歐盟一般資料保護規範GDPR 與美國加州消費者隱私保護法CCPA之比較

1.      前言

歐盟在1995年制定了「個人資料保護指令」(Data Protection Directive),隨著數位經濟科技發展與全球化影響,個人資料保護議題帶來許多新的挑戰,2016年通過被稱為史上最嚴格個資法[1]的「一般資料保護規則」(General Data Protection Regulation,GDPR)取代了先前的法規,並在實際執行前給予歐盟兩年的緩衝期,於2018年5月25日正式實施[2]

另一方面,加州消費者隱私權組織(Californians for Consumer Privacy)有感於許多大型企業長期以來對於消費者的個人資料取得輕易,而一般消費者卻幾乎無權拒絕提供,亦無法得知大型企業究竟掌握了多少個人資料,該組織認為,蒐集了大量個人資料的大型企業,應有責任提供消費者選擇是否提供資料的權利,亦應揭露其所使用個人資料的方式以及其所分享的對象,故於2017年提出草案,並於次年蒐集了629,000份連署;加州州長於2018年6月28日簽署了CCPA (California Consumer Privacy Act[3]),並於2020年1月1日生效[4]

GDPR與CCPA是歐盟與美國加州個別推動的,極具代表意義的個人資料保護法規,但兩者之間仍有許多重要的差異,代表歐美監管機關對於個人資料保護所呈現的兩種不同管控取向。「隱私權未來論壇」(Future of Privacy Forum,FPF)與隱私顧問諮詢企業「唯一相信數據指南」(OneTrust DataGuidance)首先於2018年11月底共同發表了GDPR與CCPA的比較分析[5],後於2019年12月底更新了這份分析報告[6],以下本文將就此報告內容進行重點摘譯[7]

2.      適用對象

GDPR的管轄較廣泛,包含所有蒐集與處理歐盟居民或公民資料的營利事業;CCPA則聚焦於管轄「以營利目的處理個人資料的企業」,為被管轄實體設置了「年收入金額門檻」及「消費者、家庭和設備數量門檻」,主要針對風險影響程度和範圍較大的實體進行管轄。

CCPA具體的管轄條件為(1)處理加州居民個人資料的實體,且(2)該實體以營利為目的並滿足以下一個或多個條件:(a)年度總收入超過2,500萬美元;(b)每年獨自或與他人聯合,為商業目的購買、出售、分享50,000筆以上消費者、家庭或設備的個人資料;(c)高於50%的年收入來自於出售消費者個人資料。

兩個法案最大的共通點則是,皆只保護自然人,不包含法人。

3.      罰則

3.1    罰鍰

違反GDPR各條規定的企業,可能受到的行政罰鍰為1,000-2,000萬歐元,或2%-4%的全球年營業額,擇高處罰,且根據侵權狀況而定,目前為止最高的罰款,是由法國資料主管機關對Google開出的[8]5,000萬歐元;而因個資遭竊或其他個資安全相關行為違反CCPA之公司,若遭到加州總檢察長(Attorney General of California)起訴,則須賠償法院判定之金額,故意違反者每次最高可罰7,500美元,非故意違反者最高可罰2,500美元。

3.2    主管機關

根據GDPR條款,在歐盟乃由各國資料保護主管機關負責相關業務,並具有調查的權力,也就是可以針對有疑慮的企業進行稽核,不僅能提出警告並指派資料控管者[9](data controller)遵守GDPR,也可以禁止資料處理、處以行政罰鍰,並要求其刪除不法獲得的資料;而CCPA則比較單純,僅由加州總檢察長負責啟動調查與起訴。

4.      法案處理的問題

4.1    個資定義:GDPR的個人資料與CCPA的個人資訊

GDPR定義個人資料(personal data)為「指能夠識別(直接或間接)或者足以識別自然人〔或資料主體(data subject)〕個人資料的任何相關資訊」,例如身分證字號、定位資料,或任何涉及自然人個別的生理、心理、精神、遺傳基因、社會文化認同、政治思想、經濟地位等不同形式的資料。

CCPA則是將個人資訊(personal information[10])定義為「識別、關聯、敘述、能夠合理與特定消費者或家庭直接或間接關聯的資訊」,例如:真實姓名、別名、郵寄地址、特殊個人辨識字(unique personal identifier[11])、IP位址、電子郵件地址、帳戶名稱、社會安全號碼(Social Security number)、駕照號碼、護照號碼,或其他類似的識別號碼。兩者之間的差別是,GDPR僅限於個人,而CCPA的定義較為廣泛,納入了家庭。

此外GDPR創造了一個稱為「敏感個人資料」(sensitive personal data[12])的特種類別,也就是在處理與揭露種族、政治思想、宗教信仰或工會會籍身分(trade union membership)相關的個資,以及為了辨識一個自然人而處理的基因資料、生物性資料、與健康相關的資料、與自然人的性生活或性傾向有關的資料等,皆應該被禁止,這類個人資料並不見於CCPA。

