英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
根據美國北加州聯邦地方法院之資料公佈，APPLE已於上週對“Mac Clone”（克隆機）廠商PSYSTAR追加控訴，指控PSYSTAR侵犯了APPLE的著作權和商標權，同時，亦違反了美國1998年通過之數位千禧年著作權法（DMCA - Digital Millennium Copyright Act）的規定。APPLE表示，尚有其他廠商涉及本案，但APPLE仍未公佈其他涉案廠商名單。 PSYSTAR總部位於美國佛羅里達州，今年4月其推出了安裝APPLE Leopard OS X作業系統的低價個人電腦。此“Mac Clone”（克隆機）標準版售價為399美元，高階版售價999為美元。繼今年7月APPLE對PSYSTAR提起法律訴訟後，11月26日又針對PSYSTAR推出的“Mac Clone”（克隆機）追訴其侵犯了APPLE著作權和商標權。 今年8月份，PSYSTAR曾反控APPLE，宣稱APPLE把Mac機種之硬體和Mac OS X作業系統實行捆綁銷售（Tying），已明顯涉及不公平競爭，並違反美國反壟斷法相應條款。APPLE於9月份已要求法院認定PSYSTAR該項反訴無效。該起訴訟的主審法官威廉•阿爾薩普（William Alsup）於11月18日已作出裁決，認定PSYSTAR對APPLE的反訴無效。 APPLE的律師表示，該公司已握有充足之證據，因此決定對PSYSTAR提出其違反DMCA法案的追加指控。但APPLE的律師沒有對此證據加以具體說明，僅表示該項新指控與PSYSTAR的產品和市場行銷活動有關。 按照原定訴訟程序，APPLE起訴PSYSTAR的訴訟預計將於2009年11月09日開庭審理，PSYSTAR和APPLE雙方必須於2009年08月20日之前向法院提交一份描述兩造觀點和權利的說明。
歐盟議會通過對RoHS指令修正之提案，奈米銀與長型多壁奈米碳管將可能成為禁止之列歐盟議會之環境、公共健康暨食品安全委員會（以下簡稱委員會）於6月2日以55票贊成，1票反對，2票棄權，通過對電子電機設備有害物質限用指令（RoHS指令）修訂之提案。該提案要求對包括鹵化阻燃劑（Halogenated Flame Retardants）、聚氯乙烯（PVC）以及奈米銀(nanosilver)、長型多壁奈米碳管(long multi-walled carbon nanotubes，MWCNT)等目前未列於有害物質禁用清單之化學物質，評估是否列入清單。 RoHS指令適用於自其他第三國進口以及於歐盟地區所生產之電子電機設備產品，影響層面廣泛，值得注意的是，該修訂提案中就其適用對象改採「開放性適用」（open scope），亦即除有特別明文排除者外，所有電子電機設備產品皆適用此一指令。歐盟議會目前提議排除用於生產再生能源、特定大規模設備與工業工具以及用於生產軍事目的之物質和車輛之電子電機設備。 針對奈米銀和長型多壁奈米碳管兩項奈米物質，委員會於修訂提案將其增列於附件IV當中，將產生對內含上述二種物質且達可探測程度（detectable level）之電子電機設備禁止進入歐盟市場流通之效果。委員會也對內含奈米物質之電子電機設備要求進行標示，製造商亦應向歐盟執委會提供奈米物質之安全數據。惟有論者表示，在歐洲議會目前對於奈米物質之定義尚未明確之前提下，此修訂提案可能導致必須對所有的電子產品進行奈米標示之情況。
