英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例
英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。
本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下：
一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。
二、無適當安全維護措施
三、涉及敏感性個資，違法情狀嚴重
四、未積極配合調查
五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。
此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
衛星羽
法律研究員 編譯整理
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/12/london-pharmacy-fined-after-careless-storage-of-patient-data/ (last visited Dec. 30, 2019)
London pharmacy fined after “careless” storage of patient data, Information Commissioner's Office. https://ico.org.uk/media/action-weve-taken/enforcement-notices/2616741/doorstop-en-20191217.pdf (last visited Dec. 30, 2019)
英國工黨政府在2024年7月17日的議會開幕致詞上宣布，將於2025年提出「網路安全與韌性法案」（Cyber Security and Resilience Bill），用以更新現有的網路與資訊系統規則（The Network and Information Systems Regulations 2018）。現有的法規涵蓋5大行業領域：交通運輸、能源、飲水、健康衛生，以及數位基礎設施和部分數位服務（含網路市集、網路搜尋引擎、雲端運算服務等），分別由12個主管機關負責在各自領域落實該法規。 根據英國國家網路安全中心的評估，英國正面臨著來自敵意國家（或受其資助的行為人）日益增加的威脅。而英國的基礎設施在運作時不應該忽視這些威脅。工黨政府希望加強英國的網路防禦和面臨惡意攻擊時的網路韌性，從而確保英國社會所依賴的基礎設施和關鍵服務能夠持續運作，並確保數位經濟能夠持續增長。 根據目前公布的資訊，該法案將會在既有框架下面針對三個方向進行強化： 1. 擴大法規的職權範圍，將更多的數位服務和供應鏈納入保護範圍，保護英國的必要公共服務，避免受到網路攻擊。 2. 提供監管機關採取必要性網路安全措施的法源依據，從法律層面賦予監管機關採取更多安全措施的權利。 3. 強制要求納管對象網路安全事件通報，讓政府確實掌握網路攻擊的次數與相關資訊，以提升整體英國社會對於此類事件的理解與掌握。 該法案預計於2025年提交給英國議會審議，其對於網路安全、數位基礎設施和關鍵設施的安全保護框架，可以作為我國未來提升數位基礎建設及關鍵設施資訊網路安全的重要參考對象。
電信產業號碼資料庫之應用與法制議題－以個人隱私保護為中心 澳洲數位轉型局12月發布《政府負責任使用人工智慧政策2.0》，以強化公部門之AI風險管理2025年12月初，澳洲數位轉型局（Digital Transformation Agency，下稱DTA）發布《政府負責任使用AI政策2.0》（Policy for the responsible use of AI in Government 2.0），旨在進一步強化公部門在AI的透明度、問責性與風險管理能力，於2025年12月15日生效，取代 2024年9月實施的過渡版本。 一、適用範圍 政策適用於所有非企業型聯邦實體（Non-corporate Commonwealth entities），即不具獨立法人地位、直接隸屬於政府的機關或單位。企業型聯邦實體則被鼓勵自願遵循。政策定位為「補充與強化既有法制」，非另訂獨立規範，因此在實務中須與公務員行為準則、資安規範及資料治理制度併行適用。 二、政策重點 在政策施行的12個月內，適用機關須完成以下要求，以確保落實AI治理架構： （一）制度建置 1. AI 透明度聲明：機關須在政策生效後 6 個月內發布「AI 透明度聲明」，公開 AI 使用方法與現況。聲明中須說明機關風險管理流程、AI 事件通報機制及內外部申訴管道，確保使用過程透明、可追蹤。 2. 人員指定與培訓： 機關須指定制度問責人員（Accountable officials）以及AI使用案例承辦人（Accountable use case owners）。 所有員工皆須進行關於負責任使用AI的培訓，機關並依員工職務權責提供個別員工進階訓練。 3. 