英國因劍橋分析個資外洩事件開罰臉書

  英國資訊專員辦公室(Information Commissioner’s Office, ICO)於2018年10月24日公告針對臉書公司(Facebook Ireland Ltd. & Facebook Inc.)之劍橋分析(Cambridge Analytica)個資外洩事件,依據英國資料保護法(Data Protection Act 1998)第55A條之規範,裁罰臉書公司50萬英鎊之罰鍰。

  自2018年3月劍橋分析違法取得與使用臉書個資事件爆發以來,估計約有8700萬筆臉書上的個人資料遭到違法使用,引起全球對於網路個資保護的重視。在遭到違法取得與使用的個資當中,也包含了歐盟以及英國臉書使用者的個資,因此英國ICO有權對此事件展開調查並對臉書公司進行裁罰。

  根據英國ICO的調查,自2007年至2014年間,臉書公司對於其平台上的個資處理(processed)有所不當,違反資料保護法之資料保護原則(Data Protection Principle,DPP),包含未適當處理個人資料(DPP1),以及未採取足夠的技術與作為防止未經授權或違法使用個資(DPP7),致使劍橋分析得以透過臉書公司提供之API違法取用臉書使用者個資。

  由於劍橋分析事件發生時,歐盟GDPR(General Data Protection Regulation)尚未正式上路,因此英國ICO依據事件發生時之法律,亦即基於歐盟資料保護指令(Directive 95/46/EC)所訂定之英國資料保護法,裁處臉書公司50萬英鎊的罰款;若依據基於GDPR之新版英國資料保護法(Data Protection Act 2018),臉書公司將可被裁處最高1700萬英鎊或年度全球營業額4%之罰款。

相關連結
※ 英國因劍橋分析個資外洩事件開罰臉書, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8145&lv2=148 (最後瀏覽日:2019/08/24)
引註此篇文章
你可能還會想看
歐盟法院做成先決裁判,臉書粉絲專頁管理員也有責任保護用戶資料隱私

  歐盟法院於2018年6月5日對德國行政法院依歐盟運作條約第267條(267 AEUV),就歐盟個人資料保護指令(95/46/EC)第2、4條之解釋適用,提起的先訴裁判申請做出先訴判決。判決提及利用臉書(Face Book)平台經營粉絲專頁,並獲取臉書相關服務的管理者,同樣負有保護用戶資料隱私的責任。此將影響眾多的粉絲專頁,判決指出不僅臉書,連粉絲專頁的管理員都有保護訪客資料安全的責任。   由於臉書粉絲專業的經營者,並未保存其粉絲的相關資料,既不經手資料處理,更無力影響資料如何呈現,因此主張資料處理的責任應該在於臉書身上,處罰對象也應該是臉書。判決理由指出,臉書作為粉絲專頁相關個人資料的控制者(data controller)應負相關責任並無疑問,但歐盟地區粉絲專業的管理者,應該和臉書一樣,作為資料處理的共同責任者。蓋管理者係運用臉書提供的設定參數,將粉絲專頁的近用者資料蒐集處理,應該負共同責任。因此歐盟法院判決,利用臉書平台經營粉絲專頁,並獲取臉書相關服務的管理者(administrator),並不能免於個資保護法律的法遵義務。   另外依據德國聯邦資料保護與資訊安全委員會(BFDI)意見,認為雖然判決是基於一般資料保護規則(GDPR)生效之前就已經存在的法律,但法院所確定的共同責任原則也適用於新的法律。BFDI特別建議公共機構以歐盟判決為契機,審查公共機構粉絲頁面的合法性與是否遵守法律規定,並在必要時說服Facebook調整資料保護。

新加坡個人資料保護委員會2017年7月發布資料共享指引

  新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年7月27日發布資料共享指引(GUIDE TO DATA SHARING),該指引協助組織遵守新加坡2012年個人資料保護法(Personal Data Protection Act 2012, PDPA),並提供組織內部和組織之間的個資共享指引,例如得否共享個資,與如何應用,以確保符合PDPA共享個資之適當方法;並得將特定資料共享而豁免PDPA規範。該指引共分為三部分,並有附件A、B。   指引的第一部分為引言,關於資料共享區分為三種類型探討: 在同一組織內或關係組織間共享 與資料中介機構共享(依契約約定資料留存與保護義務) 與一個或多個組織共享(在不同私部門間、公私部門間)   共享包含向一或多組織為利用、揭露或後續蒐集個資;而在組織內共享個人已同意利用之個資,組織還應制定內部政策,防止濫用,並避免未經授權的處理、利用與揭露;還應考慮共享的預期目的,以及共享可能產生的潛在利益與風險。若組織在未經同意的情況下共享個資,必須確保根據PDPA的相關例外或豁免之規定。   指引的第二部分則在決定共享資料前應考慮的因素: 共享目的為何?是否適當? 共享的個資類型為何?是否與預期目的相關? 在該預期目的下,匿名資料是否足以代替個資? 共享是否需要得同意?是否有例外? 即使無須同意,是否需通知共享目的? 共享是否涉及個資跨境傳輸?   上述因素還能更細緻對應到附件A所列應思考問題,附件B則有相關作業流程範例。   指引的第三部分,具體說明如何共享個資,與資料共享應注意規範,並提供具體案例參考,值得作為組織遵守新加坡個人資料保護規範與資料共享之參考依據。

英國資訊專員辦公室強調歐盟資訊保護改革成本充滿不確定性

  英國資訊專員辦公室進行獨立調查時發現, 1、40%的企業沒有充分認識提出的主要條文; 2、87%的企業無法估計公司中業務為因應改革可能支出的成本; 3、82%的受訪者是無法量化其當前資訊保護的開支; 4、在少數的大型組織觀測調查中發現,估計資訊保護的平均花費時常會受到扭曲; 5、當公司擁有超過250名員工或處理超過10萬筆個資紀錄時,絕大多數都已經聘請資訊保護專人; 6、重點業別包括服務業、金融保險業以及公共管理等,需要針對資訊管理有所計畫。   而調查報告在2013年5月14日於柏林舉辦的第三次歐洲資訊保護日會議中提出,資訊專員Christopher Graham表示「必須說,有少數人不同意為面臨21世紀的挑戰,而需要修訂歐洲資訊保護法。但真正進步之實現在於,今日或將來的法律面,針對個人資料有更好的體現。關鍵點在於確實地衡平理論面與執行面中資訊保護權利之平衡點。」   「已經談論過很多關於『什麼是最好的商業』,但這必須基於合法證據。此次的改革的結果會是非常重要的,我們希望敦促歐盟委員會可以考慮並將重點放在制定法律,為消費者提供真正的保障。」   「同樣的,企業和其他的利益相關者必須參與具建設性的義務與隱私權權利的重要性改革,在此過程中仍然可以受到影響」

歐盟第29條資料保護工作小組澄清有關網際行為廣告cookie的使用

  歐盟電子通訊隱私指令(Directive 2002/58/EC on Privacy and Electronic Communications, e-Privacy Directive)第五條(3)中對於cookie(即業者為辨別使用者身份而儲存在用戶端上的資料)設置的規範,將於2011年5月全面施行。惟對於cookie之使用,部分網路業者認為如果網路使用者沒有選擇不要裝置cookie (opt-out),那麼就等同於同意裝置,而不需另外取得使用者的同意。針對此點,歐盟第29條資料保護工作小組(Article 29 Data Protection Working Party)於2010年06月22日對於網際行為廣告作出一份意見(Opinion 2/2010 on online behavioural advertising)。   意見中澄清,網際行為廣告係一種透過cookie的使用,追蹤蒐集網路使用者上網行為的資料,其網路資訊將被使用於日後發放與使用者上網行為相對應的廣告之用。除非是屬於網路使用者明白要求使用cookie,或是使用網路服務所『必要』的cookie(例如,沒有cookie就無法顯示或進行至下一個頁面),則不必先行取得使用者的同意外;其他凡經由cookie所儲存的資料,均應被視為『個人資料』,使用上必需先行取得網路使用者的明示同意,以自行選擇(opt-in)的方式接受cookie的使用,後存於網路使用者的個人電腦中。業者不得以搜尋引擎的cookie設定主張視為網路使用者等同已經明示同意使用cookie進行被追蹤及蒐集資料。   該意見受到許多歐盟及國際之網際出版、廣告及商務業者的反彈,業者表示所蒐集的資料並非可辨認性或敏感性資料,此規範的執行將會嚴重衝擊到廣告產業的收益,建議採行自律規範或使用行為守則來取代上述規定。   由於這項規範尚未於歐盟中被執行,歐盟第29條資料保護工作小組對於技術上如何遵循該規範也並沒有提出具體的建議。

TOP