英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定英國電子零售業者Carphone Warehouse違反《Data Protection Act 1998》資料保護法
英國電子零售業者Carphone Warehouse在2015年遭到網路攻擊，造成逾300萬客戶及1000名員工的資料外洩，外洩的資料包括客戶的姓名、地址、電話號碼、出生日期、婚姻狀況及1.8萬名客戶的金融卡資訊。
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認為涉及之個人資料嚴重影響個人隱私，使得個人資料有被誤用的風險。ICO進一步調查後並發現，駭客僅是透過有效的登入憑證，就能藉由WordPress軟體存取系統，此事件亦暴露該組織技術安全措施之不足，因受影響系統中使用的軟件的重要元素已過時，且公司未能執行例行的安全測試。ICO認為，像Carphone Warehouse此類規模龐大的公司，應積極評估其資料安全系統，確保系統穩健而避免類似的攻擊。
據此，ICO判定該公司缺乏妥善的安全措施保障使用者資訊，已嚴重違反《Data Protection Act 1998》資料保護法，判罰40萬英鎊。
從今年5月25日起，隨著GDPR的生效，法律將更加嚴格。對此，ICO亦發布了有用的指導，包括GDPR指南，現在採取的12個步驟和工具包。國家網絡安全中心（NCSC）也為組織為保護自己所採取的步驟提供了有用的指導。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
耿黃瑄
法律研究員 編譯整理
1. Information Commissioner's Office, Carphone Warehouse fined £400,000 after serious failures placed customer and employee data at risk, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/01/carphone-warehouse-fined-400-000-after-serious-failures-placed-customer-and-employee-data-at-risk/ (last visited Apr. 25, 2018).
2. Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited Apr. 25, 2018).
歐盟部長理事會（Council of Ministers）已於今（2010）年4月27日要求執委會檢視其網路犯罪防制目標，並調查是否有需要設立一中央機構，以儘速達成下列幾項目標，包括：提高調查人員、檢察官、法官及法院相關人員的專業標準、鼓勵各國警方資訊分享以及協調歐盟27個會員國間打擊網路犯罪所採取之方式。 部長理事會提議由執委會進行設立專責機構之可行性調查研究，擬由該專責機構負責前述目標之達成，亦須評估並監督預防性與調查性措施之實行。該調查研究中應特別考量欲設立專責機構之目的、範圍及可能的經費來源，另外亦需考慮是否將其設置於位於海牙的歐盟刑警組織（European Police Office, Europol）中。考量網路犯罪跨國界之特性，為使打擊網路犯罪之相關措施更有效，必須有良好的國際合作及司法執行互助配合。部長理事會認為藉由專責機構之設立，不僅能夠協助培訓法官、警方及檢察官，亦能做為聯繫網路使用者、受害者組織及其他私部門的常設機構。 本部長理事會將歐盟現有之網路犯罪防制相關計畫分成短、中、長期計畫，要求執委會定期追蹤各項相關計畫之執行情況，亦將設立網路犯罪防制專責機構列入執委會後續四年所持續執行有關犯罪與安全治理的斯德哥爾摩計畫（Stockholm Programme）中。 此外，部長理事會也呼籲歐盟各國追蹤用於網路犯罪之IP位置及網域名稱，同時要求執委會協助建立共通的廢止機制，以進行網路犯罪防制。 位於希臘的歐盟網路與資訊安全機構（European Network and Information Security Agency, ENISA），是現階段歐盟網路犯罪防治的研究機構，其進行資訊安全威脅行為之調查，並提供相關建議，但僅是資訊服務單位，未實際投入打擊犯罪行動。
