英國因劍橋分析個資外洩事件開罰臉書
英國資訊專員辦公室（Information Commissioner’s Office, ICO）於2018年10月24日公告針對臉書公司（Facebook Ireland Ltd. & Facebook Inc.）之劍橋分析（Cambridge Analytica）個資外洩事件，依據英國資料保護法（Data Protection Act 1998）第55A條之規範，裁罰臉書公司50萬英鎊之罰鍰。
自2018年3月劍橋分析違法取得與使用臉書個資事件爆發以來，估計約有8700萬筆臉書上的個人資料遭到違法使用，引起全球對於網路個資保護的重視。在遭到違法取得與使用的個資當中，也包含了歐盟以及英國臉書使用者的個資，因此英國ICO有權對此事件展開調查並對臉書公司進行裁罰。
根據英國ICO的調查，自2007年至2014年間，臉書公司對於其平台上的個資處理（processed）有所不當，違反資料保護法之資料保護原則（Data Protection Principle，DPP），包含未適當處理個人資料（DPP1），以及未採取足夠的技術與作為防止未經授權或違法使用個資（DPP7），致使劍橋分析得以透過臉書公司提供之API違法取用臉書使用者個資。
由於劍橋分析事件發生時，歐盟GDPR（General Data Protection Regulation）尚未正式上路，因此英國ICO依據事件發生時之法律，亦即基於歐盟資料保護指令（Directive 95/46/EC）所訂定之英國資料保護法，裁處臉書公司50萬英鎊的罰款；若依據基於GDPR之新版英國資料保護法（Data Protection Act 2018），臉書公司將可被裁處最高1700萬英鎊或年度全球營業額4%之罰款。
本文為「經濟部產業技術司科技專案成果」
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
范晏儒
專案經理 編譯整理
Facebook Ireland Ltd monetary penalty notice, Information Commissioner’s Office, https://ico.org.uk/action-weve-taken/enforcement/facebook-ireland-ltd/ (last visited: Nov. 12, 2018)
ICO issues maximum £500,000 fine to Facebook for failing to protect users’ personal information, Information Commissioner’s Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/10/facebook-issued-with-maximum-500-000-fine/ (last visited: Nov. 12, 2018)
UK fines Facebook £500,000 for failing to protect user data, The Guardian, https://www.theguardian.com/technology/2018/oct/25/facebook-fined-uk-privacy-access-user-data-cambridge-analytica (last visited: Nov. 12, 2018)
歐盟法院做成先決裁判，臉書粉絲專頁管理員也有責任保護用戶資料隱私， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8065&lv2=148 （最後瀏覽日：2018/11/12）
英國提出因應GDPR自動化決策與資料剖析規定之細部指導文件， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8063&lv2=148 （最後瀏覽日：2018/11/12）
美國白宮於2018年3月發布〈總統管理方案（President’s Management Agenda）〉，其中發展「聯邦資料戰略（Federal Data Strategy）」，將資料作為戰略資產，藉以發展經濟、提高聯邦政府效能、促進監督與透明度，為方案中重要之工作目標之一。「聯邦資料戰略」之架構上主要包括四個組成部分，以指導聯邦資料之管理和使用：1.使命宣言：闡明戰略之意圖與核心目的；2.原則：有十大恆定原則對於機關進行指導；3.實作規範：有四十項實作規範指導機關如何利用資料之價值；4.年度行動計畫：以可衡量之活動來實踐這些實作規範。 於2019年12月23日，〈2020年行動計畫〉之最終版正式發布，其將建立堅實之基礎，在未來十年內支持戰略之實踐。詳言之，〈2020年行動計畫〉之內涵主要包含三大部分與二十個行動： 機關行動：旨在支持機關利用其資料資產，包括六大行動：(1)行動1：確認用於回答對於機關而言具有優先性之問題所需之資料；(2)行動2：將機關之資料治理制度化；(3)行動3：評估資料與相關基礎設施之成熟度；(4)行動4：確認提高員工資料技能之機會；(5)行動5：確認用於機關開放資料計劃之優先資料資產；(6)行動6：發布與更新資料庫存。 