三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件

  三菱電機informationsystems公司所研發用於圖書館的系統封包MELIL/CS造成引進系統的圖書館發生個人資訊外洩與Web館藏檢索系統當機的系統障礙。從2010年7月到9月因系統障礙,總共有3間圖書館,共2971人的姓名、出生日期、住址、電話及圖書名稱等個人資料外洩。

 

  有關個人資料外洩的經過,是因為三菱電機informationsystems公司在研發MELIL/CS系統時,先在引進系統的圖書館進行系統測試,於測試之後再將系統程式帶回公司修改,此時就不知情的將存有個人資料的程式帶回公司,也把這些資料登錄到產品的原始碼上。因此將進行測試的2間圖書館使用人約210人的個人資料登錄於該產品的原始碼上。
但發生個資外洩的直接原因更在於負責三菱電機informationsystems公司產品運作、維修的銷售伙伴千代田興產公司,該公司所設置的伺服器完全沒有設定權限區分,甚至不需密碼就可以連接該公司伺服器存取資料。因此發生第三人進入該公司伺服器,下載3個引進該系統圖書館約3000人的個人資料。

 

  另外對於Web館藏檢索系統當機的發生,是因為圖書館使用人為了獲取圖書館新增加館藏圖書的資訊,以自動蒐集資訊程式直接存取館藏資料庫所發生。三菱電機informationsystems公司當初在設定網路連接圖書館系統,是以一次存取可以連接10分鐘的方式,所以只要以連接頻率高的機械性存取,只要超過資料庫的同時連接數的設定數值,就會發生存取障礙。

 

  對於三菱電機informationsystems公司系統設計失當及千代田興產公司未設定伺服器存取權限所造成個人資料外洩事件,因為這兩家公司都是屬於財團法人日本情報處理開發協會(JIPDEC)的取得隱私標章企業,所以由JIPDEC依據隱私標章營運要領中的「有關賦予隱私標章規約」第14條規定,各處以由2011年1月起3個月的隱私標章停權處分。

相關連結
※ 三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=5455&no=57&tp=1 (最後瀏覽日:2026/01/23)
引註此篇文章
你可能還會想看
英國競爭與市場管理局將有條件核准Vodafone與Three UK 的合併

.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 英國兩家電信業者Vodafone與Three UK(下合稱「合併方」)於2023年6月宣布將以合資的方式合併,英國競爭與市場管理局(Competition and Markets Authority, CMA)於2024年12月5日就本案提出最終審查報告,決議將有條件核准合併。 合併方於審查過程中承諾在8年內於全國各地建設各頻段基站,確保行動網路涵蓋範圍、容量和速度的顯著提升並迅速布建5G,目標在2030年讓全英國的學校與醫院都能使用獨立組網(不依賴4G網路)的5G服務(5G SA)。同時其與另一家電信業者VMO2的網路共享協議中,亦提出若合併案通過後,在未來10年將額外投資110億英鎊於網路建設,並將出售部份頻率資源予VMO2。 CMA 認為本案對市場競爭及消費者權益確實可能造成諸如資費上漲或服務條件降低等負面影響,但考量合併方如能履行其網路建設計畫提案及網路共享協議,長期而言能夠顯著提高英國的行動網路品質,能促進市場的有效競爭並最終使消費者受益,合併方亦承諾於三年內對消費者保留某些既有的資費方案,以及對行動虛擬網路業者(Mobile Virtual Network Operator, MVNO)履行預先約定的價格與服務條款,以消除短期內潛在的負面影響。 後續CMA將與合併方及利益相關方協商並召開公開諮詢以確定具法律效力之承諾細節,相關建設承諾亦將由英國通訊管理局(Office of Communications, Ofcom)納為合併方頻率執照之附帶條件,未來將由CMA與Ofcom共同監督承諾之履行,CMA可對未履行承諾之行為裁罰,而Ofcom最重則可撤銷頻率執照。

因應韓美自由貿易協定,韓國實施新修正之專利及商標制度

  韓國特許廳於2011年11月22日送交韓國國會批准之韓美自由貿易協定(Free Trade Agreement,簡稱FTA),於2012年3月15日正式生效。為因應韓美FTA的簽定,韓國專利及商標制度均須進行一定幅度的修正,例如專利權存續期間延長、聲音及氣味得註冊為商標等新制度。   首先,專利法修正重點如下: 專利權存續期間延長:指針對因審查過程緩慢,導致專利登記遲延者,遲延期間得視為專利權之存續期間。 專利申請優惠期延長:專利申請人將其發明公開發表在學術期刊時,將申請之優惠期從公開後6個月延長至12個月,亦即12個月內提出申請仍可取得專利。 廢止專利權撤銷制度:將發明專利在韓國國內一定期間(最少5年)不實施之撤銷專利權事由,予以廢止。   其次,商標法修正重點如下: 增訂新型態商標及證明標章制度:聲音、氣味得註冊為商標;新增證明標章之保護態樣,以證明「品質」、「原產地」、「生產方法」等特性。 廢止商標之專用使用權登記制度:修法前之韓國商標法第56條第1項第2款規定,商標專用使用權之設定、移轉(一般繼承之情形除外)、變更、消滅(權利混同之情形除外)或處分之限制等事項,非經登記,不生效力。 新增法定損害賠償制度:商標權人除可依照實際侵害情況請求損害賠償,商標法亦新增權利人得請求法定5千萬韓圜範圍內的損害賠償金額,且須經法院判決同意該損害賠償額度。   此外,針對專利法、新型專利法、設計保護法、商標法、不正競爭防止及營業秘密保護法等法規,也一併新增「保密命令制度」,亦即透過訴訟程序,對於營業秘密有被公開之虞之情形時,法院可對雙方當事人作出不得公開之保密命令。韓國期透過此次專利法及商標法等相關法規之修正,讓專利權人於權利行使期間得以獲得實質保障,同時亦擴大企業商標選擇之範圍。

