三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件

  三菱電機informationsystems公司所研發用於圖書館的系統封包MELIL/CS造成引進系統的圖書館發生個人資訊外洩與Web館藏檢索系統當機的系統障礙。從2010年7月到9月因系統障礙,總共有3間圖書館,共2971人的姓名、出生日期、住址、電話及圖書名稱等個人資料外洩。

 

  有關個人資料外洩的經過,是因為三菱電機informationsystems公司在研發MELIL/CS系統時,先在引進系統的圖書館進行系統測試,於測試之後再將系統程式帶回公司修改,此時就不知情的將存有個人資料的程式帶回公司,也把這些資料登錄到產品的原始碼上。因此將進行測試的2間圖書館使用人約210人的個人資料登錄於該產品的原始碼上。
但發生個資外洩的直接原因更在於負責三菱電機informationsystems公司產品運作、維修的銷售伙伴千代田興產公司,該公司所設置的伺服器完全沒有設定權限區分,甚至不需密碼就可以連接該公司伺服器存取資料。因此發生第三人進入該公司伺服器,下載3個引進該系統圖書館約3000人的個人資料。

 

  另外對於Web館藏檢索系統當機的發生,是因為圖書館使用人為了獲取圖書館新增加館藏圖書的資訊,以自動蒐集資訊程式直接存取館藏資料庫所發生。三菱電機informationsystems公司當初在設定網路連接圖書館系統,是以一次存取可以連接10分鐘的方式,所以只要以連接頻率高的機械性存取,只要超過資料庫的同時連接數的設定數值,就會發生存取障礙。

 

  對於三菱電機informationsystems公司系統設計失當及千代田興產公司未設定伺服器存取權限所造成個人資料外洩事件,因為這兩家公司都是屬於財團法人日本情報處理開發協會(JIPDEC)的取得隱私標章企業,所以由JIPDEC依據隱私標章營運要領中的「有關賦予隱私標章規約」第14條規定,各處以由2011年1月起3個月的隱私標章停權處分。

相關連結
※ 三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=5455&no=57&tp=1 (最後瀏覽日:2026/07/12)
引註此篇文章
你可能還會想看
美國眾議院外交事務委員達成協議,修訂《國家關鍵能力防禦法案》建立對外投資審查制度

  美國眾議院外交事務委員會於2022年6月13日在兩黨創新法案(HR4521)會議上,就對外投資機制新提案發表聯合聲明。兩黨達成協議修訂《國家關鍵能力防禦法案》(National Critical Capabilities Defense Act of 2022, NCCDA),擴大對外投資審查制度。促使美國制定NCCDA對外投資審查立法乃係源於經濟和國家安全考量,美國關注特定技術向中國轉讓以及美國企業可能透過特定投資幫助提升中國能力之風險。因此,雖然NCCDA會給國際投資帶來不確定性,但美國兩黨及兩院內部仍支持實施特定形式的對外投資審查程序,並且與利益相關者就如何制定強而有力且具針對性的對外投資機制進行建設性的討論,目的是確保美國不會將關鍵產業製造能力拱手讓給外國競爭對手。   NCCDA授權成立國家關鍵能力委員會(Committee on National Critical Capabilities),由美國貿易代表署擔任主席並與供應鏈安全相關聯邦機構成員共同組成,審查特定對外業務交易和活動包括:界定需要境外投資審查的活動範圍、明訂出境審查流程、及關鍵產業項目等。依據NCCDA第11條「國家關鍵能力(National Critical Capabilities)」定義,指對美國至關重要的有形及無形的系統和資產,若此類系統和資產無法開發、失能或遭到破壞,將對國家安全造成破壞性影響。委員會應負責界定涉及「國家關鍵能力」產品、供應鏈和服務;列舉國家關鍵能力產業領域包括:能源、醫療、通訊、國防、運輸、航空航太、機器人、人工智慧、半導體、造船、水等。若美國人和外國實體從事「涵蓋活動」者,必須在展開活動前至少60天以書面形式通知委員會。委員會將會通知審查,若確定所涵蓋的活動對國家關鍵能力構成不可接受的風險,委員會可以實施緩解措施,或建議總統採取特定行動,包括暫停和禁止該活動。美國兩黨期待各方利益相關者能以書面形式參與討論,確保NCCDA法案通過並滿足各方需求,使美國與盟友國的對外投資機制保持一致。

