就像許多政府機關喜歡透過社群平台與民眾交流，資料保護主管機關當然也不例外。挪威資料保護主管機關（Datatilsynet）於2021年9月22日宣布其將不會使用Facebook建立粉絲專頁，由於經過資料保護影響評估（Data protection impact assessments）後，其認為透過Facebook粉絲專頁處理個人資料對使用者權利與自由的風險過高，且Datatilsynet也無法落實歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第26條關於共同控制者等規定，甚至無法透過實施適當措施來降低相應風險。Datatilsynet表示其應為第一個依據GDPR規定對Facebook粉絲頁面進行全面性的組織，其並非基於監督者的角色，而是從控制者的角色去進行相關評估。同時Datatilsynet也發布「Risk assessment: Should the Norwegian Data Protection Authority create a Page on Facebook?」報告，期望引起相關使用社群媒體的討論。
風險評估與共同控制者
Datatilsynet認為，經過風險評估後，透過Facebook粉絲專頁處理個人資料對使用者權利與自由的具有高度的風險。同時依據歐洲法院（European Court of Justice, ECJ）的Wirtschaftsakademie和Fashion ID 的兩項裁決，社群媒體與其他方之間的互動可能構成GDPR第26條共同控制，而須符合相關規定，但Datatilsynet認為其無法透過與Facebook成立單獨的協議來遵循相關規定。
必要性與適當性
Datatilsynet接著評估資料處理的必要性和適當性（Necessity and proportionality），以確保以資料控制者的身分做出的決策是合法的，並且以與目的相符的方式進行處理。其評估GDPR資料保護原則、資料主體的權利與資料主體的自由是否受到保護。評估結果認為儘管Datatilsynet作為粉絲專頁所有者，同時具有保護資料主體的法律依據，並遵循相關資料保護原則，但Datatilsynet使用粉絲專頁將會受到Facebook 及其條款的支配。同時，Datatilsynet還認為Facebook沒有充分落實GDPR第25條關於資料保護設計與預設（data protection by design and by default）的規定，以提供適當的資料保護。
資料主體觀點
Datatilsynet從資料主體的角度出發，評估資料主體行使相關權利時是否受到保障，包含透明性（Transparency）、可預期性（Predictability）以及Datatilsynet很可能無法以積極的方式協助資料主體行使其權利。
結論
Datatilsynet工作小組依GDPR第35條進行前述DPIA，並依同條第2項規定諮詢資料保護長（Data protection officer, DPO）後，提交相關報告予管理階層討論，Datatilsynet考量前揭DPIA結果與DPO的建議後，決定不於Facebook上建立粉絲專頁與透過粉絲專頁與民眾進行交流。附帶一提，Datatilsynet目前是透過Twitter來經營其社群媒體。
※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！
※你可能會對這些文章有興趣
1.WHATSAPP因違反GDPR遭愛爾蘭資料保護委員會裁罰2.25億歐元
2.荷蘭資料保護主管機關因兒童隱私保護不足裁罰TIKTOK75萬歐元
3.如何落實GDPR法遵？英國ICO發布問責制框架
4.個資外洩，該怎麼辦？
5.歐盟法院SCHREMS II案與常見問答
喵喵科技法律隨筆 
發表迴響