英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
從智慧財產法院104年度民暫抗字第7號民事裁定看營業秘密案件聲請定暫時狀態處分 資策會科技法律研究所 法律研究員 蔡怡萱 105年04月29日 壹、案件摘要 智慧財產法院於去（104）年10月2日針對新世紀光電對於103 年度民暫字第21號第一審裁定提起抗告，做出裁准暫時狀態處分之 104 年度民暫抗字第 7 號民事裁定，以下概述智慧財產法院於本案中所採取的法律判斷依據。 本案事實為李允立（下稱相對人）於102年離職後自行成立公司（下稱相對人公司），隨即新世紀光電（下稱抗告人）之關鍵研發團隊重要成員及各部門重要員工多名先後離職，部分至相對人公司任職。相對人公司現有經營方式為無廠半導體公司，專門研發及販售發光二極體磊晶圓及晶粒技術與產品規劃，透過租賃機台之方式製造相關產品，與抗告人業務相同。相對人為公司負責人，抗告人主張相對人不可避免的會使用抗告人公司的機密資訊及營業秘密，而造成抗告人重大損失，而抗告人為避免發生重大難以回復之損害，依營業秘密法第11條第1 項[1]、兩造間的服務契約書、民事訴訟法第538 條第1 項[2]、智慧財產案件審理法第22條第2 項[3]規定，聲請撤回原審裁定並定暫時狀態處分。 本案法院於此次裁定將原裁定廢棄，在兩造間侵害營業秘密爭議之本案訴訟判決確定前：（1）禁止相對人利用、發表或洩漏任職抗告人公司期間所知悉抗告人公司有關於LED 產品及製程相關之營業秘密及機密資訊，包括：非一般涉及該類資訊所知之一切製程、程式、專門技術、技術資料、經營資料、材料、設計、參數及配方、客戶明細、銷售資料等；（2）相對人不得為自己或第三人之利益，唆使或利誘抗告人員工離職。 貳、重點說明 一、營業秘密具體認定爭執及以定暫時狀態之處分為手段 綜合以上兩造爭執點在於，（1）在相對人離職後所持有於抗告人公司任職時所知悉的營業秘密及機密資訊的具體內容該如何認定，相對人爭執於離職時原公司並未明確界定，抗告人卻反駁確有保護營業秘密及機密資訊之說明。（2）透過兩造簽署之服務契約書，是否可以透過定暫時狀態處分為手段，達到確認或重申請求裁定禁止相對人唆使或利誘抗告人之員工離職。 二、定暫時狀態之處分需符合的要件 聲請定暫時狀態之處分需符合下列要件：（1）兩造有爭執之法律關係，且以本案訴訟能確定該爭執之法律關係者為限；以及（2）為防止聲請人發生重大損害或避免急迫危險或有其他相類之必要性情形。因此在符合法定要件的前提下，可以請求法院針對侵權爭議的本案訴訟判決確定前，禁止侵害人為特定行為 [4]。 另依本案法院的釋明，所謂爭執的法律關係，應不以法律關係已經訴訟繫屬為限，凡金錢請求以外，有繼續性且適於為民事訴訟之標的者，於事人間發生爭執或被侵害等情形，均屬之。更尤，所爭執之法律關係雖尚未有訴訟之繫屬，只要債權人因避免重大之損害或因其他情事，而有定暫時狀態之必要者，即得依聲請定暫時狀態之處分，故法院據以得心證的理由為下列幾項判斷依據。 三、法院判斷依據及裁定結果 （一）兩造有爭執之法律關係 以兩造間爭執的法律關係來說，抗告人因發現相對人離職後，有多位員工相繼離職到相對人所成立之公司任職，因此依與相對人任職時所簽署服務契約書中約定離職後的保密義務，向法院聲請禁止相對人不得利用或洩漏先前任職期間所取得公司的營業秘密，法院認為是抗告人就相對人離職後涉及有無違反上述服務契約書約定之保密義務與誘使抗告人員工離職爭議，為雙方所爭執之法律關係。 （二）營業秘密保全的必要性 抗告人就可能被相對人利用或洩漏之「營業秘密」所主張，雖然相對人堅稱該內容為業界習知技術，但抗告人提出細部結構設計及製程方式等資訊，經法院認定該等資訊有助於提升產品效率，而且可以減少不必要的錯誤實驗，抗告人也另外提出專利佈局及業務與生產資訊之相關報告及資料，因此法院認為該相關事證使法院大致心證認為其主張該等資訊為其所欲保護之營業秘密事實之存在，而認為為正當之心證。另外就兩造所簽訂的服務契約書中所稱「營業秘密是指具有財產利益或經濟價值的任何口頭及書面機密資訊（料），包括但不限於圖樣、規格、原型、製程..專門技術、客戶明細、晶片、及其他銷售資料..」