建立內部AI使用案例註冊清單（Internal AI use case register），以供後續追蹤 該清單至少包含： （1）使用案例負責人（Accountable use case owners）：記錄並持續更新範疇內 AI 使用案例的指定負責人。 （2）風險等級（Risk rating）：AI使用案例的風險等級資訊。 （3）異動紀錄：當使用案例的風險評級或負責人變更時，須即時更新清單。 （4）自定義欄位：各機關可根據其需求，自行增加欄位。 （二）AI 使用案例範疇判斷 機關須在評估所有新案例，依以下特徵判斷AI應用是否屬於「範疇內（In-scope）」的應用： 1.對個人、社群、組織或環境造成重大損害。 2.實質影響行政處分或行政決策。 3.在無人工審查的情況下，大眾將直接與AI互動或受其影響。 4.涉及個人、敏感資料等資訊。 （三）進階風險評估 依AI影響評估工具（Impact Assessment Tool）針對公眾近用權；不公平歧視；加重刻板印象；損害人、組織或環境；隱私顧慮；資料敏感之安全顧慮；系統建置之安全顧慮；公眾信任等8類別，加以判斷範疇內AI應用，若有任一類別被評為「高風險」，即判定為「高風險」；若所有類別中最高的分數為「中風險」，則整體判定為中風險。 判定為中、高風險之AI應用，均需進行全面審核。中風險須列出所有中風險項目及其控管措施，主要為內部控管；而高風險則要求向DTA報告，且每年至少進行一次全面審核與風險再評估。 澳洲欲透過發布AI透明度聲明、更新AI使用案例註冊清單、強制執行AI應用之風險評估及人員培訓，確保公部門對AI的負責任使用與問責。而我國企業可參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範（EDGS）》，落實AI資料管理與追蹤。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
研析經濟部智慧財產局因應TPP所提商標法修法草案研析經濟部智慧財產局因應TPP所提商標法修法草案 資策會科技法律研究所 法律研究員 林昭如 105年06月20日 壹、前言 我國智慧財產相關法規與時俱進，順應國際法規趨勢及實務發展，不定期檢視、修正相關法規內容，以期完善智慧財產法制，健全產業競爭環境。今更因應跨太平洋夥伴協定(Trans-Pacific Partnership Agreement，以下簡稱TPP)智慧財產章(以下簡稱IP章)全面化、高標準、細緻化的規範，重新檢視我國智慧財產相關法規。其中，商標法現行條文大部分符合TPP IP章的規範，如：商標法有關非傳統商標、著名商標保護、地理標示等等[1]。惟有關製造、進口仿冒標籤、包裝等行為之侵權責任，與TPP IP章的規定，尚有落差，即有調整必要。我國TPP/RCEP專案小組第16次會議，已就智慧財產法規相關議題，確認修法方向及內容，向國際社會展現我國爭取加入TPP第二輪談判的決心[2]。 經濟部智慧財產局於105年5月10日將因應TPP規定的商標法修正草案送交行政院，其修正重點包括：1.擴大仿冒商標標籤等行為的民事責任，以故意或過失為主觀要件(不限於明知)；2.新增仿冒商標或團體商標標籤等行為的刑罰規定；3.擴大仿冒證明標章標籤等行為之刑事責任主觀要件，以故意(不限於明知)為限，並增訂處罰「輸出或輸入」前述仿冒證明標章標籤的行為；4.擴大販賣及意圖販賣他人所為侵權商品等行為之刑責，以故意(不限於明知)為主觀要件。本文將分析我國商標法現行條文(以下簡稱現行條文)及因應TPP規定的修正條文內容，並提出對於我國產業可能造成之影響。 貳、因應TPP修法重點內容 一、擴大仿冒商標標籤等行為的民事責任，以故意或過失為主觀要件(不限於明知) 因應TPP IP章第18‧74條第三項規定，商標侵權民事責任以明知或可得而知(knowing, or with reasonable grounds to know)為主觀要件，負擔損害賠償責任。考量我國現行條文第七十條第三款規定：「…三、明知有第六十八條侵害商標權之虞，而製造、持有、陳列、販賣、輸出或輸入尚未與商品或服務結合之標籤、吊牌、包裝容器或與服務有關之物品。」有關侵權之民事責任限於「明知」，不符合前述 TPP規定，故刪除「明知」文字，回歸一般民事侵權責任，以故意過失為主觀歸責條件。 此外，亦強化現行條文意旨，明確規範民事賠償責任範圍，包含意圖供自己或他人侵害商標權，而為製造或販賣等尚未與商品或服務結合的標籤、吊牌、包裝容器或與服務有關的物品之準備或輔助行為。 二、新增仿冒商標或團體商標標籤等行為的刑罰規定 因應TPP IP章第18‧77條第三項規定，對於具商業規模之仿冒相同或無法相區別商標之標籤或包裝而為用於他人註冊商標同一商品或服務者，應訂有刑事處罰規定。考量現行條文無相關規範，不符合前述TPP規定。故新增修正條文第九十五條第二項：「未得商標權人或團體商標權人同意，為行銷目的而製造、販賣、持有、陳列、輸出或輸入附有相同或近似於註冊商標或團體商標之標籤、吊牌、包裝容器或與服務有關之物品，意圖供自己或他人用於與註冊商標或團體商標同一商品或服務者，處一年以下有期徒刑、拘役或科或併科新臺幣五萬元以下罰金。」