【個資週報7】美式個資保護哲學｜2020/06/29~2020/07/03
達文西個資週報
盤點全球最新焦點
• 五分鐘一覽當週全球個資法大事 •
全文約2100字，閱讀約需7分鐘
❝ 達文西短評 ❞
大家好，本週為大家整理的新聞中，三則都與美國的個資與隱私保護動態有關，因此，本週我們將與大家聊聊美國個資保護法規的特點。
我們首先來看美國加州的兩則新聞。6月30日，加州檢察長宣布，自當日開始，其將依「加州消費者隱私保護法」（CCPA）第13條的規定，自7月1日起實施該法。而僅在數天前的6月26日，美國歷史最悠久的廣告商行業組織「全國廣告商協會」（ANA）致函州檢察長等官方部門，請求推遲實施CCPA。
個資法實施過程中，主管機關與業者存在意見分歧，並不是新聞。但如本事務所快訊所述，加州檢察長辦公室6月1日始將CCPA施行細則（CCPA Regulation）草案定稿提交予加州行政法辦公室（OAL），目前該草案定稿仍在程序遵循性審查之中。因此，加州檢察長的CCPA實施聲明，難免帶有準備不足的色彩。
第三則新聞也與美國加州有間接關聯。6月29日，面對因追蹤使用者而引發的隱私侵害訴訟，Facebook表示將請求美國聯邦最高法院對聯邦「反監聽法」進行解釋。達文西此前也曾為大家報導，在加州聯邦地方法院，依據聯邦「反監聽法」針對Google追蹤使用者行為提起的隱私侵害訴訟也在進行之中。
有讀者可能有疑問，加州針對Google的訴訟中，原告係依據聯邦「反監聽法」與「加州隱私侵害保護法」（California Invasion of Privacy Act，CIPA）起訴，但為何並未援用CCPA？原因在於，CCPA僅允許消費者對於特定個資侵害（data breach）向業者起訴求償。網路公司對使用者的追蹤，若違反CCPA，須向加州檢察長申訴。
眾所周知，美國與歐盟的個資保護模式不同，強調市場自律，針對特定部門加強監管，並無全面適用的單一個資保護法律或主管機關。而從前開分析可以看出，CCPA為美國首部全面規範業者資料保護責任的州級立法，其內容與實施方面，也難掩碎片化（balkanized）特徵。
新冠肺炎防疫措施的資料運用需求與近期執法機關運用人臉辨識技術之爭議，提升了美國民眾對個資保護議題的關注度。此前週報中，我們曾報導美國參議院提出單一個資法法案，主張在聯邦層面設立資料保護專責機構。未來美國個資保護是否會向歐盟模式靠攏，值得觀察與關注。
許斌
於達文西
2020.07.03
▶ 法規動態 ◀
- 7月2日，美國肯塔基州東區聯邦地方法院（U.S. District Court for the Eastern District of Kentucky）在USA v. Search Warrant (NO. 5:20-MJ-5165) 一案中作出裁判，認為聯邦憲法增修條文第四條和第五條允許政府在實施搜索時強制要求被搜索人提供生物辨識資料解鎖裝置，但須同時滿足兩項條件。其一，搜索機關合理懷疑被搜索人已實施搜索令所涉犯罪；其二搜索令明文允許強制被搜索人提供生物辨識資料解鎖被搜索之裝置。法院以該案所涉搜索令未滿足此兩項條件為由，駁回強制解鎖申請。
- 6月30日，美國聯邦第五巡迴上訴法院（U.S. Court of Appeals for the Fifth Circuit）在USA v. Richard Nikolai Gratkowski (No. 19-50492) 一案中作出裁判，認為美國聯邦機關無令狀調閱當事人比特幣交易記錄之行為，並未違反聯邦憲法增修條文第五條。蓋比特幣交易記錄皆儲存於公開區塊鏈中，當事人對此並無合理隱私期待（reasonable expectation of privacy）。
- 6月29日，法國個資保護主管機關「國家資訊自由委員會」（Commission Nationale de l'Informatique et des Libertés, CNIL）表示，將依法國最高行政法院（Conseil d'État）之決定，調整其2019年7月頒布之cookie指引中cookie wall之相關內容。
- CNIL相關聲明請見：https://www.cnil.fr/en/cookies-and-other-tracking-devices-council-state-issues-its-decision-cnil-guidelines。
- 延伸閱讀：
