英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
2017年10月，美國知名保險公司Farmers Insurance Group（下稱Farmers）在加州法院提訴，控告前員工Venkatesh Kamath（下稱Kamath）、前資訊長Shohreh Abedi（下稱Abedi）和競爭對手American Automobile Association（下稱AAA協會）旗下的Automobile Club of Michigan（下稱Auto Club）竊取營業秘密。 Farmers聲稱，於2015年起使用Guidewire Software（下稱Guidewire），以更新其理賠處理和保險服務系統。Kamath因Guidewire業務，接觸到Farmers高度敏感與機密資訊。Abedi前為Kamath上司，曾監督Guidewire計畫初期階段。之後Abedi至Auto Club任職，協助Auto Club轉換使用Guidewire，並挖角包括Kamath在內許多Farmers員工。Kamath離職前，從Farmers電腦中拷貝超過6400份檔案，其中包括與Guidewire計畫及Famers核心業務相關的營業秘密資訊。 Farmers控訴Kamath、Abedi及Auto Club違反加州營業秘密法（California Trade Secret Act）、從事不公平競爭、違反忠實義務及其他事由，除訴請賠償外，也請求法院禁止被告使用其營業秘密。 本案非Farmers與AAA協會首次因營業秘密事宜而對訟。2010年間，Farmers曾控告AAA協會旗下Auto Club Group竊取其投保客戶機密資訊，惟該案當時經法院以Farmers未能證明有何損失或損害為由，駁回其訴。Farmers公司於2017年10月對Auto Club提起的本件訴訟，法院實務的發展為何，值得後續觀察。
戰略產業與關鍵技術保護法規修正趨勢分析戰略產業與關鍵技術保護法規修正趨勢分析 資訊工業策進會科技法律研究所 2022年2月14日 戰略性高科技產業是我國重要的經濟發展基礎，在全球半導體產業鏈中，臺灣更是位居關鍵領先地位。半導體產業作為未來新興科技領域發展根基，內含許多國家核心關鍵技術，若此類技術洩漏至境外，將損及國家安全與整體經濟競爭優勢。 壹、國際產業經濟安全保障法案推動趨勢 參考國際上以產業經濟安全角度出發，且與我國同具技術保護需求之國家，以亞洲的日本及韓國為代表，正在密集推動產業競爭與供應鏈安全及技術保護相關法案。 一、日本《經濟安全保障法》 日本首相官邸於2021年11月19日召開第一次「經濟安全保障推進會議」，強調國家安全概念已迅速擴展到經濟和技術領域，在各國推進和加強支持工業基礎設施、防止敏感技術外流、提升出口管制等經濟安全相關措施下，日本內閣府應加強《經濟安全保障法》草案推動，確保戰略物資與維護重要關鍵技術[1]。 其中《經濟安全保障法》草案著重在四大工作面向：1.供應鏈：透過公私技術合作加強重要材料和原材料的供應，避免對人民生活和工業產生重大影響。2.公私技術合作：透過公共和私營部門合作共享並利用技術資訊，培育和支持尖端重要技術框架。3.核心基礎設施：確保與維護核心基礎設施功能安全性和可靠性。4.私人專利：採取補償措施以要求特定專利私有化，防止敏感發明公開外流，同時促進創新[2]。 二、韓國《國家高科技戰略產業特別法》 韓國產業通商資源部方面，於2022年1月25日舉行的第5次內閣會議上宣布，通過《國家高科技戰略產業特別法》立法議案。該特別法案旨在培育和保護韓國的高科技戰略產業，以維護國家和經濟安全，並取得高科技競爭力，其具體內容包含：1.成立由南韓總理主導的國家高科技戰略產業委員會，制定5年戰略產業培育和保護的基本計畫。2.指定國家關鍵技術，以發展戰略產業和保護國家經濟安全。3.全面支持戰略產業，包括投資、研發、人力資源等方案。4.為振興戰略產業生態系統，提供監管法規修訂和企業合作方向支援。5.對戰略技術的出口和併購採取部分緊縮的保護措施。 韓國產業通商資源部強調，全球各主要國家皆體認到，必須在高科技產業競爭環境中培育知識人才，以及保護國家戰略產業發展的重要性。