印第安那州對違反個資外洩通報義務之保險公司提起訴訟

  印第安那州首席檢察官Greg Zoeller對Wellpoint保險公司提起訴訟標的金額30萬美元之損害賠償訴訟,主張該公司因遲延向首席檢察署及超過32,000萬因個人資料外洩影響所及之客戶通報個資外洩事件,而違反印第安那州通報法〈Indiana notification laws〉中通報及揭露規定〈Chapter 3. Disclosure and Notification Requirements及Chapter 3. Disclosure and Notification Requirements〉,依法各得請求15萬美元罰金,此為印第安那州提起之首件違反通報義務之訴訟。
    
  前述法令於2009年7月生效,新法規定個人資料擁有者〈database owners〉負有「通報義務」,其於個資外洩事件發生後,必須在「合理期間」〈within a reasonable period of time〉內,對「潛在受影響之個人」〈both the individuals potentially affected by a data breach〉,以及檢察署通報,惟經調查,該公司未於合理時間內通報前述應通報之對象。
   
  經查該公司於今〈2010〉年2、3月間即發現客戶個資外洩,卻6月18日始通知客戶,檢察署展開調查後認定其遲延通報無正當理由,故代表印地安那州向其提起民事賠償。
   
  前述所指外洩之個人資料包括:提出投保申請者之個人資料內容,諸如「社會安全碼」〈social security number〉、「財務資訊」〈financial information〉、「健康記錄」〈health records〉,因該保險公司網頁之照管者〈siteminder〉未能實行安全防護,使盜竊身分之人〈identity thief〉得以改變統一資源定址器〈URL〉而窺見申請者的個人資訊。
   
  除印第安那州客戶外,該保險公司因客戶個資外洩亦使其他州投保申請者資訊曝露,包括:美國加州、科羅拉多、康乃迪克、肯特基、密蘇里、內華達、新罕布夏、俄亥俄及威思康辛等九個州,約有47萬個客戶可能因此受影響。

相關連結
※ 印第安那州對違反個資外洩通報義務之保險公司提起訴訟, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=5352&no=67&tp=1 (最後瀏覽日:2026/05/13)
引註此篇文章
你可能還會想看
英國劍橋大學技術移轉機制-Cambridge Enterprise Limited Company之介紹

日本經濟產業省公布獲選2021年數位轉型品牌之企業名單

  日本經濟產業省(下稱經產省)與東京證券交易所共同選出「數位轉型品牌(下稱DX品牌)」,並於2021年6月7日公布獲選「DX品牌2021」、「DX關注企業2021」的企業名單。獲選的企業不僅導入優良的資訊系統、活用數據,並以數位技術為基礎的創新商業模式及管理方法勇於挑戰變革,預期能將數位技術發揮到最大的作用。   DX品牌評價的項目包含企業的願景、商業模式、經營策略、數位技術策略實施成果與重要成果指標的公開共享、公司治理。為了加強鼓勵企業推動數位轉型,經產省與東京證券交易所從獲選「DX品牌2021」的企業名單中,再選出「DX大賞企業」,作為數位時代的領導企業。另外,今年度針對因應新冠肺炎採取優良數位技術對策的企業,又特別選出「數位×新冠肺炎對策企業」。   DX品牌即為舊有的「進攻IT管理品牌」。「進攻IT管理品牌」是經產省於2015年至2019年,為了促進日本企業在IT上的運用,與東京證券交易所共同選出積極運用IT的企業為「進攻IT管理品牌」。直到2020年後,因應數位技術產生新興的商業模式,經產省推動企業從IT運用轉向數位轉型技術,並將「進攻IT管理品牌」改為「數位轉型品牌(DX品牌)」。

日本修訂《教育資訊安全政策指引》以建構安全的校園ICT環境

  日本文部科學省於2022年3月發布「教育資訊安全政策指引」(教育情報セキュリティポリシーに関するガイドライン)修訂版本,該指引於2017年10月訂定,主要希望能作為各教育委員會或學校作成或修正資訊安全政策時的參考,本次修訂則是希望能具體、明確化之前的指引內容。本次修訂主要內容如下。 (1)增加校務用裝置安全措施的詳細說明: 充實「以風險為基礎的認證」(リスクベース認証)、「異常活動檢測」(ふるまい検知)、「惡意軟體之措施」(マルウェア対策)、「加密」(暗号化)、「單一登入的有效性」(SSOの有効性)等校務用裝置安全措施內容敘述。 (2)明確敘述如何實施網路隔離與控制存取權的相關措施: 對於校務用裝置實施網路隔離措施,並將網路分成校務系統或學習系統等不同系統,若運用精簡型電腦技術(シンクライアント技術)則可於同一裝置執行網路隔離。另外,針對校務用裝置攜入、攜出管理執行紀錄,並依實務運作調整控制存取權措施,例如安全侵害影響輕微者則可放寬限制以減輕管理者負擔。

FCC將電力線寬頻上網(BPL, Broadband over Power Line)服務分類為資訊服務

  FCC經過討論與投票,正式發佈命令將電力線寬頻上網服務分類為跨州資訊服務(interstate information service),而非電信服務,其他寬頻上網科技包括DSL、有線電纜線數據機寬頻上網亦被FCC分類為資訊服務。   過去幾年來,FCC一直大力支持電力線寬頻上網服務,期望電力線寬頻上網服務可以進入寬頻服務市場,與DSL和有線電視纜線數據機寬頻上網服務競爭,以增加寬頻服務市場之競爭,提高美國之寬頻普及率。而就此次所發佈之命令,FCC認為,將電力線寬頻上網分類為資訊服務將可使電力線寬頻上網服務受到較低的管制,有助於達成隨時隨地提供所有美國民眾寬頻接取之目標。其次,FCC在數位匯流時代之管制乃是期望能對於各種不同技術之寬頻接取平台給予一致的管制措施,並且對於相同之服務採取相同的管制方式。基於上述原因,FCC此次將電力線寬頻上網分類為資訊服務並不讓人感到意外。   FCC主席Kevin J. Martin進一步在其聲明中表示,雖然目前電力線寬頻上網人口並不多,然在2005年其成長率卻將近200%,顯見電力線寬頻上網服務之市場潛力不容忽視,將可幫助達成美國總統定下於2007年底前隨時隨地提供全國民眾寬頻網路接取之目標。

TOP