澳洲個人資料洩漏計畫將於二月施行
澳洲於2018年2月22日施行個人資料洩漏計畫(Notifiable Data Breaches scheme, NDB scheme)，該計畫源於澳洲早在1988年所定「澳洲隱私原則」(Australian Privacy Principles, APPs)之規定。對象包括部分政府機構、年營業額超過300萬澳幣之企業以及私營醫療機構。
根據該計畫，受APPs約束的機構於發生個資洩露事件時，必須通知當事人以及可能會造成的相關損害，另外也必須通知澳洲私隱辦公室（Office of the Australian Information Commissioner, OAIC）相關資訊。
NBD計畫主要內容如下:
一 、規範對象:
- 包括澳洲政府機構，年營業額超過300萬澳幣企業和非營利組織、私營醫療機構、信用報告機構、信貸提供者、稅號（TFN）受領人。
- 若數機構共享個人資料，則該告知義務由各機構自行分配責任。
- 關於跨境傳輸，根據APPs原則，於澳洲境外之機構必須以契約明定受澳洲隱私法規範，原則上若因境外機構有洩漏之虞，澳洲機構也必須負起責任。
二 、個資洩露之認定:
- 未經授權進入或擅自公開該機構擁有的個人資訊或個人資料滅失。
- 可能會對一個或多個人造成嚴重傷害(如身分竊盜、導致個人嚴重經濟損失、就業機會喪失、名譽受損等等)。
- 個資外洩機構無法通過補救措施防止嚴重損害的風險。
三 、OAIC所扮演之角色:
- 接受個資外洩之通報。
- 處理投訴、進行調查並針對違規事件採取其他監管行動。
- 向業者提供諮詢和指導。
四 、於下列情形可免通知義務:
- 為維護國家安全或增進公共利益所必要。
- 與其他法案規定相牴觸者。
五 、通知內容:
- 洩露資料的種類及狀況。
- 發生個資外洩事件機構之名稱以及聯繫窗口。
- 個資當事人應採取之後續行動，避免再度造成損害。
惟NBD 計畫對於個人資料的安全性沒有新的要求，主要是對APPs的補充，針對持有個人資料的機構採取合理措施，保護個人資料免遭濫用、干擾或損失， OAIC目前也正在規劃一系列有關個資洩漏事件指導方針及導入說明手冊。
陳昱凱
法律研究員 編譯整理
1. Privacy Amendment (Notifiable Data Breaches) Act 2017, https://www.legislation.gov.au/Details/C2017A00012 (last visited Jan 10, 2018).
2. Notifiable Data Breaches scheme https://www.oaic.gov.au/privacy-law/privacy-act/notifiable-data-breaches-scheme (last visited Jan 10, 2018).
3. Mandatory Data Breach laws are coming...are you ready? https://www.lexology.com/library/detail.aspx?g=dbd0357d-0b07-4294-865e-6f351550fa64 (last visited Jan 10, 2018).
資訊揭露與市場競爭評估– 研析英國水平協議指引中之資訊交換 資訊工業策進會科技法律研究所 2023年09月23日 英國競爭與市場管理局（Competition and Markets Authority，CMA）於2023年8月16日發布《1988年競爭法第一章禁令適用於水平協議之指引》（Guidance on the application of the Chapter I prohibition in the Competition Act 1998 to horizontal agreements，以下簡稱CMA水平協議指引），以規範實際或潛在競爭者間之協議[1]。CMA水平協議指引提供事業擬定協議內容的參考，事業間於業務合作的同時，亦能符合法遵之要求，以維護市場公平競爭。 壹、事件摘要 英國CMA水平協議指引解釋競爭法之適用，尤其是《1998年競爭法》（Competition Act 1998，CA98）第1章禁止水平協議。2023年1月1日，《1998年競爭法（專業協議集體豁免）2022年指令》（SABEO）與《1998年競爭法（研發協議集體豁免）2022年指令》（R&D BEO）生效，於2023年8月16日發布之CMA水平協議指引，協助事業評估特定類型的水平協議是否受益於SABEO和R&D BEO，和遵守競爭法之相關規範[2]。申言之，CMA水平協議指引協助事業評估其所簽訂之協議內容，是否屬於法規範豁免之類型，且合乎競爭法之規定。 CMA水平協議指引說明研發協議[3]、生產協議[4]、採購協議[5]、商業化協議[6]和標準化協議[7]之適用與範例。鑒於大數據分析與機器學習需使用大量的資料；而大數據分析的結果，或機器學習的應用，將影響決策的形成，資訊交換因而更顯重要[8]，CMA水平協議指引亦引導事業為合理的資訊交換。 