第三章 智慧運輸於既有法制層面之探討
第二節 個人資料保護之發展趨勢
國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
60
之即時交通資料，更遑論規定公部門須徵得用路人的同意方能為即時交通資料之 蒐集。
因此，在資訊自決與公共利益的競合間，智慧型運輸系統或可思考在技術上 提供相關協助，在不逾越蒐集目的的最小必要範圍，以更細緻之科技手段如資料 匿名、加密或採用靜態資料等方式，減少附加在當事人同意之決策壓力。
第二節 個人資料保護之發展趨勢
第一項 跨國資料保護之規範
第一款 人權宣言及公約
世界人權宣言(The Universal Declaration of Human Rights)第 12 條揭櫫：「任 何人都不得對其隱私，家庭，家庭或往來信件施加任意干擾，也不得對其名譽和 聲譽進行攻擊。人人有權享受法律保護，免受此類干擾或攻擊144。」此外，公民 權利與政治權利國際公約(International Covenant on Civil and Political Rights)第 17 條揭示：「1.任何人都不得對其隱私，家庭，住所或來往信件施加任意或非法干涉，
也不得對其名譽和聲譽進行非法攻擊。2.人人有權享受法律保護，免受此類干擾 或攻擊145。」
於 1953 年生效的歐洲人權公約(European Convention on Human Rights, ECHR)，針對尊重隱私及家庭生活權利，於第 8 條明列：「1.人人有權使他的私人 和家庭生活，他的家庭及他人書信往來受到尊重。2.公共機構不得干涉此項權利
144 Article 12, Universal Declaration of Human Rights, 1948: No one shall be subjected to arbitrary interference with his privacy, family, home or correspondence, nor to attacks upon his honour and reputation. Everyone has the right to the protection of the law against such interference or attacks.
145 Article 17, International Covenant on Civil and Political Rights, 1966: 1. No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks on his honour and reputation. 2. Everyone has the right to the protection of the law against such interference or attacks.
‧
至1969 年，由美洲國家簽署之美洲人權公約(American Convention on Human Rights)針對隱私權的保護方面，於第 11 條敘明：「1.人人有權讓自身的榮譽受到 尊重，尊嚴受到承認。2.不得對他人的私生活，家庭，住所或書信加以任意或不
經濟合作與開發組織(Organization for Economic Cooperation and Development, OECD)於 1961 年成立，期間為處理個人資訊之國際流通問題，於 1980 年 9 月 23 日通過「理事會有關管理保護個人隱私及跨國界流通個人資料之指導綱領」
(Council Recommendation Concerning Guidelines Governing the Protection of Privacy
146 Article 8, European Convention on Human Rights, 1953: 1. Everyone has the right to respect for his private and family life, his home and his correspondence. 2. There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety or the economic well-being of the country, for the prevention of disorder or crime, for the protection of health or morals, or for the protection of the rights and freedoms of others.
147 Article 11, American Convention on Human Rights, 1969: 1. Everyone has the right to have his honor respected and his dignity recognized.2. No one may be the object of arbitrary or abusive interference with his private life, his family, his home, or his correspondence, or of unlawful attacks on his honor or reputation.3. Everyone has the right to the protection of the law against such interference or attacks.
148 翁逸泓、廖福特，同前註 83，頁 18。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
62
and Transborder Flows of Personal Data) 149。該準則揭示8 項有關個人資料保護之 原則，包含150：
(一)蒐集限制原則(Collection Limitation Principle)：個人資料之蒐集，應加以 限制，其蒐集應以合法且公正的手段為之，且應通知資料之主體並取得 同意始得為之。
(二)資料內容正確原則(Data Quality Principle)：個人資料應依其利用之目的，
在必要的範圍內，確保資料之正確、完整且最新之狀態。
(三)目的明確化原則(Purpose Specification Principle)：個人資料之蒐集目的，
應於蒐集時即已明確化，且於其後資料的利用，不得與其所蒐集的目的 牴觸；若目的有所變更時，應加以明確化。
(四)利用限制原則(Use Limitation Principle)：個人資料不應作為蒐集目的以外 之查詢閱覽利用或其他使用，除非經當事人之同意或依法律之規定。
(五)安全保護原則(Security Safeguards Principle)：個人資料應採合理且安全的 保護措施，以避免其陷於遺失、不法接觸、破壞、利用、竄改、揭露等 風險。
(六)公開原則(Openness Principle)：個人資料的蒐集、利用、以及政策之制定，
應對社會公開，並以最簡便方式，讓大眾知悉個人資料之蒐集目的、性 質及主要的利用目的，個人資料管控者應明白告示公眾。
(七)個人參加原則(Individual Participation Principle)：資料當事人：(1)得向資 料管控者或其他人確認是否管理與自身相關之資料；(2)個人得於合理期
149 參見 OECD 網頁，
http://www.oecd.org/internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflow sofpersonaldata.htm, Last visited: Mar. 30 2020.
