techUK和UK Finance共同呼籲英國脫歐後應速採取行動保護英國和歐盟的企業和消費者資料跨境傳輸
隨著資料多元應用，大量個資可能被企業、組織等從銀行、線上零售業者傳輸到雲端、學術機構等，因此在跨境傳輸基礎上需要共同的監管制度，以利資料保護和隱私標準。英國科技產業協會(techUK)和英國金融協會(UK Finance)共同於2017年11月30日呼籲英國政府和歐盟應迅速採取行動，以利於繼續保護消費者和企業在英國退出歐盟(Brexit)後兩地跨境傳輸個資。
另外，在Dentons國際律師事務所提出關於歐盟與英國未來資料共享關係之聯合報告(No Interruptions: options for the future UK-EU data sharing relationship)中，techUK和UK Finance說明英國和歐盟雙方如何達成適當保護協議(adequacy agreement)，英國政府亦於2017年8月發布個人資料交換和保護未來合作文件(The exchange and protection of personal data - a future partnership paper)，將持續依一般資料保護規則(General Data Protection Regulation, GDPR)調整，而在過渡期間為企業提供監管確定性，而公司亦需重新考慮GDPR於2018年5月實施後相關替代機制，如企業自我約束規則(Binding Corporate Rules, BCRs)、標準契約條款(Standard Contractual Clauses, SCCs)等。由於英國2019年3月脫歐後，將不會直接適用GDPR，因此除非有新的安排，個資在歐盟傳輸仍可能受限，而需昂貴複雜替代機制，故仍應速採取行動：
- 歐盟和英國應速開始適當保護評估程序(adequacy assessment processes)。
- 為避免個資傳輸之「懸崖邊緣」(“cliff-edge”)，應即為過渡期之安排。
- 英國應考慮實施其他措施，確保歐盟對英國資料保護框架之擔憂能獲解決，尤其是國家安全目的之資料處理。
- 英國應確保國際傳輸制度(包括美國在內)，與歐盟具相同保護水準，且此作為歐盟適當保護評估的關鍵。
- 1. Rapid Action Needed to Safeguard UK & EU Businesses & Consumers Following Brexit, techUK
- 2. Rapid action needed to safeguard UK & EU businesses and consumers following UK’s exit from the EU, UK Finance
- 3. techUK, UK Finance & Dentons UKMEA LLP, No Interruptions: options for the future UK-EU data sharing relationship (2017)
- 4. HM Government, The exchange and protection of personal data - a future partnership paper (2017)
- 英國資訊專員辦公室關於退出歐盟後續個資保護回應與未來影響，資訊工業策進會科技法律研究所
孫鈺婷
專案經理 編譯整理
1. Rapid Action Needed to Safeguard UK & EU Businesses & Consumers Following Brexit, techUK, http://www.techuk.org/insights/news/item/11824-rapid-action-needed-to-safeguard-uk-eu-businesses-consumers-following-brexit (last visited Dec. 4, 2017).
2. Rapid action needed to safeguard UK & EU businesses and consumers following UK’s exit from the EU, UK Finance, https://www.ukfinance.org.uk/rapid-action-needed-to-safeguard-uk-eu-businesses-and-consumers-following-uks-exit-from-the-eu/ (last visited Dec. 4, 2017).
3. techUK, UK Finance & Dentons UKMEA LLP, No Interruptions: options for the future UK-EU data sharing relationship (2017), https://www.ukfinance.org.uk/wp-content/uploads/2017/11/No-Interruptions-Options-for-the-future-UK-EU-data-sharing-relationship.pdf (last visited Dec. 4, 2017).
4. HM Government, The exchange and protection of personal data - a future partnership paper (2017), https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/639853/The_exchange_and_protection_of_personal_data.pdf (last visited Dec. 6, 2017).
