英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
為降低應用程式（App）用戶接觸有害內容的風險，新加坡資通訊媒體發展管理局（Infocomm Media Development Authority，IMDA）發布《應用程式分發服務安全準則》（Code of Practice for Online Safety for App Distribution Services），要求應用程式分發服務（App Distribution Services，ADSs）採取必要防護措施，並導入年齡驗證機制，以進一步強化兒童保護。該準則將於 2025 年 3 月 31 日 生效。 本次IMDA依據《廣播法》（Broadcasting Act）第45L條所發布之《應用程式分發服務安全準則》，係為進一步強化對App用戶的保護。ADSs作為數位裝置存取應用程式的主要入口，是許多網路內容（例如線上遊戲）的上架平台，當用戶透過 ADSs下載App的比例提高，其接觸不當內容的風險亦增加。因此，新加坡要求指定業者建立安全措施，以降低用戶接觸不當內容的風險。被指定業者包括：Apple App Store、Google Play Store、Huawei AppGallery、Microsoft Store及Samsung Galaxy Store等。該準則亦要求ADSs業者建立年齡驗證機制，訂定年齡分級標準並限制兒童存取及下載不適齡的App，同時強化家長控制功能。這一措施讓新加坡成為全球首批強制推動年齡驗證的國家或地區之一，其他國家包括澳洲、歐盟、英國及美國。IMDA 亦將持續與ADSs 業者溝通，確保其有效落實年齡驗證機制。 早在2023年1月，新加坡已於《廣播法》中將線上通訊服務納入規範，政府可要求業者封鎖惡性內容（egregious content），確保網路環境安全並保護兒童免受不當內容影響。此外，依據《網路安全準則》（Code of Practice for Online Safety），政府可要求指定社群媒體服務業者（如Facebook、Instagram、TikTok、Twitter與YouTube等）降低用戶接觸有害內容的風險。 為因應日益增加的有害線上內容，新加坡未來將持續與相關政府機構、產業及社群合作，推動適當的監管措施與公共教育，以確保新加坡用戶免受線上風險侵害。
日本有關循環經濟新法規「塑膠資源循環促進法」將於2022年4月1日正式上路日本率先亞洲地區將於2022年4月1日實施「塑膠資源循環促進法」（プラスチック資源循環促進法），其係著重於產品設計階段至塑膠廢棄物排放、再利用等整個產品生命週期，來促進塑膠資源循環運用，主要措施內容包括： ①抑制塑膠廢棄物的排放、再資源化的環境設計（該法第1、2章） ②一次性利用塑膠產品的使用合理化（該法第3、4章） ③塑膠廢棄物的分類收集、自主回收、再資源化（該法第5、6、7章） 例如： 設計、製造階段，有明示塑膠製產品設計指導方針，可透過減少塑膠用量來製作產品、調整尺寸和形狀方式，進行塑膠製產品之設計，並創建國家優秀設計認定制度，被國家認定之產品，可獲得政府優先購買，會提供消費者資訊使其更容易選擇環保產品。 使用階段則要求企業經營者合理化提供免洗餐具等12種一次性塑膠製產品，其指導方針有是否採取有償方式提供、或是否有回饋措施予拒用免洗餐具之消費者等措施。 塑膠廢棄物處理階段，係指針對排出塑膠廢棄物之企業經營者有責任妥善處理塑膠廢棄物等，倘企業經營者在其選擇之措施中有顯著不足情形，國家會以勸告、命令方式命其改善。 回收、再利用階段，則是針對塑膠回收類型作最小限制，本制度設立了對該塑膠廢棄物進行再商品化的機制，重新修改分類規則，擴大塑膠資源的回收量，且針對回收自治體得補貼地方交付稅等部分費用，減輕其成本。
FCC就電信轉接服務相關法規之適用發布命令1990 美國身障礙法要求 FCC 確保在合理的情況下，有聽覺或語言障礙人士都能夠接近使用 電信轉接服務 ( telecommunication relay services ， TRS ) 。 TRS 的提供使有聽覺或語言障礙者得以能夠利用電信設施與其他人溝通，而這樣的溝通過程必須是在有受過訓練之通訊輔助人 (communication assistant ， CA) 的協助方能夠完成。 CA 會負責交換使用各種不同輔助通訊裝置 ( 例如 TTY 或電腦 ) 者與使用語音電話者間的通訊。為了減少因為通訊轉換所造成的中斷以及為了使該通訊在功能上幾近等同於語音通訊， TRS 相關規定要求 CA 必須等待至少 10 分鐘後，方能將該筆通訊移轉給另一個 CA 。然而，此規則應用於影像轉接服務 (Video Relay Serices) 時，卻引發相關疑義，例如當發話端使用 ASL(American Sign Language ，美國手語 ) 時， VRS CA 可能會因為使用的手語系統的不同而不能夠正確地了解發話端的意思，因此最好的情況時，可以立即將該筆通訊移轉給另外一個 CA 處理。於此情況下， FCC 於 16 日所發布的命令 (Order) 中表示，考量通訊本身的效率性， CA 可以將通訊移轉給另一名 CA 處理，而不必等待至少 10 分鐘後才將該通訊轉出去。
《加州隱私權法（California Privacy Rights Act, CPRA）》現在備受關注；CCPA修正案2020年11月3日，加州於其大選中以公投方式批准通過第24號提案（Proposition 24），該提案頒布《加州隱私權法》（California Privacy Rights Act，以下簡稱CPRA）。CPRA對加州消費者隱私保護法（California Consumer Privacy Act 2018，以下簡稱CCPA）所規定之隱私權進行重要修正，改變了加州的隱私權格局。 CPRA賦予加州消費者新的隱私權利，並對企業施加新的義務，例如消費者將有權限制其敏感性個人資料（例如財務資料、生物特徵資料、健康狀況、精確的地理位置、電子郵件或簡訊內容及種族等）之使用與揭露；消費者有權利要求企業更正不正確的個人資料；CPRA同時修改現有的CCPA的「拒絕販售權」，擴張為「拒絕販售或共享權」，消費者有權拒絕企業針對其於網際網路上之商業活動、應用或服務而獲得的個人資料所進行之特定廣告推播。CPRA亦要求企業對各類別之個人資料，按其蒐集、處理、利用之目的範圍及個人資料揭露目的，設定預期的保留期限標準。 CPRA另創設「加州隱私保護局」（California Privacy Protection Agency）為隱私權執行機構，該機構具有CPRA之調查、執行和法規制定權，改變了CCPA 係由加州檢察長（California Attorney General）負責調查與執行起訴的規定，並規定加州隱私保護局應於2021年7月1日之前成立。 CPRA將在2022年7月1日之前通過最終法規，且自2023年1月1日起生效，並適用於2022年1月1日起所蒐集之消費者資料，隨著CPRA的通過，預期可能促使其他州效仿加州制定更嚴格之隱私法，企業應持續關注有關CPRA之資訊，並迅速評估因應措施。