英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
隨著行動通訊需求的提升，各國對無線頻譜資源需求若渴，除了極力釋出更多頻譜資源外，也針對既有頻譜的使用效率加以提升，以滿足頻譜的需求，無線廣播電視為了維護收訊品質，在各頻道之間保留相當大的空白區域，以避免訊號干擾；另一方面，無線廣播電視訊號在人口較少或是有線電視較發達的區域，訊號覆蓋的要求較低，產生許多無訊號的地帶，形成頻譜閒置的狀況。因此目前許多國家將提升頻譜效率的政策，運用在無線廣播電視所使用的頻段上，透過活用上述處於閒置的頻譜資源，滿足更多的無線通訊需求。 目前動態頻譜接取技術就是這樣的一個創新，允許隨機的、免執照使用閒置頻譜，以提高頻譜效率。目前最主流的運用場域在無線廣播電視的頻道上，如前所述，這些頻譜的空白保留區域或是閒置未用的狀況，稱為電視閒置頻譜（TV White Space，TVWS）。TVWS可用以替代類似Wi-Fi功能的無線寬頻通訊，但能夠以更低的功耗與成本加以部署，並擁有更大的涵蓋範圍。TVWS技術亦可以無線連接多種智慧型的終端設備，並具有良好的成本效益，提供更多創新的應用和服務。 新加坡資通訊發展管理局（The Infocomm Development Authority of Singapore，IDA）在2011年起結合相關業者開始進行概念實證運行，目的在驗證新加坡是否具有成功使用TVWS技術的可行性，並於2012年宣布成功。隨後，在IDA的支持下，集合資通訊業者成立「新加坡閒置頻譜先導團隊（Singapore White Space Pilot Group，SWSPG）」的產業協會，在新加坡各地展開了一系列的TVWS先導計畫。 這些先導計畫包括新加坡國立大學的智慧能源控制與智慧電表、新加坡島嶼鄉村俱樂部的寬頻服務、樟宜機場與港口周邊地區提供公共的Wi-Fi熱點。這些先導計畫的作用也在於探詢TVWS技術如何補強既有的寬頻基礎設施，克服新加坡天然環境的限制，提供更多創新的消費和商業應用。這些先導計畫也展現出TVWS可以運用提供良好的多元化的商業服務，深受參與先導計畫的使用者肯定。總體而言，這些先導計畫證明TVWS技術可為新加坡的無線服務提供更多可用頻譜，從而提升了頻譜使用的整體效率。 在這些先導計畫的成功基礎上，IDA認為為了促進TVWS的更大發展，應該展開TVWS設備與使用的的準則定義與確定管制上的的需求，一方面保護既有服務，一方面則必須避免各頻段可能產生的頻率干擾。IDA於2013年6月公布關於TVWS管制架構的公眾諮詢，藉以深入了解產業的需求，制訂完善的管制架構，確保TVWS的發展符合國際趨勢、新加坡的地理條件與市場環境的需求。IDA並希望能於2014年公布TVWS相關設備與服務的準則及管制架構。
歐盟數位經濟公平稅負指令草案無共識，法國與奧地利將先行交付立法2018年3月21日，歐盟執行委員會（European Commission）發布數位經濟公平課稅（Fair Taxation of the Digital Economy）指令草案，指出在數位經濟模式中，由於創造利益的用戶資料地並不受限於營業處所，因此銷售貨物與提供勞務之增值發生地，與納稅主體之納稅地點分離，而無法為現行來源地原則所評價，嚴重侵蝕歐盟境內稅基。對此，該草案分別提出了數位稅（Digital Tax）與顯著數位化存在（Significant Digital Presence）兩份提案，用以針對特定數位服務利潤制定共同性數位稅制，以確保數位服務業者與傳統的實體公司立於平等的市場競爭地位。 值得關注的是，該草案之長遠解決提案以「顯著數位化存在」（Significant Digital Presence）修正國際間課稅權歸屬之重要人事（Significant People function）功能判斷，並認為建立利潤分配原則時，應參考經濟合作暨發展組織（Organization for Economic Cooperation and Development）稅基侵蝕與利潤移轉（BEPS，Base Erosion and Profit Shifting）行動計劃中DEMPE模式（Development Enhancement Maintenance Protection Exploitation function），決定獲利之分配，作為未來增值利益的認定。 