英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定英國電子零售業者Carphone Warehouse違反《Data Protection Act 1998》資料保護法
英國電子零售業者Carphone Warehouse在2015年遭到網路攻擊，造成逾300萬客戶及1000名員工的資料外洩，外洩的資料包括客戶的姓名、地址、電話號碼、出生日期、婚姻狀況及1.8萬名客戶的金融卡資訊。
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認為涉及之個人資料嚴重影響個人隱私，使得個人資料有被誤用的風險。ICO進一步調查後並發現，駭客僅是透過有效的登入憑證，就能藉由WordPress軟體存取系統，此事件亦暴露該組織技術安全措施之不足，因受影響系統中使用的軟件的重要元素已過時，且公司未能執行例行的安全測試。ICO認為，像Carphone Warehouse此類規模龐大的公司，應積極評估其資料安全系統，確保系統穩健而避免類似的攻擊。
據此，ICO判定該公司缺乏妥善的安全措施保障使用者資訊，已嚴重違反《Data Protection Act 1998》資料保護法，判罰40萬英鎊。
從今年5月25日起，隨著GDPR的生效，法律將更加嚴格。對此，ICO亦發布了有用的指導，包括GDPR指南，現在採取的12個步驟和工具包。國家網絡安全中心（NCSC）也為組織為保護自己所採取的步驟提供了有用的指導。
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
耿黃瑄
法律研究員 編譯整理
1. Information Commissioner's Office, Carphone Warehouse fined £400,000 after serious failures placed customer and employee data at risk, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/01/carphone-warehouse-fined-400-000-after-serious-failures-placed-customer-and-employee-data-at-risk/ (last visited Apr. 25, 2018).
2. Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited Apr. 25, 2018).
資訊揭露與市場競爭評估– 研析英國水平協議指引中之資訊交換 資訊工業策進會科技法律研究所 2023年09月23日 英國競爭與市場管理局（Competition and Markets Authority，CMA）於2023年8月16日發布《1988年競爭法第一章禁令適用於水平協議之指引》（Guidance on the application of the Chapter I prohibition in the Competition Act 1998 to horizontal agreements，以下簡稱CMA水平協議指引），以規範實際或潛在競爭者間之協議[1]。CMA水平協議指引提供事業擬定協議內容的參考，事業間於業務合作的同時，亦能符合法遵之要求，以維護市場公平競爭。 壹、事件摘要 英國CMA水平協議指引解釋競爭法之適用，尤其是《1998年競爭法》（Competition Act 1998，CA98）第1章禁止水平協議。2023年1月1日，《1998年競爭法（專業協議集體豁免）2022年指令》（SABEO）與《1998年競爭法（研發協議集體豁免）2022年指令》（R&D BEO）生效，於2023年8月16日發布之CMA水平協議指引，協助事業評估特定類型的水平協議是否受益於SABEO和R&D BEO，和遵守競爭法之相關規範[2]。申言之，CMA水平協議指引協助事業評估其所簽訂之協議內容，是否屬於法規範豁免之類型，且合乎競爭法之規定。 CMA水平協議指引說明研發協議[3]、生產協議[4]、採購協議[5]、商業化協議[6]和標準化協議[7]之適用與範例。鑒於大數據分析與機器學習需使用大量的資料；而大數據分析的結果，或機器學習的應用，將影響決策的形成，資訊交換因而更顯重要[8]，CMA水平協議指引亦引導事業為合理的資訊交換。 資訊交換不僅為競爭市場的共同特徵，在一般的情形亦有利於消費者；例如資訊交換有助於解決資訊不對等而提升市場效率，事業能藉由比較最佳實踐方案，以提高內部效率；能減少庫存以節省成本，並處理不穩定的需求；或藉由演算法以開發新的產品或服務；[9]或減少搜尋成本，以提供消費者利益[10]。依據實際情況，資訊交換可以是有利於競爭，競爭中立或限制競爭[11]。換言之，競爭市場中適當的資訊交換，有助於事業降低成本，提升效率。 貳、重點說明 CMA水平協議指引第8章為資訊交換（Information Exchange），目的即在指導事業為資訊交換的競爭評估[12]。資訊交換是否會引發限制競爭之效應，取決於市場的特性，包含[13]： （1）市場透明度：越透明的市場，競爭之不確定性越小[14]。 （2）市場集中度：若市場中僅有少數事業，則易於達成共識，與控制市場偏差。若市場高度集中，則訊息的交換，將有助於事業了解競爭者的市場地位和策略，而扭曲競爭，甚而增加共謀（collusion）的風險；若市場分散，則競爭者間資訊的傳播與交換，對市場而言，可能為競爭中立或有利於競爭[15]。 （3）參進障礙：此使外部競爭者無法破壞市場中的共謀結果（collusive outcome）[16]。 （4）市場穩定度：在供需穩定的市場，亦可能有共謀的結果；而需求的波動、市場中事業內部的大幅成長、新事業的參進、顛覆性創新（disruptive innovation），均可能顯示市場的穩定度不足，需提升交流，以促進競爭[17]。 競爭對手間的資訊交換，依據共享資訊的內容、目的、法律與經濟背景，可能為侵權而應受限制。包含與競爭對手交換事業目前或未來的訂價方向、生產能力、商業策略、針對需求的規劃，對未來銷售的預測，和在特定市場上的財務狀況與經營策略[18]，提供價格資料而能預測事業未來的行為，和與競爭對手交換潛在參進者所提出之計畫要點[19]。