<p>英國的數據保護監管機構在與一家英國零售集團的漫長法律鬥爭中取得了一小勝，該集團在 2017 年的數據泄露中丟失了數百萬條數據記錄。</p>
<p>您可以在這裏閲讀沃比法官昨天發佈的裁決 [PDF]。</p>
<p>信息專員辦公室（ICO）在 2020 年最初對 DSG Retail 處以 50 萬英鎊（67.3 萬美元）的罰款，這是根據 1998 年數據保護法（DPA 1998）允許的最高財務罰款——在 GDPR 實施前的相關立法。</p>
<p>其貨幣罰款通知（MPN）被上訴法院的初審法庭維持，但後來被上級法庭 [PDF] 撤銷，該法庭支持 DSG Retail，如果該決定是最終的，將有效地使 ICO 的罰款無效。</p>
<p>案件的重要性在於被盜數據的性質。黑客在 DSG 擁有的消費電子商店 Currys PC World 和 Dixons Travel 的 5390 個收銀機上安裝了惡意軟件。</p>
<p>ICO 在發佈其 MPN 時確認，該惡意軟件在九個月內未被發現，竊取了 560 萬條支付卡信息和約 1400 萬人的個人信息。</p>
<p>時任專員史蒂夫·埃克斯利當時表示，ICO 的調查結果令人 “擔憂”，與 “基本、常見的安全措施” 有關，最終顯示出對客户數據的 “完全漠視”。</p>
<p>爭議的焦點是，攻擊者獲取的卡片信息是否可以用來識別持卡人。與支付信息分開訪問的個人數據並不是本案中討論的內容。</p>
<p>關鍵是，涉及的卡片信息是長達 16 位的卡號和到期日期，但不是卡上的姓名。</p>
<p>DSG 辯稱，案件的這一特定方面並不構成個人數據泄露，因為黑客無法僅憑支付卡信息識別個人。DSG 承認，作為一個組織，它可以將卡數據與真實個人聯繫起來，但攻擊者無法做到。</p>
<p>上級法庭對 ICO 作出了不利裁決，認為案件應從攻擊者的角度來看。如果他們無法使用卡數據識別個人，那麼該數據在 DPA 1998 的犯罪背景下就不應被視為個人數據。</p>
<p>沃比法官在週四得出結論，認為這一論點不正確，支持 ICO，將案件發回初審法庭，該法庭在第一審中做出了正確的裁決。</p>
<p>他的判決挑戰了上級法庭對法律的解釋，表示個人數據必須從控制者的角度來看；如果它可以導致識別個人，在本案中是 DSG Retail，那麼它就是個人數據。</p>
<p>相關法規要求數據控制者保護這些數據，無論第三方是否能夠使用它來識別個人。</p>
<p>沃比法官補充説，上級法庭的思維方式如果確實是 DPA 1998 的正確解釋，可能會導致混淆的後果。</p>
<p>例如，這種相同的方法將有效地解除數據控制者在勒索軟件攻擊發生時保護數據的責任，只要攻擊者無法使用它來識別個人。</p>
<p>“上訴法庭和 DSG 的論點隱含地認為，只要惡意行為者無法識別與數據相關的個人，這種干預從數據主體的角度來看基本上是無害的，因此對他們的保護責任將是毫無意義的負擔，” 沃比法官裁定。“我不接受這一點。”</p>
<p>他接着討論了拼圖識別的可能性，即攻擊者可以利用通過各種來源在線可獲取的大量個人數據來識別持卡人。</p>
<p>“技術的複雜性大大提高。定位、組裝和結合不同項目以獲取有關個人的信息的能力大大增強。通常很難排除未經授權訪問數據集部分的風險，這些部分本身並不識別任何個人，但可能導致某個未知第三方（合法）訪問識別手段。”</p>
<p>現在，上訴法院裁定 DSG 有法律責任將支付卡數據作為個人數據進行保護，初審法庭將根據這一裁決重新審查案件。</p>
<p>DSG 可能會對法庭的決定提出上訴，再次將其送回上級法庭。如果爭議仍然存在，可能會成為英國最高法院的問題。</p>
<p>ICO 的總法律顧問賓妮·高表示：“今天的裁決是一個重要的勝利，為受到網絡攻擊影響的人們以及行業帶來了急需的明確性。”</p>
<p>“我們歡迎上訴法院確認，組織必須保護他們處理的所有個人數據，無論黑客如何使用或利用這些數據。這承認即使黑客無法從被盜數據集中單獨識別個人，網絡攻擊仍然會造成實際傷害。</p>
<p>“隨着網絡犯罪威脅的上升，這一決定增強了我們在未來採取強有力行動的能力，並向所有組織發出了明確的信息：您有責任保護您所持有的個人數據。”</p>
<p>DSG Retail 的當前交易名稱 Curry's PLC 未對我們的評論請求作出回應。®</p>

樂購

<p>英國的數據保護監管機構維持對 DSG Retail 的 50 萬英鎊罰款，原因是 2017 年的數據泄露事件暴露了數百萬個支付卡信息。上訴法院裁定，儘管攻擊者無法從被盜信息中識別持卡人，DSG 仍有法律責任保護這些數據作為個人信息。該案件將返回初審法庭進行進一步審查，並有可能上訴至英國最高法院。信息專員辦公室強調了保護組織處理的所有個人數據的重要性</p>

<p>The UK's data protection watchdog has scored a small win in a lengthy legal battle against a British retail group that lost millions of data records during a 2017 breach.</p>
<div class="lb-trans"><p>英國的數據保護監管機構在與一家英國零售集團的漫長法律鬥爭中取得了一小勝，該集團在 2017 年的數據泄露中丟失了數百萬條數據記錄。</p>
</div><p>You can read Lord Justice Warby's decision, handed down yesterday, here [PDF].</p>
<div class="lb-trans"><p>您可以在這裏閲讀沃比法官昨天發佈的裁決 [PDF]。</p>
</div><p>The Information Commissioner's Office (ICO) originally fined DSG Retail £500,000 ($673,000) in 2020, the maximum financial penalty allowed under the Data Protection Act 1998 (DPA 1998) – the relevant legislation at the pre-GDPR time.</p>