美國著作權法109(a)條「第一次銷售原則」之適用原則

  美國最高法院於2010年12月13日以4:4的平手票數確立了第九巡迴上訴法院於Omega, S.A. v. Costco Wholesale Corporation案中關於著作權法109(a)條「第一次銷售原則」(first sale doctrine) 並不適用於享有美國著作權法保護之外國製造但未經授權於美國再販售之產品。   此案源於由知名瑞士鐘錶品牌Omega 於瑞士製造的手錶透過所謂「水貨」或「灰色市場」的途徑輾轉由一家名為ENE Limited的紐約公司所購得,而Costco自該公司購得手錶後於加州賣場以低於合法代理商的價格販售。然而,Omega雖對於該手錶於外國的初次販售給予授權,但並未授權該商品爾後輸入美國並由 Costco 販賣之行為。Omega乃對Costco提出侵權告訴,而此案所牽連的著作物即為手錶底面都刻有受美國著作權法所保護之「歐米茄全球設計(Omega Globe Design)」字樣。   Costco則以著作權法第109(a)條作為抗辯,主張「第一次銷售原則」之規定,亦即Omega首次於外國販售該手錶之行為,已排除其對於後續散布、進口及未經授權之銷售等行為之侵權主張。第一審法院聽取Costco 之意見,Omega 乃上訴於第九巡迴法院。上訴法院對於「第一次銷售原則」之適用較為限縮,認為先前Quality King案的判決,並未使上訴法院對於「第109(a)條,只有當該主張涉及在美國國內製造受美國著作權法保護之著作的重製物時,可以對抗第 106(3)條(公開散布權)及第602(a)條(輸入權)」之一般規定無效。換言之「第一次銷售原則」並不適用於銷售外國製造但未經授權於美國再販售的著作物或其合法重製物。而最高法院亦同意上訴法院的看法。此案的判決結果意味著作權人或合法代理商將可間接防止或控制於外國製造的真品(即水貨)未經授權輸入於美國市場。

何謂「數位藥丸(digital pill)」?

  「數位藥丸(digital pill)」顧名思義就是將藥物與數位科技結合,藥丸上載有感測器(sensor),在進入人體後傳輸訊號至病人身上的訊號接收器貼片,相關資訊再被傳送給醫療人員。由於許多研究顯示約有半數病人並不會完全遵照醫師指示服藥,使治療效果不彰,並造成醫療資源之浪費。而電子藥丸有助需長期頻繁用藥的族群定時服藥與協助醫療機構追蹤病人服藥狀況,並在臨床試驗中持續觀察病患用藥後的生理反應。   日前美國食品藥物管理署(Food and Drug Association)已接受Proteus Digital Health公司之上市審核申請,不久之後人們將有望享受到此數位藥丸帶來的便利。不過其亦存有一些疑慮以及待克服的技術問題,例如:個人資料之保護措施、控制藥物釋放之系統故障或遭惡意攻擊時之應變等等問題。同時,雖然許多人都認為數位藥丸對病人之疾病控制有利,但是病人之拒絕治療權卻可能因而犧牲,雖然醫生不能強迫病人服藥,但法院強制處分常會牽涉特定的治療程序,此時若病人拒絕服藥,其假釋可能被撤銷,該技術將可能成為一個監視的手段。

歐盟「第五洗錢防制指令」將新科技於金融體系的應用納入管制

  歐盟於2018年4月19日宣布通過「第五洗錢防制指令」(the Fifth Anti-Money Laundering Directive),並於同年6月19日公布確定案文,其要求歐盟成員國必須於18個月內將該命令納入國內法律中。   歐盟在本次指令中,特別針對恐怖主義組織財政和運作方式揭示出所觀察的新趨勢,其指出某些作為替代金融體系的新技術服務越來越受歡迎,但卻不受法令所拘束,或是被豁免於相關法律適用外等不合理情事,因此「第五洗錢防制指令」為了跟上不斷進步的科技環境,乃要求法人、其他法律實體(legal entities)、信託及具有與信託類似結構或功能的法律協議(類似的法律協議) 應採取進一步措施,以確保提高金融交易的透明度,並藉此改進現有的預防框架,達到更有效地打擊資助恐怖主義行為的目的;另外歐盟亦於該指令中提醒所有採取的措施應和洗錢風險成比例。   有關「第五洗錢防制指令」主要新增及修正包含: 迎接新技術:託管錢包供應商(custodian wallet providers)和虛擬貨幣交換平臺將被視為新的義務主體而納入於洗錢防制法的範圍。另外「第五洗錢防制指令」還允許使用電子身分證明進行客戶盡職調查。 改進執法:各成員國須建立自身國家的銀行帳戶登記系統,以便執法當局能夠方便地查閱在該成員國內的所有銀行帳戶資訊。另外該登記系統須與其他成員國互相連線,並且即便在沒有提交可疑活動報告的情況下,執法當局也可以要求義務主體提供資料。 明確定義"重要政治性職務人士":各成員國都必須發佈一份清單,列出哪些屬於 "重要的公共職能"。 針對高風險第三國為更嚴格的管制:「第五洗錢防制指令」要求涉及高風險第三國的商業關係或交易須採取強化盡職調查措施,,並允許成員國限制義務主體在高風險第三國設立分支機搆或子公司,亦禁止總部設在高風險第三國的義務主體於成員國設立分支機搆。 提高公司實質受益權的透明度:各成員國的公司實質受益權登記將放寬查詢限制,公眾無須提出任何合法權益證明即可查閱基本資訊。另外還要求企業(登記義務主體)必須針對持有資訊與在登記系統上資訊的差異提出報告。 信託的實質受益權:「第五洗錢防制指令」擴大實質受益權申報義務主體範圍,要求任何類似信託的法律安排及租稅中立性的信託均須申報;另外還擴大該實質受益權申報的查閱至任何能提出具有合法利益的人,但其並未對合法利益提出定義,而是讓各成員國自行訂定。然而「第五洗錢防制指令」指出,該合法利益的定義不應侷限在行政或法律訴訟未決的案件,而是應針對洗錢防制及反資助恐怖組織領域的預防工作為考量。 禁止匿名保險箱。 調整預付工具(prepaid instruments)需進行盡職調查的門檻(如禮品卡、旅遊卡):價值要求從250歐元降低到150歐元。

TOP