歐盟《通用數據保障條例》

• 有關資料外洩事故通報的指引
• 有關資料外洩事故通報例子的第01/2021號指引

愛爾蘭資料保障監管機構對Whatsapp Ireland Limited (Whatsapp) 就其服務違反《通用數據保障條例》處以550萬歐元的罰款。愛爾蘭資料保障監管機構裁定Whatsapp不能以其與Whatsapp用戶的合約作為法律基礎為改善服務和保安的目的處理個人資料，因而違反了《通用數據保障條例》第6條。Whatsapp亦因為未有明確向用戶指出其處理個人資料的法律基礎而違反了公平原則及其有關透明度的責任。Whatsapp亦被指定必須在六個月內使其資料處理業務符合規定。

該決定是在歐洲資料保障委員會根據《通用數據保障條例》第65條採納具有約束力的決定後(即因相關資料保障監管機構持有不同意見而開展的解決爭議程序)所發佈的。有關決定的詳情，請參閲愛爾蘭資料保障監管機構於2023年1月12日的決定及於2023年1月19日發出的新聞稿。

愛爾蘭資料保障監管機構對Meta Platforms Ireland Limited (Meta)就其Facebook 和 Instagram 服務違反《通用數據保障條例》，分別處以 2.1 億歐元和 1.8 億歐元的罰款。愛爾蘭資料保障監管機構裁定Meta不能以其與Facebook和Instagram使用者的合約作為法律基礎，為使用者提供個人化服務(包括根據使用者的線上活動向用戶投放定向廣告)，因而違反了《通用數據保障條例》第6條。Meta亦因為未有明確向用戶指出其處理個人資料的法律基礎而違反了公平原則及其有關透明度的責任。Meta被指定必須在三個月內使其資料處理業務符合規定。

法國資料保障監管機構 (The French Data Protection Authority (CNIL))

愛爾蘭資料保障監管機構早前就Meta旗下社交平台Instagram (Meta Platforms Ireland Limited (Meta IE)) 兒童用戶（13 至 17 歲的用戶）個人資料的處理進行調查。調查顯示平台允許兒童用戶使用商業帳號，以致其電郵地址及電話號碼等個人資料被公開展示；同時，平台的用戶註冊系統將兒童用戶的帳號預設為「公開」。Instagram因而被愛爾蘭資料保障監管機構處以4.05億歐元罰款，並須作出一系列的糾正措施。

該決定是在歐洲資料保障委員會根據《通用數據保障條例》第65條採納具有約束力的決定後（即因相關資料保障監管機構持有不同意見而開展的解決爭議程序）所發佈的。有關決定的詳情，請參閲愛爾蘭資料保障監管機構的決定及其於2022年9月15日發出的新聞稿。

註: WhatsApp Ireland Ltd.正對愛爾蘭資料保障監管機構針對它作出的決定提出上訴。

歐洲聯盟法院裁定《通用數據保障條例》的行政和民事補救方法可同時並獨立行使

2023年1月12日，歐洲聯盟法院就《通用數據保障條例》的行政和民事補救方法之間的關係作出裁決。該案件涉及一名股東要求公司提供股東大會的錄音。該公司僅向該股東提供了他於會議上有貢獻的部分錄音。該股東其後向匈牙利資料保障監管機構要求該公司提供有關錄音。在匈牙利資料保障監管機構拒絕其要求後，該股東針對該決定提出行政上訴，並同時於匈牙利的民事法院提出訴訟，指該公司侵犯了其查閱資料的權利。雖然行政上訴程序仍在進行中，但民事法院已裁定該公司侵犯了該股東的權利。布達佩斯高等法院因此將有關案件轉介至歐洲聯盟法院，以澄清在審視國家監管機構決定的合法性的背景下，它是否受民事法院就相同事實背景及相同侵權指控的最終判決約束，以及其中一種補救措施是否優先於另一種補救措施。