並依我國刑罰明確性原則，明定「以行銷目的」而為製造、販賣仿冒商標標籤等行為，始為刑罰範圍。 三、調整仿冒證明標章標籤等行為之刑事主觀要件，以故意(不限於明知)為限，並增訂處罰「輸出或輸入」前述仿冒證明標章標籤的行為 因應 TPP IP章第18‧77條第三項刑事處罰「故意」之行為。考量現行條文第九十六條第二項：「明知有前項侵害證明標章權之虞，販賣或意圖販賣而製造、持有、陳列附有相同或近似於他人註冊證明標章標識之標籤、包裝容器或其他物品者，亦同。」有關刑事處罰的主觀要件限於「明知」，依我國實務見解僅限於直接故意，不包含間接故意，不符合前述 TPP規定，故刪除「明知」文字，回歸一般刑事處罰以故意為要件的原則；並依我國刑罰明確性原則，明定「以行銷目的」而為製造、販賣仿冒證明標章標籤等行為，始為刑罰範圍。 此外，亦因應TPP IP章第18‧77條第三項刑事處罰包含「輸入」之行為。考量現行條文僅將「販賣、意圖販賣而製造、持有、陳列」仿冒證明標章的標籤等不法行為納入刑罰，不符合前述TPP規定，故調整如修正條文第九十六條第二項：「未得證明標章權人同意，為行銷目的而製造、販賣、持有、陳列、輸出或輸入附有相同或近似於註冊證明標章之標籤、吊牌、包裝容器或與服務有關之物品，意圖供自己或他人用於同一商品或服務者，處三年以下有期徒刑、拘役或科或併科新臺幣二十萬元以下罰金。」增訂處罰「輸出或輸入」仿冒證明標章標籤、吊牌等之不法行為。 四、擴大販賣或意圖販賣而持有、陳列、輸出/入他人所為侵權商品等行為之刑責，以故意(不限於明知)為主觀要件 因應 TPP IP章第18‧77條第三項刑事處罰「故意」之行為。考量現行條文第九十七條：「明知他人所為之前二條商品而販賣，或意圖販賣而持有、陳列、輸出或輸入者，處一年以下有期徒刑、拘役或科或併科新臺幣五萬元以下罰金…。」有關刑事處罰的主觀要件限於「明知」，依我國實務見解僅限於直接故意，不包含間接故意，不符合前述 TPP規定，故刪除「明知」文字，回歸一般刑事處罰以故意為要件的原則。 參、修法影響 由商標法修正草案整體觀之，對於商標、團體商標、證明標章權利人的保障更加明確、完善，將有助於我國品牌企業從仿冒製假鍊源頭防止損害發生，在侵權、不法行為前階段，遏阻仿冒品流入市場，順遂品牌產品的國際拓銷。具體而言包含下列二面向： 一、擴大仿冒商標標籤、吊牌等行為之民事責任主觀要件，有助阻斷劣質仿品 擴大商標侵權之準備或輔助行為賠償責任的主觀要件，不以行為人明知(故意)為限，只要可得而知(過失)有侵害商標權的可能，未得商標權人同意，意圖供自己或他人侵害商標權而為之準備或輔助行為，即應負擔損害賠償責任，此將有助於權利人更全面、完整保護註冊商標。並明確現行條文意旨，賠償責任範圍包含製造、販賣、持有、陳列、輸出或輸入附有相同或近似於註冊商標的標籤、吊牌、包裝容器或服務有關的物品。此將有助於權利人從仿冒製假源頭，阻斷仿品流通銷售。 相對而言，若企業非商標權人的情況，而是接受其他企業委託製造其產品的商標標籤、吊牌、包裝容器或服務相關的物品，即應在接受委託前，善盡調查義務，確認委託企業是否擁有合法商標權源，避免過失供他人為侵害商標權的準備或輔助行為，而必須負擔民事賠償責任。 二、增訂仿冒商標標籤刑罰、擴大仿冒證明標章標籤刑責範圍，有助打擊犯罪源頭 現行條文僅處罰侵害證明標章標籤的準備或輔助行為，並未處罰侵害商標或團體商標權的準備或輔助行為，修正條文增訂處罰意圖供自己或他人侵害商標或團體商標權，而為行銷目的之準備或輔助行為，包含：製造、販賣、持有、陳列、輸出或輸入附有相同或近似於註冊商標的標籤、吊牌、包裝容器或服務有關的物品。此將有助於品牌企業運用國家公權力的手段，從仿冒的源頭切斷相關準備或輔導仿冒之行為，透過刑罰從仿冒前端即抑制此揭不法行為，遏止侵權仿冒，鞏固品牌企業經年累月的品牌知名度及經營效益。 擴大仿冒證明標章標籤的刑責，一是將刑事處罰主觀要件，回歸一般刑事處罰以故意為原則，不限於明知。二是擴及處罰「輸入或輸出」仿冒證明標章標籤、吊牌等之不法行為。以國家公權力遏阻仿冒證明標章標籤的輸出入行為，避免濫用於劣質產品或服務。將有助於維護我國食品、農漁畜產品、工業產品、觀光旅宿、商業服務等之商品或服務的優良品質、精密度、製造方法等，如：台灣精品標誌、MIT微笑標章等，以及特定地區產品或服務的品質、聲譽，如：文山包種茶、關山米等，向世界各地推展我國優良產品及服務，促進我國經貿發展。 本文同步刊登於TIPS網站（http://www.tips.org.tw） [1] 經濟部智慧財產局說明會：TPP 智慧財產章https://www.tipo.gov.tw/public/Attachment/5122917315547.pdf(最後瀏覽日：2016/6/14) [2] 政院：展現爭取加入TPP第二輪談判決心 持續進行法規落差盤點及體制調和工作(2016/4/15) https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=2&menu_id=41&news_id=52423 (最後瀏覽日：2016/6/14)