印第安那州對違反個資外洩通報義務之保險公司提起訴訟

  印第安那州首席檢察官Greg Zoeller對Wellpoint保險公司提起訴訟標的金額30萬美元之損害賠償訴訟,主張該公司因遲延向首席檢察署及超過32,000萬因個人資料外洩影響所及之客戶通報個資外洩事件,而違反印第安那州通報法〈Indiana notification laws〉中通報及揭露規定〈Chapter 3. Disclosure and Notification Requirements及Chapter 3. Disclosure and Notification Requirements〉,依法各得請求15萬美元罰金,此為印第安那州提起之首件違反通報義務之訴訟。
    
  前述法令於2009年7月生效,新法規定個人資料擁有者〈database owners〉負有「通報義務」,其於個資外洩事件發生後,必須在「合理期間」〈within a reasonable period of time〉內,對「潛在受影響之個人」〈both the individuals potentially affected by a data breach〉,以及檢察署通報,惟經調查,該公司未於合理時間內通報前述應通報之對象。
   
  經查該公司於今〈2010〉年2、3月間即發現客戶個資外洩,卻6月18日始通知客戶,檢察署展開調查後認定其遲延通報無正當理由,故代表印地安那州向其提起民事賠償。
   
  前述所指外洩之個人資料包括:提出投保申請者之個人資料內容,諸如「社會安全碼」〈social security number〉、「財務資訊」〈financial information〉、「健康記錄」〈health records〉,因該保險公司網頁之照管者〈siteminder〉未能實行安全防護,使盜竊身分之人〈identity thief〉得以改變統一資源定址器〈URL〉而窺見申請者的個人資訊。
   
  除印第安那州客戶外,該保險公司因客戶個資外洩亦使其他州投保申請者資訊曝露,包括:美國加州、科羅拉多、康乃迪克、肯特基、密蘇里、內華達、新罕布夏、俄亥俄及威思康辛等九個州,約有47萬個客戶可能因此受影響。

相關連結
※ 印第安那州對違反個資外洩通報義務之保險公司提起訴訟, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=5352&no=55&tp=1 (最後瀏覽日:2026/08/02)
引註此篇文章
你可能還會想看
標準必要專利與反托拉斯之成果運用法制-以高通案為例

美國擬推聯邦私密隱私保護法案,防治情色報復將邁向聯邦法位階

  美國加州第14屆國會選區眾議院議員Jackie Speier於2016年7月中旬提出私密隱私保護法案(Intimate Privacy Protection Act, IPPA),本法案之草擬耗時兩年多,以聯邦法的法律位階之姿誕生,在美國各州政府紛紛將違反本人意願散布性隱私內容入罪化的高峰期,可望能統一各州州法分歧的法律落差。由於目前全美已有超過半數的州政府已分別頒布所謂的情色報復法案(Revenge Porn Act),造成各地方政府就此行為之定義和條文適用有所歧異,對無國界的網路生態來說,產生許多法律適用之衝突和迥異。   私密隱私保護法案規定,違反本人意願散布性隱私內容者,將處五年以下有期徒刑,得併科罰金,適用主體包含具有侵害故意和意圖藉此營利之人。然而,有反對聲浪認為,由於條文僅限欠缺本人同意,但未限於行為人具有侵害他人的故意,故認為此聯邦法位階的法案適用範圍過於廣泛,恐侵害憲法保障的言論自由。美國公民自由聯盟(American Civil Liberties Union, ACLU)長期關注此項法律議題,要求構成要件應限於行為人具有侵害他人之故意,否則將嚴重影響媒體產業。私密隱私保護法案條文內容特別明列排除適用之條款,如因法律或訴訟執行上的需要、基於公共利益或合法的商業利益之情事,以及網路服務提供者的豁免責任(意圖藉由散布性隱私內容而營利之網路服務提供者除外)。目前本法案同時獲得多數民主黨議員、共和黨議員,以及網路服務提供者巨擘Facebook和Twitter的支持。

