歐盟《通用數據保障條例》

• 有關資料外洩事故通報的指引
• 有關資料外洩事故通報例子的第01/2021號指引

愛爾蘭資料保障監管機構早前就Meta旗下社交平台Instagram (Meta Platforms Ireland Limited (Meta IE)) 兒童用戶（13 至 17 歲的用戶）個人資料的處理進行調查。調查顯示平台允許兒童用戶使用商業帳號，以致其電郵地址及電話號碼等個人資料被公開展示；同時，平台的用戶註冊系統將兒童用戶的帳號預設為「公開」。Instagram因而被愛爾蘭資料保障監管機構處以4.05億歐元罰款，並須作出一系列的糾正措施。

該決定是在歐洲資料保障委員會根據《通用數據保障條例》第65條採納具有約束力的決定後（即因相關資料保障監管機構持有不同意見而開展的解決爭議程序）所發佈的。有關決定的詳情，請參閲愛爾蘭資料保障監管機構的決定及其於2022年9月15日發出的新聞稿。

註: WhatsApp Ireland Ltd.正對愛爾蘭資料保障監管機構針對它作出的決定提出上訴。

歐洲聯盟法院確立「刪除權」(「被遺忘權」)涵蓋刪除明顯不實資訊

於2022年12月8日，歐洲聯盟法院作出有關「刪除權」(「被遺忘權」)的裁判。該案件中的兩名投資經理要求Google移除根據他們的名字進行的搜尋所顯示有關批評他們投資模式的某些文章的連結。他們表示有關文章包含不實的指控。他們同時要求Google從搜尋結果中刪除他們的照片縮圖。Google拒絕履行有關要求，並聲稱未能核實該些文章是否包含不實資訊。德國聯邦最高法院將有關案件轉介至歐洲聯盟法院，要求就歐盟《通用數據保障條例》第17(3)(a)條有關行使刪除權及言論及資訊自由權作出詮釋。

在判決中，歐洲聯盟法院指出保障個人資料的權利並非絕對，行使有關權利必須要考慮社會的運作，以及根據相稱原則與其他基本權利取得平衡。雖然歐盟《通用數據保障條例》明確規定，如處理有關資料是行使言論及資訊自由權所必需的，則刪除權被排除在外，但言論及資訊自由的權利並不包括發表至少有一部分（非為不重要的事實）被證實為不實的資訊。

歐洲聯盟法院裁定，如果提出要求者提出相關及足夠的證據證明有關資訊明顯不實，搜尋引擎營運商必須要刪除有關被連結的不實資料。為免加重提出要求者的舉證責任，歐洲聯盟法院表示，有關證明不必來自對有關網絡發布者的司法判決，提出要求者只需要提供可以合理要求他/ 她試圖找到的證據。

就有關照片縮圖搜尋結果，歐洲聯盟法院認為有關展示對資料當事人的私生活及他們的個人資料構成重大影響。因此，歐洲聯盟法院需按所述照片的個別發布情況（是否在原有的文章以闡述文章或意見發表內容，抑或是其他情況發布），單獨權衡各方的權利和利益。

有關判決的詳情，請參閱（一）歐洲聯盟法院裁決; 及（二）歐洲聯盟法院於2022年12月8 日發表的新聞稿。

歐盟及美國之間新的跨大西洋數據私隱框架

2020年7月16日，歐洲聯盟法院在Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems and intervening parties一案中推翻了歐盟-美國「私隱保護盾」 的框架（常稱為「Schrems II判決」）。該框架自2016年實施以來為歐盟公司轉移個人資料至美國公司的主要機制。

歐盟委員會及美國經持續討論後，於2022年3月25日宣布雙方原則上已就一個新的跨大西洋數據私隱框架達成協議（ 「新框架」），以期重新建立一個從歐盟轉移個人資料至美國的法律機制。

重點來說，新框架確保（一）由美國進行的信號情報活動須在以達致合法的國家安全目標方面而言屬必要及相稱的；（二）將設立一個獨立及具約束力的申訴機制，為受影響的歐盟公民制訂補救措施；及（三）美國的情報機關將採取程序以確保能有效地監督新的私隱及公民自由標準的執行。

就下一階段而言，歐盟委員會及美國將會繼續準備雙方為落實執行新框架所需的法律文件。

有關新框架的詳情，請參閱（一）歐盟委員會及美國有關跨大西洋數據私隱框架的聯合聲明；及（二）美國白宮所發表的新聞稿。該兩份文件均於2022年3月25日發出。

適用於從英國轉移個人資料的新轉移文件

《通用數據保障條例》被保留於英國的當地法律作《英國通用數據保障條例》。《英國通用數據保障條例》第46(1)條容許在指定的情況下作國際間的個人資料轉移，其中包括當資料輸出者提供適當的保障措施（包括採納由資訊專員發出的標準數據保障條款等等）。

2022年3月21日，兩項新轉移文件，即由資訊專員發出的（一）國際數據轉移協議及（二） 國際數據轉移附錄 （附於歐盟委員會在2021年6月就國際間資料轉移採納的標準合約條款） ，開始生效。其中，新轉移文件的目的是取代英國現行的標準合約條款，即歐盟在《通用數據保障條例》生效前採納的標準合約條款（ 「舊版標準合約條款」）。

採納國際數據轉移協議及國際數據轉移附錄對資料轉移者及資料接收者的實際影響如下：

• 於2022年9月21日或之前依據舊版標準合約條款簽訂的合約就《英國通用數據保障條例》而言，將會繼續提供適當的保障措施（前提是作為合約主題事項的處理活動維持不變），直至2024年3月21日。
• 由2022年9月22日起，有關根據《英國通用數據保障條例》作國際間個人資料轉移的新合約必須採納國際數據轉移協議或國際數據轉移附錄。
• 由2024年3月22日起，舊版標準合約條款就《英國通用數據保障條例》而言，將不再被視為提供「適當的保障措施」。所有採納舊版標準合約條款的合約須於2024年3月21日或之前被替換爲國際數據轉移協議或國際數據轉移附錄。

有關國際數據轉移協議及國際數據轉移附錄的詳情，請參閱英國資訊專員辦公室的介紹。

愛爾蘭資料保障監管機構(Data Protection Commission of Ireland)出版有關兒童私隱的指引

2021年12月17日，愛爾蘭資料保障監管機構出版指引“Fundamentals For A Child-oriented Approach To Data Processing”， 就有關在資料處理活動中保障兒童的個人資料私隱提供指引及建議最佳行事方式。有關該指引的詳情，請參閲愛爾蘭資料保障監管機構發出的摘要。

有關南韓的足夠保障程度決定

2021年12月17日，歐盟委員會採納有關由歐盟轉移個人資料至大韓民國機構的足夠保障程度決定，相關個人資料受個人資料保護法保障，有關額外保障措施以及官方的申述 ˴ 保證和承諾反映在決定當中。

有關南韓的足夠保障程度決定的詳情，請參閲歐盟委員會法律事務委員Didier Reynders及大韓民國個人資料保護委員會主席Yoon Jong In共同發出的新聞稿。

有關英國的足夠保障程度決定

2021年6月28日，歐盟委員會採納兩個分別根據《通用數據保障條例》及執法指令所作的有關轉移個人資料至英國的足夠保障程度的決定。當英國確保個人資料得到歐盟法律所保證的相等程度的保障，個人資料便可從歐盟自由流動至英國。

有關英國的足夠保障程度決定的詳情，請參閲歐盟委員會發出的新聞稿。