最後,在CCPA的定義中,公開資訊並不被視為個人資訊[13]

4.2    同意的方式

GDPR在第六條[14]設定了關於蒐集與利用一般個人資料之合法事由規範,為企業提供了可以進行差異化選擇的法律依據,比如資料主體明確同意、企業是基於履行合約之必要、為執行公共利益或公務行為等情況,意即,GDPR中有「合法利益」的概念,允許能夠證明「合法利益」的企業在某些情況下,可以未經同意合法處理個人資料,比如預防犯罪、欺詐監測等。

然而CCPA不具此項概念,適用於CCPA的企業可以任意使用資料,除非消費者「行使退出權(opt out),拒絕自己的個人資訊被販售」,對此,企業須明確標示其隱私權政策,以及「不同意出售我的個人資訊」按鈕,並指導消費者行使該權利。

換言之,GDPR採取選擇「加入」的方式,「當事人同意」是企業處理個人資料的重要依據,因此企業須主動獲取;而CCPA採取選擇「退出」的方式,消費者有權指示企業停止向第三方出售其個人資訊。

5.      結論

GDPR與CCPA的立法目的十分相似,都是透過規範企業處理資料的行為,強化其保護責任,並設定較為嚴格的處罰,旨在加強對個人資料和隱私的保護。

GDPR聚焦在為歐盟創造一個「預設隱私」(Privacy by Default)的法律框架,賦權歐洲人「資料取得權」(Right to Access)、「被遺忘權」(Right to be Forgotten / Data Erasure)以及「資料可攜權」(Data Portability);而CCPA僅為美國單一個州的立法,且從立法背景上僅為美國隱私立法的一環,旨在為加州的消費者創造個人資訊的透明度。兩項法律雖有根本上的不同之處,卻一樣在歐洲與美國為隱私與資料自主創造了創新的法律架構。

Photo created by freepik

 

[1] 高敬原, “沒有人是局外人!史上最嚴個資法衝擊全球,帶你搞懂什麼是GDPR,” 數位時代, May 25, 2018, https://www.bnext.com.tw/article/49249/gdpr-general-data-protection-regulation-eu-.

[2] Andrew Rossow, “The Birth Of GDPR: What Is It And What You Need To Know,” May 25, 2018, https://www.forbes.com/sites/andrewrossow/2018/05/25/the-birth-of-gdpr-what-is-it-and-what-you-need-to-know/#2b161a6a55e5.

[3] Issie Lapowsky, “California Unanimously Passes Historic Privacy Bill | WIRED,” June 28, 2018, https://www.wired.com/story/california-unanimously-passes-historic-privacy-bill/.

[4] GILAD EDELMAN, “Everything You Need to Know About the CCPA | WIRED,” January 1, 2020, https://www.wired.com/story/ccpa-guide-california-privacy-law-takes-effect/.

[5] “CCPA, Face to Face with the GDPR: An in Depth Comparative Analysis,” accessed April 30, 2020, https://fpf.org/2018/11/28/fpf-and-dataguidance-comparison-guide-gdpr-vs-ccpa/.

[6] Casey Crane, “Comparing Privacy Laws: GDPR v. CCPA,” November 6, 2019, https://fpf.org/2019/12/18/comparing-privacy-laws-gdpr-v-ccpa/.

[7] “CCPA vs GDPR | Compliance with Cookiebot,” accessed April 23, 2020, https://www.cookiebot.com/en/ccpa-vs-gdpr/.

[8] https://www.cnil.fr/en/cnils-restricted-committee-imposes-financial-penalty-50-million-euros-against-google-llc

[9]兩個GDPR的名詞定義,一是資料控管者(Data Controller),其二是資料處理者(Data Processor)。所謂資料控管者,係指掌握個人資料,並決定處理個人資料之目的、條件與方法者,如蒐集、處理或利用個資之企業。而資料處理者則為依據資料控管者的指示而為實質處理資料者,如受委託之資料處理業者。https://www.netadmin.com.tw/netadmin/zh-tw/trend/23E7E3EF84054E64B384C01865C4B73C

[10]https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?sectionNum=1798.140.&lawCode=CIV

[11] 根據條文解釋,unique personal identifier指的是「可辨識消費者個人、家庭或與消費者或家庭連結的設備,跨時且跨越不同服務」,例如,IP位址、cookies、beacons、像素程式碼(pixel tags)、消費者電話、特殊別名等;家庭指的則是法定監護人或家長。

[12] https://gdpr-info.eu/art-9-gdpr/

[13] “Personal information” does not include publicly available information. https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?sectionNum=1798.140.&lawCode=CIV

[14] https://gdpr-info.eu/art-6-gdpr/

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *