英國資訊委員辦公室(ICO)發布企業自行檢視是否符合歐盟一般資料保護規則之12步驟

  英國作為歐洲金融重鎮,不論各行業均有蒐集、處理、利用歐盟會員國公民個人資料之可能,歐盟一般資料保護規則(General Data Protection Regulation,簡稱GDPR)作為歐盟資料保護之重要規則,英國企業初步應如何自我檢視組織內是否符合歐盟資料保護標準,英國資訊委員辦公室(Information Commissioner's Office, ICO)即扮演重要推手與協助角色。

  英國ICO於2017年4月發布企業自行檢視是否符合GDPR之12步驟(Preparing for the General Data Protection Regulation(GDPR)-12 steps to take now),可供了解GDPR的輪廓與思考未來應如何因應:

  1. 認知(Awareness):認知GDPR帶來的改變,與未來將發生的問題與風險。
  2. 盤點資料種類(Information you hold):盤點目前持有個人資料,了解資料來源與傳輸流向,保留處理資料的紀錄。
  3. 檢視外部隱私政策(Communicating privacy information):重新檢視當前公告外部隱私政策,並及時對GDPR的施行擬定因應計畫。
  4. 當事人權利(Individuals' rights):檢視資料處理流程,確保已涵蓋GDPR賦予當事人如:告知權、接近權、更正權、刪除權、製給複本權、停止處理權、不受自動決策影響等相關權利。
  5. 處理客戶取得資料請求(Subject access requests):GDPR規定不能因為客戶提出取得資料請求而向其收費;限期於1個月內回覆客戶的請求;可對明顯無理或過度的請求加以拒絕或收費;如拒絕客戶請求則限期於1個月內須向其說明理由與救濟途徑等。
  6. 處理個人資料須立於合法理由(Lawful basis for processing personal data):可利用文書記錄與更新隱私聲明說明處理個人資料之合法理由。
  7. 當事人同意(Consent):重新檢視初時如何查找、紀錄與管理取得個人資料的同意,思考流程是否需要做出任何改變,如無法符合GDPR規定之標準,則須重新取得當事人同意。
  8. 未成年人(Children)保護:思考是否需要制定年齡驗證措施;對於未成年人保護,考慮資料處理活動是否需取得其父母或監護人的同意。
  9. 資料外洩(Data breaches):有關資料外洩的偵測、報告與調查,確保已制定適當處理流程。
  10. 資料保護設計與影響評估(Data Protection by Design and Data Protection Impact Assessments):GDPR使資料保護設計與影響評估明文化。
  11. 資料保護專責人員(Data Protection Officers):須指定資料保護專責人員,並思考該專責人員於組織中的角色與定位。
  12. 跨境傳輸(International):如執行業務需跨越數個歐盟會員國境域,企業則須衡量資料監管機關為何。

相關連結
相關附件
你可能會想參加
※ 英國資訊委員辦公室(ICO)發布企業自行檢視是否符合歐盟一般資料保護規則之12步驟, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8019&no=55&tp=1 (最後瀏覽日:2026/07/27)
引註此篇文章
你可能還會想看
執法部門無搜索令要求提供手機位置記錄並未違憲

  美國聯邦第六巡迴上訴法院於2016年4月13日就U.S. v. Timothy Ivory Carpenter & Timothy Michael Sanders案作出判決,裁定執法機關在未取得搜索令的情況下要求出示或取得手機位置記錄,並不違反憲法增修條文第4條。美國憲法增修條文第4條規定:「人人具有保障人身、住所、文件及財物的安全,不受無理之搜索和拘捕的權利;此項權利,不得侵犯;除非有可成立的理由,加上宣誓或誓願保證,並具體指明必須搜索的地點,必須拘捕的人,或必須扣押的物品,否則一概不得頒發搜索令。」   本案事實係聯邦調查局取得兩名涉及多起搶劫案之嫌疑人的手機位置,而根據手機位置之相關資料顯示,於相關搶案發生之時間前後,該二名嫌疑人均位於事發地半英哩至兩英哩的範圍內,故該二名嫌疑人隨後被控多項罪名。在肯認與個人通訊相關之隱私法益的重要性的同時,聯邦第六巡迴上訴法院認為,「縱使個人通訊之內容落於私領域,但是為了將該些通訊內容自A地至B地所必須之資訊,則非屬私領域之範疇。」聯邦第六巡迴上訴法院拒絕將憲法增修條文第4條的保護延伸至像是個人通訊或IP位址等之後設資料(metadata),其原因在於,蒐集此等資訊或記錄並不會揭露通訊的內容,因此本案之嫌疑人就聯邦調查局所取得之資訊並無隱私權之期待。法院認定,此等行為不同於自智慧型手機取得資訊,因為後者「通常而言儲存了大量有關於特定使用人之資訊。」   2015年11月9日,美國聯邦最高法院拒絕審理Davis v. United States案,該案係爭執搜索令於執法部門要求近用手機位置資料時之必要性。加州州長Jerry Brown於2015年10月亦簽署加州電子通訊法(California Electronic Communications Act, CECA),該法禁止任何州政府的執法機關或其他調查單位,在未出示搜索令的情況下,要求個人或公司提供具敏感性之後設資料。

