歐盟《通用數據保障條例》

• 有關個人資料外洩事故通報例子的第01/2021號指引
• 有關《通用數據保障條例》下個人資料外洩事故通報的第9/2022號指引

• 有關根據《通用數據保障條例》第6(1)(b)條提供網上服務予資料當事人時處理個人資料的第2/2019號指引
• 有關使用視像設備處理個人資料的第3/2019號指引
• 有關虛擬語音助理的第02/2021號指引

• 有關應用《通用數據保障條例》第60條的第02/2022號指引
• 有關識別控制者或處理者的主責監管機構的第8/2022號指引
• 有關應用《通用數據保障條例》第65(1)(a)條的第03/2021號指引

• 有關補充轉移工具以確保符合歐盟個人資料保障水平的措施的第01/2020號建議
• 有關行為守則作為轉移工具的第04/2021號指引
• 有關應用《通用數據保障條例》第3條與第5章國際轉移的條文之間的相互作用的第05/2021號指引
• 有關認證作為轉移工具的第07/2022號指引

• 有關針對社交媒體使用者的第8/2020號指引
• 有關社交媒體平台介面的欺詐性設計模式的第03/2022號指引： 如何辨識及避免它們

荷蘭資料保障監管機構就Uber違反《通用數據保障條例》的規定處以 2.9 億歐元的罰款，原因是Uber將歐洲的士司機的個人資料在未有為其提供適當保障的情況下轉移至美國。

荷蘭資料保障監管機構發現Uber收集歐洲司機的敏感資料（包括戶口資料、的士牌照、位置資料、照片、付款資料、身份證明文件、刑事和醫療資料），並將資料保存在美國的伺服器。有關資料轉移於2021年8月6日至2023年11月27日期間進行。

當時，根據歐洲聯盟法院於2020年的裁決，歐盟-美國「私隱保護盾」已被廢除，不再是跨大西洋資料轉移的基礎。即使標準合約條款仍然是個人資料轉移至歐盟以外國家的有效基礎（如實際上能保證相等程度的保障），Uber自2021年8月起已不再使用標準合約條款，並於接近2023年年底才使用接替歐盟-美國「私隱保護盾」的歐盟-美國數據私隱框架。因此，荷蘭資料保障監管機構認爲於上述期間內被轉移的個人資料沒有得到充分保障，並裁定Uber違反《通用數據保障條例》第44條。

調查期間，荷蘭資料保障監管機構與法國資料保障監管機構緊密合作，並與其他歐洲資料保障監管機構協調該決定。有關詳情，請參閲2024年8月26日荷蘭資料保障監管機構發出的新聞稿及法國資料保障監管機構發出的新聞稿。

荷蘭資料保障監管機構就A.S. Watson Health & Beauty Continental Europe B.V. (A.S. Watson)違反《通用數據保障條例》第5(1)(a)及6條，處以60萬歐元的罰款。

荷蘭資料保障監管機構於2019年10月及11月進行的調查中發現A.S. Watson的附屬公司Kruidvat在未有事先取得用戶有效同意的情況下於其網站「Kruidvat.nl」的用戶的裝置置入cookies。該網站亦將使用cookies的設定預設為已勾選，因此，有關處理用戶個人資料取得的同意並非《通用數據保障條例》第4條所要求的「自由給予的、具體、知情及不含糊的」指示。

此外，調查又發現這些cookies曾經收集用戶的位置、他們所瀏覽的頁面、加入購物車及已購買的產品，以及曾經點擊的推薦項目等資料。荷蘭資料保障監管機構認為Kruidvat所收集的資料甚為敏感。有鑑Kruidvat網站所售賣產品的性質為保健用品，如果與透過追蹤IP地址所獲得的位置資料整合，則可以創建有關瀏覽「Kruidvat.nl」網站人士極為特定而具侵入性的用戶檔案。

有見及此，荷蘭資料保障監管機構裁定處理該網站瀏覽者的個人資料屬不合法，因此違反《通用數據保障條例》第5及6條。

2024年7月1日，奧斯陸地方法院維持挪威資料保障監管機構就約會應用程式Grindr未有遵從《通用數據保障條例》下的同意要求所處以的6,500萬克朗（約555萬歐元）罰款。

案件源於挪威消費者委員會於2020年作出的投訴。該委員會發現Grindr曾與多間第三方商業機構分享用戶的敏感個人資料，其中幾間機構保留與其他公司進一步分享該些資料的權利，以作目標式營銷之用。Grindr分享的資料包括用戶的全球定位系統位置、IP地址、廣告ID、年齡、性別、裝置資料及用戶在應用程式內的姓名。