實踐共同體之行動：由特定機關或一群機關就一共通主題所採取之行動，可加速並簡化現有要求之執行，包括下列四大活動：(1)行動7：成立聯邦首席資料官委員會；(2)行動8：改善用於AI研究與發展之資料與模型資源；(3)行動9：改善財務管理資料標準；(4)行動10：將地理空間資料實務整合至聯邦資料事業中。 共享解決方案行動：為所有機關之利益、由單一機關或委員會試行或發展之活動：(1)行動11：開發聯邦事業資料資源儲存庫；(2)行動12：創建美國預算管理局聯邦資料政策委員會；(3)行動13：制定策畫之資料技能目錄；(4)行動14：制定資料倫理框架；(5)行動15：開發資料保護工具組；(6)行動16：試行一站式之標準研究應用程序；(7)行動17：試行一種自動化之資訊收集評論工具，該工具支持資料庫存之創建與更新；(8)行動18：試行用於聯邦機構之增強型資料管理工具；(9)行動19：制定資料品質評估與報告指引；(10)行動20：發展資料標準之儲存庫。 〈2020年行動計畫〉確定機關之初步行動，其對建立流程、建立能力、調整現有工作以更好地將資料作為戰略資產至關重要。未來之年度行動計畫將會在〈2020年行動計畫〉之基礎上進一步發展出針對聯邦資料管理之協調方案。
美國發表網路安全框架2014年2月12日，美國發表「網路安全框架(Cybersecurity Framework)」，該框架係由美國政府、企業及民間機構花費一年的時間共同發展而成，其蒐集了全球現有的標準、指引與最佳實務作法，最後由國家標準技術局（National Institute of Standard and Technology, NIST）彙整後所提出。 本框架主要可分成三大部份： 1.框架核心（Framework Core） 框架核心包括辨識(Identify)、保護( Protect)、偵測( Detect)、應變( Respond)、與復原( Recover)等五項功能。這五項功能組成網路安全管理的生命週期，藉由這五項功能的要求項目與參考資訊的搭配運用，可使組織順利進行網路安全管理。 2. 框架實作等級（Framework Implementation Tiers） 共分成局部（Partial）、風險知悉（Risk Informed）、可重複實施（Repeatable）、合適（Adaptive）四個等級。組織可以透過對風險管理流程、整合風險管理計畫以及外部參與等三個面向的觀察，瞭解組織目前的安全防護等級。 3. 框架側寫（Framework Profile） 框架側寫係組織依照本框架實際操作後所產出的結果，可以協助組織依據其企業需求、風險容忍度，決定資源配置的優先順序，進一步調整其網路安全活動。 此一安全框架旨在提供整體規劃藍圖予尚未建立網路安全架構的組織參考，而針對已有建立網路安全架構者，該框架並未意圖取代組織原先的風險管理程序和網路安全計畫，而係希望協助公、私部門改善資通訊科技和工業控制系統風險管理的能力。
美國最高法院認定州政府得對電商業者課徵銷售稅美國最高法院在今(2018)年1月12日決定接受南達科塔州的上訴，就South Dakota v. Wayfair一案(下稱Wayfair案)進行審理，以決定州政府是否有權對網路零售業者課徵銷售稅。依據最高法院在1992年Quill v. North Dakota (下稱Quill案)所確立之原則，若網路零售商在該州無實體呈現 (physical presence)，州政府即不得對該零售商向該州居民所銷售之貨物課徵銷售稅。 在1992年Quill案中，最高法院認為州政府對於遠距零售者(remote retailer)課稅，將違反潛在商務條款(dormant commerce clause)，理由是對於無具體呈現的零售商課稅，將使其面對許多不同的課稅管轄權，造成零售商巨大的負擔，並增加州際商務的複雜性。南達科塔州認為科技的進步已使得零售商商所面臨課稅的複雜度降低，故在2016年通過法案對無實體呈現之電商業者課稅，因而引發相關爭訟。 本案在今年6月21日宣判由南達科塔州勝訴，判決指出隨著電子商務的成長及資訊科技的進步，課稅並不如過往會對業者造成具大的負擔，同時也可滿足正當程序與潛在商務條款的要求；此外，Quill案將會造成市場的扭曲，其所造成的稅捐保護傘將對具有實體呈現的業者造成不公平的競爭。因此認定Quill案已難以適用於現在的電子商務市場。 但本案仍有四位大法官反對，認為應由國會立法來糾正此一錯誤。因為國會並未明確授權州政府可對跨州零售交易課稅，因此才有潛在商務條款的適用，換言之，國會實際擁有立法授與各州徵收遠距交易之權力，在115期國會當中，也已經有相關的法案被提出，包括Remote Transaction Parity Act of 2017 (H.R. 2193)、Marketplace Fairness Act of 2017 (S.976)。在最高法院完成此一判決後，後續可繼續觀察美國國會是否會以立法的方式，授與州政府對跨州商業貿易課徵租稅。
WTO歐盟生技產品案解析（上）