欧盟《通用数据保障条例》

• 有关个人资料外洩事故通报例子的第01/2021号指引
• 有关《通用数据保障条例》下个人资料外洩事故通报的第9/2022号指引

• 有关根据《通用数据保障条例》第6(1)(b)条提供网上服务予资料当事人时处理个人资料的第2/2019号指引
• 有关使用视像设备处理个人资料的第3/2019号指引
• 有关虚拟语音助理的第02/2021号指引

• 有关应用《通用数据保障条例》第60条的第02/2022号指引
• 有关识别控制者或处理者的主责监管机构的第8/2022号指引
• 有关应用《通用数据保障条例》第65(1)(a)条的第03/2021号指引

• 有关补充转移工具以确保符合欧盟个人资料保障水平的措施的第01/2020号建议
• 有关行为守则作为转移工具的第04/2021号指引
• 有关应用《通用数据保障条例》第3条与第5章国际转移的条文之间的相互作用的第05/2021号指引
• 有关认证作为转移工具的第07/2022号指引

• 有关针对社交媒体使用者的第8/2020号指引
• 有关社交媒体平台介面的欺诈性设计模式的第03/2022号指引： 如何辨识及避免它们

荷兰资料保障监管机构就Uber违反《通用数据保障条例》的规定处以 2.9 亿欧元的罚款，原因是Uber将欧洲的士司机的个人资料在未有为其提供适当保障的情况下转移至美国。

荷兰资料保障监管机构发现Uber收集欧洲司机的敏感资料（包括户口资料、的士牌照、位置资料、照片、付款资料、身份证明文件、刑事和医疗资料），并将资料保存在美国的伺服器。有关资料转移于2021年8月6日至2023年11月27日期间进行。

当时，根据欧洲联盟法院于2020年的裁决，欧盟-美国「私隐保护盾」已被废除，不再是跨大西洋资料转移的基础。即使标准合约条款仍然是个人资料转移至欧盟以外国家的有效基础（如实际上能保证相等程度的保障），Uber自2021年8月起已不再使用标准合约条款，并于接近2023年年底才使用接替欧盟-美国「私隐保护盾」的欧盟-美国数据私隐框架。因此，荷兰资料保障监管机构认为于上述期间内被转移的个人资料没有得到充分保障，并裁定Uber违反《通用数据保障条例》第44条。

调查期间，荷兰资料保障监管机构与法国资料保障监管机构紧密合作，并与其他欧洲资料保障监管机构协调该决定。有关详情，请参阅2024年8月26日荷兰资料保障监管机构发出的新闻稿及法国资料保障监管机构发出的新闻稿。

荷兰资料保障监管机构就A.S. Watson Health & Beauty Continental Europe B.V. (A.S. Watson)违反《通用数据保障条例》第5(1)(a)及6条，处以60万欧元的罚款。

荷兰资料保障监管机构于2019年10月及11月进行的调查中发现A.S. Watson的附属公司Kruidvat在未有事先取得用户有效同意的情况下于其网站「Kruidvat.nl」的用户的装置置入cookies。该网站亦将使用cookies的设定预设为已勾选，因此，有关处理用户个人资料取得的同意并非《通用数据保障条例》第4条所要求的「自由给予的、具体、知情及不含糊的」指示。

此外，调查又发现这些cookies曾经收集用户的位置、他们所浏览的页面、加入购物车及已购买的产品，以及曾经点击的推荐项目等资料。荷兰资料保障监管机构认为Kruidvat所收集的资料甚为敏感。有鑑Kruidvat网站所售卖产品的性质为保健用品，如果与透过追踪IP地址所获得的位置资料整合，则可以创建有关浏览「Kruidvat.nl」网站人士极为特定而具侵入性的用户档案。

有见及此，荷兰资料保障监管机构裁定处理该网站浏览者的个人资料属不合法，因此违反《通用数据保障条例》第5及6条。

2024年7月1日，奥斯陆地方法院维持挪威资料保障监管机构就约会应用程式Grindr未有遵从《通用数据保障条例》下的同意要求所处以的6,500万克朗（约555万欧元）罚款。

案件源于挪威消费者委员会于2020年作出的投诉。该委员会发现Grindr曾与多间第三方商业机构分享用户的敏感个人资料，其中几间机构保留与其他公司进一步分享该些资料的权利，以作目标式营销之用。Grindr分享的资料包括用户的全球定位系统位置、IP地址、广告ID、年龄、性别、装置资料及用户在应用程式内的姓名。

