英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定Uber違反《Data Protection Act 1998》資料保護法
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定知名共享公司Uber未能在網路攻擊期間保護客戶的個人資料，故處以罰款385,000英鎊。
ICO調查發現Uber的諸多過失，包含系統存有一系列原可避免的數據安全漏洞，使得攻擊者可透過Uber美國母公司旗下所營運的雲端儲存系統，下載大約270萬筆英國客戶個人資料，例如全名、電子郵件及電話號碼等。該事件亦影響了Uber在英國8萬多名司機的相關營運紀錄，如旅程詳情及支付金額。然而，受影響的客戶和司機竟達一年多未被告知此個資外洩事故。相反的，Uber反而向攻擊者妥協並支付了10萬美元，以銷毀被盜取的數據。
ICO認為，這不僅為Uber資料安全之問題，且當時未採取任何措施通知可能受影響的人，或對其提供任何協助，已完全忽視受害客戶和司機之權益。而對攻擊者支付贖金後即保持沉默，亦非對於網路攻擊之適當反應，Uber未完善的數據保護措施，以及隨後的決策與行為，反將可能會加劇受害者權益的受損。
因此，ICO認為該事件已嚴重違反了英國1988年資料保護法（Data Protection Act 1998, DPA）第7條的原則，有可能使受影響的客戶和司機面臨更高的詐欺風險，故從嚴判處Uber高達385,000英鎊罰款。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
耿黃瑄
法律研究員 編譯整理
1. Information Commissioner's Office, ICO fines Uber £385,000 over data protection failings, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/11/ico-fines-uber-385-000-over-data-protection-failings/ (last visited Dec. 20, 2018).
2. Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited Dec. 20, 2018).
日本農林水產省（以下簡稱農水省）從2021年起於補助計畫要點中規定，農業關係人利用農水省補助金導入智慧農機、無人機、農業機器人、IoT機器等所產生資料，且為系統服務業者取得、保管的情況下，須符合2020年農業領域AI資料契約指引要求之相關程序（下稱GL合規）。系統服務業者可依據農水省網站所提供的GL合規CHECKLIST，自行向律師、專利師等諮詢，評估其與農業資料提供者間契約是否GL合規。農水省亦於2020年年底召開兩場相關說明會，條列出須GL合規之補助計畫清單，且相關計畫規定預計於2021年生效（2021年1月6日至2月10日公開招募之智慧農業實證計畫即已有相關規定）。 前述規定係源自於2020年7月17日日本閣議通過最新版「規制改革實施計畫」，其中與「農業資料利用」相關實施項目為：利用農水省補助金導入智慧農業機械時所締結之契約，應符合2020年農業領域AI資料契約指引之核心精神，保障農民可使用其提供給系統服務業者所保管之數據資料。日本政府為促進農業關係人提供資料，於2020年制定農業領域AI資料契約指引，做為農業資料提供者與智農機具系統服務業者訂立契約時之參考。為更進一步促使系統服務業者獲得農業資料提供者的信賴，透過規制改革實施計畫，將該農業資料契約指針推升成為補助計畫要點，可作為我國農業領域推動資料提供、保護、或流通運用機制之借鏡。
OTT影音發展與著作權－以英國為例 FDA允許第一個可以直接對消費者進行個人基因遺傳的健康風險服務測試法-GHR「美國食品和藥物管理局（FDA）」於2017年4月6日准許「23and me個人基因遺傳健康風險服務測試（簡稱GHR）」進行行銷，FDA要求該測試方法可以一定準確度檢測出十種疾病及可能條件。GHR是第一個被美國食品藥物管理局授權允許直接對消費者進行測試並提供個人遺傳傾向及醫療疾病條件資訊給消費者的測試。 GHR試圖提供遺傳風險資訊給消費者，但這個測試無法確定人們發展成疾病或發病條件的總體風險，因為除了某些遺傳變體的存在，還有很多因素會影響健康條件的發展，包含環境以及生活方式的因素，因此該檢測可能可以幫助人們做選擇生活方式的決定或告知消費者專業的健康照護。 