法院維持挪威資料保障監管機構所作的決定，裁定Grindr聲稱已取得有關分享用戶個人資料的同意無效，原因是用戶必須同意私隱政策的全部條款才能使用應用程式，而且用戶並沒有明確地被問及是否同意將其個人資料分享予第三方作投放行為定向廣告之用。法院同時裁定Grindr未有適當地向用戶傳達分享個人資料的資訊。因此，Grindr聲稱已取得的同意未能符合《通用數據保障條例》第4條對有效「同意」的要求。

再者，法院確認挪威資料保障監管機構的調查結果，指一個人作為Grindr（其市場定位特別以LGBTQ+社群為目標）註冊用戶的資料應被視為與其性取向有關的個人資料，因此，該些資料符合《通用數據保障條例》第9(1)條所定義的特別類別個人資料。由於Grindr聲稱已取得的同意被裁定無效，Grindr與他人分享上述個人資料違反《通用數據保障條例》。有鑑《通用數據保障條例》第9條較嚴格的同意要求，法院認為Grindr未有根據《通用數據保障條例》第9(2)(a)條取得「明確同意」。

在釐定罰款金額時，法院已考慮違反《通用數據保障條例》的嚴重程度、Grindr的規模及財務狀況，以及Grindr已採取的補救措施。

法國資料保障監管機構就管理Amazon集團旗下在法國的大型倉庫的 Amazon France Logistique (Amazon) 在利用掃瞄器監控員工活動和表現及處理影像監控方面違反《通用數據保障條例》的行為，處以 3,200 萬歐元的罰款。

法國資料保障監管機構裁定，就向員工提供掃描器以即時記錄分配給他們的工作的執行情況，未能遵從收集最少資料的原則（違反條例第5(1)(c) 條）；(ii) Amazon 使用過度侵擾性及非法的指標，包括能夠持續監控員工掃描器任何中斷情況的指標，有機會導致員工需為每次休息或中斷提供理由，因而未能遵從合法處理的原則（違反條例第6條）；而且(iii) Amazon 未能確保在以掃瞄器收集或處理臨時員工的個人資料之前向有關員工提供其私隱政策（違反條例第 12 條及第 13 條）。

至於處理影像監控方面，法國資料保障監管機構裁定Amazon (i) 未有以告示、其他媒介或文件形式妥善地通知員工及外部訪客有關影像監控的安排（違反條例第 12 條及第 13 條），及(ii) 對個人資料的保安措施不足，包括使用低強度的密碼，及容許多個用戶使用同一登入帳號（違反條例第 32 條）。

荷蘭資料保障監管機構與法國資料保障監管機構聯合就 Uber Technologies, Inc. and Uber B.V. (Uber) 違反《通用數據保障條例》的規定處以 1,000 萬歐元的罰款，原因包括：(i) Uber 未能以清晰及容易存取的方式向司機提供所要求的資料，並僅以英文提供有關資料（違反條例第12(1) 條）；(ii) 司機未能簡易地在應用程式內獲取行使其要求資料的權利的網上表格，因為該表格位於應用程式的深處，並分佈在各個選單中，惟該表格本可放置於更合乎邏輯的位置，（違反條例第 12(2) 條）； (iii) Uber在其私隱聲明中提供有關轉移資料至歐盟境外的資訊及相關具體保安措施並不完整（違反條例第13(1)(f) 條及第15(1)(d)條），而有關其資料保留期限的資訊亦過於籠統（違反條例第13(2)(a) 條、第15(1)(a) 及第15(1) (d)條）；及(iv) Uber 未有在其私隱聲明中明確地提及資料可攜權（違反條例第13(2)(b) 條）。

在決定罰款金額時，荷蘭資料保障監管機構考慮了該公司的規模以及違規行為的嚴重程度。在違規行為發生時，歐洲約有 12 萬名 Uber 司機。

歐洲聯盟法院就《通用數據保障條例》違反個案中有關非物質損害的獲償權利發表初步裁決

2024年4月11日，歐洲聯盟法院就《通用數據保障條例》下有關非物質損害的獲償權利發表初步裁決。

一名人士（資料當事人）對一間公司（資料控制者）提起訴訟，指儘管他向公司提出反對並撤回接收促銷資訊的同意，公司仍然使用和處理其個人資料。資料當事人依據《通用數據保障條例》第82(1)條就失去對其個人資料的控制權等事宜提出索償。德國薩爾布呂肯地區法院將有關非物質損害索償門檻、資料控制者免除責任以及釐定賠償金額的問題轉介至歐洲聯盟法院作初步裁決。

