澳洲於2018年2月22日施行個人資料洩漏計畫(Notifiable Data Breaches scheme, NDB scheme),該計畫源於澳洲早在1988年所定「澳洲隱私原則」(Australian Privacy Principles, APPs)之規定。對象包括部分政府機構、年營業額超過300萬澳幣之企業以及私營醫療機構。 根據該計畫,受APPs約束的機構於發生個資洩露事件時,必須通知當事人以及可能會造成的相關損害,另外也必須通知澳洲私隱辦公室(Office of the Australian Information Commissioner, OAIC)相關資訊。 NBD計畫主要內容如下: 一 、規範對象: 包括澳洲政府機構,年營業額超過300萬澳幣企業和非營利組織、私營醫療機構、信用報告機構、信貸提供者、稅號(TFN)受領人。 若數機構共享個人資料,則該告知義務由各機構自行分配責任。 關於跨境傳輸,根據APPs原則,於澳洲境外之機構必須以契約明定受澳洲隱私法規範,原則上若因境外機構有洩漏之虞,澳洲機構也必須負起責任。 二 、個資洩露之認定: 未經授權進入或擅自公開該機構擁有的個人資訊或個人資料滅失。 可能會對一個或多個人造成嚴重傷害(如身分竊盜、導致個人嚴重經濟損失、就業機會喪失、名譽受損等等)。 個資外洩機構無法通過補救措施防止嚴重損害的風險。 三 、OAIC所扮演之角色: 接受個資外洩之通報。 處理投訴、進行調查並針對違規事件採取其他監管行動。 向業者提供諮詢和指導。 四 、於下列情形可免通知義務: 為維護國家安全或增進公共利益所必要。 與其他法案規定相牴觸者。 五 、通知內容: 洩露資料的種類及狀況。 發生個資外洩事件機構之名稱以及聯繫窗口。 個資當事人應採取之後續行動,避免再度造成損害。 惟NBD 計畫對於個人資料的安全性沒有新的要求,主要是對APPs的補充,針對持有個人資料的機構採取合理措施,保護個人資料免遭濫用、干擾或損失, OAIC目前也正在規劃一系列有關個資洩漏事件指導方針及導入說明手冊。
新加坡通過第一個個人資料保護法制新加坡於2012年10月15日通過該國第一個消費者個人資料保護法案,該法案主要規範私人機關蒐集、利用以及揭露個人資料之行為,將於2013年1月正式施行。 該法案亦成立新加坡個人資料保護委員會(Personal Data Protection Commission, 以下簡稱PDPC),並成立拒絕來電登記處(Do-Not-Call Registry),該處由PDPC進行維運。PDPC將是新加坡主要掌管個人資料保護的主管機關,而且也負責推動個人資料保護法案以及被賦予增進新加坡人民個人資料保護認知之任務。 於該法案之規劃中,資料當事人可以在拒絕來電登記處註冊其位置在新加坡之電話號碼,以防止私人機關為了商業行銷之理由而進行電話行銷。假設資料當事人已完成相關登記卻持續收到行銷電話時,可以向PDPC進行申訴。 除此之外,私人機關於蒐集、儲存個人資料前,必須尋求消費者之同意,而且必須通知當事人資料蒐集之目的。私人機關於傳輸個人資料至新加坡境外時,也必須確保以提供相對安全的個人資料保護作法,例如透過契約或者協議之簽訂等。 違反個人資料保護法規之公司,每一個違反事件可能被科以最高美金820,000元之罰鍰,對於每一個消費者最高可能必須負上美金8200元之賠償責任。法律施行後,企業被賦予18個月的法規遵循準備期間,而停止打來登記處預計將於2014年年中設置完成。
澳洲通過2024年網路安全法,期望強化社會整體網路安全保障.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 2024年11月底,澳洲政府通過了2024年網路安全法(Cyber Security Bill 2024),期許藉由制定專法,保護澳洲現在與未來的網路環境。 2024年網路安全法主要包含以下內容: 1. 制定並落實全境智慧型裝置之最低網路安全標準。過往澳洲智慧型裝置不受任何強制性網路安全標準或法規約束,該法通過後,將能有效提升消費者網路安全。 2. 研搜對抗網路勒索軟體活動之資訊。澳洲政府不鼓勵企業在遭遇勒索軟體攻擊時支付贖金,因為支付贖金不僅鼓勵網路犯罪,更不能保證資料的恢復或機密性。然目前澳洲政府並未立法禁止支付贖金之行為,僅於2024年網路安全法要求關鍵基礎設施或營業額達定一定門檻之企業,假若不幸遭受勒索軟體攻擊,並決定支付贖金,須於72小時內向主管機關通報。 該通報義務是為幫助主管機關即時掌握勒索活動資訊,快速制定應對策略,並開發有利業界執行網路防禦的工具和資源,破壞勒索軟體獲利模式。依目前規定,報告內容將包含勒索金額、支付對象、支付方法等資訊。 3. 鼓勵企業分享網路安全資訊。2024年網路安全法為鼓勵企業與政府共享網路安全事件資訊,限制國家網路安全人員存取前揭資訊之目的,如不得利用企業自願提供之網路安全事件資訊調查企業違規行為,除非符合2024網路安全法規定之例外情況。 4. 建立網路事件審查委員會(Cyber Incident Review Board)。該委員會作為獨立機構,負責對重大網路安全事件進行有無過失之事後審查,並為政府和產業提供建議,以確保各方利害關係人能夠從網路安全事件中吸取教訓。 2024年網路安全法的制訂,顯示澳洲政府為強化網路安全付出諸多努力,該國政府期許透過該法保護澳洲人免受網路安全威脅。
歐盟通過「資料保存指令」「資料保存指令」( Directive on the retention of data ,下稱本指令)已於 2006 年 2 月 21 日 經歐盟部長理事會( European Council of Minister )批可而正式生效。但部分歐盟國家,如愛爾蘭( Irish )與斯洛伐克( Slovak )仍認為,由於資料保存對於歐盟民眾權益影響甚鉅,故應透過更嚴格的立法程序,如由歐盟部長理事會( European Council of Minister )全體一致通過「決定」( Decision ),而不應透過議會表決後再交由理事會批可指令( Directive )的方式生效。 本指令要求網路服務業者( Internet service providers, ISPs )與固定( fixed-line )及行動 (Mobile) 網路業者必須要保存客戶通聯之通聯日期、地點、通話時間等通聯資料等,保存期限從 6 個月到 2 年不等。而除了保存之責任以外,上述業者還必須要確保其保存之資料可隨時配合執法單位之調查,提供執法單位進行嚴重犯罪之調查與恐怖分子調查之參考與利用。 國際隱私權組織( Privacy International )表示,本指令的通過將對歐盟地區民眾之人權造成不可磨滅之影響。此外,歐盟地區之電信公司與 ISPs 則表示,本指令實施後,若政府單位未給予任何的補助,將大量增加業者在資料儲存之費用,進而影響市場競爭。 本指令最遲將於公布後隔年開始實施。