<div class="lb-trans"><p>信息專員辦公室（ICO）在 2020 年最初對 DSG Retail 處以 50 萬英鎊（67.3 萬美元）的罰款，這是根據 1998 年數據保護法（DPA 1998）允許的最高財務罰款——在 GDPR 實施前的相關立法。</p>
</div><p>Its monetary penalty notice (MPN) was upheld by the Court of Appeal's first-tier tribunal but later reversed by the upper tribunal [PDF], which sided with DSG Retail and, if that decision was final, would have effectively nullified the ICO's fine.</p>
<div class="lb-trans"><p>其貨幣罰款通知（MPN）被上訴法院的初審法庭維持，但後來被上級法庭 [PDF] 撤銷，該法庭支持 DSG Retail，如果該決定是最終的，將有效地使 ICO 的罰款無效。</p>
</div><p>Important to the case is the nature of the data that was stolen. Hackers installed malware on 5,390 tills across consumer electronics stores Currys PC World and Dixons Travel, both of which DSG owns.</p>
<div class="lb-trans"><p>案件的重要性在於被盜數據的性質。黑客在 DSG 擁有的消費電子商店 Currys PC World 和 Dixons Travel 的 5390 個收銀機上安裝了惡意軟件。</p>
</div><p>The malware went unnoticed for nine months, hoovering up 5.6 million payment card details and the personal information belonging to around 14 million people, the ICO confirmed when issuing its MPN.</p>
<div class="lb-trans"><p>ICO 在發佈其 MPN 時確認，該惡意軟件在九個月內未被發現，竊取了 560 萬條支付卡信息和約 1400 萬人的個人信息。</p>
</div><p>Then-commissioner Steve Eckersley said at the time that the ICO's findings were &#34;concerning&#34; and related to &#34;basic, commonplace security measures,&#34; that ultimately showed &#34;a complete disregard&#34; for customers' data.</p>
<div class="lb-trans"><p>時任專員史蒂夫·埃克斯利當時表示，ICO 的調查結果令人 “擔憂”，與 “基本、常見的安全措施” 有關，最終顯示出對客户數據的 “完全漠視”。</p>
</div><p>The point of contention, central to the protracted legal case, is whether the card details the attackers scooped up could be used to identify cardholders. The trove of personal data accessed separately from the payment details is not something being debated in this case.</p>
<div class="lb-trans"><p>爭議的焦點是，攻擊者獲取的卡片信息是否可以用來識別持卡人。與支付信息分開訪問的個人數據並不是本案中討論的內容。</p>
</div><p>Crucially, the card details involved were the long 16-digit card number and expiry dates, but not the names on the cards.</p>
<div class="lb-trans"><p>關鍵是，涉及的卡片信息是長達 16 位的卡號和到期日期，但不是卡上的姓名。</p>
</div><p>DSG argues that this specific aspect of the case does not amount to a personal data breach since the hackers could not identify people from the payment card details alone. DSG acknowledges that it, as an organization, could make the link between the card data and real individuals, but says the attackers could not.</p>
<div class="lb-trans"><p>DSG 辯稱，案件的這一特定方面並不構成個人數據泄露，因為黑客無法僅憑支付卡信息識別個人。DSG 承認，作為一個組織，它可以將卡數據與真實個人聯繫起來，但攻擊者無法做到。</p>