歐盟執委會發布《歐盟晶片調查報告》提出四點發現以利未來晶片法相關計畫制定

  歐盟執委會(European Commission)於2022年8月2日發布《歐盟晶片調查報告》(European Chips Survey Report,下稱調查報告),調查結果顯示業界至2030年為止,對晶片之需求將倍數成長。調查報告於2022年2月啟動,其目的在收集有關晶片和晶圓(wafer)現行及未來需求的初步資訊,作為了解晶片供應危機對歐盟產業影響的第一步。調查報告總共收到141份來自半導體供需雙方廠商之回饋意見,其中有54.9%來自大型企業、17.3%來自中型企業、19.5%來自小型企業、8.3%來自微型企業。調查報告對上述意見進行分析,以提供來自半導體價值鏈洞察與預測的觀點。   調查報告主要包括以下四點:   (1) 預計2022年至2030年間晶片需求將倍增,未來對領先半導體技術的需求將顯著增加。   (2) 在選擇製造地點時,建立新晶片製造設施的公司將著重合格的勞工及遵循政府法令。   (3) 供應危機影響所有生態系統,預計至少會持續到2024年,迫使企業採取代價較高的緩解措施。   (4) 半導體研發資金主要與供應方相關,但補助計畫(support initiatives)也與需求方相關。   2022年2月8日歐盟執委會提出《歐盟晶片法草案》,旨在處理半導體短缺以及加強歐洲技術領先地位。隨著歐洲半導體專家小組開始研究監控與盤點架構,調查報告的結果可以協助制定《歐盟晶片法草案》與相關計畫。

澳洲詮釋自動駕駛「恰當駕駛」內涵

  澳洲國家交通委員會(National Transport Commission, NTC)2017年11月提出「國家自駕車實施指南(National enforcement guidelines for automated vehicles)」,協助執法單位適用目前道路駕駛法規於自駕車案例上。由於澳洲道路法規(Australian Road Rules)第297條第1項規範「駕駛者不得駕駛車輛除非其有做出恰當控制(A driver must not drive a vehicle unless the driver has proper control)」,此法規中的「恰當控制」先前被執法機關詮釋為駕駛者應坐在駕駛座上並至少有一隻手置於方向盤上。因此本指南進一步針對目前現行法規適用部分自動駕駛系統時,執法機關應如何詮釋「恰當駕駛」內涵,並確認人類駕駛於部分自動駕駛系統運作時仍應為遵循道路駕駛法規負責。   本指南僅提供「恰當控制」之案例至SAE J2016第一級、第二級和第三級之程度,而第四級與第五級之高程度自動駕駛應不會於2020年前進入市場並合法上路,因此尚未納入本指南之詮釋範圍之中。本指南依照採取駕駛行動之對象、道路駕駛法規負責對象(誰有控制權)、是否應將一隻手放置於方向盤、是否應隨時保持警覺以採取駕駛行動、是否可於行駛中觀看其他裝置等來區分各級自動駕駛系統運作時,人類駕駛應有之恰當駕駛行為。

2018年直布羅陀公布一系列DLT應用商業活動管制規範

  英國海外屬地直布羅陀,針對透過與日俱增的首次發行代幣(Initial Coin Offerings, 簡稱ICO)募集商業活動,早在2017年9月,其金融服務委員會(Gibraltar Financial Service Commission, 簡稱GFSC)已公布官方聲明,警告投資人運用分散式帳本技術(Distributed Ledger Technology,簡稱DLT)之商業活動,如:虛擬貨幣交易或ICO等具高風險且投機之性質,投資人應謹慎。   GFSC又於2018年1月公布「分散式帳本技術管制架構」(Distributed Ledger Technology Regulatory Framework),凡直布羅陀境內成立或從其境內發展之商業活動,若涉及利用DLT儲存(store)或傳輸(transmit)他人有價財產(value belong)者,均須先向GFSC申請成為DLT提供者(DLT provider),並負擔以下義務: 應秉持誠信(honesty and integrity)進行商業活動。 應提供客戶適當利息,且以公平,清楚和非誤導方式與其溝通。 應準備相當金融或非金融資源(non-financial resources)。 應有效管理和掌控商業活動,且善盡管理人注意義務(due skill, care and diligence),包含適當地告知客戶風險。 應有效配置(arrangement)客戶資產和金錢。 應具備有效公司治理,如:與GFSC合作且關係透明。 應確保高度保護系統和安全存取協定。 應具備系統以預防、偵測且揭發金融犯罪風險,如:洗錢和資恐。 應提供突發事件預備方案以維持商業活動繼續進行。   GFSC和商業部(Ministry of Commerce)又於2018年2月聯合公布,將於第二季提出全世界第一部ICO規範,管制境內行銷(promotion)、販售和散布數位代幣(digital token)行為,強調贊助人須先授權(authorized sponsor),並有義務確保遵守有關資訊揭露和避免金融犯罪之法律。

TOP