英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定英國電子零售業者Carphone Warehouse違反《Data Protection Act 1998》資料保護法
英國電子零售業者Carphone Warehouse在2015年遭到網路攻擊，造成逾300萬客戶及1000名員工的資料外洩，外洩的資料包括客戶的姓名、地址、電話號碼、出生日期、婚姻狀況及1.8萬名客戶的金融卡資訊。
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認為涉及之個人資料嚴重影響個人隱私，使得個人資料有被誤用的風險。ICO進一步調查後並發現，駭客僅是透過有效的登入憑證，就能藉由WordPress軟體存取系統，此事件亦暴露該組織技術安全措施之不足，因受影響系統中使用的軟件的重要元素已過時，且公司未能執行例行的安全測試。ICO認為，像Carphone Warehouse此類規模龐大的公司，應積極評估其資料安全系統，確保系統穩健而避免類似的攻擊。
據此，ICO判定該公司缺乏妥善的安全措施保障使用者資訊，已嚴重違反《Data Protection Act 1998》資料保護法，判罰40萬英鎊。
從今年5月25日起，隨著GDPR的生效，法律將更加嚴格。對此，ICO亦發布了有用的指導，包括GDPR指南，現在採取的12個步驟和工具包。國家網絡安全中心（NCSC）也為組織為保護自己所採取的步驟提供了有用的指導。
耿黃瑄
法律研究員 編譯整理
1. Information Commissioner's Office, Carphone Warehouse fined £400,000 after serious failures placed customer and employee data at risk, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/01/carphone-warehouse-fined-400-000-after-serious-failures-placed-customer-and-employee-data-at-risk/ (last visited Apr. 25, 2018).
2. Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited Apr. 25, 2018).
由於美國與歐洲國家消費者保護政策以及對定型化契約條款的解讀不同，在美國電子商務應用中所常見的線上契約定型化條款內容，很可能在歐洲被解釋為對消費者不公平 (unfair) 而無效。 一位在法國巴黎執業的律師表示，在 AOL Bertelsmann Online France v. Que Choisir 案件中，許多美國律師常用的定型化契約條款，例如：網際網路服務提供者擁有單方變更契約內容之權；消費者之繼續使用服務等同於默示同意新的付費條款內容；網際網路服務提供者對於網路中斷造成的損害不負任何責任；限制消費者只能依循 AOL 的服務使用約款進行損害賠償之求償；及網際網路服務提供者保有中止服務等權利之條款等，在法國法院都被解釋為不合法而無效。雖然 AOL 這個案子還在進行上訴程序，法國巴黎法院在審理另一個案件時，也將類似的條款視為無效，而該案涉案主角則是義大利網際網路服務提供者。 由於法國對於消費者保護的法規係源自於歐盟指令，而歐盟所有會員國皆須在一定期間內將指令內容納入內國法規範，一位在英國執業的律師表示， AOL 在法國法院所得到的判決，如果發生在英國甚或其他歐盟會員國，也可能得到同樣的結果。
美國21世紀醫療法最終規則下之資訊封鎖條文生效，患者健康資料進用權利獲保障美國國家衛生資訊科技協調辦公室（The Office of the National Coordination for Health Information Technology, ONC）於2020年5月公告的「資訊封鎖最終規則（Information Blocking Final Rule）」，於2021年4月5日正式生效。 ONC依21世紀醫療法（21st Century Cure Act）授權，制定有「21世紀醫療法：協同操作性、資訊封鎖與ONC健康IT認證計畫」（21st Century Cures Act: Interoperability, Information Blocking, and the ONC Health IT Certification Program）最終規則，包含各面向關於新興醫療IT技術之規範，其中特別針對資訊封鎖的相關條文，又稱為「資訊封鎖最終規則」。 21世紀醫療法為了確保病患資料近用權利，在法條中明定禁止資訊封鎖行為。「資訊封鎖」，根據資訊封鎖最終規則的定義，是指健康照護業者或健康資訊技術廠商，包括受認證的健康資訊技術（health IT）、健康資料交換 （health information exchange）或健康資料網絡（health information network），在欠缺法律授權或非屬美國公共衛生服務部（Health and Human Service, HHS）認定合理且必要的情況下，所為之干擾、防止或嚴重阻礙電子健康資料（Electronic Health Information, EHI）獲取、交換及使用行為。但以下八種情況，不適用資訊封鎖最終規則：預防傷害（Preventing Harm）、隱私（Privacy）、安全（Security）、不可行性（Infeasibility） 健康IT性能（Health IT Performance）、內容與方式（Content and Manner）、費用（Fees）、授權（Licensing）。 21世紀醫療法在資訊封鎖章節中規定，資訊封鎖相關條文在資訊封鎖例外類型被定義出來後，始生效力。換言之，在資訊封鎖最終規則生效後，病患將有權依法近用其電子健康資料，資料持有者原則上不得拒絕。值得注意的是，資訊封鎖最終規則生效後至2022年10月6日止，適用資訊封鎖條文的電子健康資料範圍，係以美國協同操作核心資料（United States Core Data for Interoperability, USCDI）中所定義之電子健康資料為準。USCDI，是由ONC主導建立的一套資料標準格式，以統一健康資料交換格式，促進資料流通。2022年10月6日起，資訊封鎖最終規則所指的電子健康資料範圍將不僅只局限於USCDI標準所定義之電子健康資料，將擴及健康保險流通與責任法（Health Insurance Portability and Accountability Act， HIPAA）所定義的所有電子健康資料。
北歐能源科技觀點報告討論建築能源效率等為達碳中和所採措施 瑞典最高法院關於維基所設立公共藝術品之照片資料庫之判決瑞典最高法院（Högsta domstolen）於2016/04/04 針對維基基金會（Wikimedia Sverige）與瑞典照片藝術著作權團體(Bildkonst Upphovsrätt i Sverige-BUS)之訴訟案，認定維基基金會無權經由網路提供公共藝術品資料庫（Swedish WikiMedia Art Map）予公眾使用。 本案由瑞典視覺藝術著作權團體於2016/06在瑞典斯德哥爾摩地方法院向維基基金會以侵犯藝術家（konstnärer）對其作品在線上之公眾提供權而提起訴訟。此案爭點在維基未得藝術家之同意前，維基是否可免費提供公共藝術品資料庫供大眾接近使用。因本件訴訟涉及瑞典著作權法24條第1項公共藝術品之轉載重製（24 § Konstverk får avbildas）。瑞典斯德哥爾摩地方法院依民事訴訟法第56章第13條向瑞典最高法院針對此爭議提出判決前置問題（beslut av tingsrätten om hänskjutande enligt 56 kap. 13 § rättegångsbalken）。 瑞典最高法院認為觀光客固然可以對置於公共場所之雕塑品等公共藝術品為攝影，但資料庫是否可無限制使用這些照片則是另一問題。公共藝術品照片資料庫被推定有一定某種程度之商業價值，且不論其是否具商業目的，最高法院認定藝術家有權利去主張此價值。 維基基金會認為此判決弱化表現自由中之基本元素之視覺自由（the freedom of panorama）。需強調的是，此決定只是針對公共藝術品資料庫之運用，並不影響私人上傳公共藝術品照片至社群媒體之權利。 本文同步刊登於TIPS網站（https://www.tips.org.tw）