第二章 敏感性個人資料概念
第三節 各國立法例
截至 2012 年底為止，全球至少有 89 個國家訂有個人資料保護法或隱私法，115 以保護國內之個人資料，其中有關敏感性個資之規定，各國規定不一而足。歐盟 各國由於受到「歐盟個資指令」之拘束，包括英國、德國等國皆訂有敏感性個資 之規定，歐盟以外其他國家之立法，有仿效歐盟規定者，例如澳洲，亦有改採與 歐盟不同觀點之美國、加拿大與日本。至於我國個資法，主要仿效德國、奧地利 之規定，亦即同樣受到「歐盟個資指令」影響較大，以下以較受矚目之歐盟國家、
美國、加拿大、澳洲、日本與我國，逐次探討其立法規範。
一、歐盟國家
原則上，歐盟各國之個人資料保護立法皆受「歐盟個資指令」拘束，各國所 定義之敏感性個資大致與「歐盟個資指令」規範相符：僅限於顯示「種族血緣」、
「政治意向」、「宗教或哲學信仰」、「工會會員資格」與涉及「個人醫療或性生活」
等五類之個資。英國資料保護法(UK Data Protection Act 1998)第 2 條規定，敏感性 個人資料係指與下列事項相關之個人資料：116
「資料主體之種族或民族根源；其政治觀點；宗教信仰或其他相同性質 之信仰；是否為工會之成員；其生理或精神健康或狀態；其性生活；其
115 See Graham Greenleaf, Global Data Privacy Laws: 89 Countries, and Accelerating, 115 PRIVACY L.&
BUS.INT’LREP. 1 (2012).
116 例如英國資料保護法(§ 2)。事實上在「歐盟個資指令」通過以前，英國並未規範敏感性個資。
1984 年，英國舊資料保護法雖曾授權國務院得發佈規則定義四種敏感性個資，惟該規則從未發 佈。德國則透過衡平條款提供敏感性個資較一般個資更高的保護，參見 Joel R. Reidenberg, Resolving Conflicting International Data Privacy Rules in Cyberspace, 52 STAN.L.REV. 1315, 1351 n.198 (2000).
34
所犯罪行為或被指控之罪行；關於其犯罪行為或被指控罪行之訴訟結果 或上訴判決。」
細觀各國規定，有關敏感性個資之定義存有兩點不同。第一，認定時點不同。
亦即，個人資訊於「何時」得被視為敏感或特別資訊；第二，部分國家在「歐盟 個資指令」的定義下，增加類別屬性相似的敏感性個資。
首先，關於用以規範個人與敏感性個資之關連文字，各國規定有所歧異。「歐 盟個資指令」第 8 條規定，禁止處理「顯示」(reveals)種族血緣等之敏感性個資，
歐盟多數國家採之；少數國家規定，禁止處理與種族血緣等「相關」(concerning) 之資料。117使用不同文字來定義「本人與敏感性個資之關連」，將影響敏感性個資 之認定，例如網路瀏覽紀錄可能不會「顯示」個人性生活偏好，但卻會與性生活 偏好「相關」。較為特殊者，法國禁止處理「直接」或「間接」(indirectly)揭露種 族血緣等之敏感性個資。118申言之，在某些情況下，直接購買猶太或伊斯蘭食品、
購買雜誌或瀏覽網站之資訊，可能無法與「個人信念」或「性生活」產生相關，
惟此行為卻可能「間接」顯示某些程度的敏感性個資。監視攝影機或影像紀錄器 也有可能顯示某一個人的種族。119
其次，各國對於敏感性個資之定義，有兩點不同。第一，增加敏感性個資之
117 例如奧地利、德國採用「關於、有關」(on)；義大利特別強調「揭露的能力」(capable of revealing)；
荷蘭採用「資料關於」(data concerning)；英國、愛爾蘭使用「關於」(as to)；希臘使用「相關」
(relate to)；盧森堡規定較寬鬆，認為僅於「處理」敏感性個資時，始受到個資法之規範，參見 Korff, supra note 31,at 84-85.