法院维持挪威资料保障监管机构所作的决定，裁定Grindr声称已取得有关分享用户个人资料的同意无效，原因是用户必须同意私隐政策的全部条款才能使用应用程式，而且用户并没有明确地被问及是否同意将其个人资料分享予第三方作投放行为定向广告之用。法院同时裁定Grindr未有适当地向用户传达分享个人资料的资讯。因此，Grindr声称已取得的同意未能符合《通用数据保障条例》第4条对有效「同意」的要求。

再者，法院确认挪威资料保障监管机构的调查结果，指一个人作为Grindr（其市场定位特别以LGBTQ+社群为目标）注册用户的资料应被视为与其性取向有关的个人资料，因此，该些资料符合《通用数据保障条例》第9(1)条所定义的特别类别个人资料。由于Grindr声称已取得的同意被裁定无效，Grindr与他人分享上述个人资料违反《通用数据保障条例》。有鑑《通用数据保障条例》第9条较严格的同意要求，法院认为Grindr未有根据《通用数据保障条例》第9(2)(a)条取得「明确同意」。

在厘定罚款金额时，法院已考虑违反《通用数据保障条例》的严重程度、Grindr的规模及财务状况，以及Grindr已采取的补救措施。

法国资料保障监管机构就管理Amazon集团旗下在法国的大型仓库的 Amazon France Logistique (Amazon) 在利用扫瞄器监控员工活动和表现及处理影像监控方面违反《通用数据保障条例》的行为，处以 3,200 万欧元的罚款。

法国资料保障监管机构裁定，就向员工提供扫描器以即时记录分配给他们的工作的执行情况，未能遵从收集最少资料的原则（违反条例第5(1)(c) 条）；(ii) Amazon 使用过度侵扰性及非法的指标，包括能够持续监控员工扫描器任何中断情况的指标，有机会导致员工需为每次休息或中断提供理由，因而未能遵从合法处理的原则（违反条例第6条）；而且(iii) Amazon 未能确保在以扫瞄器收集或处理临时员工的个人资料之前向有关员工提供其私隐政策（违反条例第 12 条及第 13 条）。

至于处理影像监控方面，法国资料保障监管机构裁定Amazon (i) 未有以告示、其他媒介或文件形式妥善地通知员工及外部访客有关影像监控的安排（违反条例第 12 条及第 13 条），及(ii) 对个人资料的保安措施不足，包括使用低强度的密码，及容许多个用户使用同一登入帐号（违反条例第 32 条）。

荷兰资料保障监管机构与法国资料保障监管机构联合就 Uber Technologies, Inc. and Uber B.V. (Uber) 违反《通用数据保障条例》的规定处以 1,000 万欧元的罚款，原因包括：(i) Uber 未能以清晰及容易存取的方式向司机提供所要求的资料，并仅以英文提供有关资料（违反条例第12(1) 条）；(ii) 司机未能简易地在应用程式内获取行使其要求资料的权利的网上表格，因为该表格位于应用程式的深处，并分布在各个选单中，惟该表格本可放置于更合乎逻辑的位置，（违反条例第 12(2) 条）； (iii) Uber在其私隐声明中提供有关转移资料至欧盟境外的资讯及相关具体保安措施并不完整（违反条例第13(1)(f) 条及第15(1)(d)条），而有关其资料保留期限的资讯亦过于笼统（违反条例第13(2)(a) 条、第15(1)(a) 及第15(1) (d)条）；及(iv) Uber 未有在其私隐声明中明确地提及资料可携权（违反条例第13(2)(b) 条）。

在决定罚款金额时，荷兰资料保障监管机构考虑了该公司的规模以及违规行为的严重程度。在违规行为发生时，欧洲约有 12 万名 Uber 司机。

欧洲联盟法院就《通用数据保障条例》违反个案中有关非物质损害的获偿权利发表初步裁决

2024年4月11日，欧洲联盟法院就《通用数据保障条例》下有关非物质损害的获偿权利发表初步裁决。

一名人士（资料当事人）对一间公司（资料控制者）提起诉讼，指尽管他向公司提出反对并撤回接收促销资讯的同意，公司仍然使用和处理其个人资料。资料当事人依据《通用数据保障条例》第82(1)条就失去对其个人资料的控制权等事宜提出索偿。德国萨尔布吕肯地区法院将有关非物质损害索偿门槛、资料控制者免除责任以及厘定赔偿金额的问题转介至欧洲联盟法院作初步裁决。

