難以跨越的目的門檻? — 談WHOIS 資訊蒐集目的如何符合GDPR
本文作者為 Henry Tsai,原文刊登於 TWIGF 於 Facebook 社群。
ICANN為使網際網路向來提供的WHOIS查詢服務,能夠符合GDPR規範,於今年(2018年)3月8日提出關於GDPR之ICANN契約及政策合規過渡方案(下稱「合規方案」)。合規方案在標題就註明只是工作草稿、有待後續討論,意思是往後仍有可能調整變動,但其實也在測試歐盟對於合規方案的態度。歐盟W29個資保護工作小組(下稱W29小組)主席Andrea Jelinek 就於今年4月11日致函ICANN執行長Marby ,表達工作小組對於合規方案的意見。信中雖然對於合規方案,改採部分WHOIS資訊不公開模式表示歡迎,但也另外提出附件,詳列GDPR合規方案的諸多適法性疑慮。附件開頭就對於WHOIS資訊的蒐集目的,提出了質疑。
GDPR第5條1.(b)節規定:個人資料之蒐集應基於特定、明確、正當之目的。為此合規方案努力地於7.2.1.2節洋洋灑灑地列出WHOIS系統的十大建置目的,包括:1) 讓域名註冊資訊,可供正確、可信及統一之正當利用;2) 對於辨別並聯繫域名註冊人,提供可信賴機制;3) 在域名註冊人請求下,公開域名的技術及行政連絡窗口;4)提供合理精確及時之域名技術及行政連絡窗口;5)支持處理域名註冊衍生爭議之架構,其有關爭議包括但不限於:消費者保護、網路犯罪調查、域名系統濫用及智慧財產權保護;6) 提供處理適當執法需求之架構;7) 促進網際網路使用者利用有關通用頂域之根域檔案;8)在發生相關企業、技術問題或域名註冊商、域名註冊管理機構無法提供服務時,提供保全域名註冊人註冊資料之機制;9)整合協調有關域名之特定爭議的紛爭解決服務;10)處理域名註冊商、註冊管理機構、註冊人及其他網際網路使用者所提出的履行契約請求。
然而,合規方案的努力,W29小組並不滿意。在前述的附件中,W29小組特別指出:「個資控管者對於個資處理目的的設定,必須要詳細到足以判斷何種個資處理可以納入或不能納入,而且要讓合規性可以被評估,以及個資保護機制可以適用。」、「並非合規方案中所列舉的目的都符合以上要求。例如:『讓域名註冊資訊,可供正確、可信及統一之正當利用』,就不符合GDPR的明確性要求。因為從此項目的根本看不出來甚麼樣的個資可以被納入或不能納入,也無法就其利用時究竟有無合乎目的進行相容評估。」此外,W29小組對於合規方案所列之目的中,使用「包括」一詞,也認為有違明確性規定。最後,恐怕也有相當爭議的是,W29小組認為ICANN還應該確定WHOIS的設置目的是否符合ICANN自己的組織設立目的及權限,至於其他第三方所追求的目的,不應當做ICANN自己追求的目的。
W29小組雖然沒有明說「到底什麼是其他第三方追求的目的」,但W29小組所引述有關ICANN的組織目的與權限為:「協調整合網際網網路單一指示系統之穩定運作」;言下之意,似乎對於十大建置目的中有關網路犯罪調查、智慧財產權保護等涉及第三人利益之事項,有所質疑。然而,ICANN從本身建置開始,就以多方利益參與為其目標承諾,其中商業參與者、公民社會、技術社群,依ICANN Bylaw1.2(a)(iv) 均明列於其多方利益參與者之一,這使得ICANN自始就以兼顧多方利益需求平衡為其運作模式。這樣是否還必須將ICANN的組織目的狹隘地限定在網際網路指示互連事宜,而不能擴及其他公益事項,實不無疑問。尤其是WHOIS資訊蒐集目的,如果一開始就被認定不符合GDPR規定,可能導致後續的所有處理都難以合法。其影響所及,非同小可。ICANN轄下的智慧財產團體(Intellectual Property Constituency)即對此表達強烈的不同意見。ICANN也罕見地在獲得W29小組意見的隔日(2018年4月12日)就發布回應新聞稿表示:不排除在歐盟採取法律訴訟,以釐清其對於全球重要資訊資源的整合協調權責。
GDPR的生效實施在即,究竟ICANN有沒有辦法在此之前,成功跨越目的門檻,提出歐盟可以接受的合規解決方案,全球網民都在屏息以待。