資訊交換不僅為競爭市場的共同特徵，在一般的情形亦有利於消費者；例如資訊交換有助於解決資訊不對等而提升市場效率，事業能藉由比較最佳實踐方案，以提高內部效率；能減少庫存以節省成本，並處理不穩定的需求；或藉由演算法以開發新的產品或服務；[9]或減少搜尋成本，以提供消費者利益[10]。依據實際情況，資訊交換可以是有利於競爭，競爭中立或限制競爭[11]。換言之，競爭市場中適當的資訊交換，有助於事業降低成本，提升效率。 貳、重點說明 CMA水平協議指引第8章為資訊交換（Information Exchange），目的即在指導事業為資訊交換的競爭評估[12]。資訊交換是否會引發限制競爭之效應，取決於市場的特性，包含[13]： （1）市場透明度：越透明的市場，競爭之不確定性越小[14]。 （2）市場集中度：若市場中僅有少數事業，則易於達成共識，與控制市場偏差。若市場高度集中，則訊息的交換，將有助於事業了解競爭者的市場地位和策略，而扭曲競爭，甚而增加共謀（collusion）的風險；若市場分散，則競爭者間資訊的傳播與交換，對市場而言，可能為競爭中立或有利於競爭[15]。 （3）參進障礙：此使外部競爭者無法破壞市場中的共謀結果（collusive outcome）[16]。 （4）市場穩定度：在供需穩定的市場，亦可能有共謀的結果；而需求的波動、市場中事業內部的大幅成長、新事業的參進、顛覆性創新（disruptive innovation），均可能顯示市場的穩定度不足，需提升交流，以促進競爭[17]。 競爭對手間的資訊交換，依據共享資訊的內容、目的、法律與經濟背景，可能為侵權而應受限制。包含與競爭對手交換事業目前或未來的訂價方向、生產能力、商業策略、針對需求的規劃，對未來銷售的預測，和在特定市場上的財務狀況與經營策略[18]，提供價格資料而能預測事業未來的行為，和與競爭對手交換潛在參進者所提出之計畫要點[19]。申言之，事業應避免資訊所生之侵權行為；並需考量市場的特性，以評估資訊交換對競爭之限制。 參、事件評析 CMA水平協議指引第8章，提供事業間交換資訊的相關建議。為提升資訊交換對市場的效益，以資訊內容而言，事業須考量資訊交換的目的，以及藉由收集資訊、確認資訊交換的參與者係使用其具有所有權的原始資料、使用歷史資訊、僅交換與達到目標相符且必要的資訊，而能減少具有商業敏感性質的內容[20]。換言之，事業須避免機敏資料的流通，並具有使用資料的權限。 以資訊應用的角度，事業應採取措施，以控制資訊的交換與使用，包含減少頻繁的交換，以特定團隊（clean team）或信託方式進行資訊交換，或使用資料池（data pool）以確認近用資料之所有權[21]。亦即事業須確認資料的來源，與交換資料的相對人，並能管理資料流通的過程。 綜上所論，足夠的資料量，使大數據分析的結果能充分反映市場的實際需求，事業的決策和布局亦更為準確，適當的資訊交換有助於提升事業的市場競爭力。CMA水平協議指引協助事業評估資訊交換對競爭之影響，事業之資訊管理，除內部資訊之維護外，亦包含外部資訊之交換，如資訊交換之必要性，與資訊近用之權限、方式等，或可提供臺灣事業參考。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]Guidance on Horizontal Agreements, GOV. UK, Competition and Markets Authority, https://www.gov.uk/government/publications/guidance-on-horizontal-agreements (last visited Aug. 23, 2023). [2]CMA COMPETITION & MARKETS AUTHORITY, Guidance on the application of the Chapter I prohibition in the Competition Act 1998 to horizontal agreements, CMA184 (Aug. 2023), 6, at 6, https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1178791/Horizontal_Guidance_FINAL.pdf (last visited Sept. 01, 2023). [3]Id., at 35 below. [4]Id., at 83 below. [5]Id., at 124 below. [6]Id., at 145 below. [7]Id., at 203 below. [8]Id., at 165. [9]Id. [10]Id., at 166. [11]CMA Competition & Markets Authority, supra note 8. [12]Id. [13]Id., at 188. [14]Id. [15]Id., at 188-189. [16]Id., at 189. [17]Id. [18]Id., at 190. [19]Id., at 191. [20]Id., at 201. [21]Id.