150 黃清德，同前註 20，頁 13-19。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
63
間內，以合理的費用、方法以及容易理解之形式，接近與自己相關之資 料；(3)就前開資料之行使，如受到拒絕時，應給予理由，資料當事人得 提出異議；(4)於異議成立時，資料當事人得要求對於該資料加以刪除、
修正、完整及補充。
(八)責任原則(Accountability Principle)：資料管控者應對於前揭各項原則負有 遵循與落實之責任。
而OECD 在通過前揭指導綱領 30 年後，個人資料在經濟、社會以及日常生 活中的創新應用與日俱增，對比過去傳統隱私原則下的環境，其所扮演的角色已 有顯著的變化，尤其在(一)蒐集，使用和儲存個人資料之數量；(二)分析個人資 料，提供相關興趣、活動之趨勢與見解；(三)新技術對於個人資料使用所帶來之 社會、經濟利益與價值；(四)對於隱私的威脅程度；(五)將隱私置於危險或保護隱 私之行為總類及數量；(六)藉由全球網路及平台取得個人資料之有效性等。爰此，
OECD 邀集政府單位、隱私權執法機構，學術界，企業，公民團體等組成之工作 小組制定建議之修訂版本，並於2013 年經 OECD 理事會核定通過。
2013 年所發布之隱私框架，其內容主要可分為風險管理(關注隱私保護措施 的落實)與全球資料流通的互動性(透過相互溝通改善全球隱私問題)為兩大主軸。
此外，該隱私框架引入部分新的概念，包含151：
(一)國家隱私策略：有效的隱私法制至關重要，但是當今國家應該將隱私保 護放在更高的戰略位置；
(二)隱私管理程序：個人資料是實施隱私保護的核心操作機制；
(三)資安漏洞通知：包含向主管機構發出通知，也包括向受影響的個人通知。
151 OECD, The OECD Privacy Framework, 4, (2013).
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
64
第三款 APEC 隱私權保護措施
亞太經濟合作組織（Asia-Pacific Economic Cooperation, APEC）成立於 1989 年，為亞太區域最重要的經貿合作論壇。而為協助各經濟體在跨境電子商務在個 人資料上的保護，陸續通過「APEC 隱私綱領(APEC Privacy Framework)」以及
「跨境隱私保護規則體系(Cross-Boarder Privacy Rules System)」，以利各經濟體在 其推動個資保護相關作為之立法參考。
一、APEC 隱私綱領
有鑒於個人資料之保護在跨境電子商務發展上影響至極，也因此，APEC 電 子商務指導工作小組(Electronic Commerce Steering Group)於 2003 年 2 月在泰國 清邁討論成立資料隱私權次級工作小組(Data Privacy Sub-Group)草擬 APEC 隱私 權原則(APEC Privacy Principle)，歷經多次討論，於 2004 年 11 月完成第一章至 第四章 A 部分「境內執行綱要」內容，確定名稱為「APEC 隱私綱領」(APEC Privacy Framework)152。
APEC 隱私綱領之核心價值與 OPEC 隱私保護及個人資料跨界流通的準則 相同，除促進整個亞太地區電子商務的發展，也重申隱私權對於個人及資訊社會 的重要性。於2005 年之 APEC 隱私綱領係參酌 1980 年 OECD 所揭示之 8 項原 則所訂定，而於2015 年修訂之 APEC 隱私綱領則融入 2013 年 OECD 所採行的 新觀念，並適當將APEC 各經濟體之不同法律特徵和背景納入考量。
2015 年 APEC 隱私綱領計有 4 章，包含前言、範圍、APEC 資訊隱私原則，
以及實施(含國內及國際)。茲就該原則簡述如下153：
152 參見法務部網站，https://www.moj.gov.tw/cp-280-45081-8cf42-001.html, Last visited: Mar.27 2020.