在判決中，歐洲聯盟法院認為《通用數據保障條例》沒有規定任何優先權或專屬權限或管轄權，也沒有規定任何關於監管機構或法院就是否存在侵權進行的評估的排名。因此，《通用數據保障條例》規定的行政和民事補救方法可以同時並獨立行使。每個成員國須確保同時並獨立行使的補救方法不會影響《通用數據保障條例》的有效性及對權利的有效保護、其條款被一致地應用，以及在法庭上獲得有效補救的權利。

有關判決的詳情，請參閱（一）歐洲聯盟法院裁決; 及（二）歐洲聯盟法院於2023年1月12日發表的新聞稿。

歐洲聯盟法院確認資料當事人有權獲知其個人資料已被披露或將會被披露予的特定接收者的資料

2023年1月12日，歐洲聯盟法院就歐盟《通用數據保障條例》第15(1)(c)條下資料當事人查閱有關已經接收或將會接收其個人資料的接收者或接收者類別的資料的權利作出裁決。在該案件中，負責奧地利郵政服務的Österreichische Post AG，在回應一名資料當事人有關其個人資料的接收者的資料查閱要求時，僅提供了接收者類別的描述，而沒有透露其個人資料的特定接收者的身份。奧地利最高法院將有關案件轉介至歐洲聯盟法院，要求就歐盟《通用數據保障條例》第15(1)(c)條作出詮釋。

在判決中，歐洲聯盟法院裁定，為確保歐盟《通用數據保障條例》賦予資料當事人的其他權利（包括歐盟《通用數據保障條例》第 16 條、第 17 條、第 18 條和第 21 條下的更正權、刪除權、限制處理權和反對權）的有效性，資料當事人必須有權獲知其個人資料已被披露或將會被披露予的特定接收者的資料。

儘管如此，歐洲聯盟法院指出有關權利在特定的情況下可能會受到限制，例如如果特定接收者的身份無法被披露，尤其是在未知他們的身份的情況下，或者資料控制者可以證明資料當事人的要求，按照歐盟《通用數據保障條例》 第 12(5) 條的含義，是明顯沒有根據或過度的。

有關判決的詳情，請參閱（一）歐洲聯盟法院裁決; 及（二）歐洲聯盟法院於2023年1月12日發表的新聞稿。

歐洲聯盟法院確立「刪除權」(「被遺忘權」)涵蓋刪除明顯不實資訊

2022年12月8日，歐洲聯盟法院作出有關「刪除權」(「被遺忘權」)的裁判。該案件中的兩名投資經理要求Google移除根據他們的名字進行的搜尋所顯示有關批評他們投資模式的某些文章的連結。他們表示有關文章包含不實的指控。他們同時要求Google從搜尋結果中刪除他們的照片縮圖。Google拒絕履行有關要求，並聲稱未能核實該些文章是否包含不實資訊。德國聯邦最高法院將有關案件轉介至歐洲聯盟法院，要求就歐盟《通用數據保障條例》第17(3)(a)條有關行使刪除權及言論及資訊自由權作出詮釋。

在判決中，歐洲聯盟法院指出保障個人資料的權利並非絕對，行使有關權利必須要考慮社會的運作，以及根據相稱原則與其他基本權利取得平衡。雖然歐盟《通用數據保障條例》明確規定，如處理有關資料是行使言論及資訊自由權所必需的，則刪除權被排除在外，但言論及資訊自由的權利並不包括發表至少有一部分（非為不重要的事實）被證實為不實的資訊。

歐洲聯盟法院裁定，如果提出要求者提出相關及足夠的證據證明有關資訊明顯不實，搜尋引擎營運商必須要刪除有關被連結的不實資料。為免加重提出要求者的舉證責任，歐洲聯盟法院表示，有關證明不必來自對有關網絡發布者的司法判決，提出要求者只需要提供可以合理要求他/ 她試圖找到的證據。

就有關照片縮圖搜尋結果，歐洲聯盟法院認為有關展示對資料當事人的私生活及他們的個人資料構成重大影響。因此，歐洲聯盟法院需按所述照片的個別發布情況（是否在原有的文章以闡述文章或意見發表內容，抑或是其他情況發布），單獨權衡各方的權利和利益。 有關判決的詳情，請參閱（一）歐洲聯盟法院裁決; 及（二）歐洲聯盟法院於2022年12月8 日發表的新聞稿。