歐盟個資保護委員會大致認定南韓個資保護法具適足性認定，但須進一步評估歐盟個資保護委員會（EDPB）今（2021）年9月27日，就與南韓個人資料保護法（Personal Information Protection Act, PIPA）之適足性認定草案發表意見，認為南韓的個資保護框架與歐盟大致相同。但EDPB 同時也指出，在歐盟執委會做出決定之前，某些部分仍需要釐清。釐清的部分包含： 今年6月歐盟執委會公布並通過的適足性認定草案中，該草案之可執行性與有效性不應僅拘束南韓個資保護機構，也應對司法機構具有效力。除此之外，EDPB 也針對南韓PIPA 免除多項匿名化資訊之義務提出質疑；又南韓相關法令對「同意」之撤銷（或撤回）事由有所限定，應確保其對資料主體「同意」之保障持續符合適足性認定的要求。 至於在資料進一步移轉（onward transfers）方面，EDPB 認為即便資料主體知悉並同意其個資傳輸，仍應告知其資料是否會移轉到第三國之相關風險；以及若個資主體的同意無法符合GDPR 對有效同意之定義時（例如雙方地位不對等時，該同意即非有效），該個資不會從南韓之資料控管者傳輸至第三國；在對此議題南韓未具體修訂相關法令時，與國安相關的個資若進一步移轉，是否會受到憲法框架（如比例原則）和PIPA 中個資保護原則的充分保障？ 而在行政部門存取傳輸到南韓的個資方面，許多議題也需要釐清並引起關注。如與國安方面相關的個資處理，係受PIPA 抑或其他更為限縮的法令限制？又電信業者自願向國安部門揭露使用者個資時，必須同時通知相關的個資主體；EDPB 並希望歐盟執委會釐清，若歐洲經濟區（EEA）內的個人向南韓個資保護機構或司法機構提出救濟時，相關的救濟程序是否實質有效（例如舉證責任的規定為何）？ 於新聞稿中，EDPB 主席 Andrea Jelinek 表示：「歐盟對此適足性認定相當重視，因其將涵蓋公部門與私部門資料的傳輸。而適足的個資保護對支持歐盟與南韓的長期關係與個人權利、自由方面至關重要。雖然EDPB 認為南韓的個資保護框架與歐盟大致相同，然仍建議歐盟執委會密切關注適足性認定的各方發展。」
韓國最高法院判決以虛擬貨幣買賣現金之交易為合法韓國最高法院於2010年1月10日，針對一項以線上遊戲貨幣換取現金所構成之刑事案件做出最終判決，認定此一行為並不違反韓國遊戲產業振興法施行令第18條 之3之禁止交易規定，從而不構成犯罪。 本案事實為兩名知名線上遊戲「天堂」(Lineage)之玩家陸續於2007-2008年間，以其於該遊戲中所購得，約值2億3千4百萬韓圜之虛擬貨幣「天幣」(Aden)，陸續轉賣給其他約2000位遊戲玩家，以賺取價差。該案於2008年經釜山檢察廳依違反遊戲產業振興法施行令起訴，並聲請簡易判決後，兩名玩家分別被處以5百萬及3百萬韓圜之罰金。經兩名玩家提起正式裁判請求後，釜山地方法院仍維持簡易判決之結果，僅將罰金降至4百萬及2百萬韓圜。兩名玩家仍以不服判決為理由上訴至釜山高等法院。於此一上訴審中，釜山高等法院即以該交易所使用之虛擬貨幣並非來自於線上賭博遊戲或其他射悻性之途徑，故不違反韓國遊戲產業振興法施行令第18條 之3之規定，改判兩名玩家無罪。就此一上訴審判決，檢察廳另以該知名線上遊戲仍帶有諸多射悻或運氣成分，從而其取得虛擬貨幣之方式與賭博遊戲相似為理由，向最高法院提起上訴；唯最高法院認釜山高等法院之判決認事用法並無違誤，從而駁回檢察廳上訴，本案判決確定。 對於此一判決，各方反應並不一致。於最高法院判決出爐後，韓國文化觀光體育部即發表正式聲明，表示此一無罪判決係基於法院認定本案缺乏相關認定「不正常遊戲管道」是否存在之證據，而並非一律認定虛擬貨幣與現金之間的買賣或兌換交易均為合法。但一般遊戲產業界均認為，此一判決之作成確實開啟了線上遊戲中另一種獲利市場之可能性。如再配合2009年9月韓國法院所作成對於線上遊戲中的虛擬貨幣交易須課徵10%加值稅的判決進行觀察，則此種交易方式是否會對於韓國整體遊戲產業發生結構性之重大影響，應值得期待。
歐盟對CISAC權利金收費行為展開限制競爭調查歐盟最近對CISAC公司的權利金收費行為，是否涉有不公平競爭之情事展開調查，此舉引發藝文界高度關注。CISAC乃是由作家及作曲家所組成的一個國際性聯盟組織（ International Confederation of Societies of Authors and Composers），會員來自於109個國家的207個社團（ member societies），代表超過兩百萬位以上的藝術家、作曲家及導演之權益。 在一封2月7日寄發給CISAC的信件中，執委會表示CISCA拒絕跨國授權的行為，已構成違反歐盟競爭法第81條。此外，執委會也表示，CISCA要求只有個別國員內的權利金收費社團可為會員收取權利金的約款，將迫使創作者無其他選擇，必須將其權利移轉給其國內之權利金收費社團，此種限制性約款亦為歐盟競爭法所不許。蓋CISCA本即擁有事實上之獨佔地位，此等約款將使其他潛在競爭者難以進入市場，故有限制競爭之疑慮。 2月21日，在與內部市場委員（Internal markets Commissioner）Charlie McCreevy的會面中，音樂作曲家代表對歐盟競爭總署近來的大動作，將可能危及文化多樣性（cultural diversity），扼殺廣大文化創作者的創意，毀掉歐盟在此一領域之利基，表達出高度疑慮。McCreevy 向作曲家保證，執委會的目的不在限制或詆毀創作者既有之權利，而是希冀能建立一個合法的數位環境，活絡歐盟地區的線上音樂服務。 目前，歐盟地區的跨國廣播公司如要播放音樂，必須在個別播放國家分別取得其權利金收費團體的授權。如果歐盟可藉由此次限制競爭的調查，迫使CISAC提供泛歐洲授權契約的服務，將使線上廣播公司受惠。