澳洲個人資料洩漏計畫將於二月施行

  澳洲於2018年2月22日施行個人資料洩漏計畫(Notifiable Data Breaches scheme, NDB scheme),該計畫源於澳洲早在1988年所定「澳洲隱私原則」(Australian Privacy Principles, APPs)之規定。對象包括部分政府機構、年營業額超過300萬澳幣之企業以及私營醫療機構。

  根據該計畫,受APPs約束的機構於發生個資洩露事件時,必須通知當事人以及可能會造成的相關損害,另外也必須通知澳洲私隱辦公室(Office of the Australian Information Commissioner, OAIC)相關資訊。

  NBD計畫主要內容如下:

  一 、規範對象:

  1. 包括澳洲政府機構,年營業額超過300萬澳幣企業和非營利組織、私營醫療機構、信用報告機構、信貸提供者、稅號(TFN)受領人。
  2. 若數機構共享個人資料,則該告知義務由各機構自行分配責任。
  3. 關於跨境傳輸,根據APPs原則,於澳洲境外之機構必須以契約明定受澳洲隱私法規範,原則上若因境外機構有洩漏之虞,澳洲機構也必須負起責任。

  二 、個資洩露之認定:

  1. 未經授權進入或擅自公開該機構擁有的個人資訊或個人資料滅失。
  2. 可能會對一個或多個人造成嚴重傷害(如身分竊盜、導致個人嚴重經濟損失、就業機會喪失、名譽受損等等)。
  3. 個資外洩機構無法通過補救措施防止嚴重損害的風險。

  三 、OAIC所扮演之角色:

  1. 接受個資外洩之通報。
  2. 處理投訴、進行調查並針對違規事件採取其他監管行動。
  3. 向業者提供諮詢和指導。

  四 、於下列情形可免通知義務:

  1. 為維護國家安全或增進公共利益所必要。
  2. 與其他法案規定相牴觸者。

  五 、通知內容:

  1. 洩露資料的種類及狀況。
  2. 發生個資外洩事件機構之名稱以及聯繫窗口。
  3. 個資當事人應採取之後續行動,避免再度造成損害。

  惟NBD 計畫對於個人資料的安全性沒有新的要求,主要是對APPs的補充,針對持有個人資料的機構採取合理措施,保護個人資料免遭濫用、干擾或損失, OAIC目前也正在規劃一系列有關個資洩漏事件指導方針及導入說明手冊。

相關連結
※ 澳洲個人資料洩漏計畫將於二月施行, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=7983&no=55&tp=1 (最後瀏覽日:2026/08/03)
引註此篇文章
你可能還會想看
Ericsson專利訴訟新打手—專利蟑螂

  據報載,瑞典電信鉅業愛立信公司(Ericsson)已經將超過兩千筆的專利組合出售給Unwired Planet公司,此舉將更有利於Unwired Planet公司在智慧型手機的侵權官司當中繼續爭訟。此外,Unwired Planet公司宣稱Ericsson公司所移轉的2185件專利當中,包括美國及他國之專利權、專利申請案件給Unwired Planet公司,在這些移轉的專利組合當中,多數的技術都是與2G、3G,以及長期演進技術(Long Term Evolution,簡稱LTE)的專業技術領域有關。   Unwired Planet公司成立於1996年,同時宣稱自己為”行動網路的發明家”。透露說為了這次的合作,從公司成立時不久,即開始與授權公司以及Ericsson公司接洽。公司高層並指出,透過與Ericsson公司的合作,事實上已經傳達了高值的社會價值,反映出我們所承諾要保護並展現創新的觀點。   Unwired Planet公司是一間藉由把持專利權,以在各科技公司間興頌,並從中獲得利益的公司,通常被稱為專利蟑螂(patent troll)。

資通安全法律案例宣導彙編 第2輯

英國國家醫療服務體系(NHS)公布國家資料退出(Opt-out)操作政策指導文件

  個人健康資料共享向為英國資料保護爭議。2017年英國資訊專員辦公室(ICO)認定Google旗下人工智慧部門DeepMind與英國國家醫療服務體系(NHS)的資料共享協議違反英國資料保護法後,英國衛生部(Department of Health and Social Care)於今年(2018)5月修正施行新「國家資料退出指令」(National data opt-out Direction 2018),英國健康與社會照護相關機構得參考國家醫療服務體系(NHS)10月公布之國家資料退出操作政策指導文件(National Data Opt-out Operational Policy Guidance Document)規劃病患退出權行使機制。   該指導文件主要在闡釋英國病患退出權行使之整體政策,以及具體落實建議作法,例如: 退出因應措施。未來英國病患表示退出國家資料共享者,相關機構應配合完整移除資料,並不得保留重新識別(de-identify)可能性; 退出權行使。因指令不溯及既往適用,因此修正施行前已合法處理提供共享之資料,不必因此中止或另行進行去識別化等資料二次處理;此外,病患得動態行使其退出權,於退出後重新加入國家資料共享體系;應注意的是,退出權的行使,採整體性行使,亦即,病患不得選擇部分加入(如僅同意特定臨床試驗的資料共享); 例外得限制退出權情形。病患資料之共享,如係基於當事人同意(consent)、傳染病防治(communicable disease and risks to public health)、重大公共利益(overriding public interest)、法定義務或配合司法調查(information required by law or court order)等4種情形之一者,健康與社會照護相關機構得例外限制病患之退出權行使。   NHS已於今年9月完成國家資料退出服務之資料保護影響評估(DPIA),評估結果認為非屬高風險,因此不會向ICO諮詢資料保護風險。後續英國相關機構應配合於2020年5月前完成病患資料共享退出機制之建置。

人工智慧即服務(AI as a Service, AIaaS)

  人工智慧即服務(AIaaS)之定義為由第三方提供人工智慧(AI)外包服務,其可使個人和公司基於各種目的進行AI相關實驗,同時毋須於初期即大規模投資或承受高度風險。著名之四大AIaaS供應商為Amazon AWS雲端運算服務、Microsoft Azure 雲端運算平台與服務、Google雲服務、以及IBM雲服務。   AIaaS之優點主要有:(1)降低成本:一般公司無須投資軟體、硬體、人員、維護成本以及不同任務之修改成本,AIaaS供應商可供應不同之硬體或機器學習供公司嘗試運用。(2)即用性:AIaaS供應商提供之AI服務為即用性,無須太多專家介入修改即可使用。(3)可擴展性:可由較小之項目開始試驗,逐步擴張調整服務,因此具有戰略靈活性。然而,AIaaS亦有以下潛在缺點:(1)降低安全性:公司必須交付大量資料給AIaaS供應商,因此資料之機密保護與預防竄改即為重要。(2)增加依賴度:若發生問題時,必須等待AIaaS供應商進行處理。(3)降低透明度:由於是即用性之AI服務,對於內部演算法之運作則屬於未知之黑盒子領域。(4)限制創新:因AIaaS供應商所供應之AI服務需一定程度之標準化,因此限制公司創新發展之可能。

TOP