</div><p>The upper tribunal ruled against the ICO, arguing that the case should be viewed from the perspective of the attackers. If they couldn't use the card data to identify people, then that data should not be considered personal data within the context of a DPA 1998 offense.</p>
<div class="lb-trans"><p>上級法庭對 ICO 作出了不利裁決，認為案件應從攻擊者的角度來看。如果他們無法使用卡數據識別個人，那麼該數據在 DPA 1998 的犯罪背景下就不應被視為個人數據。</p>
</div><p>Lord Justice Warby concluded on Thursday that this argument was incorrect, siding with the ICO, sending the case back to the first-tier tribunal which ruled correctly in the first instance.</p>
<div class="lb-trans"><p>沃比法官在週四得出結論，認為這一論點不正確，支持 ICO，將案件發回初審法庭，該法庭在第一審中做出了正確的裁決。</p>
</div><p>His judgment challenged the upper tribunal's interpretation of the law, saying that personal data must be viewed from the perspective of the controller; if it can lead to the identification of an individual, in this case, at DSG Retail, then it is personal data.</p>
<div class="lb-trans"><p>他的判決挑戰了上級法庭對法律的解釋，表示個人數據必須從控制者的角度來看；如果它可以導致識別個人，在本案中是 DSG Retail，那麼它就是個人數據。</p>
</div><p>The relevant statute requires data controllers to safeguard this data, regardless of whether a third party could use it to identify individuals.</p>
<div class="lb-trans"><p>相關法規要求數據控制者保護這些數據，無論第三方是否能夠使用它來識別個人。</p>
</div><p>Lord Justice Warby added that the upper tribunal's thinking could lead to confusing consequences if that was indeed the correct interpretation of the DPA 1998.</p>
<div class="lb-trans"><p>沃比法官補充説，上級法庭的思維方式如果確實是 DPA 1998 的正確解釋，可能會導致混淆的後果。</p>
</div><p>The same approach would effectively free data controllers of the burden of protecting data in the event of a ransomware attack, for example, provided the attacker could not use it to identify people.</p>
<div class="lb-trans"><p>例如，這種相同的方法將有效地解除數據控制者在勒索軟件攻擊發生時保護數據的責任，只要攻擊者無法使用它來識別個人。</p>
</div><p>&#34;It is implicit in the reasoning of the UT, and in DSG's submissions, that such interventions are essentially harmless from the perspective of data subjects, so long as the malicious actor is not able to identify the people to whom the data relate, so that a duty to guard against them would be pointlessly burdensome,&#34; Lord Justice Warby ruled. &#34;I do not accept that.&#34;</p>
<div class="lb-trans"><p>“上訴法庭和 DSG 的論點隱含地認為，只要惡意行為者無法識別與數據相關的個人，這種干預從數據主體的角度來看基本上是無害的，因此對他們的保護責任將是毫無意義的負擔，” 沃比法官裁定。“我不接受這一點。”</p>
</div><p>He went on to discuss the possibility of jigsaw identification, whereby attackers could use the vast amounts of personal data that are accessible online, through various sources, as a means to identify the cardholders.</p>
