個資法草案分析

3.3.2.1 基因資訊係在草案範圍內

草案相較於現行法，大幅擴大適用對象及範圍，包括凡是蒐集個人資料 者，要不就是「公務機關」，要不就是「非公務機關」，僅於草案第50 條第 1 項之情形得不適用個資法之外，凡是對個人資料之蒐集、處理及利用，無 論是否經由電腦或其他方式，均納入草案規範之範圍，並於第 2 條（現行法 第 3 條移列）第 1 款增列例示 7 種個人資訊，並將「足資識別個人該個人之 資料」修正為「得以直接或間接方式識別該個人之資料」，使資料保護更為 周延。

無論認為草案第 6 條第 1 款之「基因」是否包括「基因資訊」，至少基 因資訊係屬「得以直接或間接方式識別該個人之資料」，因此屬於草案之

「個人資料」，故基因資訊係在草案範圍內，應無爭議¹²⁹。 3.3.2.2 草案第 6 條列舉五種資訊，似有未妥

同時草案並增列第 6 條，將具特殊性之「敏感性資訊」，即醫療、基 因、性生活、健康檢查及犯罪前科等五種個人資料，明定原則不得蒐集、處 理或利用，其立意固值贊同，惟仍有不足。首先，基因與基因資訊本質上具 有六種特殊性質（即本文2.2.1 之分析），其所表達之訊息，非但包括個人之

129 現行個資法經由解釋，應可得出「基因資訊」係屬現行個資法保護範疇之看法，是 以個資法草案雖增列「基因」為保護之資料，然仍無礙認定「基因資訊」適用個資 法。

健康、能力、個性、偏好等個人特徵及私密，並具有家族性之性質而須考慮 家屬之權益（如「家族權」）。

但其他四種「敏感性資訊」固然具有敏感性，然並非完全有該六種性 質，似非適合相提並論；且是否亦表示草案僅考慮基因資訊之「敏感性」而 未顧及其他性質？亦即，除「敏感性」之外，「識別性」、「預測性」、

「遺傳性」、「持久性」及「標籤性」是否亦應一併兼顧或考量？抑或考量

「敏感性」即足已保護？

況且，「敏感性」係屬「較具個人主觀」之資訊，每個人對該資訊保護 之感受、需求各不相同，直接僅以「敏感性」即論應區別保護，在規範上似 有草率之嫌；再者，本於「遺傳性」而產生之「家屬權益」，非此其他四種

「敏感性資訊」均具有者，則個資法草案將基因與醫療、性生活、健康檢 查、犯罪前科之資料同歸一類、相提並論，似有淡化「家屬權益」之嫌，即 生似非妥適之疑慮。

3.3.2.3 草案第 6 條之「例外」過於浮濫

草案第 6 條第 1 款至第 5 款的「例外」情形似過浮濫。其中，第 1、3 款似重複，又第 2 款所謂「法律未明文禁止蒐集、處理或利用，且經當事人 書面同意」則似與第 6 條本文「不得蒐集、處理或利用」之規定不相符，蓋 草案第 6 條本文已規定此五種敏感性資訊不得禁止蒐集、處理或利用，但同 條第 2 款卻規定「法律未明文禁止蒐集、處理或利用且經當事人書面同意」

為其例外，則其意係指個資法並非「法律」？實不知究何所指。

況且，此五種敏感性資訊，均非僅涉及「個人」而已，例如：夫妻間性 生活資料，該「當事人」究竟屬「誰」？而「基因」之家族性，更凸顯「當 事人」是「誰」之問題。然草案於第 2 條第 9 款定義「當事人」係資料之

「本人」，似乎係指「一個人」？該「本人」能否解釋為「數人」？恐怕有 其困難，易生適用上困擾足見草案未察覺上開問題，其疏漏至明。

此外，就基因資訊而言，問題最大者在於草案第 6 條第 4 款「當事人自 行公開或其他已合法公開之個人資料」。由於每個人都會落毛髮，則個人在

公開場合之落髮¹³⁰，是否符合該第 4 款？且遍查整部草案，均未就該第 4 款

「當事人自行公開」進行定義，即生此疑義；且「當事人自行公開」並未考 量基因資訊具家族性，僅以「當事人自行公開」即得蒐集基因資訊，亦似有 欠周延。

實則，此五種敏感性個人資料，倘若非僅限於「個人」，例如：性生活 即非「個人」之資料，而基因亦彰顯其來自之家族及族群，醫療資料牽涉病 例史情形，其影響均非獨「個人」，甚至，犯罪資料之影響亦非僅「個 人」，可能影響外界對其及親屬之觀感。然而草案第 6 條均以「當事人同 意」或「當事人自行公開」作為得例外蒐集、處理或利用之情形，未查此五 種敏感性資訊之影響程度與範圍，均顯有未妥。

3.3.2.4 草案「告知後同意」之規定，甚非妥適

草案第 7 條雖規定第 6 條第 2 款之「書面同意」係「指當事人經蒐集者 告知本法所定應告知事項後，所為允許之書面意思表示」，然其語意不清，

應指同草案第 8 條¹³¹之情形。然查其「應告知事項」，與「研究用人體檢體 採集與使用注意事項」（下簡稱注意事項）第 5 點（本文註 124）比較可 知，草案之「應告知事項」相當簡陋，並未告知當事人公務機關或非公務機 關之相關義務（比較注意事項第 5 點第 1 項第 4 款）、未告知向其蒐集資訊 之原因（比較同項第 6 款），亦未告知預期蒐集、處理或利用成果（比較同

