正功能，也具有預防性質。
      • 若僅容許資料當事人在資料已經公開後才能申訴，將不利於GDPR所追求有效個人資料保護，尤其網路公開可能造成污名化、資料被無限散布及難以完全刪除等重大影響。因此，只要未來的資料處理並非純屬假設，而是在申訴時已有具體跡象顯示公開即將發生或將於近期內發生，即可依GDPR第77條提出申訴。YT已遭處以四年禁賽，依奧地利法律其資料原則上必須公開，因此公開具有明確且迫近的可能性，其申訴不應僅因資料尚未上網而遭駁回。雖然「刪除」通常以資料已經處理為前提，但法院依申訴的實質內容判斷，認為YT真正的目的在於阻止即將發生的公開，而非要求刪除尚未存在的公開資料。

參考來源：https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62024CJ0474