23and me的GHR測試是運作自隔離唾液樣品中的DNA，此檢測被測試超過500000個遺傳變體，其檢測關於發展成以下十種疾病或發病條件增加風險的存在與否，包括帕金森氏症（Parkinson’s disease）、阿茲海默症（Late-onset Alzheimer’s disease）、自體免疫問題（Celiac disease）、α-1抗胰蛋白酶缺乏症、早發性原發性肌張力障礙（early-onset primary dystomia）、因子XI缺乏症（factor XI deficiency）、高血病1型（gaucher disease type1）、葡萄糖6-磷酸脫氫酶缺乏症（glucose 6- phosphate dehydrogenase defiency）、遺傳性血色素沉著症（hereditary hemochromatosis）、遺傳性血栓形成（hereditary thrombophilia）。 此外，FDA更要求所有DTC測試在醫療用途目的上之使用必需要能跟消費者溝通，使消費者可以充分了解該測試法後選用。其中一個研究顯示，23andMe的GHR測試的相關資訊是容易被理解的，有90%的人能夠了解報告中所呈現的資訊。
美國聯邦第七巡迴上訴法院宣告電業以設置智慧電表手段蒐集用電戶即時用電資訊合法美國聯邦第七巡迴上訴法院於2018年08月16日宣告，美國伊利諾伊州杜佩奇縣內珀維爾市（Naperville）所經營之「獨占性」公用售電業，以裝設智慧電表手段蒐集用電戶即時（Real Time）用電資料，並保存長達三年之行為，並無違反美國憲法第四條修正案以及伊利諾州憲法第一條第六項所宣示之不得以不合理手段對於民眾居住隱私資料進行搜索之限制。 美國聯邦第七巡迴上訴法院闡明，本案爭點有二：第一，內珀維爾市（Naperville）所經營之獨占性公用售電業以裝設智慧電表手段蒐集用電戶即時用電資料，並保存長達三年之行為，是否構成美國憲法第四條修正案以及伊利諾州憲法第一條第六項所謂之「對於民眾居住隱私資料之搜索」？第二，如內珀維爾市（Naperville）所經營之獨占性公用售電業以裝設智慧電表手段蒐集用電戶即時用電資料係構成「對於民眾居住隱私資料之搜索」，則內珀維爾市（Naperville）所經營之獨占性公用售電業是否有更高之公益，可合理化此一對於「對於民眾居住隱私資料之搜索」之行為？ 美國聯邦第七巡迴上訴法院認定內珀維爾市電業以智慧電表手段蒐集民眾用電資訊，確實是構成美國憲法第四條修正案以及伊利諾州憲法第一條第六項所謂之「對於民眾居住隱私資料之搜索」。但是由於珀維爾市電業蒐集這些用電資訊，是基於更高之公益目的，因此仍屬以合理手段對於民眾居住隱私資料進行搜索。因此判決本案珀維爾市電業勝訴。 於第一爭點，美國聯邦第七巡迴上訴法院認定智慧電表之紀錄內容包含「電器負載特徵（load signature）」以及「用電戶電力消耗慣性」，對比Kyllo v. United States, 533 U.S. 27, 31-32（2001）乙案下警方以熱感應器方式偵測住宅整體熱能有無之行為，更高度細緻化、具有侵入性，且智慧電表之設置，於現今尚非普及（not in general public use），因此構成對於民眾居住隱私資料之搜索。又內珀維爾市（Naperville）所經營之獨占性公用售電業雖辯稱用電戶於裝設智慧電表時，皆已經同意電業蒐集其個人用電資訊，然美國聯邦第七巡迴上訴法院認定，內珀維爾市（Naperville）所經營之公用售電業具有高度獨占性，故用電戶裝設智慧電表之同意難謂有效，且用電戶同意用電，不代表用電戶即同意分享其用電資訊。 惟於第二爭點，美國聯邦第七巡迴上訴法院認定，由於內珀維爾市（Naperville）所經營之獨占性公用售電業已經聲明不會將此類用電資訊分享予有關政府機關，且本案對於用電戶用電資訊之蒐集，其目的亦與刑事追訴無關，是以應以低密度審查標準看待本案即可，又本案內珀維爾市（Naperville）所經營之獨占性公用售電業裝設智慧電表之目的在於促使電網現代化，並且可使發電業供應更加穩定之電力，並且也可以透過時間電價（Time-Based Pricing）之方式促使用電戶節電，並且減少電網負載，同時也可以使發電業節省查表之人事成本，因此雖然內珀維爾市（Naperville）所經營之公用售電業透過裝設智慧電表之手段蒐集用電戶即時用電資訊係構成對於用電戶之民眾居住隱私資料之搜索，然由於其具有更高之公益性，因此仍可合理化此一對於「對於民眾居住隱私資料之搜索」之行為。 綜上，本案美國聯邦第七巡迴上訴法院判定內珀維爾市（Naperville）所經營之獨占性公用售電業勝訴。