153 APEC, APEC Privacy Framework, CTI Sub-Fora & Industry Dialogues Groups, Digital Economy Steering Group (DESG), PP.10-22, (2015).
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
65
(一)預防損害(Preventing Harm)：基於個人合理的隱私期待及個人利益，應設 計個人資訊隱私保護制度以防止個人資訊資料濫用；意識個人資料可能 遭受濫用所造成之損害風險，應有適當的保護措施以防止此種損害的發 生。對於個人資料之蒐集、利用和傳遞所生的損害，應有適切的損害彌 補機制。
(二)告知(Notice)：資料控管者有義務以清晰易懂方式告知當事人有關蒐集者 名稱、蒐集資料之目的、種類、用途及如何查閱或更正等必要事項，以 便讓當事人知道，何人在蒐集其個人資料，該資料會作如何利用。
(三)限制蒐集(Collection limitation)：個資的蒐集僅限於與蒐集目的相關之範 圍，並以合法或公平方法為之，且不得逾越必要之範圍及與目的無關的 資料，並在適當的情況下告知當事人或徵得其同意。
(四)個人資料之利用(Use of Personal Information)：有關個人資料之利用，應 符合當初蒐集目的之必要範圍內，但已徵得當事人同意、或為提供當事 人所要求之產品或服務所必要，或法律另有規定者除外。
(五)當事人自主(Choice)：在情況允許下，資料控管者應提供當事人可就其個 人資料之蒐集、利用和揭露進行選擇之機制，其機制須清晰易懂、可查 閱並可負擔。當資料控管者所蒐集之資料係屬公開可獲得時，則不適用 本規定。
(六)個人資料之完整性(Integrity of Personal Information)：個人資料應正確、
完整，並在使用目的的範圍內為必要之更新。
(七)安全管理(Security Safeguards)：資料控管者應採取必要之保護措施，防止 他人在未經授權下所為不當破壞、截取、利用、修改、或揭露個人資料 或其他濫用個人資料之行為，並定期檢視和重新評估該保護措施之妥適。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
66
(八)查閱和更正(Access and Correction)：除法律另有規定，當事人隨時有權查 詢或閱覽其個人資料，如發現有錯誤或欠缺者，得請求個資控管者補充、
更正或刪除。如有衍生費用需向當事人收取費用，金額不能過高，以免 限制當事人查詢之權利。
(九)責任(Accountability)：資料控管者應要負責確保上述的原則之實踐。於傳 遞個人資料予國內或國外之第三人時，應要徵得當事人之同意，或確保 該第三人會採取和本隱私保護綱領一致的措施，以保護個人資料隱私之 安全。
二、跨境隱私保護規則體系
CBPR 體系係美國在 APEC 體制下所力推跨境隱私保護制度，也由於在數 位經濟的年代，資料的跨境流通已屬不可或缺的一部分，因此於 2011 年 APEC 經濟領袖會議宣示推動執行「跨境隱私保護規則體系」(Cross Border Privacy Rules System, CBPRs)，建立一套透明性、一致的個人資料隱私保護原則，以提升消費 者對跨境資料傳輸之信賴，進而促進區域內電子商務活動之發展。我國於 2016 年表達參與跨境隱私保護規則體系之意願後，即啟動申請加入作業程序，並於 2018 年 11 月 14 日繼美國、墨西哥、日本、加拿大、南韓、及新加坡之後，與澳 洲同時間獲准加入 APEC 跨境隱私保護規則(Cross-Border Privacy Rules, CBPR) 體系之成員。
參與 CBPRs 之途徑，APEC 經濟體須表達參與的意圖。首先須致函 APEC 電 子商務指導小組（Electronic Commerce Steering Group, ECSG）主席， ECSG 資 料隱私次級小組( Data Privacy Sub-Group)主席，以及 APEC 之 CBPR 聯合監督小 組（Joint Oversight Panel, JOP）主席提交加入 CBPRs 之意向書（Letter of Intention），
參與 CBPRs 之途徑，APEC 經濟體須表達參與的意圖。首先須致函 APEC 電 子商務指導小組（Electronic Commerce Steering Group, ECSG）主席， ECSG 資 料隱私次級小組( Data Privacy Sub-Group)主席，以及 APEC 之 CBPR 聯合監督小 組（Joint Oversight Panel, JOP）主席提交加入 CBPRs 之意向書（Letter of Intention），