英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定Uber違反《Data Protection Act 1998》資料保護法
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定知名共享公司Uber未能在網路攻擊期間保護客戶的個人資料，故處以罰款385,000英鎊。
ICO調查發現Uber的諸多過失，包含系統存有一系列原可避免的數據安全漏洞，使得攻擊者可透過Uber美國母公司旗下所營運的雲端儲存系統，下載大約270萬筆英國客戶個人資料，例如全名、電子郵件及電話號碼等。該事件亦影響了Uber在英國8萬多名司機的相關營運紀錄，如旅程詳情及支付金額。然而，受影響的客戶和司機竟達一年多未被告知此個資外洩事故。相反的，Uber反而向攻擊者妥協並支付了10萬美元，以銷毀被盜取的數據。
ICO認為，這不僅為Uber資料安全之問題，且當時未採取任何措施通知可能受影響的人，或對其提供任何協助，已完全忽視受害客戶和司機之權益。而對攻擊者支付贖金後即保持沉默，亦非對於網路攻擊之適當反應，Uber未完善的數據保護措施，以及隨後的決策與行為，反將可能會加劇受害者權益的受損。
因此，ICO認為該事件已嚴重違反了英國1988年資料保護法（Data Protection Act 1998, DPA）第7條的原則，有可能使受影響的客戶和司機面臨更高的詐欺風險，故從嚴判處Uber高達385,000英鎊罰款。
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
耿黃瑄
法律研究員 編譯整理
1. Information Commissioner's Office, ICO fines Uber £385,000 over data protection failings, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/11/ico-fines-uber-385-000-over-data-protection-failings/ (last visited Dec. 20, 2018).
2. Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited Dec. 20, 2018).
英國數位、文化、媒體暨體育部於2018年3月8日公布「安全設計（Secure by Design）」報告，此報告目的在於使IoT設備製造商於製程中即採取具有安全性之設計，以確保用戶之資訊安全。 此報告中包含了一份經英國國家網路安全中心（National Cyber Security Centre, NCSC）、製造商及零售商共同討論後，提出之可供製造商遵循之行為準則（Code of Practice）草案。 此行為準則中指出，除設備製造商之外，其他包含IoT服務提供者、行動電話軟體開發者與零售商等也是重要的利益相關人。 其中提出了13項行為準則：1. 不應設定預設密碼（default password）；2. 應實施漏洞揭露政策；3. 持續更新軟體；4. 確保機密與具有安全敏感性的資訊受到保護；5. 確保通訊之安全；6. 最小化可能受到攻擊的區域；7. 確保軟體的可信性；8. 確保個資受到妥善保障；9. 確保系統對於停電事故具有可回復性；10. 監督自動傳輸之數據；11. 使用戶以簡易的方式刪除個人資訊；12. 使設備可被容易的安裝與維護；13. 應驗證輸入之數據。 此草案將接受公眾意見，並於未來進一步檢視是否應立相關法律。
英國資訊委員辦公室（ICO）發布指引以因應歐盟一般資料保護規則（GDPR）正式施行為因應歐盟一般資料保護規則（General Data Protection Regulation，簡稱歐盟GDPR）於2018年5月正式施行，英國資訊委員辦公室（Information Commissioner’s Office, 簡稱ICO）於2017年11月21日發布一般資料保護規則指引（guide to general data protection regulation）（簡稱一般資料保護規則指引）。 ICO所發布的一般資料保護規則指引，係用於解釋歐盟GDPR的各條規定，協助企業符合歐盟GDPR的各項要求，適用於企業中擔負資料保護義務責任者。ICO說明本指引文件致力於擴展與歐盟GDPR、ICO所制定公告之其他指引文件、歐盟第29條工作小組制定公告之相關指導文件的聯結。歐盟第29條工作小組係由歐盟各會員國的資料保護機構代表組成，而ICO即為英國派任於該工作小組之資料保護機構代表。 ICO發布的一般資料保護規則指引，內容簡述如下：本指引文件係在建構歐盟GDPR法規的架構，將反映歐盟GDPR未來的導引與如何呈現，本指引內容有歐盟GDPR的重要定義（如歐盟GDPR適用對象、歐盟GDPR所欲保謢之資料種類）、歐盟GDPR原則、個人資料處理、當事人同意、當事人權利介紹、資料保護、資料洩漏處理、未成年人保護等議題之參考要點；並針對部分議題，設計有簡易清單，供參閱者勾選確認。 英國ICO除採取對外發布一般資料保護規則指引外，另有制定數個線上工具，協助企業依其身分別（如資料管理者或資料處理者），選擇線上工具進行自我檢視是否符合歐盟GDPR要求，期以協助英國業者為今（2018）年5月GDPR正式施行，能作更充分的準備。
韓國金融服務委員會發佈防止金融機構再度發生個人資料外洩之要求韓國於今年1月份爆發史上規模最大的個資外洩案，國民銀行執行長李健浩、國民銀行信用卡公司執行長沈在吾、樂天信用卡公司執行長朴相勳與農協銀行信用卡公司執行長孫京植等人，亦因此請辭以示負責。 為防止將來金融機構再次發生個人資料外洩等事件，韓國金融服務委員會（Financial Services Commission, FSC）與相關部會於3月份發佈一連串要求，以下為其基本原則 1. 金融機構將被要求在處理客戶的個人資料時的每一個階段，包括蒐集、保存、使用和銷毀客戶資料時，都必須擔負起更多的責任。 2. 確保金融消費者可主張關於其個人資料之相關權利，包括金融消費者可決定金融機構於何時如何使用其個人資料。 3. 提升金融機構對於其客戶之個人資料保護責任，包括提升首席資訊安全官（Chief Information Security Officer, CISO）獨立性與責任、加重金融機構於資訊安全違規時相關罰則。 4. 政府將採取更多措施以確保金融機構的網路安全。 5. 金融機構必須建立緊急應變機制，以確保面對未來可能的資料外洩事故時，可迅速有效的應對。 韓國政府於於3月底已對不需修改法律之部分開始執行，而涉及《使用和保護信用資料法》和《電子金融交易法》部分亦待議會修法。
大倫敦政府提倡倫敦城市資料市集大倫敦政府（Greater London Authority, GLA）在今（2016）年3月公布「城市資料策略」（City Data Strategy），以發展「城市資料市集」為核心的「數位倫敦」（Data for London） 計畫，希望與合作夥伴共同推展「城市資料市集」，以節省資金、培育創新、推動經濟成長，並迎接可能之挑戰。 「數位倫敦」將城市資料分為開放資料（Open Data）、民間企業資料（Private Data）、商業資料（Commercial Data）、感知資料（Sensory Data），及公眾來源資料(crowded-sourced data)等5個類型。此外，蒐集之資料類型及如何使用該等資料，亦為計畫的執行重點之一。 「數位倫敦」之實施計畫（Implementation Plan）分短、中、長期，以近期發布之短、中期的路徑圖而言，大倫敦政府計劃在2年內分 5個階段，從編制資料目錄，建立資料庫聯盟，利用雲端系統建置一能預測並開發、利用新資料來源之資料庫，並以「引用資料，而不複製資料」之原則，持續與公開來源社群及夥伴合作。 「城市資料市集」作為發展大倫敦基礎設施建設之一環，從資料蒐集、過濾檢測、資料庫平台管理、整合平台及服務，進而建立新商業模式，期將倫敦打造成世界首屈一指的智慧城市。