英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
伴隨人工智慧、大數據及雲端運算浪潮，生物辨識技術逐漸成為日常生活的一部分。所謂生物辨識技術，是指利用個人獨特之生物特徵辨識個人的技術。生物特徵包含任何人類生理或行為特徵，只要能夠滿足普遍性、獨特性、不變性及可蒐集性 ，即可作為生物辨識之資訊。由於生物辨識技術能利用生物特徵達到識別與驗證個人身分，因而引發公眾對隱私、資安等議題的關注。 對此，紐約市於2021年7月21日也開始正式施行《生物辨識隱私法》（biometric privacy act） ，期能藉由限制業者利用生物辨識技術以及賦予消費者訴訟權利作法，促成隱私權的週全保障。 該法主要有三大部分： 一、規範生物辨識資訊範圍，包含但不限於（1）視網膜或虹膜掃描（2）指紋或聲紋（3）手或臉部立體掃描或是其他可用於識別之特徵。就前開生物特徵，要求業者應在所有消費者入口處放置清晰顯眼的標誌，搭配簡單易懂方式揭露其蒐集、保留、儲存消費者生物辨識資訊行為。同時，也明文禁止業者將消費者生物辨識資訊以販賣、租賃、交易或是分享方式交換任何相關價值或利益。 二、提供受侵害之消費者訴訟權與法定賠償請求權。但是，就單純未符合揭露要求之業者，該法給予30天的補救期間，要求消費者應於起訴前30天通知業者改善，一經改善即不得再起訴。 三、闡明政府相關部門不適用本法。金融機構、業者與執法部門共享生物辨識資訊，以及單純以影像、圖像蒐集而未分析識別情形則豁免揭露規範。 綜上，紐約市於該法創設訴訟權、法定賠償數額及豁免事由，預料將會是紐約市企業隱私保護政策重要指標，而值得我們繼續關注其發展與影響。
日本推動數位出版產業之方式與觀察日本推動數位出版產業之方式與觀察 科技法律研究所 法律研究員 尤騰毅 2014年12月31日 壹、前言 鄰國日本的出版產業，向來以質跟量著稱於世，不過於進入數位匯流時代後，其出版產業也遭遇同樣的問題，市場上電子書數量不足以至於無法帶動日本電子書閱讀的人口，另外，加上美商Amazon大舉進入日本市場，日本出版業界與政府都認知到若不採取措施，將使日本出版產業失去利基[1]。 本文擬就日本政府在2012年提出了三個主要的電子書產業振興政策，包括前述成立「數位出版機構」、以及「內容緊急電子化事業」（コンテンツ緊急電子化事業）、文化廳（文化庁）eBook計畫等進行分析，說明日本政府如何透過計畫政策在短期內增加市場上電子書的數量，以達到經濟規模，提振電子書產業，以便我國政府在未來制定數位出版產業相關政策時之參考。 貳、重點說明 一、紙本書籍數位化之推手：出版數位機構 2011年9月，由出版業者共同成立「株式會社出版數位機構準備會」（出版デジタル機構準備会），於同年4月，透過「產業革新機構」（Innovation Network Corporation of Japan, INCJ）以及日本大型之出版社、印刷公司等共同出資成立「株式會社出版數位機構」（株式会社出版デジタル機構，英文全稱為Digital Publishing Initiatives Japan Co., Ltd，下稱Pubridge），欲藉此一個機構來加速日本電子書產業的整合，並以擴大電子出版商務市場為目標，支援出版品數位化（儲存）、電子書店和電子書仲介等傳輸業務、圖書館窗口相關業務，期能透過整備電子書基礎建設，提供讀者更理想的讀書環境 。 出版數位機構之業務分為四大領域，包括電子書仲介事業、電子書製作、數位文獻系統、讀者平台等。其中，電子書仲介事業的服務名稱為「Pubridge （publish+bridge）」[2]，其所提供的服務內容，即是所謂的書籍電子化之單一窗口服務（ワンストップ，英文為One-Stop Service），提供整合服務以降低傳統出版業界進入電子書市場的門檻。所謂的單一窗口服務，即由出版數位機構擔任產業鏈的核心整合角色，將上游端的出版社紙本書籍的數位化，並提供銷售的收益分配等，並且由其提供數位化後的電子書給予電子書店等通路。主要細部的服務包括：制作（協助電子化格式製作）、發行（代為協助發行）、行銷、管理（收益分配計算）等四個面相[3]。亦即出版數位機構的定位係要成為傳統出版社進入電子書市場的中介者或經紀人。其商業模式是由出版社對出版數位機構委託業務、再由該公司傳輸給電子書商店，由電子書商店銷售給讀者；金流則由電子書商店將收取的書籍費用以獲益分享方式（Revenue share）支付費用給出版數位機構，而出版數位機構也以獲益分享方式對出版社支付收益。 二、內容緊急電子化事業 「內容緊急電子化事業」（コンテンツ緊急電子化事業）[4]，係指日本經濟產業省在2012年所規劃的一項書籍電子化計畫，預計在一年的期間內（2012年）將6萬冊書籍全數電子化。