然而不少持反對意見的國家認為，數位經濟只是傳統公司面對數位化，利用無形資產的商業模式改變而已，而此種新興模式並不足以作為開徵數位稅收新稅種。縱使數位經濟下無形資產產生之價值必須重新界定，現行稅收歸屬與國際間租稅協定本身並無不妥，而應強調各國稅捐機關之租稅資訊之合作。愛爾蘭已與捷克共和國、芬蘭、瑞典發表反對聲明，表示數位經濟課稅的方案不應背離BEPS行動計畫之期中報告，並應考慮到國際間因租稅引起的貿易戰爭，以及避免對數位經濟的扼殺。對此，歐盟監管審查委員會（Regulatory scrutiny Board）亦認為，草案並未針對數位稅的有效稅率進行量化分析，嚴重忽略了數位稅對於區域內經濟的衝擊。 由於未能獲得歐盟會員國的共識，法國為了回應黃背心運動（Mouvement des gilets jaunes）的要求， 12月17日法國財政部長已公開表示2019年3月前，將自行針對數位廣告所得與數位資料所得稅收法案送交國內立法程序，該法案將直接以境內網路社群利潤推估大型數位企業之應稅所得，並支持「顯著數位化存在」的認定原則。同時奧地利財政部長也表示，會跟進數位稅收的立法並於2019年1月底公布稅收草案。
國際標準化組織（ISO）在COP29上發布全球ESG原則實施框架.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 在2024年11月11日至22日舉辦第29屆聯合國氣候變化大會（COP29）上，國際標準化組織（ISO）發佈全球第一部ESG國際標準：ISO ESG IWA 48《實施環境、社會和治理（ESG）原則框架》（Framework for implementing environmental, social and governance (ESG) principles）（簡稱為IWA 48:2024），為全球各地區、不同規模的企業提供統一管理標準，同時提供實施指引和行動範例，應對永續發展挑戰。 IWA 48有以下幾大重點： 1. ESG原則和實踐（Principles and practices in ESG）：強調誠信、成效、公平、風險與機會、證據、持續改善等原則。 1.1風險與機會：風險跟機會應由高階管理階層從組織整體評估，因風險可能同時伴隨機會；同時，管理層面要運用科學方法及可靠數據紀錄，評估與建立行動方案與追蹤管控。 1.2負責及公開透明：在ESG原則為關鍵要素，清楚揭露經營績效和永續資訊，不僅可增強利害關係人信心，也有助於保護組織商譽。 1.3利害關係人參與：組織應重視內、外部利害關係人的意見，如員工、股東、客戶、供應商等；舉例來說，組織落實資訊公開，並藉由問卷或會議形式，請利害關係人回饋期望或意見。 1.4重大主題：組織評估內外部之營運狀況所可能遭遇挑戰，且考量利害關係人回饋、產業特性，進而辨識各項議題之衝擊程度與關聯性，及排定優先順序來制訂行動方案。 1.5關鍵績效指標（KPI）評估：針對各項重大主題依可靠數據紀錄，進而運用量化或質化手段，設定短期、中期和長期之具體目標。 2. 環境（Environmental）：評估組織營運活動與環境變化之相互關係，因此須要根據科學方法建立基準與制訂目標，確保營運過程能有效執行策略。 3. 社會(Social)：主要關注組織如何承擔社會責任，推動具有社會價值行為和政策，除遵循當地勞動法令外，可額外提供福利或照顧措施，如組織接納各國人民，公平方式進行面試，培訓應保障不會發生任何歧視情事。 4. 治理（Governance）：董事會或管理階層要明確公告組織永續政策與要求，並建立道德規範，如誠信經營，法令遵循、風險管理等，尤其鑑別永續相關風險，如當地法令異動、環境變化，更要與利害關係人保持溝通與合作，進而評估組織政策與執行方向，再依據營運需求調整。 5. 合規性和一致性（Compliance and conformity）：組織可採用第三方查（驗）證方式，協助組織評估有無符合當地法令、達到ESG要求標準，及組織對於ESG之承諾。 6. 報告（Reporting）：組織可公開揭露永續資訊，如永續報告書或年報等；再者，組織應確保揭露內容之準確、清楚與可靠，並正面及負面資訊均清楚完整揭露，以讓利害關係人了解狀況與趨勢。 7. 持續改善（Continual improvement）：透過關鍵績效指標（KPI）檢核，定期確認組織達成永續目標狀況，如有未達預期情事者，應落實根因分析、制訂矯正預防措施，並予以揭露與執行改善，以確保能達到長期目標。
