欧盟法院废除与美国之间的Privacy Shield资料传输协议

欧盟法院（CJEU）在7月16日废除了欧盟与美国之间的《隐私盾》（Privacy Shield）资料传输保护协议，这是由欧盟执委会（European Commission，EC）、美国商务部及瑞士在2016年所建立的框架，双方同意将基于欧盟的隐私法令，简化美国企业将欧洲民众资料传送到美国的流程，以支持跨大西洋贸易。然而，CJEU认为美国并无法提供与欧盟一致的隐私保障，特别是欧盟民众的个资可能受到美国情报机构的窥探，因而决定将它废除。

其实为了方便欧盟与美国之间的个资传输，双方在2000年时曾推出《安全港隐私准则》（Safe Harbour Privacy Principles），但一名奥地利的隐私权捍卫人士Max Schrems在2011年时，于2个月内接连向爱尔兰的资料保护局提出22项隐私控诉，指控脸书并未好好保障他的隐私，再加上美国吹哨者Edward Snowden在2013年时爆料美国国安局的Prism计划可监控美国9大科技公司的通讯，让Schrems针对PRISM再度提出第23次的控诉，虽然Schrems在爱尔兰的诉讼案全都以失败收场，却促使爱尔兰法院把有关《安全港隐私准则》的问题转给了欧盟法院。

Schrems继续在2014年对脸书发动集体诉讼，而欧盟法院也开始在2015年正视《安全港隐私准则》，认为是该准则让Prism计划得以实现，于是在同年废除了《安全港隐私准则》。

欧盟与美国接着在2016年提出《隐私盾》以取代《安全港隐私准则》。不过，Schrems并不罢休，在2018年又控告了脸书侵犯隐私，同时宣称《隐私盾》依然无法完全保障欧洲民众的隐私权，这一次，欧盟法院再度废除了《隐私盾》。

欧盟法院解释，居住在奥地利的Schrems从2008年以来就是脸书的用户，但脸书却把他的部分或全部资料从爱尔兰（脸书的欧洲总部）转到美国处理，Schrems认为美国的法令并未提供足够的隐私保护，因此要求禁止资料的转移。另一方面，美国法令对于公家机关存取欧洲民众资料的保护有限，并不符合欧盟要求移转资料的第三方，必须具备与欧盟隐私法令（GDPR）同等级保护的规定，因而认定《隐私盾》协议是无效的。

值得注意的是，此案并未波及美国与欧盟之间的必要资料传输，像是电子邮件、传讯、在美国平台上预订饭店，或是其它标准的商业交易，也不影响那些不含个人资讯的资料传输，主要波及的是外包业务，例如为了经济之故，把个资存放在较便宜的美国服务上，或者是传到美国以方便处理等业务。

此外，Schrems所指控的协议并不只欧美之间的《隐私盾》，他还指控了欧盟与任何第三方国家之间有关个资传输的《标准合约条款》（Standard Contractual Clauses，SCCs），尽管外界质疑SCCs与《隐私盾》一样，都可能让欧洲民众的个资落入美国的监控，但这次欧盟法院放行了SCCs。

尽管微软很快在欧盟法院裁决出炉的同一天就发表了声明，表示该公司同时提供了《隐私盾》与《标准合约条款》的双重保障，因此，透过微软云端服务在欧盟及美国之间传递资料的商业客户，并不会受到此案的影响。

然而，非营利的欧洲数位权利中心（European Center for Digital Rights，ECDR）认为，此一裁决将冲击所有在欧盟设立子公司的美国企业，这些企业必须确保欧洲民众个资在内部的流通符合GDPR规范，例如把个资传送到其它隐私法令更严格的地方，而非美国。

ECDR强调，欧盟法院放行SCCs是因为它涉及美国之外的其它国家，这些国家可能具备与GDPR同等级或更严格的隐私法令，并不代表美国业者可利用SCCs把欧洲民众的个资传到美国，因为根据欧盟法院的意见，撤销《隐私盾》的主因在于美国对情报需求的监控法令不够严格，也看不出对监控权力的限制，看起来比较像是只要是落入美国-监控范围的企业不只失去了《隐私盾》，也无法再使用SCCs。