<div class="lb-trans"><p>他接着討論了拼圖識別的可能性，即攻擊者可以利用通過各種來源在線可獲取的大量個人數據來識別持卡人。</p>
</div><p>&#34;Technology has vastly increased in sophistication. The ability to locate, assemble, and combine disparate items to elicit information about individuals is greatly enhanced. It will often prove impossible to rule out the risk that unauthorized access to part of a data set, which does not itself identify any individual, could lead to processing by some unknown third party with (legitimate) access to the means of identification.&#34;</p>
<div class="lb-trans"><p>“技術的複雜性大大提高。定位、組裝和結合不同項目以獲取有關個人的信息的能力大大增強。通常很難排除未經授權訪問數據集部分的風險，這些部分本身並不識別任何個人，但可能導致某個未知第三方（合法）訪問識別手段。”</p>
</div><p>Now that the Court of Appeal has ruled that DSG had a legal duty to safeguard the payment card data as personal data, the first-tier tribunal will review the case within the context of this judgment.</p>
<div class="lb-trans"><p>現在，上訴法院裁定 DSG 有法律責任將支付卡數據作為個人數據進行保護，初審法庭將根據這一裁決重新審查案件。</p>
</div><p>DSG could appeal the tribunal's decision, sending it back again to the upper tribunal. If disputes remain, it could become a matter for the UK Supreme Court.</p>
<div class="lb-trans"><p>DSG 可能會對法庭的決定提出上訴，再次將其送回上級法庭。如果爭議仍然存在，可能會成為英國最高法院的問題。</p>
</div><p>Binnie Goh, general counsel at the ICO, said: &#34;Today's judgment is a significant victory, bringing much-needed clarity for people affected by cyber attacks as well as industry.</p>
<div class="lb-trans"><p>ICO 的總法律顧問賓妮·高表示：“今天的裁決是一個重要的勝利，為受到網絡攻擊影響的人們以及行業帶來了急需的明確性。”</p>
</div><p>&#34;We welcome the CoA's confirmation that organisations must protect all personal data they process, regardless of how it might be used or exploited by hackers. This recognises that even if hackers can't identify people individually from stolen datasets, cyberattacks can and do still cause real harm.</p>
<div class="lb-trans"><p>“我們歡迎上訴法院確認，組織必須保護他們處理的所有個人數據，無論黑客如何使用或利用這些數據。這承認即使黑客無法從被盜數據集中單獨識別個人，網絡攻擊仍然會造成實際傷害。</p>
</div><p>&#34;With the rising threat of cybercrime, this decision strengthens our ability to take robust action in the future and sends a clear message to all organisations: you have a protective duty to safeguard the personal data you hold.&#34;</p>
<div class="lb-trans"><p>“隨着網絡犯罪威脅的上升，這一決定增強了我們在未來採取強有力行動的能力，並向所有組織發出了明確的信息：您有責任保護您所持有的個人數據。”</p>
</div><p>Curry's PLC, the current trading name of DSG Retail, did not respond to our requests for comment. ®</p>
<div class="lb-trans"><p>DSG Retail 的當前交易名稱 Curry's PLC 未對我們的評論請求作出回應。®</p>
</div>

攻击者掌握了 16 位卡号和到期日期，但没有持卡人的姓名。该组织现被罚款 50 万英镑