歐盟及美國之間新的跨大西洋數據私隱框架

2020年7月16日，歐洲聯盟法院在Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems and intervening parties一案中推翻了歐盟-美國「私隱保護盾」 的框架（常稱為「Schrems II判決」）。該框架自2016年實施以來為歐盟公司轉移個人資料至美國公司的主要機制。

歐盟委員會及美國經持續討論後，於2022年3月25日宣布雙方原則上已就一個新的跨大西洋數據私隱框架達成協議（ 「新框架」），以期重新建立一個從歐盟轉移個人資料至美國的法律機制。

重點來說，新框架確保（一）由美國進行的信號情報活動須在以達致合法的國家安全目標方面而言屬必要及相稱的；（二）將設立一個獨立及具約束力的申訴機制，為受影響的歐盟公民制訂補救措施；及（三）美國的情報機關將採取程序以確保能有效地監督新的私隱及公民自由標準的執行。

就下一階段而言，歐盟委員會及美國將會繼續準備雙方為落實執行新框架所需的法律文件。

有關新框架的詳情，請參閱（一）歐盟委員會及美國有關跨大西洋數據私隱框架的聯合聲明；及（二）美國白宮所發表的新聞稿。該兩份文件均於2022年3月25日發出。

適用於從英國轉移個人資料的新轉移文件

《通用數據保障條例》被保留於英國的當地法律作《英國通用數據保障條例》。《英國通用數據保障條例》第46(1)條容許在指定的情況下作國際間的個人資料轉移，其中包括當資料輸出者提供適當的保障措施（包括採納由資訊專員發出的標準數據保障條款等等）。

2022年3月21日，兩項新轉移文件，即由資訊專員發出的（一）國際數據轉移協議及（二） 國際數據轉移附錄 （附於歐盟委員會在2021年6月就國際間資料轉移採納的標準合約條款） ，開始生效。其中，新轉移文件的目的是取代英國現行的標準合約條款，即歐盟在《通用數據保障條例》生效前採納的標準合約條款（ 「舊版標準合約條款」）。

採納國際數據轉移協議及國際數據轉移附錄對資料轉移者及資料接收者的實際影響如下：

• 於2022年9月21日或之前依據舊版標準合約條款簽訂的合約就《英國通用數據保障條例》而言，將會繼續提供適當的保障措施（前提是作為合約主題事項的處理活動維持不變），直至2024年3月21日。
• 由2022年9月22日起，有關根據《英國通用數據保障條例》作國際間個人資料轉移的新合約必須採納國際數據轉移協議或國際數據轉移附錄。
• 由2024年3月22日起，舊版標準合約條款就《英國通用數據保障條例》而言，將不再被視為提供「適當的保障措施」。所有採納舊版標準合約條款的合約須於2024年3月21日或之前被替換爲國際數據轉移協議或國際數據轉移附錄。

有關國際數據轉移協議及國際數據轉移附錄的詳情，請參閱英國資訊專員辦公室的介紹。

有關南韓的足夠保障程度決定

2021年12月17日，歐盟委員會採納有關由歐盟轉移個人資料至大韓民國機構的足夠保障程度決定，相關個人資料受個人資料保護法保障，有關額外保障措施以及官方的申述 ˴ 保證和承諾反映在決定當中。

有關南韓的足夠保障程度決定的詳情，請參閲歐盟委員會法律事務委員Didier Reynders及大韓民國個人資料保護委員會主席Yoon Jong In共同發出的新聞稿。

有關英國的足夠保障程度決定

2021年6月28日，歐盟委員會採納兩個分別根據《通用數據保障條例》及執法指令所作的有關轉移個人資料至英國的足夠保障程度的決定。當英國確保個人資料得到歐盟法律所保證的相等程度的保障，個人資料便可從歐盟自由流動至英國。

有關英國的足夠保障程度決定的詳情，請參閲歐盟委員會發出的新聞稿。