歐盟執委會正式提案,授權各國決定是否開放種植基因改造作物

  歐盟執委會於7月13日正式提案,會員國得在各自領土範圍內決定准許、限制或全面禁止基因改造作物的栽種。執委會的提案內容包括對於基因改造作物與非基因改造作物的共存(在同一區域內栽種)管制建議,同時也提出修正條文草案建議供各國於修正各國內有關基因改造作物相關法律的參考。執委會的提案修正了歐盟2001/18/EC指令(Directive 2001/18/EC)使得各會員國可因地制宜考量,自行決定基因改造作物的允許栽種與否。   執委會的提案源自今年三月時對會員國的承諾。歐盟健康與消費政策委員會的主席表示,執委會此提案兌現了當時要在今年夏天結束歐盟各國對基因改造作物的爭議的承諾,此同時他也強調歐盟現行以科學為基礎的授權機制並非完全廢除,全面性的安全評估與監控系統仍繼續運作,這也是歐盟對基因改造作物耕種給予各國彈性措施的同時對安全基本把關的表現。   歐盟原有的規定訂有基因改造作物與非基因改造作物0.9%共存門檻(labellingthreshold,指由受驗作物全部基因中所含改造基因的比例判斷是否為基因改造作物的標準),各會員國必須立法採行有關措施(如作物田的間距)以符合該項要求。 但過去幾年的運作經驗發現,耕作非基因改造作物農民的潛在損失並不限於因為所產作物超過該門檻,某些案例中,基因改造有機物殘存於食品中,反而使得想要將食品以不含基因改造有機物產品販賣者造成損失。執委會新的建議案給予各國調整該共存門檻的權力,同時,各國也可以成立非基因改造專區等。2001/18/EC指令的修正條文(第26b條)將適用於所有的基因改造有機物,各國得自行決定限制或禁止其境內的基因改造作物耕種,無須執委會的授權,但須在境內措施施行一個月內通知歐盟各國及執委會。執委會的提案將在歐洲議會及歐洲理事會通過後正式施行。   對於此一即將於歐盟施行的新基因改造作物耕種規範,生技產業顯然有不同意見,依照生技業者協會EuropaBio的聲明,他們認為新規範充滿對新科學的偏見且阻礙農民的自由選擇權。基於產業的觀點,新的規範架構也有疑慮,例如:0.9%的門檻下放各國自行決定調整,往後將引起權責機關以及農民、買家、以及有關產業製造商之間的爭議;新措施也造成對歐盟內部市場的壁壘—造成歐盟境內國家的或區域的限制林立,而與歐盟的基本原則相悖;最後,對於科學的偏見與歐洲食品安全局(EFSA)的聲譽之影響也是一大隱憂。   歐盟對基因改造作物的立場一直尚未定調,新規範亦僅只是採取「下放」給各國自行決定的作法,惟實際上的運作,綜合當前對基因改造作物之安全性充滿疑慮與爭議的氛圍下,各國未來自行訂定規範將更寬或更嚴,後續發展如何有待密切觀察。

歐盟發佈Amazon違反反托拉斯法之初步調查結果,並將對其電商業務展開第二輪調查

  歐盟執委會於2020年11月10日對Amazon發佈反托拉斯調查之初步調查結果,針對其2019年7月之首次調查提出調查意見書(Statement of Objections, SO),認定Amazon使用大量非公開賣家資料,減少自身作為零售商之競爭風險,相關可能違反歐盟運作條約(TFEU)第102條禁止濫用市場主導地位。   歐盟於2019年7月17日對Amazon展開首次反托拉斯調查。Amazon作為平台,具有雙重身分,第一個身分是作為零售商,在網站上銷售商品;第二個身分是作為平台商,提供第三方賣家銷售商品的市場。因此歐盟認為Amazon在平台上收集價格或活動統計資料,將調查Amazon和第三方賣家的標準協議中,是否允許Amazon分析賣家的買賣統計資料?以及第三方賣家使用「黃金購物車」(Buy Box)的機制為何?   歐盟執委會調查說明,Amazon作為平台,可以大量使用第三方賣家資料,例如訂購及發貨數量、賣家收入、報價次數、物流資料、賣家表現評價、消費者索賠資訊等。然而相關統計數字及資料進入Amazon業務自動化系統,使Amazon零售業務可以大量使用上述非公開資料,以調整自身產品零售報價和業務決策,降低自身作為零售商的市場競爭風險。   此外,歐盟執委會認為,Amazon的「黃金購物車」和「Prime label」機制,使平台上的第三方賣家必須選擇使用Amazon物流、倉儲和售後服務(Fulfillment by Amazon, FBA),才能取得平台的「黃金購物車」和「Prime label」標章,才可能增加產品搜尋曝光度、交易成功率,進而提高銷售量(據統計,Amazon平台超過八成之交易是透過黃金購物車完成)。因此導致消費者大多選擇購買曝光度高、也就是使用Amazon物流的賣家,形成賣家之間的不公平競爭。歐盟執委會後續將啟動第二輪調查,且未言明結束調查時間。

TOP