- 「不同意cookie條款就閃邊」合法嗎？—歐盟EDPB對cookie wall適法性之新見解：https://www.davinci.idv.tw/news/773。
- 7月1日，南非「2013年個人資訊保護法」（Protection of Personal Information Act 2013）生效。
▶ 監理動態 ◀
- 6月30日，美國加州檢察長（California Attorney General）宣布，自7月1日開始實施「加州消費者隱私保護法」（California Consumer Privacy Act, CCPA）。依據CCPA，業者接到違反通知後，應於30日期間內改正不符行為。逾期未改的，加州檢察長辦公室得處以罰鍰。
- 州檢察長相關聲明原文請見：https://oag.ca.gov/news/press-releases/attorney-general-becerra-reminds-consumers-data-privacy-rights-under-california。
- 延伸閱讀：
- 加州CCPA施行細則草案定稿出爐：https://www.davinci.idv.tw/news/776。
- 6月29日，Facebook表示，其將請求美國聯邦最高法院對聯邦「反監聽法」（Wiretap Act）作出解釋，並以此為由，向美國第九巡迴法院（9th Circuit）提出動議，請求法院停止訴訟程序。該案中，Facebook以「讚」按鈕追蹤並分析使用者行為，被訴違反聯邦反監聽法。
- 相關報導原文請見：https://www.mediapost.com/publications/article/353176/facebook-to-seek-supreme-court-intervention-in-pri.html。
- 延伸閱讀：
- 網路巨頭監理：個資保護法與競爭法之互動｜2020/06/19~2020/06/28：https://www.davinci.idv.tw/news/796。
- 7月1日，英國個資保護主管機關「資訊委員辦公室」（Information Commissioner’s Office, ICO）、競爭法主管機關「競爭與市場管理署」（Competition and Markets Authority, CMA）及通訊事業主管機關「通訊管理局」（Office of Communications, Ofcom）合作設立「數位建立合作論壇」（Digital Regulation Cooperation Forum, DRCF），以期強化三主管機關在數位市場與服務監理方面的合作。
- ICO相關聲明原文請見：https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/uk-regulators-join-forces-to-ensure-online-services-work-well-for-consumers-and-businesses/。
- 延伸閱讀：
- 網路巨頭監理：個資保護法與競爭法之互動｜2020/06/19~2020/06/28：https://www.davinci.idv.tw/news/796。
▶ 最佳實務動態 ◀
- 6月29日，TikTok宣布，其將把歐洲區使用者資料之所有權自美國總部轉移予歐洲相關子公司。TikTok愛爾蘭子公司將成為歐洲經濟區（European Economic Area, EEA）與瑞士使用者之資料控管者，而TikTok英國子公司將成為英國使用者之資料控管者。
- 6月26日，美國全國廣告商協會（Association of National Advertiser, ANA）致函加州州長、州檢察長及加州行政法辦公室（Office of Administrative Law, OAL），以疫情嚴峻、相關規範尚不完備為由，請求推遲實施「加州消費者隱私保護法」（CCPA）。
- ANA相關聲明原文請見：https://www.ana.net/blogs/show/id/rr-blog-2020-06-Constitutional-Concerns-Remain-as-CCPA-Enforcement-is-Set-to-Begin。
- 延伸閱讀：
- 加州CCPA施行細則草案定稿出爐：https://www.davinci.idv.tw/news/776。
※ 歡迎註明出處後轉載。
不想錯過全球個資法大事嗎？