當你看到落落長的隱私權政策點下「OK」時,你知道自己同意了些什麼嗎?

當你看到落落長的隱私權政策點下「OK」時,你知道自己同意了些什麼嗎?
Photo Credit: Shutterstock / 達志影像

我們想讓你知道的是

謂「同意」,依《個資法》規定,是指「當事人」經「蒐集者」告知《個資法》法定應告知事項,而「允許」的表示,而且只要當事人未表示拒絕,並已提供個資時,則推定當事人已表示同意。不過,蒐集者需要對當事人同意的事實,負責舉證證明。

文:喵喵科技法律隨筆

不論是在瀏覽網頁、使用App或是在註冊成為賣場會員時,使用者常常會看到落落長的隱私權政策、個人資料(下稱個資)告知聲明或是橫幅頁面說明其使用cookies的技術追蹤使用者。

此時,其文字可能會要求使用者點選或勾選「OK」、「已知悉」或「同意」,倘使用者不點擊或勾選選項,則可能無法瀏覽網頁、使用App或註冊為會員,另外一種情形則是告知使用者,倘使用者繼續瀏覽、滑動頁面或提供個資為註冊會員等則視為其已同意前揭條款。然而前述情形,是否已經取得使用者「合法有效」的同意呢?

當你點下「OK」,代表了什麼意思?

依據《個人資料保護法》(下稱個資法)第6條第1項第6款、第15條、第16條、第19條與第20條等規定,當取得當事人同意時,即可對其一般個人資料為蒐集、處理與利用,而對病歷、醫療、基因、性生活、健康檢查及犯罪前科等特種個資,則須取得當事人的書面同意,該書面同意依《個資法施行細則》第14條規定得依《電子簽章法》以電子文件為之。

所謂「同意」,依《個資法》第7條第1項規定,是指當事人經蒐集者告知《個資法》法定應告知事項,而「允許」的表示。當蒐集者已告知《個資法》第8條所列應告知事項時,當事人如未表示拒絕,並已提供個資時,則推定當事人已表示同意,然而蒐集者對當事人同意的事實,須負責舉證證明。

依此規定,當蒐集者落實《個資法》告知義務後,使用者點選或勾選「OK」或「同意」時,應可認為其已同意個資之蒐集、處理與利用,而點擊或勾選「已知悉」以及繼續提供個資註冊為會員等行為,則可推定使用者已提供同意。

另外,由於一般個資與特種個資關於當事人的要件有所不同,組織在評估是否取得合法同意時,應先識別與盤點其所蒐集的個資是否包含「特種個資」,例如網路賣場倘有販賣保險套或情趣用品等商品,則相關訂單資料可能涉及《個資法》第6條所謂的性生活特種個資之蒐集、處理與利用,而須取得當事人的書面同意,以符合《個資法》之規定。

8jx24kl7wl1acejkqtijer408hrql8
Photo Credit: Reuters / 達志影像

國外的立法,是如何保障使用者個資的?

由於個資保護與隱私保護,涉及當事人對於其個資與隱私自主控制的權利,因此國外對於當事人之同意有著進一步的規範與討論,依照歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)第4條第11款的規定,所謂當事人同意,係指基於其意思,透過聲明或明確肯定的行動,所為自主(freely given)、特定(specific)、知情(informed)與清楚(unambiguous)之表示同意處理其個資。

因此,當個人資料處理具有多重目的,當事人應可如同自助餐般,自由選擇所欲接受的個資處理目的,而無須全部同意。相關告知事項,也必須以清楚易懂的方式確保使用者知悉,而非使用冗長且充滿不易理解的語言,以及將相關資訊隱藏於條款之間。

另外,美國加州於2020年11月通過《加州隱私權法》(California Privacy Rights Acts, CPRA)以增修2018年所制定的《加州消費者隱私法》(California Consumer Privacy Act 2018,CCPA)規定。CCPA亦明文規範要求取得消費者同意時,應符合自由給予、特定、知情與明確的要件。

CCPA也針對暗黑模式(dark patterns)——指設計或操縱使用者界面,使其具有侵蝕或損害使用者自主、決策或選擇的實質性影響——特別予以立法規範。

那些複雜設計、先幫你勾好同意的「暗黑模式」

儘管歐盟GDPR並未如同加州CCPA特別對暗黑模式明文規範,然而挪威消費者委員會(Forbrukerrådet)與法國國家資訊自由委員會(Commission Nationale de l'Informatique et des Libertés,CNIL)均曾指出使用預設選項、顯眼的特定選項、複雜隱私設定或資訊等暗黑模式,不僅影響當事人的行為與權利,甚至違反GDPR關於同意自主性與資料保護設計與預設(data protection by design and data protection by default)等相關規範。

iStock-876441584
Photo Credit: iStock

曾有研究對Google Play商店上的240個應用程式進行調查,其中約95%涉及一個或多個暗黑模式的使用,大部分的使用者並未察覺其自主權與選擇權正在受到影響。

回到台灣,我國《個資法》雖未就暗黑設計明文規範,然而依照《個資法》第5條規定,個資之蒐集、處理或利用,應尊重當事人之權益且以誠實及信用方法為之。因此,蒐集者於取得當事人同意時,應以當事人為中心,考量相關流程與介面的設計是否有違反誠實與信用方法,而誘導當事人給予同意之情形,同時應盡量避免預設同意、綑綁同意或將選項設計為「我知悉」等曖昧不清的文字。

在當事人點選或勾選「OK」等選項時,蒐集者除依介面設計、前後文與相關情境等因素,探究當事人真正的意思表示是否為同意,也應保存當事人同意的相關證據與紀錄,如此當雙方有相關爭執時,便可提出以為舉證。

延伸閱讀


Tags: