當隱私遇到商業，是互看不爽，還是兩情相悅！？｜陳建佑律師

在台灣有某網路行銷業者，在符合全球隱私法規趨勢下，從網站的「內容分類」下手，把網頁分類方式從「文章編號」調整成「廣告標籤」格式，方便日後資料識別更精準。也重新規劃網站數據架構，藉由導入客製化代碼，讓機器能在不同網站間識別相同行為的數據。

最後業者用網站自有的「少量數據」，獲取廣告投放的「精準分析」，不只降低品牌企業的數據應用成本，也能減少消費者個資外洩風險，無疑是「雙贏」局面，最後達成Cookie、個資與網路廣告投放的完美平衡。

首先，我們先來聊聊什麼是「Cookie」吧！

Cookie又稱為「小甜餅」，是網站為辨別用戶身分而儲存在用戶端的一種資料（小型文字檔案）。換言之，在使用者瀏覽網頁時，Cookie會蒐集與記錄使用者的「足跡」。

例如：陳律師是一個稱職的奶爸，曾經Google過一些尿布品牌，之後在滑臉書時，就會出現一堆小孩所需的相關用品廣告或資訊。這就是盛行多年的「Google廣告聯播網」運行結果之一：網站藉由蒐集大量的Cookie，交由專人分析使用者的行為與喜好，再向使用者精準投放廣告，映入使用者的眼簾，吸引其瀏覽，以達到最佳的行銷效果。

多年來行銷人員一直依靠第三方的Cookie來「循線」追踪網路使用者的行為。幾乎所有的廣告技術和數位行銷平台都使用Cookie，針對網路行為去進行消費者定位、再行銷、播放展示型廣告，藉以掌握消費者行為。

看到這邊，敏銳的粉絲就會發現，「Cookie」是我使用網路的紀錄，那業者隨意的使用，都沒有經過我的同意，這樣行嗎？

為此，「歐盟一般資料保護規範」（GDPR）上路後，因GDPR已明文Cookie為個資，使Cookie有如過街老鼠。所以，主流的瀏覽器例如Google Chrome不斷在其最新版本中強化隱私保護的功能，痛擊第三方網站追蹤Cookie，使得Cookie不再具有辨識消費者的能力。

「美國加州消費者隱私法」（CCPA）緊接著上路，即使沒有（GDPR）那麼嚴格，但對於數位行銷的廠商來說，這些隱私權法規將限縮數位廣告與行銷科技的形式。嗣後，美國各州相繼出爐的隱私權新法案大致相同，Cookie都可以被用來識別個人的「資料依據」。

Google在2020年2月啟用的最新版Chrome 80，將正式採用安全分類機制，如果Cookie跟消費者存取網站屬於不同網域，就會被視為「跨網站」或「第三方Cookie」；除非開發者明確使用SameSite=None語法，否則將預設無法跨網域存取。

也就是說，由於歐盟的GDPR規定必須經使用者同意（「徵求同意」）、美國的CCPA規定必須告知使用者（「告知用戶」），其後才能蒐集Cookie。過去高度仰賴第三方數據的模式將變得窒礙難行。 是否表示今後使用者的個資、隱私崛起，而Cookie就此萎靡不振呢？

再來我們來看看中國及台灣在實務上是怎麼認定的呢？

中國曾出現一例判決（百度Cookie案），認為Cookie不僅是個人隱私的資訊，原告在百度搜尋的關鍵字，因為都可以連結到「百度廣告聯盟」的官方網站，故判定被告百度侵害原告的隱私權，理由是百度沒有用清晰、明顯的告知、連結或網頁公告，讓原告明白且選擇同意使用Cookie，並用於進行廣告投放。

回頭看台灣，因個資的種類繁多，故台灣在個人資料保護法第2條、其施行細則第3至6條等規定，即分別採用列示、補充規定的方式說明個資的範圍，甚至包括「個人資料檔案」。

個資列示規定：姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動。

個資補充規定：其他得以直接或間接方式識別個人的資料。

所謂「得以間接方式識別」，是指保有該資料之公務或非公務機關僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人。

例如：單純的Cookie，或經去識別化後，因無法識別特定個人，故在台灣可能不屬於個資。

然而，類似中國百度Cookie的案件，如果發生在我國，台灣法院可能也會認定Cookie是一種個資，因在某些情形，企業如果能將其他資料（例如使用者IP位址或網站會員申請資料）結合後，達到識別特定個人，則該蒐集到的Cookie仍屬於個資。

因此，在此呼籲台灣企業經營者，包括電商或行銷業者，建議在網站頁面應提供Cookie的相關通知，最好用明顯的字體、顏色標註，讓使用者容易看到，以降低相關的法律風險，包括違反個資法或消保法等規範。就像文首所提到的台灣行銷公司就在隱私及商業兩者間取得平衡點，不論是對於網路使用者的隱私保護，或者是在客戶所要求的廣告投放上都發展出相得益彰的效果，值得相關業者參考喔！

陳建佑律師事務所

陳建佑 主持律師

想要接收新文章，請加入我們的Telegram頻道及Telegram討論區！！！