，也足以證明相對人於原公司任職時已清楚知悉何謂營業秘密，也負有保守其營業秘密的義務。 另外相對人所設立之公司其股東及董事皆為抗告人的競爭對手，因此法院認為相對人於原任職期間所知悉上述的營業秘密，推認有可能揭露予他人，而此為抗告人所欲防止的危險，而有保全的必要性。 （四）相對人應遵守禁止挖角義務 針對相對人挖角抗告人員工使其離職，而抗告人依兩造的服務契約書中禁止挖角義務條款，請求禁止相對人為挖角行為，法院亦肯定相對人應遵守禁止挖角義務。抗告人公司其他員工於短期內相繼離職，法院雖認為離職為個人選擇，但皆於相對人離職後才相繼離職，且半年即有多人加入相對人所設立公司，故可推認多名離職員工與相對人有關，且為了避免再有員工從抗告人公司繼續離職加入相對人設立之公司，法院相信抗告人的主張大致可採，故就此部分亦准許抗告人請求禁止挖角行為。 （五）相對人應遵守不作為義務 定暫時狀態之處分，雖非以保全執行為主要目的，惟仍屬保全權利之方法，原係法院為防止發生重大損害或避免急迫危險或有其他相類之情形認有必要時，為平衡兩造間之權利義務或利益而為之裁定 [5]；又聲請為定暫時狀態之處分，不論係單純不作為處分，或容忍不作為處分，法院為裁定時，對於當事人雙方因准否處分所受利益及可能發生之損害，應依利益權衡原則予以審酌而為准駁 [6]。最後法院衡量抗告人與相對人的權益，營業秘密的洩漏將對抗告人產生損害，但禁止相對人洩漏營業秘密及不得挖角，僅是請求相對人遵守不作為義務而不致有損害，故不對抗告人命供擔保。 參、案件評析 一、由上述案件內容可知，透過具體管理機制所產出之事證可為法院判斷是否為營業秘密遭受侵害的正當之心證，如下述： (一)公司於離職員工任職時所簽訂的服務契約之詳盡程度，包括:於契約文件中定義營業秘密的具體範圍；於契約規範在任職中不得交付或洩漏於任何第三人；於契約規範離職後仍負有保密義務等。 (二)各紀錄文件應完整留存以作為日後法院裁判的事證依據，包括研發紀錄簿中實驗參數文之成敗紀錄或研發例行月會報告，或技術發展計畫等相關資料；專利佈局的規劃，業務與生產資訊（包括可知之銷貨成本、銷貨毛利、人事資料以及研發專案等資訊，他人即可從該等資訊得知銷售狀況）。 (三)制定相關管理辦法並予以區分文件機密等級及管控，如本案中抗告人提出「文件與資料管制辦法」及「門禁管理辦法」，供法院參考以證明抗告人對其生產、營運訊有採取保密措施。 由上述提出之事證就可以使法院大致相信所主張之資訊為其所欲保護的營業秘密，並得到大致為正當之心證。 二、如何判斷是否有挖角行為，法院除了以經驗法則及一般人可推知來判斷，雖然於何處任職是個人權利，但不尋常的大量員工於同時間或先後離職，甚至離職後都到同一家公司任職，很難不推認和挖角行為的直接關連；而法院也認為相對人縱使離職後也應該要遵守當時兩造的服務契約中禁止唆使或利誘他人離職。於現今一直苦於受到人才大量流失，甚至競爭對手惡性挖角的國內企業來說，於員工的任職契約約定禁止唆使或利誘挖角原公司員工，也不失為遏止的方法。 三、為了因應智慧財產權相較其他財產權市場上跟策略上的急迫性和時效性，在相較於其他智慧財產假處分案件而言，法院在此案中呈現出考量營業秘密保護相關案件具有緊急性及難以進一步舉證之特性，對於權利人應為釋明之程度較為放寬[7]，是否會形成通案慣例，值得追蹤觀察。 本文同步刊登於TIPS網站(http://www.tips.org.tw) [1]營業秘密受侵害時，被害人得請求排除之，有侵害之虞者，得請求防止之。 [2]於爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類之情形而有必要時，得聲請為定暫時狀態之處分。 [3]聲請定暫時狀態之處分時，聲請人就其爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類之情形而有必要之事實，應釋明之；其釋明有不足者，法院應駁回聲請。 [4]洪陸麟，以專利案件為中心論智慧財產案件審理法，國立政治大學法律學系碩士班論文，99-100頁，2009年。 [5]最高法院94年度台抗字第743 號民事裁定。 [6]最高法院94年度台抗字第380 號民事裁定。 [7]莊郁沁，智慧財產法院就營業秘密保護案件裁准定暫時狀態處分聲請之案例介紹，理律法律雙月刊，9-10頁，105年1月號。
