英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
2024年9月1日，澳洲生效《政府負責任地使用人工智慧的政策》（Policy for the responsible use of AI in government，下稱政策）。澳洲數位轉型局（Digital Transformation Agency，以下稱DTA）提出此政策，旨於透過提升透明度、風險評估，增進人民對政府應用AI的信任。 1. AI之定義 此政策採經濟合作暨發展組織（OECD）之定義：AI系統是一種基於機器設備，從系統接收的資訊進而產出預測、建議、決策內容。 2.適用範圍 (1)此政策適用於「所有非企業的聯邦個體（non-Corporate Commonwealth entities, NCE）」，非企業的聯邦個體指在法律、財務上為聯邦政府的一部分，且須向議會負責。此政策亦鼓勵「企業的聯邦實體」適用此政策。 (2)依據2018年國家情報辦公室法（Office of National Intelligence Act 2018）第4條所規定之國家情報體系（national intelligence community, NIC）可以排除適用此政策。 3.適用此政策之機構，須滿足下列2要件 (1)公布透明度聲明 各機構應在政策生效日起的6個月內（即2025年2月28日前）公開發布透明度聲明，概述其應用AI的方式。 (2)提交權責人員（accountable official，下稱AO）名單 各機構應在政策生效日起90天內（即2024年11月30日前）將AO名單提供給DTA。 所謂AO的職責範圍，主要分為： I.AO應制定、調整其機構採取之AI治理機制，並定期審查、控管落實情況，並向DTA回報；鼓勵為所有員工執行AI基礎知識教育訓練，並依業務範圍進行額外培訓，例如：負責採購、開發、訓練及部署AI系統的人員，使機構內的利害關係人知道政策的影響。 II.當既有AI 應用案例被機構評估為高風險AI應用案例時，通知DTA該機構所認定之高風險AI應用案例，資訊應包括：AI的類型；預期的AI應用；該機構得出「高風險」評估的原因；任何敏感性資訊（any sensitivities）。 III.擔任機構內協調AI的聯絡窗口 IV.AO應參與或指派代表參與AI議題之政策一體性會議（whole-of-government forums）。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
美國能源關鍵基礎設施議題觀察 德國新修正稅法將加重電子商務營運商之責任德國政府於2018年8月1日通過「2018年稅法」(Jahressteuergesetzes 2018)，新規範將於2019年生效。「2018年稅法」修正內容包括所得稅、公司稅、貿易稅及增值稅等多項稅收法規。其中增值稅（Umsatzsteuer）之修正主要目的係為了避免德國境外之電子商務業者在與德國民眾進行電子商務交易時，未繳增值稅(Umsatzsteuerausfällen)之情況發生，為了確保相關之稅收繳納，透過本次修法加強了電子商務平台營運商之管理義務，平台營運商將有義務提供德國政府在其平台交易之賣家(包括企業與個人)相關資訊並確保其支付相關稅負。 德國增值稅(英文為：Value Added Tax)適用對象為德國境內所發生的進口、商業及服務交易行為，從歐盟以外地區進口到德國的貨物或向德國消費者提供跨境銷售皆需要繳納19%的增值稅。但據德國稅務局的資料顯示，德國的跨境電子商務交易每年約有5億歐元的增值稅未能被徵收。因此，德國政府修正的稅法中，大幅增加了平台營運商之義務（第22f款UStG）及實際責任（第25e款UStG）。修正之稅法要求平台營運商必須記錄下列事項，且若利用該平台之賣家未繳稅款，其平台營運商則須為該賣家繳交必要的增值稅： 賣家的全名和地址； 企業賣家之德國稅號及增值稅識別號碼；(個人賣家則為含有生日的身分證件) 上述稅務證明之有效日期； 每筆交易的發貨地址及收貨地址； 銷售時間及銷售額。 新修正稅法可大幅避免跨境電商逃漏稅收，同時也保護了德國境內的零售商。因為過去若國外電子商務賣家逃漏增值稅，則會與德國境內零售商所賣之貨物產生約兩成價差(稅率為19%)，進而形成不公平競爭，而新法旨在消弭這樣不公平的情況。但這樣的方式對於平台營運商之責任及營運成本皆加重，故新法對於電子商務平台方的影響，有待未來進一步觀察。
歐盟公布電子通訊網路及服務法規架構檢視公共諮詢報告歐盟在2015年9月11日至2015年12月7日期間進行電子通訊網路及服務法規架構檢視公共諮詢，檢討目前電子通訊法規發展方向。2016年3月3日歐盟提出摘要報告，諮詢主題可分為五項，分別為:網路接取規範、頻譜管理與無線連結、電信服務產業管制、普及服務規範、以及機構設立與監理等。在此次公共諮詢當中，可歸納出幾項發展趨勢，包括: 一、基於消費者或市場需求，網路已成為促進數位社會、經濟發展之主要方式。 二、網路連線品質待改善。多數認為應支持基礎建設來因應未來廣泛的需求。 三、多數認為目前法規架構無法促進內部市場發展，未來應朝向電信市場自由化方向進行，特別是基於使用者利益以及市場競爭考量。 四、頻譜管理部分，無線寬頻網路固然重要，但未來仍應朝向促進新行動通訊技術發展，如5G技術等。 五、未來對於頻譜的規劃與應用應更具彈性，且進行技術領域調和。 六、許多會員國因應科技技術的進步更新電信法規，透過促進下世代基礎建設投資以及其他方式，未來希望能使電信法規更具有彈性與簡化。 七、未來將著重考量長期投資研發帶來的效益。 八、消費者希望未來能重視服務競爭，而非僅強調基礎建設。且針對基礎建設本身，亦應重視基礎建設投資的成本分擔。 九、重新思考普及服務，亦即給予會員國更多的彈性來決定如何進行資金補助與履行服務。 十、消費者組織立場認為需要進行產業管制，以及設定使用者保護規範，而基於電信事業立場，特別是在服務部分，則需要整合性規範。部分也認為電信法規亦適用於相同性質之服務，例如OTT。 十一、多數認為，歐盟層級的管制機構應該重新檢視，以協助未來法規的修正。