印第安那州對違反個資外洩通報義務之保險公司提起訴訟

  印第安那州首席檢察官Greg Zoeller對Wellpoint保險公司提起訴訟標的金額30萬美元之損害賠償訴訟,主張該公司因遲延向首席檢察署及超過32,000萬因個人資料外洩影響所及之客戶通報個資外洩事件,而違反印第安那州通報法〈Indiana notification laws〉中通報及揭露規定〈Chapter 3. Disclosure and Notification Requirements及Chapter 3. Disclosure and Notification Requirements〉,依法各得請求15萬美元罰金,此為印第安那州提起之首件違反通報義務之訴訟。
    
  前述法令於2009年7月生效,新法規定個人資料擁有者〈database owners〉負有「通報義務」,其於個資外洩事件發生後,必須在「合理期間」〈within a reasonable period of time〉內,對「潛在受影響之個人」〈both the individuals potentially affected by a data breach〉,以及檢察署通報,惟經調查,該公司未於合理時間內通報前述應通報之對象。
   
  經查該公司於今〈2010〉年2、3月間即發現客戶個資外洩,卻6月18日始通知客戶,檢察署展開調查後認定其遲延通報無正當理由,故代表印地安那州向其提起民事賠償。
   
  前述所指外洩之個人資料包括:提出投保申請者之個人資料內容,諸如「社會安全碼」〈social security number〉、「財務資訊」〈financial information〉、「健康記錄」〈health records〉,因該保險公司網頁之照管者〈siteminder〉未能實行安全防護,使盜竊身分之人〈identity thief〉得以改變統一資源定址器〈URL〉而窺見申請者的個人資訊。
   
  除印第安那州客戶外,該保險公司因客戶個資外洩亦使其他州投保申請者資訊曝露,包括:美國加州、科羅拉多、康乃迪克、肯特基、密蘇里、內華達、新罕布夏、俄亥俄及威思康辛等九個州,約有47萬個客戶可能因此受影響。

相關連結
※ 印第安那州對違反個資外洩通報義務之保險公司提起訴訟, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=5352&no=64&tp=1 (最後瀏覽日:2026/01/14)
引註此篇文章
你可能還會想看
歐盟執委會發起ERA vs CORONA行動計畫,加速研發創新合作對抗COVID-19

  歐盟執委會於2020年4月7日發起ERA vs CORONA行動計畫,透過歐洲研究區(European Research Area, ERA)全力支持歐洲科研合作、共享科學資訊,並給予歐洲研究團隊與企業充足的研發疫苗資金,用以對抗COVID-19。歐盟執委會已與各國達成共識,確認ERA vs CORONA行動計畫的10項優先行動: 協調各國研究與創新(Research and innovation, R&I)資金投入,專注研發新型冠狀病毒的疫苗與治療方法,加強創新合作模式以對抗疫情。 支持新型冠狀病毒患者的臨床管理,與歐盟大規模臨床實驗計畫。 將資金投入創新領域回應社會需求,關注疫情對社會經濟、醫療及資通訊技術應用、衛生系統及製造業的影響。 藉由Horizon 2020 增加對新創公司的研發財務支持;拓展歐洲創新委員會ePitching計畫(EIC ePitching),鼓勵公私夥伴共同尋求解決方案。 創造資金來源促進R&I行動,引導新創及中小企業申請國家及地方資金、私人基金會、投資歐洲計畫(Invest EU)等。 建立ERA Corona平台,提供研發資金相關的一站式服務,包括歐盟各國補助新型冠狀病毒R&I計畫的完整資訊。 設立新型冠狀病毒特設高階R&I工作小組,規劃歐盟中長期防疫措施。 加強研究基礎設施布建及跨國資料庫利用。 創建歐洲COVID-19研究資料共享平台 ,連接歐洲開放科學雲,允許快速共享研究資料及成果以加速研發、公平分享資訊。 舉辦泛歐黑客松(EU vs Virus)推動歐洲創新與社會交流。