130 相同質疑，林子儀，前揭註 74。

131 草案第 8 條：「公務機關或非公務機關依第 15 條或第 19 條規定向當事人蒐集個人 資料時，應明確告知當事人下列事項：一、公務機關或非公務機關名稱。二、蒐集 之目的。三、個人資料之類別。四、個人資料利用之期間、地區、對象及方式。

五、當事人依第 3 條規定得行使之權利及方式。六、當事人得自由選擇提供個人資 料時，不提供將對其權益之影響（第 1 項）。有下列情形之一者，得免為前項之告 知：一、依法律規定得免告知。二、個人資料之蒐集係公務機關執行法定職務或非 公務機關履行法定義務所必要。三、告知將妨害公務機關執行法定職務。四、告知 將妨害第三人之重大利益。五、當事人明知應告知之內容（第2 項）。」

項第 7 款）、未告知合理範圍內可預見之風險或不便（比較同項第 8 款）、

未告知保障隱私之機制（比較同項第 9 款）、未告知當事人及其親屬或族群 可能造成之影響（比較同項第11 款），以及未告知資料有無提供、讓與、授 權國內外他人使用之計畫或預期（比較同項第13 款）、並未規定應輔以口頭 告知、務使當事人明瞭及內容（比較同項第3 項）。

尤有甚者，關於書面同意時應告知事項，草案第 8 條第 1 項規定：「公 務機關或非公務機關依第 15 條或第 19 條規定向當事人蒐集個人資料時，應 明確告知當事人下列事項：一、公務機關或非公務機關名稱。二、蒐集之目 的。三、個人資料之類別。四、個人資料利用之期間、地區、對象及方式。

五、當事人依第 3 條規定得行使之權利及方式。六、當事人得自由選擇提供 個人資料時，不提供將對其權益之影響。」而第 2 項規定：「有下列情形之 一者，得免為前項之告知：一、依法律規定得免告知。二、個人資料之蒐集 係公務機關執行法定職務或非公務機關履行法定義務所必要。三、告知將妨 害公務機關執行法定職務。四、告知將妨害第三人之重大利益。五、當事人 明知應告知之內容。」

則草案第 8 條第 2 項所規定有各款之一情形者，得免為告知，其中第 2 款規定「蒐集係執行法定職務或履行法定義務所必要」、第 3 款「告知將妨 礙執行法定職務」、第 4 款「告知將妨礙第三人之重大利益」及第 5 款「當 事人明知應告知之內容」，似無疑問；然而，蒐集個人資料時之告知，應本 於資訊隱私權、資訊自決權而衍生應為「告知後同意」¹³²，此乃源於個人人 格權之保障，故規定得免為告知，顯失允當，詳述於下：

1.第 2 款規定履行法定職務或法定義務即無庸告知，則如交警取締闖紅 燈，為確認其身分，未經告知即要求提供個人資料，是否有過度侵犯個人人 格權之疑慮？該款規定，似有不當連結之虞。

2.而第 3 款情形，倘若告知將妨礙執行法定職務，則此關鍵應係「有無

132 相同立場，李震山，前揭註 25，頁 93-100、103-107。

強制蒐集」之情形，若法律授權其得強制蒐集，故得無庸告知，然若法令未 授權得強制蒐集，自不應任由公務機關恣意推測有無妨礙而規避告知義務。

3.第 4 款規定，告知將妨礙第三人重大利益時，則不告知是否係直接侵 害個人之人格權？則究竟有何「重大利益」得與「人格權」相衡？該款語焉 不詳，僅係徒增蒐集資料者規避告知義務之餘地。

4.而第 5 款規定，當事人明知應告知內容時，則無庸告知，然而，如何 明知？於蒐集時將應告知事項記載於書面傳單讓當事人傳閱，此即已屬「當 事人明知」？且蒐集個人資料乃係源於個人人格權保障，與行政程序法第 97 條第2 款¹³³作成行政處分時無庸告知處分理由之情形不同，焉能類比規範？

3.3.2.4 草案未特別考量基因資訊家族性，尚非周全

草案對於基因資訊之保護，與其他個人資料相同，如草案第 3 條規定，

個資法所賦予不得預先拋棄或特約限制之權利。然基因資訊有其家族性，則 其他家族成員能否行使第 3 條之權利？或有無其他可資主張者？其家族成員 所能行使之條件如何？個資法全然未提，甚為可惜。

此外，草案第 28、29 條有關民事責任部分，將現行法第 27、28 條之

「致當事人權益受損害者」修正為「侵害當事人權利者」，與國家賠償法第 2 條第 2 項及民法第 184 條第 1 項前段之用語一致，則將生「權利」是否不 包括「純粹經濟上損失」？是否限縮賠償範圍？草案修正理由並未說明，然 而，倘若因違反個資法致他人基因資訊外洩，使得保險公司提高其保費或失 去受僱機會或升遷機會，則得否依草案第28、29 條求償，即生疑義。且草案 第 2 條第 9 款對「當事人」已有定義，則因基因資訊家族性而侵害當事人之 家屬或其所屬族群時，受害之家屬及其所屬族群，得否依上開求償規定尋求

「致當事人權益受損害者」修正為「侵害當事人權利者」，與國家賠償法第 2 條第 2 項及民法第 184 條第 1 項前段之用語一致，則將生「權利」是否不 包括「純粹經濟上損失」？是否限縮賠償範圍？草案修正理由並未說明，然 而，倘若因違反個資法致他人基因資訊外洩，使得保險公司提高其保費或失 去受僱機會或升遷機會，則得否依草案第28、29 條求償，即生疑義。且草案 第 2 條第 9 款對「當事人」已有定義，則因基因資訊家族性而侵害當事人之 家屬或其所屬族群時，受害之家屬及其所屬族群，得否依上開求償規定尋求