該計畫之成立背景與目的，係因2011年311東日本大地震後，對東北災區之經濟活動造成嚴重影響，經濟產業省希望透過日本中小出版社所持有與東北相關書籍的電子化，由政府負擔部份電子化費用的形式，在活化萌芽期電子書市場的同時，以促進東北地區資訊向外傳遞、提高該災區知識檢索頻率，並基於鼓勵災區創造新產業，以復興災區及振興日本國內經濟[5]。就本文的觀察，該計畫的另一個目的其實在短期內大量的增加電子書數量，亦可達到活絡電子書市場之效益。 三、日本文化廳eBooks計畫 「eBooks計畫」屬於實證測試性質，主要係從國立國會圖書的館藏數位文獻中選出資料，經過著作權處理手續，從製作電子書到傳送給使用者的實驗，以釐清數位文獻商用化的課題和有效對策，並將結果將提供民間業者和公家機關作為參考。 該實驗結果發現，電子書的總下載次數總計92,517次，以初次透過網路公開電子書而言，已是不錯的成果。根據對讀者調查發現（樣本數126位），使用者特徵上男女比例相當，年齡層20、30、40歲各約1/3，上班族占67%，過去使用過電子書占半數，使用過eBooks服務後近60%會想再次使用，有61%認為能讀到珍貴的資料是這項服務最大的優點，也有30%希望能夠增加文獻數量。而讀者也認為在下載（或購買）書籍時，「摘要」充實的程度是影響下載意願的重要判斷依據，eBooks計畫公開電子書時的詳細說明對提升下載數量也有相當助益。目前國立國會圖書館可透過線點閱的文獻數約45萬件，限館內閱讀的文獻約233萬件。未來公開數位文獻的計畫仍會持續，並實驗付費方式下載的可行性，期能讓稀有資料能更容易被需要者取得，同時該計畫也建議應將國會圖書館等公部門機關，對於其所典藏書籍之著作權處理方式做成指導手冊，以確認著作權處理的標準程序[6]。 參、事件評析 日本從2010年以來為了輔導其國內傳統出版業者進入數位出版領域，所採取相關具體政策措施，本文歸納出以下三點結論與建議，供政府擬定相關政策時參考： 一、數位出版產業之推動應整合各機關共同合作 日本的出版產業其主管機關為中央文化主管部門，即文部科學省的文化廳，不過由於數位出版領域所涉及的不僅僅是文化部門，更牽涉到經濟部門以及電信基礎建設的相關部門。因此日本政府在推動數位出版時，係透過每年的智財推進計畫[7]（由直屬首相的智慧財產戰略本部所制定）規劃具體方向，並依據各省廳的業務職掌進行分工，從而各省廳分頭執行發展數位出版等的相關工作。我國出版產業與日本相同，係由文化部主管，然數位出版係分屬經濟部，在推動數位出版方向上，若無統一的戰略主軸，可能會落入多頭馬車或疊床架屋的情況，又出版產業為文創產業與數位內容之源頭，建議政府應將數位出版產業的規劃提至我國每年的智財綱領中，統籌規劃未來我國數位出版產業之方向，交由相關部門執行，以避免部門之間的重工或缺漏。 二、建議透過特定機構間接協助傳統出版業者 日本的出版產業型態以中小型出版社為多，其數位出版程度與網路通路等等，皆不如大型連鎖書，惟透過「出版數位機構」的成立，整合並協助中小型出版業者，可使其更快速的進入電子書市場。我國出版產業與日本近似，以中小型出版社為多，在數位出版程度與網路通路上面臨同樣的困境。除此之外，中小型出版社有許多書籍在著作權也需要專業的法律團隊協助釐清（尤其是授權部分），建議政府可借鏡日本模式，成立特定機構或委由民間具有法律授權與資訊經驗的團隊，協助中小型出版社將既有的紙本書籍數位化，並輔導流通，跨出建立正體中文電子書市場的第一步。我國產業發展主管機關除了著重數位出版的技術層面與硬體設備外，亦可透過部分政策工作，協助傳統紙本書籍，轉成電子版，以建立電子書市場的經濟規模，已達成以軟帶硬、以硬帶軟的正向循環。 三、短期內應儘速增加電子書數量以活絡市場 由於2011年日本東北大地震，為協助民眾可以便利取的東北相關的書籍資料，經濟產業省透過「內容緊急電子化事業」計畫，在一年內完成的8萬本的數位化作業，在短時間內為日本電子書市場注入大筆的品項，除了幫助災區重建外，同時也在極短的時間內擴大日本電子書市場的經濟規模。我國電子書市場尚未成熟，很大的原因係在於傳統紙本電子化的程度不高，造成市場上的電子書數量不足。儘管「內容緊急電子化事業」主要是在協助災區資料數位化，不過其帶動的是短時間內日本電子書的數量，就短期內增加電子書數量的措施與方法，我國不妨可參考之。建議政府可以從透過計畫短期內將政府出版品或政府所擁有的著作權之作品，進行數位化作業，再將其釋放電子書市場，以提高其規模。 [1] 永田豊志，〈「電子書籍の衝撃」の衝撃――出版社の生きる道を「強み」「弱み」「機会」「脅威」で分析してみる〉，Business Media 誠，http://bizmakoto.jp/bizid/articles/1006/07/news023.html（最後瀏覽日：2013/10/20）。 [2] 該公司對外服務的名稱為「pubridge（パブリッジ）」，為pulish與bridge的複合語，參照：〈会社概要〉，株式会社出版デジタル機構，http://www.pubridge.jp/about/（最後瀏覽日：2013/09/17）。 [3] 〈電子書籍取次事業〉，株式会社出版デジタル機構，http://www.pubridge.jp/agency/（最後瀏覽日：2013/10/17）。 [4] 緊デジ：コンテンツ緊急電子化事業特設サイト，http://www.kindigi.jp（最後瀏覽日：2013/05/09）。 [5] 〈緊デジとは〉，緊デジ：コンテンツ緊急電子化事業特設サイト，http://www.kindigi.jp/about/，（最後瀏覽日：2013/05/09）。 [6] 株式会社野村総合研究所，〈電子書籍の流通と利用の円滑化に関する実証実験報告書〉，頁85（2013），http://www.bunka.go.jp/chosakuken/jikken/pdf/h24_hokokusyo.pdf（最後瀏覽日：2013/09/14）。 [7] 根據日本內閣府的網站，目前最新的智財推進計畫已經於2013年6月出爐，相關內容可參考：知的財産戦略本部，〈知的財産推進計画２０１３〉http://www.kantei.go.jp/jp/singi/titeki2/kettei/chizaikeikaku2013.pdf（最後瀏覽日：2013/09/14）
歐盟執委會提出《歐盟數位十年網路安全戰略》歐盟執委會於2020年12月16日針對未來十年歐盟數位發展，提出《歐盟數位十年網路安全戰略》（The EU's Cybersecurity Strategy for the Digital Decade），以支持塑造歐盟的數位未來（Shaping Europe's Digital Future）、歐洲復甦計畫（Recovery Plan for Europe）和歐洲安全聯盟（EU Security Union Strategy）。該戰略說明應如何加強歐盟共同抵禦面對網路攻擊的應變能力，並確保民眾及企業都能在可信賴的數位服務中受益。 由於COVID-19大流行，加速工作模式的變化，2020年歐盟約有40%的民眾遠距辦公，而同年網路犯罪對全球經濟造成的影響估計達到5.5億歐元。因此，為維護全球開放網路的穩定運作，在保護網路安全的同時，亦應保護歐盟的共同價值觀與人民的基本權利，在監管、投資與政策上提出三點建議： 韌性、技術主權和領導（Resilience, Technological Sovereignty and Leadership）：根據網路與資訊系統安全指令（Directive on Security of Network and Information Systems, NIS Directive）修訂更嚴格的監管措施，改善網路和資訊系統的安全。並建立由AI推動的資安監控中心（AI-enabled Security Operation Centres），及時避免網路攻擊。 建立防禦、嚇阻和應變能力（Building Operational Capacity to Prevent, Deter and Respond）：逐步建立歐盟聯合網路安全部門，加強歐盟各成員國之間的合作，以提高面對跨境網路攻擊時的應變能力。 透過加強合作促進全球開放網路空間（Advancing a Global and Open Cyberspace）：希望與聯合國等國際組織合作，透過外部力量共同建立全球網路安全政策，以維護全球網路空間的穩定及安全。
歐盟立法成員對整體生質燃料目標仍存有不同意見為確認是否採行歐盟整體生質燃料目標（即於2020年應達20%）而欲進行協商之前夕，歐洲各政黨團體立法成員們間，對於設定環境永續性基準與將用以種植生產生質燃料作物土地等方面之意見，至今仍分歧不一。 鑑於歐洲環保團體紛盼能儘快看見那些未來將被間接利用來生產生質燃料之土地，其可一併被涵括在正式評估公式之內，來評估對整體CO2濃度影響；因此，各會員國遂轉而朝向歐洲執委會，要求其應提出詳細之規則，並希望能在將相關基準納入整體法律架構之前，完成對間接利用土地所產生衝擊之評估方法與標準的建立。 環保團體代表Turmes指出，日前執委會對歐洲議會所提出之建議提案，已表達其意見並且認為：由於對間接利用以生產生質燃料之土地其未來將對CO2排放產生衝擊方面，尚未獲得足夠之科學性證據來做為日後評估之參考；因此，就整體生質燃油利用之最終版本而言，其認為需將「新方法學」（new methodologies）部分一併納入，以填補前述科學性知識之缺口與不足。 另外，各會員國政府對歐洲議會所提出，要求透過未來利用生質燃料來達到減少碳排放目標時，至少應有40%之比例，需透過運用第二代生質燃料來達成之「附屬目標」（sub-targets），亦表示反對。目前各政府代表僅同意25%，而至於剩下之15%，則將留待後續協商時，再進行討論。 最後，Turmes指出，關於前述次要性目標之確定，歐洲議會將待解決間接利用土地問題後，再做更進一步之協商。