在裁决中，欧洲联盟法院强调，《通用数据保障条例》第82(1)条规定的赔偿必须满足三个条件：(i)资料当事人遭受物质或非物质损害；(ii)违反《通用数据保障条例》；以及 (iii)该违规行为与损害之间存在因果关系。因此欧洲联盟法院认为，即使条例被违反时会赋予资料当事人权利，仅违反该条例的规定本身并不足以构成《通用数据保障条例》第82(1)条含义内的「非物质损害」，不论资料当事人所遭受的损害严重程度如何。

欧洲联盟法院亦裁定，如果个人资料外洩事件是由资料控制者授权下行事的人导致，该资料控制者必须证明其任何违反《通用数据保障条例》第 5 条、第 24 条和第 32 条下资料保障义务的行为与资料当事人蒙受的损害不存在因果关系，才可依据《通用数据保障条例》第82(3)条免除责任，仅声称有关损害是由在其授权下行事的人的疏忽或过失所导致是不足够的。

在厘定非物质损害赔偿金额方面，鉴于《通用数据保障条例》第82条和第83条的功能并不相同，前者属补偿性质，而后者则属惩罚性质，欧洲联盟法院认为 (1)《通用数据保障条例》第83条下有关行政罚款金额的标准不能用于评估《通用数据保障条例》第82条下的赔偿金额，以及 (2)没有必要考虑同一处理操作中涉及多项《通用数据保障条例》违反影响索偿人。

有关详情，请参阅欧洲联盟法院于2024年4月11日的裁决。

欧洲联盟法院厘清判定「非物质损害」的条件

2023年12月14日，欧洲联盟法院裁定在网络攻击后个人资料被滥用构成《通用数据保障条例》下的「非物质损害」。 该案件源于 2019 年保加利亚国家税务局遭网络攻击，随后网络犯罪分子公开了数以百万计人士的个人资料。保加利亚最高行政法院请求欧洲联盟法院确定判定非物质损害的条件，以及资料控制者需要在多大程度上证明已采取足够的安全措施 。
欧洲联盟法院在判决书中对所提及的问题回答如下︰

• 在个人资料被未经授权披露或未经授权存取的情况下，法院必须具体地评估资料控制者所实施的保护措施的适当性，而不能单凭有关未经授权披露或未经授权存取的情况以推断资料控制者所实施的保护措施不适当。
• 资料控制者需要证明其所实施的保护措施是适当的。
• 如果个人资料的未经授权披露或未经授权存取是由「第三方」（例如网络犯罪分子）作出，除非资料控制者能够证明它对资料当事人蒙受的损害完全没有任何责任，否则资料控制者或须对该些资料当事人作出赔偿。
• 资料当事人对其个人资料就第三方违反《通用数据保障条例》 而可能被滥用的担忧，本身可构成「非物质损害」。

欧洲联盟法院就信贷评分的合法性作出裁决

2023年12月7日，欧洲联盟法院作出两项裁决以反对信贷资料机构处理资料的做法。两项裁决针对德国信贷资料机构SCHUFA根据资料当事人的个人资料而自动建立有关他未来履行还款承诺的能力的机率分数的做法，以及SCHUFA 就客户破产资料的保留期间。

德国威斯巴登行政法院要求欧洲联盟法院厘清信贷评分（即用于预测偿还贷款等未来行为的机率的数学统计方法）是否构成《通用数据保障条例》第 22 条规定的「自动化决策」，以及 SCHUFA 保留有关免除剩余债务的资料三年是否合法。

欧洲联盟法院裁定，信贷评分必须被视为「自动化个人决定」，而在原则上这是《通用数据保障条例》第 22 条所禁止的，只要第三方（包括 SCHUFA 的客户，例如银行）认为该信贷评分在批出信贷方面具有决定性作用。威斯巴登行政法院应评估与资料保护相关的德国联邦法律下是否有任何有效的例外条文适用于该依据《通用数据保障条例》下禁止的情况，而如有，《通用数据保障条例》处理资料的一般条件是否已符合。

关于保留债务清偿资料方面，欧洲联盟法院认为私人机构保留此类资料的时间超过德国法律对公共破产登记册规定的六个月，违反了《通用数据保障条例》。由于保留有关资料超过六个月被视为不合法，资料当事人有权要求删除资料，而机构则有责任尽快删除资料。即使储存有关资料六个月是合法的，资料当事人仍然有权反对机构处理其资料，并有权要求机构删除资料，除非机构能够提出更优先的合法理由。