ICANN將增加網域名稱的選擇性掌管網域名稱規則的組織—ICANN，於2008年6月底透過總裁Paul Twomey表示，其將計畫提出新的通用型網域名稱（Top-level domains, “TLD”），以為增加網域名稱的選擇性做準備，並且讓想透過網域名稱表現自我的使用者，有更多選擇模式。目前為止，網域名稱使用者可選擇的通用型網域名稱限於21種，例如.com、.org、.info等。 根據ICANN新的規劃，申請新的通用型網域名稱者，可以自己選擇其網域名稱，並且進行登記。所有的新申請者不但可以專屬使用其所選擇的網域名稱，也可以將該網域名稱透過登記移轉來進行買賣。 從ICANN的聲明來看，其預估申請者將會以群組做為主要的選擇，例如現有旅遊業者的.travel，另外以城市作為通用型網域名稱的需求也相當高，例如.nyc、.paris。 ICANN目前計畫限定一個期間來接受全世界的團體來申請通用型網域名稱，預估第一輪的申請期限截止後，ICANN將會透過預計9個月的評選程序，來處理所有的通用型網域名稱申請。目前ICANN的新計畫預計於2009年第二季開始接受申請。
歐盟網路與資訊安全局發布「行動支付與電子錢包安全防護」報告為因應探討並強化網路安全環境，歐盟網路與資訊安全局（European Union Agency for Network and Information Security , ENISA）2016年12月發布「行動支付與電子錢包安全防護」研究報告（Security of Mobile Payments and Digital Wallets）。歐盟網路與資訊安全局ENISA主要係因，近來行動支付興起，利用行動支付方式買賣貨品，係象徵著朝向數位化轉換趨勢，消費者希望透過更便捷的方式購物避免帶著實體錢包和一堆卡片，增加購物的不便。但是使用電子錢包和行動支付並非全然沒有安全疑慮，根據2015年的一項調查，有百分之20的美國消費者對於行動支付的過程中可能遭到有心人士擷取個人資料，這就表示此乃使用行動支付的主要擔心重點，有13%使用者擔心自己的電話遭到駭客入侵。此外根據另一項調查，針對九百名資安專家所做的調查顯示，僅有23%的的人員認為目前現有的安全機制足以防範個資外洩，但有47%的人員認為現有的機制缺乏安全性，但當中也有百分之30的回覆認為現在的安全機制是否安全不能確定。因此，目前而言，安全防護可謂是消費者最關心的重點，且對於安全的疑慮亦使得行動支付沒有辦法大量推行採用。 因此歐盟網路與資訊安全局ENISA於此報告提出了目前經確認的主要威脅有： 行動用戶的安全威脅：任意裝設惡意軟體、釣魚軟體、社交工程軟體。 行動設備威脅：行動設備遭竊或遺失與不當近用。 行動支付與電子錢包威脅：逆向工程、竄改支付軟體、使用在滲透到系統之後，會隱藏登錄項目、檔案或處理序等資源的一種軟體。 消費者威脅：POS惡意軟體、MiTM、重放攻擊。 付款服務提供者威脅：付款系統與資料連結崩潰的疑慮。 支付網路提供者威脅：代碼服務崩潰、拒絕服務。 發行商威脅：付款授權流程崩潰與代碼資料崩潰。 行動支付軟體提供者威脅：機敏個資外洩、雲端客戶資訊管理遭到入侵、代碼服務拒絕。 因此有鑑於行動支付產業目前仍在新興階段，欠缺明確標準，業者間的自主管理顯得相當重要，所以網路與資訊安全局ENISA提出了一些得以遵循的建議與標準： 消費者在使用行動支付的服務軟體時，必須採取多項最低安全防護措施。 行動主機提供業者應該確保軟體定時更新，並且修補安全上的漏洞，針對安全性與近用用戶資料的可能性部分加強。 行動支付的應用程式提供者，應該再提供服務給消費者時，同時提供消費者資訊，本應用軟體做了何種安全防護，供消費者知悉。 行動支付業者應當建立詐騙監控機制。 網路與資訊安全局ENISA提出上述建議與標準，主要係希望業者採用這樣的標準或好習慣的建議後，可以對於消費者、零售商、銀行等業者產生益處。