【快訊】歐盟法院又拋重磅判決，國家不得利用電信業者實施普遍性監控
編譯：許 斌 博士
審閱：葉奇鑫 律師
王慕民 律師
全文約1200字，閱讀約需5分鐘
繼2020年7月Schrems II案判決（註1）擊破歐盟—美國隱私盾後，歐盟法院（Court of Justice of the European Union, CJEU）日前又就個資保護作出兩項重磅判決，認為除非符合歐盟法規定之嚴格條件，會員國不得以國家安全為名，立法授權政府利用電信業者對民眾實施普遍性監控。
此兩項判決係針對第C-623/17號案件（註2），以及併案審理之第C-511/18號、第C-512/18號和第C-520/18號案件（註3）作出，分別涉及英國《2016年調查權力法》（Investigatory Powers Act 2016）、法國關於情報機關蒐集和保存通訊資料的相關法規，以及比利時《2016年電信行業資料蒐集和保存法》是否違反歐盟法中隱私保護的相關規範，特別是GDPR以及《第2002/58/EC號隱私與電子通訊指令》（Directive 2002/58/EC on Privacy and Electronic Communications，以下簡稱「第2002/58/EC號指令」）。
英國、法國和比利時爭議法規的共通點是，都允許政府機關為國家安全目的，要求電信業者普遍性（general）、無差別（indiscriminate）地保存並向政府機關提供數位通訊資料，包含電信服務使用者的流量資料和位置資料。
歐盟法院認為，爭議法規係為一般性打擊犯罪、維護國家安全目的，規定普遍性、無差別的資料保存與提供義務，受影響的資料主體之行為與爭議法規所追求的目標間並無關聯。因此，爭議法規已嚴重干預《歐盟基本權利憲章》（Charter of Fundamental Rights of the European Union）所保障的基本權利，同時違反GDPR第23條關於資料主體權利限制之規定。
歐盟法院同時承認，第2002/58/EC號指令允許會員國例外地要求電信業者實施普遍性或特定性監控。例如，若會員國之國家安全面臨現存或可預見的真實（genuine）嚴重威脅，則得立法要求電信業者普遍性保存通訊資料。為打擊嚴重犯罪或嚴重公共安全目的，會員國亦得立法要求電信業者保存特定對象之資料。惟前開普遍性或特定資料保存立法須符合出於絕對必要、有限監控期間、獨立機關有拘束力之審查等條件，並具備安全維護措施。
歐盟法院還指出，基於監控所獲資訊作出的刑事判決，被告或許能夠翻案。一般而言，違反歐盟法獲得的資訊可否在刑事訴訟中被採為證據，依各會員國法律而定。但依有效司法保護原則（principle of effectiveness），若刑事訴訟的被告無法就某一證據進行有效答辯，則法院不得將該證據採為審判依據。
針對國安監控與個資保護議題，此兩項判決可謂歐盟法院「對內開刀」之舉。歐盟法院在Schrems II案判決否定隱私盾個資保護適足性的理由之一，即為美國的「大規模監控」缺乏安全維護措施、不符歐盟比例原則。此兩項判決表明，歐盟法院對會員國實施的監控行為，也有嚴格要求。第C-623/17號案件為歐盟對英國《2016年調查權力法》直接表達意見，考量英國脫歐過渡期將於2020年12月31日終止，本案對歐盟—英國個資保護適足性談判的影響亦值得關注。
______________________________
註1：Schrems II案判決原文請見：http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=EN&mode=req&dir=&occ=first&part=1&cid=7490921。
註2：第C-623/17號案件判決原文請見：
註3：併案審理之第C-511/18號、第C-512/18號和第C-520/18號案件判決原文請見：
※歡迎註明出處後轉載。
延伸閱讀：
- 個資週報17｜改用標準契約條款也不行？愛爾蘭DPC又槓上Facebook：https://www.davinci.idv.tw/news/825。
- 個資週報9｜當漏風的隱私盾遇上較真的歐盟法院：https://www.davinci.idv.tw/news/808。
- 安全港早已潰堤，隱私盾竟也遭歐盟法院擊破！—歐盟法院判決Schrems II案：https://www.davinci.idv.tw/news/803。