在裁決中，歐洲聯盟法院強調，《通用數據保障條例》第82(1)條規定的賠償必須滿足三個條件：(i)資料當事人遭受物質或非物質損害；(ii)違反《通用數據保障條例》；以及 (iii)該違規行為與損害之間存在因果關係。因此歐洲聯盟法院認為，即使條例被違反時會賦予資料當事人權利，僅違反該條例的規定本身並不足以構成《通用數據保障條例》第82(1)條含義內的「非物質損害」，不論資料當事人所遭受的損害嚴重程度如何。

歐洲聯盟法院亦裁定，如果個人資料外洩事件是由資料控制者授權下行事的人導致，該資料控制者必須證明其任何違反《通用數據保障條例》第 5 條、第 24 條和第 32 條下資料保障義務的行為與資料當事人蒙受的損害不存在因果關係，才可依據《通用數據保障條例》第82(3)條免除責任，僅聲稱有關損害是由在其授權下行事的人的疏忽或過失所導致是不足夠的。

在釐定非物質損害賠償金額方面，鑒於《通用數據保障條例》第82條和第83條的功能並不相同，前者屬補償性質，而後者則屬懲罰性質，歐洲聯盟法院認為 (1)《通用數據保障條例》第83條下有關行政罰款金額的標準不能用於評估《通用數據保障條例》第82條下的賠償金額，以及 (2)沒有必要考慮同一處理操作中涉及多項《通用數據保障條例》違反影響索償人。

有關詳情，請參閱歐洲聯盟法院於2024年4月11日的裁決。

歐洲聯盟法院釐清判定「非物質損害」的條件

2023年12月14日，歐洲聯盟法院裁定在網絡攻擊後個人資料被濫用構成《通用數據保障條例》下的「非物質損害」。 該案件源於 2019 年保加利亞國家稅務局遭網絡攻擊，隨後網絡犯罪分子公開了數以百萬計人士的個人資料。保加利亞最高行政法院請求歐洲聯盟法院確定判定非物質損害的條件，以及資料控制者需要在多大程度上證明已採取足夠的安全措施 。
歐洲聯盟法院在判決書中對所提及的問題回答如下︰

• 在個人資料被未經授權披露或未經授權存取的情況下，法院必須具體地評估資料控制者所實施的保護措施的適當性，而不能單憑有關未經授權披露或未經授權存取的情況以推斷資料控制者所實施的保護措施不適當。
• 資料控制者需要證明其所實施的保護措施是適當的。
• 如果個人資料的未經授權披露或未經授權存取是由「第三方」（例如網絡犯罪分子）作出，除非資料控制者能夠證明它對資料當事人蒙受的損害完全沒有任何責任，否則資料控制者或須對該些資料當事人作出賠償。
• 資料當事人對其個人資料就第三方違反《通用數據保障條例》 而可能被濫用的擔憂，本身可構成「非物質損害」。

歐洲聯盟法院就信貸評分的合法性作出裁決

2023年12月7日，歐洲聯盟法院作出兩項裁決以反對信貸資料機構處理資料的做法。兩項裁決針對德國信貸資料機構SCHUFA根據資料當事人的個人資料而自動建立有關他未來履行還款承諾的能力的機率分數的做法，以及SCHUFA 就客戶破產資料的保留期間。

德國威斯巴登行政法院要求歐洲聯盟法院釐清信貸評分（即用於預測償還貸款等未來行為的機率的數學統計方法）是否構成《通用數據保障條例》第 22 條規定的「自動化決策」，以及 SCHUFA 保留有關免除剩餘債務的資料三年是否合法。

歐洲聯盟法院裁定，信貸評分必須被視為「自動化個人決定」，而在原則上這是《通用數據保障條例》第 22 條所禁止的，只要第三方（包括 SCHUFA 的客戶，例如銀行）認為該信貸評分在批出信貸方面具有決定性作用。威斯巴登行政法院應評估與資料保護相關的德國聯邦法律下是否有任何有效的例外條文適用於該依據《通用數據保障條例》下禁止的情況，而如有，《通用數據保障條例》處理資料的一般條件是否已符合。

關於保留債務清償資料方面，歐洲聯盟法院認為私人機構保留此類資料的時間超過德國法律對公共破產登記冊規定的六個月，違反了《通用數據保障條例》。由於保留有關資料超過六個月被視為不合法，資料當事人有權要求刪除資料，而機構則有責任盡快刪除資料。即使儲存有關資料六個月是合法的，資料當事人仍然有權反對機構處理其資料，並有權要求機構刪除資料，除非機構能夠提出更優先的合法理由。