英國政府擬限制18歲以下孩童於社群軟體按讚功能

  英國資訊委員辦公室(Information Commissioner’s Office, ICO)於今(2019)年4月15日發布「合適年齡設計:網路服務行為準則」(Age appropriate design: a code of practice for online services)諮詢報告,針對18歲以下孩童使用網路服務所涉及個人資料之相關議題提出遵循標準,要求網路服務提供商應受遵循以保障孩童隱私資訊。   本次諮詢報告主要針對網路服務如何適當確保孩童個人資料,同時符合歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)以及《隱私及電子通訊規則》(Privacy and Electronic Communications Regulations, PECR),若網路服務提供商未依循該行為準則,將很難證明符合GDPR、PECR規定,ICO亦採取監管措施(regulatory action),包含警告、譴責、執行通知、罰款等。於諮詢報告中,臚列涉及個人資料事項,包括資料共享、地理定位(geolocation)、家長監控(parental controls)、輕推技術(nudge techniques)、默認裝置(default settings)、側寫(profiling)等多達16項遵循標準,其中輕推技術引發抑制網路科技發展、過度監管爭議。   所謂「輕推技術」是指專為引導用戶或鼓勵用戶決策時可以點選之程式以表示用戶想法,簡而言之Facebook、Instagram按「讚」功能、社群軟體Snapchat「Streaks」互動功能,或是新聞網頁常見「是」或「不是」選擇性問題視窗等即是輕推技術應用。由於輕推技術之設計會蒐集用戶瀏覽網頁習慣,甚至透露其個人性格、生活狀態給廣告商或社群媒體等。   諮詢報告指出,依據GDPR前言第38點規定,因孩童對於其個人資料處理之可能風險、結果及相關保護措施及其權利認知較低,同時依GDPR第5條規定個人資料之蒐集處理與利用,對資料主體者應為合法、公正及透明(lawfulness, fairness and transparency)。但輕推技術的運用將會促使資料主體者更容易地提供其個人資料,同時,尤其會誘導兒童去選擇隱私保護較低的選項設定或花費更多時間在這些服務上,而此一技術之運用正是利用資料主體者之心理偏差(psychological bias),而違反了公平與透明原則。因此諮詢報告書要求網路服務提供商應主動限制孩童使用輕推功能。ICO於諮詢文件更詳細依0-5歲、6-9歲、10-12歲、13-15歲、16-17歲不同年齡層限制輕推技術應用之程度,或在何種情況須有家長陪同,以保障孩童隱私。   此項標準引來正反兩派意見,主張自由市場(free market)人士批評,認為有過度監管之嫌並阻礙科技發展,輕推技術本身不是問題,而是在於蒐集個人資料後要做那些運用,同時要如何執行限制技術之應用亦將是問題所在。而贊成者認為廠商如提供網路服務給所有年齡層時,應有特別措施以保護不同年齡層之人,因此對於孩童與成人間之監管程度應有區別。該諮詢報告於今(2019)年5月31日截止公眾諮詢階段,並預計2020年初施行該行為準則。

澳洲政府考量開放民事訴訟領域查閱網路服務商所保存之通訊資料

  澳洲政府於2014年推動電信(監察及查閱)法修正(資料保存)案(Telecommunications (Interception and Access)Amendment (Data Retention) Bill 2014),增訂資料保存規範,其目的在於打擊重大犯罪、恐怖主義、國際組織犯罪等,其措施為要求國內網路服務商須保留用戶之通訊資料,並保存期間至少2年,對此,當時情報及保安事務議會聯合委員會(下稱委員會)於評估該修正案時,卻發現一項爭議問題,即民事訴訟當事人亦得查閱通訊資料,但資料保存行為之正當性乃立基於維護國家安全,實與民事訴訟制度意義相悖,故委員會提出應排除民事訴訟領域得以查閱通訊資料之建議。   澳洲政府對於委員會所提出之建議採取全盤接受之態度,進而重新修訂2014年電信(監察及查閱)法修正(資料保存)案,且併同修正刪除1997年電信法令第280條,有關得以民事訴訟傳票或命令,向網路服務商查閱其所保存之通訊資料;至於網路服務商之通訊資料保存義務方面,仍須依1979年電信(監察及查閱)法為之。前述修正於2017年4月13日生效。   然而,澳洲政府方面時至今日卻有態度轉變之趨勢,起因於通訊部長與檢察總長於2016年12月20日公告,其認為資料保存措施對於特定類型之民事訴訟並非沒有實益,如:維護智慧財產權事件、家庭事件(如:離婚)或勞工權益事件(如:公司起訴勞工)等,故應視類型或個案情形予以開放查閱;因此,主管機關提出三項問題向社會大眾徵求意見:1、民事訴訟當事人在何種情形下可查閱通訊資料;2、倘若民事訴訟當事人不得查閱通訊資料者,對於民事訴訟會產生何種影響;3、是否有特定之民事訴訟類型,是排除1997年電信法第280條(1B)不適用。   實際觀察澳洲政府所推動之該項公告,在其國內爭議相當大,不僅該項公告已臨近前述修正生效日,且開放民事訴訟當事人得以查閱通訊資料之正當性疑慮仍未解除,甚且,亦與近期國際上國家安全與人民隱私權保障間之衝突日趨顯著,如:英國之調查權力法案(Investigatory Powers Act. 2016)不無關聯,因此,澳洲政府是否願意在社會輿論反對聲浪中,仍維持該項公告修正意向,值得後續觀察。