《國家高科技戰略產業特別法》的制定，將由產業通商資源部採取「無縫接軌的推進措施」，並與相關產業積極溝通，以便及時協助基礎設施能力建構，並在本法案立法程序完成後落實執法[3]。 貳、我國國家核心科技修法走向 我國法務部與陸委會於110年7月公告《國家安全法》與《臺灣地區與大陸地區人民關係條例》部分條文修正草案，二者皆是以經濟安全角度出發，針對「國家核心關鍵技術」保護作法規調整，期能建構跨部會產業技術防堵外洩策略。 一、兩岸條例修正：管制受政府委託補助關鍵技術及人員赴陸 依據陸委會第27次委員會議討論通過「兩岸條例第9條、第91條修正草案」，針對「受政府機關（構）委託或補助達一定標準」，並從事涉及國家核心關鍵技術業務之個人或民間團體、法人、機構成員，進行赴陸管制。其中，因國家核心關鍵技術及一定標準的具體內容，涉及高度專業性，故兩岸條例第9條修正草案授權科技部會商有關機關訂定並進行妥適規範。另外，對於違反赴陸應經許可的特定人員，依據兩岸條例第91條，可處新台幣200萬元以上1,000萬元以下罰鍰。如係違反返台通報義務者，（原）服務機關、委託機關或補助機關得處新台幣2萬元以上10萬元以下罰鍰[4]。 二、國家安全法修正：保護半導體、農業、國防關鍵技術 法務部國安法修正草案第2之2條，明定任何人不得替外國、中港澳、境外敵對勢力或其所實質控制的各類組織，為侵害國家核心關鍵技術的營業秘密行為；且刑度較營業秘密法提高，違者可處3年以上、12年以下徒刑，併科5百萬元以上、1億元以下罰金。至於何項技術列入關鍵技術，則交由科技部檢討，並將攸關台灣經濟、國防優勢的產業列入，包括半導體先進製程、涉及國防技術、台灣關鍵品種農業科技、關鍵生技技術等[5]。 參、法規評析 台灣是全球高科技代工產業的重鎮，半導體技術尤其發達且人才集中。全球晶片短缺之際，台灣也面臨人才帶槍投靠、與關鍵技術外流，危害戰略產業發展危機。未來針對我國國家核心科技認定與管制，可以由以下幾個方向作思考： 一、參考科技部政府資助國家核心科技手冊之作法 為避免我國有太多個不同的核心科技清單，導致法規適用的複雜，未來可能參考現有科技部政府資助國家核心科技手冊之作法，由科技部邀集相關部會自行就主責類別科技項目進行認定。篩選之科技項目(包含企業關鍵技術)，經主管機關核定後，提報科技小組，科技小組成立專責審議小組審議是否列入國家核心科技項目。 二、重新建立國家核心科技篩選標準 雖然產業技術保護法規強化是全球趨勢，但若是修正力度過猛或審查過嚴，也同樣可能影響產業投資、干預研發合作，甚至促使台灣關鍵產業出走，連帶失去半導體等關鍵技術研發創新動能，因此重新建立篩選管制標準是我國法規的重要課題。 首先，就製造業關鍵技術，應思考台灣在該產業技術上是否具國際領先地位作為優先考量。其次，就所篩選之產業，評估其對台灣經濟發展是否具核心關鍵性(例如產值高低，或者在全球供應鏈具關鍵地位)。最後，對於國家安全有重要影響之相關產業，應納入作為我國核心關鍵科技。 總歸而言，各國對於戰略產業與國家核心科技認定標準與方式不一，就算技術被歐美及日韓認列為新興科技管制類別，我國是否要列入國家核心科技，仍然必須綜合考量該產業技術在我國產業競爭力與國際領先定位而定。未來，可參採日韓模式，盡速建立國家層級高度的戰略產業與技術保護法規，並且制定明確清單與審查機制流程，使企業能有所預見，事先安排以降低對高科技產業的經濟發展衝擊。 [1] 経済安全保障推進会議，首相官邸，令和3年11月19日，https://www.kantei.go.jp/jp/101_kishida/actions/202111/19keizaianpo.html (最後瀏覽日：2022/1/25)。 [2] 経済安全保障法制に関する有識者会議 提言骨子，内閣官房，令和3年11月26日，https://www.cas.go.jp/jp/seisaku/keizai_anzen_hosyohousei/index.html (最後瀏覽日：2022/1/25)。 [3] Cabinet passes National High-Tech Strategic Industries Special Act, Ministry of Trade, Industry and Energy, Jan. 25, 2022, https://english.motie.go.kr/en/pc/pressreleases/bbs/bbsView.do?bbs_cd_n=2&bbs_seq_n=911(last visited 2022/02/14). [4] 為保護國家核心關鍵技術，本會第27次委員會議通過「兩岸條例第9條及第91條修正草案」，中華民國大陸委員會，110年9月29日，https://www.mac.gov.tw/News_Content.aspx?n=A0A73CF7630B1B26&sms=B69F3267D6C0F22D&s=4C0B2E06FFF6B248 (最後瀏覽日；2022/02/14)。 [5] 法務部公告「國家安全法」部分條文修正草案，法務部法檢字第11004519510號，110年7月21日，https://www.lawbank.com.tw/news/NewsContent.aspx?nid=179044.00 (最後瀏覽日；2022/02/14)。
加拿大政府提交予國會《人工智慧資料法案》加拿大政府由創新、科學和工業部長（Minister of Innovation, Science and Industry）代表，於2022年6月16日提交C-27號草案，內容包括聯邦的私部門隱私權制度更新，以及新訂的《人工智慧資料法案》（Artificial Intelligence and Data Act, 下稱AIDA）。如獲通過，AIDA將是加拿大第一部規範人工智慧系統使用的法規，其內容環繞「在加拿大制定符合國家及國際標準的人工智慧設計、開發與應用要求」及「禁止某些可能對個人或其利益造成嚴重損害的人工智慧操作行為」兩大目的。雖然AIDA的一般性規則相當簡單易懂，但唯有在正式發布這部包含絕大多數應用狀況的法規後，才能實際了解其所造成的影響。 AIDA為人工智慧監管所設立的框架包含以下六項： （1）方法 以類似於歐盟《人工智慧法案》採用的方式，建立適用於人工智慧系統具「高影響力」的應用方式的規範，關注具有較高損害與偏見風險的領域。 （2）適用範圍 AIDA將適用於在國際與省際貿易及商業行動中，設計、發展或提供人工智慧系統使用管道的私部門組織。「人工智慧系統」的定義則涵蓋任何「透過基因演算法、神經網路、機器學習或其他技術，自動或半自動處理與人類活動相關的資料，以產生結果、做出決策、建議或預測」的技術性系統。 （3）一般性義務 I 評估及緩和風險的措施 負責人工智慧系統的人員應評估它是否是一個「高影響系統」（將在後續法規中詳細定義），並制定措施以辨識、評估與減輕使用該系統可能造成的傷害風險或具有偏見的結果。 II 監控 對該「高影響系統」負責的人員應建立準則，以監控風險緩解措施的遵守情況。 III 透明度 提供使用管道或管理「高影響系統」運作的人員應在公開網站上，以清晰的英語揭露 i 系統如何或打算如何使用。 ii 系統所生成果的類型及它所做出的決策、建議與預測。 iii 為辨識、評估與減輕使用該系統可能造成的傷害風險或具有偏見的結果，而制定的緩解措施。 iv 法規明定應揭露的其他訊息。 IV 記錄保存 執行受規範活動的人員應遵守紀錄保存要求。 V 通知 若使用該系統將導致或可能導致重大傷害，「高影響系統」的負責人應通知部門首長。 VI 匿名資料的使用 從事法案所規定的活動及在活動過程中使用或提供匿名資料的人員，必須依據規範制定關於（a）資料被匿名化處理的方式（b）被匿名化資料的使用與管理，兩方面的措施。 （4）部長命令 部門首長可以透過命令要求（a）製作紀錄（b）從事審計或聘請一位獨立的審計師執行（c）成立一個專責執行審計程序的組織（d）成立一個在有理由相信「高影響系統」之使用可能造成急迫重大傷害風險時負責進行終止或准許的組織。 （5）行政管理 AIDA為部門首長制定一項，可指定其所管轄部門中一名高級官員為「人工智慧與資料專員」的權利，其職責在協助部門首長管理與執行AIDA。 （6）罰則 違反AIDA規範之罰則主要為按公司、個人之收入衡量的罰款。特定嚴重狀況如以非法方式取得人工智慧訓練用資料、明知或故意欺騙大眾造成嚴重或心理傷害或財產上重大損失，亦可能判處刑事監禁。
歐盟發佈「降低高速電子通訊網路建置成本」草案