英國航空違反 GDPR 了嗎？

全球公司都在焦急等待，想知道誰會成為 GDPR 監管規定新制殺雞儆猴的對象。按照 GDPR 規定，凡違反監管規定的事業體，除須繳納巨額罰金外，也難逃民事訴訟。

GDPR 自 2018 年 5 月 25 日起開始實施，而在此數月甚至數年之前，許多公司行號早已開始準備因應各項新規定的施行。目前甚至仍有許多企業努力迎頭趕上，以免因資料外洩或未通過稽核而受罰。然而，目前仍有許多攸關 GDPR 的細節懸而未決。即便如此，如有任何事業體需要操作及處理歐盟居民的個人資料，仍有義務遵守 GDPR 法規。

哪一家公司將成為 GDPR 規定殺雞儆猴的對象？

眾所皆知，出現第一批違反 GDPR 規定的公司行號並進行相關調查及法律訴訟之後，才能斷定 GDPR 的施行成效。現在似乎已經出現了第一間違反 GDPR 規定的知名公司：英國航空公司 (British Airways)。

第一間違反 GDPR 規定並成為媒體關注焦點的知名公司出自航空業，這一點不足為奇。多年來，航空業的網路資安始終為人詬病。眾所皆知，航空業多半靠微薄的淨利率苦苦經營，因此，資料安全防護向來不是高階主管在乎的第一要務。

據航空業前員工及資安專業人員所述，有些航空公司直到現在仍在使用已經用了 30 多年的系統，也運用這些系統連上更新穎的網路服務。航空業的問題癥結仍然在於舊型系統 (尤其是用於處理客戶個人資料的系統)。

航空業最重視的始終是盈虧，但現在這個產業也不得不迫於時勢所趨，必須更加重視資安相關議題。

歐盟會制裁違反 GDPR 規定的英國航空嗎？

就在這個月，英國航空發生了大規模資料外洩事故，波及 380,000 筆交易。外洩的資料包括在 2018 年 8 月至 9 月間曾經與該航空公司交易之客戶的詳細財務資訊。

施行 GDPR 的理由正是要厲行資料外洩罰則。舉凡經營據點設於歐盟境內的公司，現在無不面臨艱難處境，一旦個人資料出現漏洞，一切作為 (或無作為) 都將接受調查。倘若公司違反 GDPR 規定，最高罰金可能高達年營業額的 4%，代價可謂慘重，甚至可能令公司陷入財務危機。對 BA 這樣的大型公司而言，這樣的懲處也許不算高，但中小型企業一旦違反規定，恐怕就在劫難逃了。

由於 BA 在發生外洩事故後即刻通報，甚至在報紙上刊登廣告，設法提高這個問題的曝光率。企業能採取這樣的反應措施相當值得稱許，而這著棋或許能夠阻止政府官員依據 GDPR 展開調查。不過，事實證明 BA 確實清楚自家公司的網頁應用程式早在多年前就出現了漏洞。光憑這一點，確實就有必要展開徹底調查，也應該這麼做。最起碼，應該要趁著這個機會證明GDPR 的施行成效。

相關文章：詳細解讀 GDPR 的資料保護原則，第二部分：目的限制與資料最小化

英國航空能躲過嚴格審查嗎？

大多數公司行號所能做的，就是密切關注 BA 是否會成為 GDPR 殺雞儆猴的對象。截至目前為止，是否會發生此事、會發生什麼情況，一切仍是未知數。

重點在於 BA 並不是唯一一家發生這類資料外洩事故的企業。達美航空 (Delta Airlines) 在今年 4 月份就發生過類似的資料外洩事故。TicketMaster UK 也一樣。若 GDPR 在當時已經生效，達美航空和 TicketMaster UK 或許早已因為違反 GDPR 而受罰。

原來，之所以會發生這類資料外洩事故，往往是因為使用第三方指令碼執行收集付款資訊的網站電子商務活動。依據過去調查網頁盜刷讀卡機類似案件所掌握的證據，這種情況的罪魁禍首似乎指向 Magecart 集團的駭客。

過去一段時間，RiskIQ 經常針對這類供應鏈攻擊手法的使用情形提出相關報告。您可以參閱他們所做的BA 事故完整分析。

公司行號應不應該在自家網站使用第三方指令碼？

在網站上使用第三方程式碼、指令碼、工具或外掛程式有助於提升開發速度。這是很普遍的做法，也能發揮許多優點，不過，若要實作任何第三方程式碼 (尤其是用於需要處理及操作個人資料的網站時)，公司行號應格外謹慎。使用第三方程式碼讓網頁開發人員不需要自行編寫及測試程式碼，因此大大減輕其工作負擔。但是，許多公司會使用久未更新 (甚至不再受到支援) 的第三方指令碼和外掛程式。

您該不該全面避用第三方指令碼？該怎麼做才好，其實取決於應用方式，不過，由於這類工具和指令碼引發的供應鏈攻擊事件越來越多，自然有必要額外確認這類指令碼的安全程度。具體而言，免費的開放原始碼工具雖然很好，也有助於控制預算，但倘若您要開發需處理個人資料的網站，最好還是改與會定期更新程式碼及外掛程式的廠商合作。

會如何處理 BA 資料外洩事故，但那並不表示我們不能趁著此時此刻做好安全防護措施。