學名藥品侵權 v. 競爭法中的假訴訟
Generic Drug’s Patent Infringement v. Sham Litigation in Antitrust

  美國聯邦第三巡迴上訴法院於2014年時對於Takeda Pharmaceutical Co.(Takeda) v. Zydus Pharmaceuticals (Zydus) 一案判定:學名藥廠Zydus並無構成專利侵權,且原廠Takeda於本案的系爭專利並無失效[1]。惟本案的學名藥廠Zydus隨後向Takeda提起另一訴訟:Zydus聲稱該案的專利侵權訴訟是假訴訟(sham litigation)[2],亦即,Takeda 提起專利侵權訴訟之本意在於阻卻Zydus的學名藥參與市場競爭,而非旨在確認侵權事實或請求賠償。Takeda隨後提起反訴,主張美國The 1984 Hatch-Waxman Act[3]已明確賦予專利權人提起專利權侵權訴訟之權利,既有訴訟權,便無假訴訟之虞。   美國聯邦貿易委員會(Federal Trade Commission, FTC)對於上述兩藥廠間的假訴訟爭議,在2018年6月時發布法庭之友意見書(amicus brief [4]),以5-0決議呼籲本案法院應對於假訴訟爭議進行審查。本意見書指出,The 1984 Hatch-Waxman Act、競爭法、專利法或其他醫藥法規,無任何關於藥品侵權訴訟得以免除假訴訟審查之規定。再者,FTC實有權限依據豁免原則(Noerr-Pennington Doctrine)及相關判例,就主觀與客觀要件,審查相關爭訟是否為假訴訟:(1)該爭訟程序客觀上是否無理由,提出爭訟者現實上是否不期待勝訴;(2)該爭訟程序當事人主觀上是否有意利用程序,直接地干擾競爭對手的商業關係。本意見書並進一步說明,原廠Takeda所提專利權侵權訴訟,即使學名藥廠Zydus之專利侵權事實為真,惟只要Takeda行為符合假訴訟主、客觀要件,仍有可能構成假訴訟;亦即,「是否侵權」與「是否該當假訴訟」兩者之判斷是分開的。 [1] 原廠藥之英文為branded drug,指一個藥廠自研發、生產、上市,而握有專利權之藥品,通常具有強大品牌名聲、價格通常也高;學名藥廠則是待原廠藥專利權屆滿後、或以侵權之方式,而製造與原廠藥相同或相似之藥物,學名藥價格相對較低,但在安全與效用上時常有疑慮。 [2] 美國競爭法豁免原則(Noerr Pennington Doctrine)下,私人爭訟方或單位,運用爭訟或政府程序等以促進法案的通過、增進法律執行等,免除競爭法之相關責任。但該責任免除之原則下,當事人若僅是利用政府或爭訟程序作為有害市場競爭的工具,並無合法地尋求正面結果; 或該爭訟僅是純粹的假訴訟,以干擾正當商業關係或市場競爭時,無該原則免除競爭法相關責任的適用,亦即,仍須受到競爭法的檢視與求責可能。 [3] The 1984 Hatch-Waxman Act 旨在促進學名藥參進市場競爭、兼顧學名藥與原廠藥間的利益保護,並明定原廠藥與學名藥廠均有權利提起專利權合法爭訟(validity),以避免學名藥進入市場的受阻、也欲杜絕學名藥廠進行藥品侵權行為。 [4] 此指法庭意見書,乃為了釐清法律爭議或協助解釋法律等所提之文書,供參考用、不具強制法律效力,我國翻譯則稱法庭之友。

TOP