申言之，事業應避免資訊所生之侵權行為；並需考量市場的特性，以評估資訊交換對競爭之限制。 參、事件評析 CMA水平協議指引第8章，提供事業間交換資訊的相關建議。為提升資訊交換對市場的效益，以資訊內容而言，事業須考量資訊交換的目的，以及藉由收集資訊、確認資訊交換的參與者係使用其具有所有權的原始資料、使用歷史資訊、僅交換與達到目標相符且必要的資訊，而能減少具有商業敏感性質的內容[20]。換言之，事業須避免機敏資料的流通，並具有使用資料的權限。 以資訊應用的角度，事業應採取措施，以控制資訊的交換與使用，包含減少頻繁的交換，以特定團隊（clean team）或信託方式進行資訊交換，或使用資料池（data pool）以確認近用資料之所有權[21]。亦即事業須確認資料的來源，與交換資料的相對人，並能管理資料流通的過程。 綜上所論，足夠的資料量，使大數據分析的結果能充分反映市場的實際需求，事業的決策和布局亦更為準確，適當的資訊交換有助於提升事業的市場競爭力。CMA水平協議指引協助事業評估資訊交換對競爭之影響，事業之資訊管理，除內部資訊之維護外，亦包含外部資訊之交換，如資訊交換之必要性，與資訊近用之權限、方式等，或可提供臺灣事業參考。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]Guidance on Horizontal Agreements, GOV. UK, Competition and Markets Authority, https://www.gov.uk/government/publications/guidance-on-horizontal-agreements (last visited Aug. 23, 2023). [2]CMA COMPETITION & MARKETS AUTHORITY, Guidance on the application of the Chapter I prohibition in the Competition Act 1998 to horizontal agreements, CMA184 (Aug. 2023), 6, at 6, https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1178791/Horizontal_Guidance_FINAL.pdf (last visited Sept. 01, 2023). [3]Id., at 35 below. [4]Id., at 83 below. [5]Id., at 124 below. [6]Id., at 145 below. [7]Id., at 203 below. [8]Id., at 165. [9]Id. [10]Id., at 166. [11]CMA Competition & Markets Authority, supra note 8. [12]Id. [13]Id., at 188. [14]Id. [15]Id., at 188-189. [16]Id., at 189. [17]Id. [18]Id., at 190. [19]Id., at 191. [20]Id., at 201. [21]Id.
何謂「創新採購」？歐盟為推動歐洲單一市場，在2014年2月26日通過三項新的政府採購指令，包括「一般政府採購指令」、「公用事業政府採購指令」、「特許採購指令」，其修正宗旨主要在於從下列四個改革方向改善採購招標程序： 1.簡化及採用彈性的政府採購程序 2.擴大適用電子招標； 3.改善中小企業參與招標程序； 4.於採購招標程序中納入策略性目的之考量，以實現「歐洲2020策略（European Strategy 2020）」之創新目標。 因此一般政府採購指令第26條明訂，要求會員國應提供除原有之公開招標（open procedure，政府採購指令第27條）、限制性招標（restricted procedure，政府採購指令第28條）程序外，應另外提供創新夥伴（innovation partnerships，政府採購指令第29條）、競爭談判（competitive procedure with negotiation，政府採購指令第30條）及競爭對話（competitive dialogue，政府採購指令第31條）三種程序。 其中最重要者，在於將政府採購視為其達成創新政策之政策工具，在招標程序中推動所謂的創新採購（Public Procurement for Innovation, PPI）及商業化前採購（Pre-commercial procurement, PCP）。 前者係指創新解決方案幾乎或已經少量上市，不需要再投入資源進行新的研發（R&D）工作。而後者則針對所需要改善的技術需求，還沒有接近上巿的解決方案，需要再投入資源進行新的研發。採用競爭方法及去風險，經由一步一步的方案設計、原型設計、開發及首次產品測試來比較各替代方案的優缺點。
美參議員盧比歐推動禁止與中國交易敏感科技之法案美國共和黨參議員盧比歐（Marco Rubio），亦為「美國國會及行政當局中國委員會」（Congressional-Executive Commission on China，簡稱CECC）之主席，於2018年5月宣布一項針對中國的立法——「美中公平貿易執行法」（Fair Trade with China Enforcement Act）。該法案以保護國家安全為目的，成為禁止美中兩國交易「敏感科技」之法源，同時，更提高課徵跨國公司來自中國的所得稅，藉以箝制中國竊取美國智慧財產。 而為因應中國國務院所提「中國製造2025」戰略計畫，其重點發展科技——機器人、航太、潔淨能源車（robotics, aerospace and clean-energy cars），該法案亦對中資持有美國研發製造上揭科技之公司的持股權予以限制。除此之外，該法更將禁止美國政府及其包商購買中國華為（Huawei）、中興通訊（ZTE）兩間公司的任何電信通訊設備或服務；美國國會和美國總統川普均指稱兩間公司會透過產品暗中監看美國，而施壓美國私人企業亦勿販售兩公司產品。 也許正如盧比歐參議員對外發表「美中公平貿易執行法」時所言，當今如何回應中國日益劇增對國家安全、竊取敏感科技之威脅，實為地緣政治（geopolitical）待解關鍵。