虛擬人生，真實訴訟! 美商藝電EA控告社交遊戲公司Zynga侵犯著作權；Zynga控告EA不正競爭。美商藝電EA(Electronic Arts)於今年八月初在舊金山地方法院控告以社群遊戲著稱的Zynga於六月在Facebook所推出的遊戲《The Ville》抄襲EA於2011年八月推出的「模擬市民(The Sims Social)」，侵犯EA的著作權。EA表示，The Ville中的設計選項、動畫、畫面處理、角色的活動及動作都原封不動地抄襲自EA的「模擬市民(The Sims Social)」。EA聲稱，Zynga抄襲了「模擬市民(The Sims Social)」原始並特殊的表達要素(original and distinctive expressive elements)，明顯違反美國的著作權法。EA並表示，Zynga任用了三位自EA離職的員工而獲取了「模擬市民(The Sims Social)」的商業機密。Zynga則反譏EA欠缺對於著作權原則的了解，並表示《The Ville》是Zynga小鎮遊戲(Ville-game)系列的延續，過去曾推出的系列遊戲包含《YoVille》、《CityVille》以及《Castile Ville》，EA的指控毫無根據。 雖然《The Ville》與「模擬市民(The Sims Social)」兩者在遊戲的角色設定以及角色圖樣跟背景有諸多相似，但是Zynga在細節上做了許多與EA不同的設定。本案如果有效成立，將對於遊戲產業造成顯著影響。 美國法下，遊戲產業的智慧財產權議題中，一個重要的法律關鍵在於「思想/表達二分法(idea/expression dichotomy) ，「思想(idea)」並非著作權的保護客體，僅想法的表達方式(expression)是著作權的保護客體。舉例而言，你可以再寫一本有關於魔法學校的書，但是你不可以把書中的主要角色命名為哈利波特。 1994年時，快打旋風二(Street Fighter II)的發行商嘉富康(Capcom)控告DECO(Data East Corporation)的格鬥列傳(Fighter’s History)抄襲，但是法院認為嘉富康遊戲的角色是植基於既存典型角色以及武術原則，DECO的相似性並不侵犯快打旋風的著作權。 九月中，Zynga對EA提出反訴，控訴EA採取不正競爭(anticompetitive)以及不法(unlawfully)商業行為，違反反托拉斯法(anti-trust law)。Zynga指出，EA試圖以法律訴訟以及恐嚇離職員工的方式，非法阻止Zynga雇用EA的離職員工。Zynga指稱EA威脅Zynga將提出訴訟，要求Zynga與之簽訂「不任用協議(no-hire agreement)」，依照該協議EA將不對Zynga提出關於雇用員工的告訴以做為簽約對價。但是EA在今年八月對Zynga的著作權告訴已經打破該協議。事實上依照加州法，禁止離職員工去競爭公司任職是違法的。矽谷這類因為員工到競爭對手任職而引發的法律案件還有蘋果(Apple)以及谷歌(Google)一案，這兩家公司過去曾因為簽訂不挖角協議而遭美國司法部起訴，後來與美國司法部達成和解。EA則表示離職員工抄襲其它EA設計師，Zynga此舉意圖轉移社會及法庭注意力。除了否認EA抄襲的指控，Zynga更表示，沒有任何根據可以說明EA是虛擬人生遊戲的創始者，Zynga的《YoVille》推出時間甚至早於EA的「模擬市民(The Sims Social)」三年。 本案因為矽谷遊戲產業人才的流動性而增加了案件的複雜性，跳脫一般的著作權侵權訴訟，既然離職後到競爭對手任職是可被允許的，那麼產出類似的遊戲產品就更加難以避免，不論是基於自身的創意或者模仿過去共事同仁的創意，「學習」以及「抄襲」之間的界線總是難以劃分，如果本案成立著作權侵權，矽谷遊戲人才在開發設計遊戲時必然需要更加小心謹慎。 圖片來源: Tech Crunch