以色列政府採購之創新實踐 智慧電表的陷阱美國及歐洲都開始引進附加通訊功能的電表（所謂智慧電表）。這一波動向也真正開始影響到日本。日本國內最大家的東京電力公司將於2010年10月開始進行智慧電表的實際驗證研究。 雖然至今只有關西電力公司與九州電力公司有引進智慧電表，但在10年之後，日本大半以上的電表會是智慧電表。 從短期來看，智慧電表就只具有使用電力的遠距抄表跟遠距截斷的功能。但是就只具有這樣的功能是不足以讓眾多目光聚焦的，它所具有的是期待在未來透過電表跟家電機器等所形成的資訊通信網絡。在目前許多企業打算就先透過網路蒐集使用電力的資訊，之後在提供新的附加服務。 這樣的動向不只是發生在電力公司，在瓦斯及自來水業界也正在發生。例如東京瓦斯公司將於2010年度起，開始實驗運作具有無限通訊功能的瓦斯表，快的話在2012年就會正式更換約1000萬台的瓦斯表。東京瓦斯公司還計畫在之後將用於瓦斯表上的通訊系統擴張到自來水表的抄表上。美國企業如IBM公司也積極投入自來水表的「智慧化」。 但是，在實際引進智慧電表時，美國發生了引進智慧電表的住戶的電費急速增加，產生了不少的訴訟，美國德州Oncor電力公司正面對這樣的訴訟，加州的PG＆E公司的顧客也正聲請相關的訴訟。 專家們指出一些會影響電費增加的原因，其中就指出因為引進智慧電表使得「正確測量出電力使用量」這也是因為美國至今所使用的電表太過老舊，無法正確的測量出正確的電力使用量，以致用戶都在付出比實際使用量要少的電費。所以在引進智慧電表測量出正確的電力使用量之後，就產生出「電費增加」的錯覺。 現在美國的電力公司主要把智慧電表用於自動抄表上，這只是利用智慧電表的第一步。若在初始階段無法得到消費者的支持，之後要推廣則會更為困難。使用電力的相關資訊在某種意義上可視為是個人資料的其中一種。隱私權的問題等與消費者保護汲汲相關的議題陸續都會出現。 美國眾議員Edward Markey在眾議院提出了電力公司要將智慧電表所測量的電力使用資訊即時提供給消費者，並有保護該資訊隱私權義務化的法案。在技術面上，有關重視資訊安全的通訊型式的討論亦蓬勃發展起來。
國際能源總署發布CCUS（碳捕捉、利用及封存）法律與管制框架指引文件，協助各國建立相應法制國際能源總署（International Energy Agency, IEA）於2022年7月發布「CCUS法律與管制框架：IEA CCUS指引」（Legal and Regulatory Frameworks for CCUS: An IEA CCUS Handbook），協助各國建構碳捕捉、利用及封存（carbon capture, utilisation and storage, CCUS）相關法制。CCUS是有助於實現2050年全球淨零目標的重要除碳技術，可以捕捉空氣中或大型排放源裡的二氧化碳，將捕捉到的二氧化碳進行再利用，或將二氧化碳注入深層地質構造當中永久封存，藉此減緩全球氣候變遷。 建立健全的CCUS管制架構對於達成全球氣候目標至關重要，IEA於該報告中進一步探討25項法制優先議題，大致可依開發階段區分為資源評估（如二氧化碳及地下空隙空間所有權歸屬）、場址開發、施工、營運、開發、關閉與關閉後防止碳洩漏之法律問題。 由於CCUS在各國發展情況有所差異，IEA提出數種立法模式，例如（1）修改既有廢棄物法律規範以管理CCUS活動，但可能無法涵蓋地下權等其他議題；（2）修正部分既有廢棄物規範並結合環境法規既有之管理面向（如環評等）以形成管制框架；（3）在既有的礦產或石油開發規範建立相關二氧化碳注入與儲存等活動規範，將可包含地下權、開發許可程序、營運及關閉等完整生命週期之立法。（4）制定專法以涵蓋CCUS所有面向之活動。 在國際經驗中，立法者與管制機關於建構CCUS法律框架時，經常遭遇下列問題，包含：（1）CCUS在滿足國家能源需求方面的預期作用為何？（2）CCUS法規如何與現有規範進行調適？（3）是否已有可用的監管指導原則？（4）誰是主要的利害關係人？應如何與之進行溝通？（5）未來是否有審查或修正框架之相關程序？（6）監管機構是否有足夠資源監督CCUS活動？IEA建議釐清上述議題，逐步形塑CCUS管制架構。