欧洲联盟法院就施加及计算行政罚款作出裁决

2023年12月5日，欧洲联盟法院重申监管机构可以根据《通用数据保障条例》对资料控制者处以行政罚款的条件︰除非资料控制者是「故意地或疏忽地」违反《通用数据保障条例》，否则不应被罚款。该决定源于立陶宛和德国的案件，涉及立陶宛国家公共卫生中心 2019冠状病毒病监察应用程式处理的公民资料，以及德国一间地产公司保留租户的个人资料超过所需的时间。

立陶宛法院和德国法院要求欧洲联盟法院解释《通用数据保障条例》第 83 条有关对违规行为施加和计算行政罚款的规定。

就根据第 83 条施加行政罚款，欧洲联盟法院裁定监管机构不得因资料控制者违反《通用数据保障条例》而对资料控制者施加罚款，除非该违规行为是不当地作出，即故意或疏忽。如果资料控制者不可能不知道其行为的违规性质，则无论它是否意识到该行为违反《通用数据保障条例》，该资料控制者亦可能就该违规行为被罚款。

此外，欧洲联盟法院认为，如果资料控制者是法人，违规行为不一定是由其管理组织作出的，也不一定是该管理组织知悉的。相反，法人不但要为其代表、董事或经理作出的违规行为承担责任，亦须为在该法人业务过程中或代表其行事的任何其他人作出的违规行为负上责任。另外，施加罚款并不取决于违规行为是由已识别的自然人作出的。资料控制者也可能要为其资料处理者的操作负责，而被罚款。

就根据条例第 83 条计算行政罚款，欧洲联盟法院裁定，如果罚款对象是企业或构成企业的一部分，监管机构必须以欧盟竞争法中的「企业」概念为基础，即纵然企业在法律上由多个自然人或法人组成，该企业仍是一个经济单位。因此，在计算罚款时，监管机构必须以整个「企业」上一营业年度的全球总营业额作为基础。

欧盟委员会保留所有现有的足够保障程度决定

2024 年 1月 15 日，欧盟委员会根据 1995 年《资料保障指令》和《通用数据保障条例》完成了对现有 11 项足够保障程度决定的审查和评估。

欧盟委员会在发布的报告中表示，从欧盟转移到安道尔、阿根廷、加拿大、法罗群岛、根西岛、马恩岛、以色列、泽西、新西兰、瑞士和乌拉圭的个人资料继续受到足够的资料保障措施保护。 因此，就这 11 个国家和地区所作出的足够保障程度决定会保持不变，有关资料可以继续自由流向这些司法管辖区。

该审查表明，这些国家和地区的资料保障框架与欧盟的框架进一步接轨，并加强了其管辖范围内对个人资料的保障。该审查亦显示，这11 个司法管辖区的公共机关在获取资料方面受到适当的保障，特别是出于执法或国家安全的目的。

有关该审查的详情，请参阅欧盟委员会于2024年1月15日公布的报告全文。

• 限制美国情报部门只可查阅必需及适度的欧盟资料当事人的个人资料，以保护国家安全（根据美国《关于加强美国信号情报活动的保障措施》的行政命令）；
• 向其资料将根据数据私隐框架转移到美国的欧盟资料当事人提供多项新权利（即查阅其资料、改正或删除不准确或被非法处理的资料）；及
• 为欧盟资料当事人设立两级申诉机制（即欧盟资料当事人的投诉首先会由美国情报机构的公民自由保护官调查，其后资料当事人可以就公民自由保护官的决定向独立且新成立的数据保护审查法院提出上诉）。

• 于2022年9月21日或之前依据旧版标准合约条款签订的合约就《英国通用数据保障条例》而言，将会继续提供适当的保障措施（前提是作为合约主题事项的处理活动维持不变），直至2024年3月21日。
• 由2022年9月22日起，有关根据《英国通用数据保障条例》在国际间转移个人资料的新合约必须采纳国际数据转移协议或国际数据转移附录。
• 由2024年3月22日起，旧版标准合约条款就《英国通用数据保障条例》而言，将不再被视为提供「适当的保障措施」。所有采纳旧版标准合约条款的合约须于2024年3月21日或之前以国际数据转移协议或国际数据转移附录替代。