在西班牙下載音樂無罪？！本週西班牙法官判決，認為行為人為私人用途而下載音樂，其行為並非藉以從中獲利，應認其為無罪。 即便，檢察官辦公室及音樂工會呼籲應對此下載音樂並且在郵件及聊天室提供音樂之被告，處以兩年有期徒刑，然而，在此案當中，卻無直接證據證明被告於銷售音樂之過程中獲利。 此判決震驚了音樂工會，如此一來，西班牙一千六百萬的網路使用者將可透過網路交換音樂而不會受到處罰。西班牙唱片工會聯盟 Promusicae 表示，他將對此項判決提起上訴。 由於歐洲不同的法律規定，關於分享檔案的訴訟也會因不同國家而有極大的差異。然而，大多數的歐洲國家傾向對此處以較高的刑罰。就同為歐盟成員的芬蘭而言，上週便有 22 人因為非法分享電影、音樂遊戲及軟體而被處以 427,000 歐元。 至於西班牙此項為個人用途而下載音樂之行為，據其司法院院長指出，則有待立法修正解決。
資通安全法律案例宣導彙編 第2輯 近來歐盟健康食品上市審查標準之實務觀察歐盟自2007年起開始實施「歐盟(EC)1924/2006號食品營養及健康訴求規則」(簡稱營養與健康訴求規則)以來，對於以營養與健康為訴求的產品，要求廠商上市販賣之產品，必須經過科學實證，產品標示必須簡易明瞭，強調科學實證必須證明食用該產品對人體有益，並證明食用產品與其功能效果間能建立因果關係，更強調文字敘述應貼近事實、清楚明瞭、確實可靠，避免使用模糊不清或造成不同解讀的文字，以便於消費者識別選購產品，滿足個人攝取這類食品的需求。 自規則實施以來，業者紛紛向歐盟食品安全管理局(European Food Safety Authority，簡稱EFSA)遞交申請案件，期待通過審查，獲准上市。然而，以營養與健康訴求規則中的第十四項減少疾病風險與促進兒童健康訴求，引起較多爭議。到2008年9月底，九件申請案當中已有八件遭到EFSA駁回，無不引起產業界的恐慌。僅Unilever(聯合利華公司，以下簡稱Unilever)的植物固醇產品(plant sterol)一案通過。反觀其餘個案，廠商遭EFSA駁回申請案的理由不一。例如，法國廠商Bio-Serae以仙人掌纖維衍生物申請具有降低血脂質的健康訴求，EFSA表示提交的證據資料不足以建立食用產品與效果功能間的因果關係。再者，另一件訴求ALA(α亞麻油酸)和LA(亞麻油酸)之攝取可以促進兒童生長的申請案中，EFSA接受廠商檢附的證據資料，但表示孩童經由正常飲食即可攝取足夠的ALA與LA，攝取量高於均衡飲食標準沒有益處。 雖然EFSA之意見不具有法律效力，且負面意見不表示否定產品之成分或功能，僅表示其依據資料不完整，不足以證明兩者具有因果關係，但卻具有相當之影響力。目前某些業者面對法令細節尚未明朗，同時負面意見多於正面意見的情形下，憂心負面意見恐將影響公司與產品形象，先行退出審查過程並暫緩產品上市。到2008年底，EFSA又駁回五件關於益生菌(probiotics)增進兒童健康的申請案，表示提供的證據資料不足以證明其功能為由。累計至去年底二十七申請案中(含上述五件益生菌申請案)，僅有五件申請案獲得EFSA之正面意見，負面意見依舊多於正面意見。 然而在2009年1月，EFSA核准西班牙廠商Danone促進兒童骨骼生長的健康訴求，表示證據資料足以建立因果關係，證明維他命D有助於鈣質攝取。顯示出業者提供充足科學證據資料與完整的產品說明，以證明其食用產品與功能效果間的因果關係，將利於審查作業進行，也將助於獲得EFSA之核准上市。