英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
鑑於頻寬市場以及電信市場的競爭愈趨炙熱，不肖資通訊業者對於弱勢消費者，透過詐騙或其他不適當銷售手法而獲利的案例也層出不窮。爰此，英國通訊管理局（Office of Communication/ Ofcom）在2007年2月8日，決定擴張防止固網電信業者對消費者「不正當銷售」（mis-selling）的規範內容（General Condition）。 「不正當銷售」指的是電信公司或其雇員，利用不受歡迎或者非法的銷售產品技巧所從事的相關市場活動。其中最嚴重的銷售方式，又以「砰一聲」（slamming）的銷售行為，最令人詬病。因為該銷售行為是在未經消費者明示同意、或者未使其獲得足夠知識與資訊下，逕自將提供的服務轉換到另一家公司。例如：轉換服務提供者，但並未通知你；通知轉換服務提供者，但未經你同意；所簽約的服務與提供的服務不盡相同；銷售人利用使你倍感壓力的方式來銷售服務等等，均屬誤賣行為。 此次的規則擴張，在規範對象上也會納入那些使用用戶迴路的服務提供者。Ofcom認為在日益激勵的市場競爭下，這些擴張規則有助於消費者權益，並能保護他們免受不適當的銷售活動干擾，更可確保消費者追求更好消費標的市場信心。
英國與印度共同簽署智慧財產權備忘錄2016年11月8日印度新德里（New Delhi），在英國首相德蕾莎‧梅伊（Theresa May）及印度總理納倫德拉‧莫迪（Narendra Modi））見證下，由英國智慧財產局（UK Intellectual Property Office；簡稱UK IPO）及產業政策與推廣部（Department of Industrial Policy and Promotion）共同簽署智慧財產權備忘錄。 雖然學術上就智慧財產權之保障強度，對於促進創新領域是否具有正面效益，似乎仍然是意見分歧，反思者主要論點在於模仿或抄襲對於某些產業發展，如：時尚設計、金融產品或程式開發等，反而有益於保持源源不絕之創造力，甚且適度開放更有促進市場競爭與減少社會成本，如：避免專利蟑螂崛起或企業壟斷，其中著名案例就是Linux；然而，雖有前述反思浪潮，但目前國際間仍是普遍相信藉由協議或備忘錄形式，試圖架構完善且強健之智慧財產權保護體系，維護權利人之權益，將有助於提升企業或一般民眾投入創新領域之意願。此番論點可見諸於英國所指派至印度擔任高級專員之多米尼克‧阿斯奎斯（Dominic Asquith），即是認為英國與印度簽署智慧財產權備忘錄，對於兩國創新及創意領域之發展，具有高度重要性。 針對該備忘錄之重點，內容摘錄如下： 1、相互交流智慧財權領域管理優化方式，如：簡化專利、商標、工業設計之註冊處理流程。 2、技術交流，此包括主管機關支援及智慧財產權紛爭之司法替代方案。 3、宣傳活動，此含有智慧財產權評價與維護之業務諮詢。 4、針對公眾舉行教育活動，以提高其對智慧財產權之認識與尊重。
英國發布《太陽光電發展路徑》政策報告，推動屋頂光電革命加速能源轉型英國工黨政府為解決當前民生、產業用電，過於仰賴化石燃料價格波動的社會課題，於2025年6月30日發布《太陽光電發展路徑：太陽能如何驅動英國》（Solar roadmap: United Kingdom powered by solar），透過62項具體的政策行動，減輕用電負擔，可視為歐盟《可負擔行動計畫》（Action Plan for Affordable Energy）的英國光電版本。 為實現2024年年末發布的《2030潔淨電力行動計畫》（Clean Power 2030 Action Plan）的政策目標，即2030年從目前裝置容量18GW，提升到45至47GW，該報告宣示將啟動「屋頂光電革命」（Rooftop Revolution），克服長久以來阻礙商業、住宅與公共建築物屋頂布建的障礙，政策方向擬定如下： 1. 發展「大英能源公司」（Great British Energy）的潛力，如目前已推動英格蘭約200所學校、醫院等安裝屋頂太陽能，降低電費支出。 2. 預計將修訂新建、既有住宅的《溫暖住宅計畫》（Warm Homes Plan）與《未來住宅與建築標準》（Future Homes and Buildings Standards），如規範新建築物裝設太陽光電的義務。 3. 針對大型戶外停車場建置太陽能車棚，進行意見徵詢。 4. 簡化利害關係人協作流程，如研擬工業、商業類型建築物出租屋頂安裝太陽能的標準合約範本。 英國政府除積極推動屋頂光電外，亦針對電力網路、供應鏈、培養人才、國土計畫、社區參與等，規劃一系列太陽光電發展路徑中的配套措施，如改善英國國家能源系統營運商（National Energy System Operator, NESO）併網流程，要求應確保併網申請順序的分配保持公平；並於《大英能源法》（Great British Energy Act 2025）規範大英能源公司於採購時，得拒絕與任何供應鏈中涉及強迫勞動的廠商簽約等；並與英國太陽能產業協會（Solar Energy UK）協作，促成產業實踐社區參與溝通。
物聯網時代的資料保護防線－以歐盟GDPR為中心