日本經產省修正〈電子商務交易及資訊商品交易等準則〉

  日本經濟產業省於2018年12月19日修正「電子商務交易及資訊商品交易等準則」(電子商取引及び情報財取引等に関する準則,以下稱「本準則」),主要係因應2018年《不正競爭防止法》在促進資料利用之環境整備方面,以及《著作權法》在應取得著作權人同意之行為範圍部分之修正。   本準則首次公布於2002年3月,係經產省透過學界、產業界及金融界專家、相關主管機關、消費者等各方合作,整理民法等各相關法規釋疑而成,因此,須隨著法規修正更新本準則中的法規適用、爭點、說明等內容。經產省期能透過本準則提高交易當事人對電子商務交易及資訊商品交易相關市場的可預見性(foreseeability),並促進交易。   本準則此次修正相關重點如下: 於網站上販售或公布用以安裝程式或存取、複製數位內容(digital content)及程式之帳號及密碼者,應負相關衍生之法律責任。 針對透過網路蒐集、輸出、於內部網路登載、投影他人著作物等利用行為者,加以限制規範。 若學校授課、企業培訓係使用網路進行遠距教學,或遠距教學服務之供應商有償向學校、企業提供課程而違法利用他人著作物者,則學校、企業、服務供應商須依著作權法負相關法律責任。 使用者(被授權人)基於契約取得供應商(授權人)之同意得以使用資訊商品,縱使該資訊商品之智慧財產權(著作權、特許權)受讓予他人,使用者仍得繼續使用該資訊商品。 因體驗版之手機應用程式、軟體、共享軟體,對使用功能或使用期間有所限制,若行為人違法散布解除限制方法於網路者,則行為人應負之法律責任。 向第三人提供全部或部份有償之資料集(dataset)等行為者,加以限制規範。 針對使用P2P共享軟體將檔案上傳至網路、自網路上下載以及提供P2P共享軟體等行為,就是否違反著作權法進行討論。 拍攝到第三人著作物之合理使用。

馬來西亞通過修正《個人資料保護法》

馬來西亞個人資料保護委員會(Personal Data Protection commissioner,下稱個資保護委員會)於2023年度收受與個人資料(下稱個資)濫用、外洩相關申訴案件數量達779件,成長數量令人憂心。為確保對於個資保護規範能與國際標準發展同步,並加強個資遭洩漏時即時採取應變措施等相關政策,以解決前述憂心狀況,數位部(Ministry of Digital)於2024年7月10日提出《個人資料保護法》(Personal Data Protection Act 2010, PDPA)修正案,並於同年7月16日經下議院(Dewan Rakyat,馬來語直譯)表決通過。 本次PDPA修正重點包含: 1.設立個資保護官(data protection officer, DPO)制度:強制要求蒐集、處理、利用個資之資料控管者(data controller),及受資料控管者委託而實質處理個資之資料處理者(data processor),均需指派個資保護官。 2.擴張對於敏感性個資(sensitive personal data)定義:與個人身體、生理或行為特徵相關之技術處理所生個資(即生物辨識資料),皆屬之。 3.制訂個資外洩通報制度:強制要求發生個資外洩時須通報個資保護委員會,以及可能受到任何重大損害之個資當事人,惟對於「重大損害」尚未有明確定義。 4.導入資料可攜性:在遵守技術可行性(technical feasibility)與資料格式相容性(data format compatibility)之情境下,允許資料控管者之間在當事人要求下進行資料傳輸。 5.資料處理者的合規遵循義務:舊法僅要求資料控管者須遵守PDPA所規定的安全原則(security principle);新法則擴及要求資料處理者亦有安全原則之合規遵循義務。 6.提高罰則:舊法對於違反個資保護原則者,最高僅得處300,000馬幣和/或2年監禁;新法提高罰則最高得處1,000,000馬幣和/或最高3年監禁。 7.跨境傳輸規範修正:原則允許資料控管者將個資傳輸至馬來西亞以外,惟應採取適當措施確認及確保資料接收方保護個資之水準與馬來西亞個資法程度相當;並將跨境白名單制度調整為黑名單制度,不得傳輸至政府公布黑名單所列地區。 馬來西亞數位部本次修正PDPA,彰顯該國政府對個資保護之重視,惟關於任命個資保護官資格要求、個資外洩通報重大程度標準等細部規範,則仍須待修正案通過後,經個資保護委員會發布相關指引再行釐清。

TOP