歐盟成員國同意放寬 GDPR，AI 公司或毋須同意即可使用個人資料
歐盟 27 個成員國的駐歐盟大使於 2026 年 10 月 21 日（星期三）通過歐盟理事會對「數碼綜合方案」（Digital Omnibus）的談判立場，文本於翌日公布。方案修訂《一般資料保護規例》（GDPR）等多項數碼法規，其中一條新條文會讓 AI 公司在毋須用戶同意下使用歐洲人的個人資料。奧地利私隱組織 noyb 指，OpenAI、Google、Meta 等公司可藉此動用過去數十年收集的資料，幾乎不受限制。
這仍未成為法律。歐洲議會尚未定出立場，之後理事會、議會與歐盟委員會要進行三方談判，才能定出最終條文。
「只要與 AI 有關便合法」
GDPR 一般要求企業處理個人資料時有特定目的和法律依據，例如保存稅務紀錄或防止詐騙。據 noyb 分析，理事會通過的第 88bis 條（委員會原稿為第 88c 條）規定，在「AI 的情境下」處理個人資料，一般會被視為合法：企業只要用於開發或運作 AI，便被推定擁有凌駕用戶權利的「正當利益」，毋須事先取得同意。
noyb 指，這適用於從未使用該 AI 公司服務的人，亦適用於多年前在聊天或社交媒體留下的資料。理事會在條文中加入了 GDPR 第 21 條（在特定情況下拒絕資料被處理的權利）和第 24 條的提述，但 noyb 認為這些保障本來已經適用，條文實際上沒有加入新限制。noyb 又舉例，目前未經同意的個人化廣告在歐盟屬違法，但若以 AI 技術進行，日後或會變成合法。
理事會立場的主要內容
範疇 | 理事會立場 |
|---|---|
AI 與個人資料 | 開發及運作 AI 可依賴「正當利益」，毋須同意 |
個人資料定義 | 保留現有定義，新增假名化（以代號取代身份資料）條文 |
Cookie | 用於流量統計或裝置安全等情況，毋須再徵求同意 |
資安事故通報 | 否決委員會提出的歐盟單一通報入口，改由各國設立 |
據英國科技業界組織 techUK 報道，德國和法國早前因商業秘密的保障問題阻擋協議，愛爾蘭作為輪任主席國提出折衷方案後，協議才得以通過。
Schrems：「數碼徵收」
noyb 創辦人、奧地利私隱維權人士 Max Schrems 批評：「成員國同意把我們的資料免費送給 AI 公司。數十年來，我們一直告訴大家資料是安全的，最多只會用於廣告。」他形容這是「歐洲人的數碼徵收」，亦是「成員國送給美國大型科技公司最大的禮物」。
Schrems 又指，大部分歐洲企業既沒有同等數量的資料，也沒有資金與美國企業競爭，修訂主要令已收集大量歐洲資料的大公司得益。
支持者：減省合規成本
愛爾蘭歐洲事務國務部長 Thomas Byrne 則表示，這些措施「會減省合規成本，提升競爭力和創新」。歐盟委員會於 2025 年 11 月提出數碼綜合方案，歐洲理事會在 2026 年 10 月中亦呼籲立法機構在年底前完成這批簡化法案。
noyb 寄望歐洲議會中間偏左黨團反對修訂；若最終仍獲通過，它認為法例或會在歐盟法院被推翻。
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。