英國資訊專員辦公室關於退出歐盟後續個資保護回應與未來影響，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=152&d=7533（最後瀏覽日：2017/12/06）
歐盟電子通訊隱私指令（Directive 2002/58/EC on Privacy and Electronic Communications, e-Privacy Directive）第五條(3)中對於cookie（即業者為辨別使用者身份而儲存在用戶端上的資料）設置的規範，將於2011年5月全面施行。惟對於cookie之使用，部分網路業者認為如果網路使用者沒有選擇不要裝置cookie (opt-out)，那麼就等同於同意裝置，而不需另外取得使用者的同意。針對此點，歐盟第29條資料保護工作小組（Article 29 Data Protection Working Party）於2010年06月22日對於網際行為廣告作出一份意見（Opinion 2/2010 on online behavioural advertising）。 意見中澄清，網際行為廣告係一種透過cookie的使用，追蹤蒐集網路使用者上網行為的資料，其網路資訊將被使用於日後發放與使用者上網行為相對應的廣告之用。除非是屬於網路使用者明白要求使用cookie，或是使用網路服務所『必要』的cookie（例如，沒有cookie就無法顯示或進行至下一個頁面），則不必先行取得使用者的同意外；其他凡經由cookie所儲存的資料，均應被視為『個人資料』，使用上必需先行取得網路使用者的明示同意，以自行選擇（opt-in）的方式接受cookie的使用，後存於網路使用者的個人電腦中。業者不得以搜尋引擎的cookie設定主張視為網路使用者等同已經明示同意使用cookie進行被追蹤及蒐集資料。 該意見受到許多歐盟及國際之網際出版、廣告及商務業者的反彈，業者表示所蒐集的資料並非可辨認性或敏感性資料，此規範的執行將會嚴重衝擊到廣告產業的收益，建議採行自律規範或使用行為守則來取代上述規定。 由於這項規範尚未於歐盟中被執行，歐盟第29條資料保護工作小組對於技術上如何遵循該規範也並沒有提出具體的建議。
在美國競業禁止修法趨勢下，雇主可採取的配套措施——–不可避免揭露原則？美國聯邦貿易委員會（Federal Trade Commission, FTC）於2023年1月提出一項提案，將使所有競業禁止條款無效，惟提案尚未確定。儘管FTC同意該提案將影響對雇主的保護，但也指出營業秘密法已為雇主提供了保護其營業秘密的配套，其中「不可避免揭露原則」（the “inevitable disclosure” doctrine）或許將成為競業禁止協議之替代方案。 不可避免揭露原則是指當公司認為前僱員於新公司任職，將不可避免地使用前公司之營業秘密時，可向法院聲請禁止前僱員至新公司任職。法院通常會考慮下列三個因素，以決定是否基於不當使用營業秘密之「威脅」而授予禁制令救濟，包括： 1.前後雇主是否為提供相同或非常相似服務的直接競爭對手； 2.前僱員的新職位是否與原職位雷同，以至於無法合理地期待該僱員在不利用其前雇主之營業秘密的情況下，能履行其新的工作職責； 3.所涉及的營業秘密對於前後雇主是否都具有相當之價值。 雖然部份州法院指出根據其州法，得適用不可避免揭露原則，但各界對於雇主能否向聯邦法院根據《保護營業秘密法》（Defend Trade Secrets Act, DTSA）援引該原則仍未達成共識。儘管如此，部份聯邦法院強調雇主須明確說明前僱員為何將不可避免地使用或揭露其營業秘密，僅證明前僱員在工作期間獲得機密資訊，並隨後於競爭公司擔任類似職位，不足以證明前僱員將不可避免地使用前公司之營業秘密。 綜上所述，不可避免揭露原則可以防止前僱員不當使用其營業秘密的威脅，但由於聯邦法院對於能否援引該原則的標準仍不明確，僅指出不可避免揭露原則將使雇主面臨較高的舉證要求，故其是否能成為競業禁止協議的替代方案，仍有待觀察。 本文同步刊登於TIPS網站（https://www.tips.org.tw）。