歐洲聯盟法院就施加及計算行政罰款作出裁決

2023年12月5日，歐洲聯盟法院重申監管機構可以根據《通用數據保障條例》對資料控制者處以行政罰款的條件︰除非資料控制者是「故意地或疏忽地」違反《通用數據保障條例》，否則不應被罰款。該決定源於立陶宛和德國的案件，涉及立陶宛國家公共衛生中心 2019冠狀病毒病監察應用程式處理的公民資料，以及德國一間地產公司保留租戶的個人資料超過所需的時間。

立陶宛法院和德國法院要求歐洲聯盟法院解釋《通用數據保障條例》第 83 條有關對違規行為施加和計算行政罰款的規定。

就根據第 83 條施加行政罰款，歐洲聯盟法院裁定監管機構不得因資料控制者違反《通用數據保障條例》而對資料控制者施加罰款，除非該違規行為是不當地作出，即故意或疏忽。如果資料控制者不可能不知道其行為的違規性質，則無論它是否意識到該行為違反《通用數據保障條例》，該資料控制者亦可能就該違規行為被罰款。

此外，歐洲聯盟法院認為，如果資料控制者是法人，違規行為不一定是由其管理組織作出的，也不一定是該管理組織知悉的。相反，法人不但要為其代表、董事或經理作出的違規行為承擔責任，亦須為在該法人業務過程中或代表其行事的任何其他人作出的違規行為負上責任。另外，施加罰款並不取決於違規行為是由已識別的自然人作出的。資料控制者也可能要為其資料處理者的操作負責，而被罰款。

就根據條例第 83 條計算行政罰款，歐洲聯盟法院裁定，如果罰款對象是企業或構成企業的一部分，監管機構必須以歐盟競爭法中的「企業」概念為基礎，即縱然企業在法律上由多個自然人或法人組成，該企業仍是一個經濟單位。因此，在計算罰款時，監管機構必須以整個「企業」上一營業年度的全球總營業額作為基礎。

歐盟委員會保留所有現有的足夠保障程度決定

2024 年 1月 15 日，歐盟委員會根據 1995 年《資料保障指令》和《通用數據保障條例》完成了對現有 11 項足夠保障程度決定的審查和評估。

歐盟委員會在發布的報告中表示，從歐盟轉移到安道爾、阿根廷、加拿大、法羅群島、根西島、馬恩島、以色列、澤西、新西蘭、瑞士和烏拉圭的個人資料繼續受到足夠的資料保障措施保護。 因此，就這 11 個國家和地區所作出的足夠保障程度決定會保持不變，有關資料可以繼續自由流向這些司法管轄區。

該審查表明，這些國家和地區的資料保障框架與歐盟的框架進一步接軌，並加強了其管轄範圍內對個人資料的保障。該審查亦顯示，這11 個司法管轄區的公共機關在獲取資料方面受到適當的保障，特別是出於執法或國家安全的目的。

有關該審查的詳情，請參閱歐盟委員會於2024年1月15日公布的報告全文。

• 限制美國情報部門只可查閱必需及適度的歐盟資料當事人的個人資料，以保護國家安全（根據美國《關於加強美國信號情報活動的保障措施》的行政命令）；
• 向其資料將根據數據私隱框架轉移到美國的歐盟資料當事人提供多項新權利（即查閱其資料、改正或刪除不準確或被非法處理的資料）；及
• 為歐盟資料當事人設立兩級申訴機制（即歐盟資料當事人的投訴首先會由美國情報機構的公民自由保護官調查，其後資料當事人可以就公民自由保護官的決定向獨立且新成立的數據保護審查法院提出上訴）。

• 於2022年9月21日或之前依據舊版標準合約條款簽訂的合約就《英國通用數據保障條例》而言，將會繼續提供適當的保障措施（前提是作為合約主題事項的處理活動維持不變），直至2024年3月21日。
• 由2022年9月22日起，有關根據《英國通用數據保障條例》在國際間轉移個人資料的新合約必須採納國際數據轉移協議或國際數據轉移附錄。
• 由2024年3月22日起，舊版標準合約條款就《英國通用數據保障條例》而言，將不再被視為提供「適當的保障措施」。所有採納舊版標準合約條款的合約須於2024年3月21日或之前以國際數據轉移協議或國際數據轉移附錄替代。