歐盟個資保護委員會公布GDPR裁罰金額計算指引歐盟個人資料保護委員會 （European Data Protection Board, EDPB）在徵詢公眾意見後，於今（2023）年5月24日通過了「歐盟一般資料保護規則行政裁罰計算指引04/2022」（Guidelines 04/2022 on the calculation of administrative fines under the GDPR）。此一指引，旨在協調各國資料保護主管機關（Data Protection Authorities, DPAs）計算行政罰鍰的方法，以及建立計算《歐盟一般資料保護規則》(General Data Protection Regulation, GDPR )裁罰金額的「起點」（Starting Point）。 時值我國於今（2023）年5月29日甫通過《個人資料保護法》之修法，將違反安全措施義務的行為提高裁罰數額至最高1500萬，金額之提高更需要一個明確且透明的定裁罰基準，因此該指引所揭露的裁罰計算步驟值得我國參考。指引分為五個步驟，說明如下： 1.確定案件中違反GDPR行為的行為數以及各行為最高的裁罰數額。如控管者或處理者以數個行為違反GDPR時，應分別裁罰；而如以一行為因故意或過失違反數GDPR規定者，罰鍰總額不得超過最嚴重違規情事所定之數額（指引第三章）。 2.確定計算裁罰金額的起點。EDPB將違反GDPR行為嚴重程度分為低度、中度與高度三個不同的級別，並界定不同級別的起算金額範圍，個案依照違反GDPR行為嚴重程度決定金額範圍後，尚需考量企業的營業額度以定其確切金額作為裁罰數額起點（指引第四章）。 3.控管者/處理者行為對金額的加重或減輕。評估控管者/處理者過去或現在相關行為的作為加重或減輕的因素而相應調整罰鍰金額（指引第五章）。 4.針對各違反行為，參照GPDR第83條第4項至第6項確定行政裁罰上限。GDPR並沒有對具體的違反行為設定固定的罰款金額，而是對不同違反行為規範了裁罰最高額度上限，EDPB提醒，適用第三步驟或下述第五步驟所增加的額度不能超過GDPR第83條第4至第6項度對不同違反行為所訂的最高額度限制（指引第六章）。 5.有效性、嚇阻性與比例原則的考量。個資保護主管機關應針對具體個案情況量以裁罰，必須分析計算出的最終額度是否有效、是否發揮嚇阻以及是否符合比例原則，而予以相應調整裁罰額度，而如果有客觀證據表明裁罰金額可能危及企業的生存，可以考慮依據成員國法律減輕裁罰金額（指引第七章）。 EDPB重申其將不斷審查這些步驟與方法，其亦提醒上述所有步驟必須牢記，罰鍰並非簡單數學計算，裁罰金額的關鍵因素應取決具體個案實際情況。
Refuah公司與紐約總檢察長達成和解並投資120萬美元保護病人資料紐約州總檢察長Letitia James於2024年1月5日與健康照護服務業者Refuah Health Center, Inc.（下稱Refuah公司）達成和解，主因為該公司遭受勒索軟體攻擊（ransomware attack），約25萬紐約州民個資遭到洩漏。和解協議要求Refuah公司支付共計45 萬美元之民事懲罰金及費用（penalties and costs），且應投資 120 萬美元加強網路安全（cybersecurity）。 Refuah公司主要業務為經營三家醫療機構和五輛行動醫療車（mobile medical vans）。2021 年 5 月，Refuah公司遭到勒索軟體攻擊，網路攻擊者得以近用數千名病人的資料，取得了包含姓名、地址、電話號碼、社會保險號碼、駕照號碼、出生日期、金融帳號、醫療保險號碼等資料。 依據檢察長辦公室的調查顯示，攻擊者之所以得近用這些資料，原因為 Refuah公司未採取適當安全維護措施，包括：未停用不活躍之使用者帳號（inactive user accounts）；未定期更換使用者帳號憑證（user account credentials）；未限制員工僅得近用其業務所必需之資源和資料；未使用多重要素驗證（multi-factor authentication）以及未加密病人資料。 依據協議內容，Refuah公司同意投資 120 萬美元，用於開發和維護更強大的資訊安全計畫（information security programs），以更妥適地保護病人資料。該協議還要求Refuah公司應： 1.維護全面的資訊安全計畫，以保護消費者資料的安全性、機密性和完整性； 2.實施並持續更新消費者資料近用限制相關政策和程序； 3.遠端近用資源和資料應使用多重要素驗證； 4.定期更新近用資源和資料的憑證； 5.至少每半年進行一次稽核，確保使用者僅近用其業務所必需之資源和資料； 6.對所有儲存或傳輸的消費者資料進行加密； 7.實施控制措施，監控和記錄公司網路和系統的所有安全和操作活動；以及 8.制定、實施和持續更新全面的事故應變計畫。 Refuah公司還須向州政府支付共計45 萬美元之民事懲罰金及費用，其中 10 萬美元將在該公司投入 120 萬美元開發和維護其資訊安全計畫後，得暫緩支付。