118 法國資料保護法 § 8(I)
119 See Korff, supra note 31,at 84-85.
35 將「工會會員資格」擴大適用；126新增「私人事務」(private matters)者。127
120 See McCullagh, supra note 56, at 192, 197; RICHARD MORGAN &RUTH BOARDMAN,DATA PROTECTION STRATEGY:IMPLEMENTING DATA PROTECTION COMPLIANCE 2.2.2.1 (2003); Lee A.
Bygrave, Core Principles of Data Protection Laws, in DATA PROTECTION LAW:APPROACHING ITS RATIONALE,LOGIC AND LIMITS 344 (2002).
相關(§ 7(1))。瑞典未將「基因資訊」視為敏感性個資，但其仍特別立法(Sweden, Act on Biobanks in Health Care (2002: 297))規定其處理方式，其餘參見 Korff, supra note 31,at 85.
124 芬蘭將有關「治療」(treatment)之資訊，視為敏感性個資，參見 Finnish, The Personal Data Act (523/1999) § 11(4).
125 例如比利時(§ 9)、瑞典(§ 21(1))、英國(§ 2(h))將刑事犯罪資料視為敏感性個資，參見 Korff, supra note 31,at 94. 比利時將處理之限制自「犯罪資料」(criminal data)擴大至「任何法律上爭議」(any legal disputes)。此類資訊得基於「法令明確規定之目的」(any purpose specified by law, decree or regulation)而予以處理。事實上，某些行為是否符合本款（刑事紀錄）規定，相當難以認定，例 如警察逮捕現行犯之行為，參見 KUNER,supra note 34, at2.96.
126 例如希臘「任何會員資格」(membership in any association)、義大利「政黨、商會協會會員資格」
36 民身份號碼(national identification number)或其他通用之識別號碼(identifier of general application)之處理條件，131但本規定實際上並未影響「沒有國民識別號碼」
之會員國個資法。關於本項規定是否適用於駕照號碼、國家保險號碼或護照號碼，
(§ 22)。希臘更進一步將「社會福利」(social welfare)增訂為敏感性個資，參見 Greece, Law 2472/1997 on the Protection of Individuals with regard to the Processing of Personal Data Art.2(b)
127 丹麥(Art. 8.1)、葡萄牙規定有關「私人事務」(private matters)之資料為敏感性個資。葡萄牙憲法 法院認為「錄影監視」(video surveillance)屬於接觸「私人事項」。該國主管機關亦認為「手機 定位資訊」(phone positioning data)屬於敏感性個資，但純粹財務資訊則不屬之，參見 Korff, supra note 31,at 85.
128 See Korff, supra note 31,at 84.
129 See Lukáš Prudil & Josef Kuře, Research Ethics Committees in the Czech Republic, in RESEARCH ETHICS COMMITTEES,DATA PROTECTION AND MEDICAL RESEARCH IN EUROPEAN COUNTRIES 34 (2005).
130 此項爭議詳參本章第四節。
131 Directive 95/46/EC, Art.8.7 “Member States shall determine the conditions under which a national identification number or any other identifier of general application may be processed.”
132 See DAVID BAINBRIDGE,ECDATA PROTECTION DIRECTIVE 58 (1996).
133 See Ségolène Rouillé-Mirza & Jessica Wright, Comparative Study on the Implementation and Effect
37
「紀錄」內，而未特別定義敏感性個資；135「公平信用報告法」(Fair Credit Reporting Act of 1970, FCRA) 136規定：資料主體以「信用」(credit)、「僱傭」(employment)或
「租賃審查」(tenant screening)之目的申請信用報告時，信用報告機構得蒐集敏感 性較高之資料，例如醫療資訊；137「駕駛隱私保障法」(Drivers Privacy Protection Act, DPPA)規定：「照片」、「社會安全號碼」(Social Security Numbers, SSN)與「醫療資 訊」不得任意使用；138「梅根法」(Megan’s Law)規定：各州政府於一定情形時應 公開性犯罪人士之資訊。139
of Directive 95/46/EC on Data Protection in Europe: General Standards, in THE DATA PROTECTION DIRECTIVE AND MEDICAL RESEARCH ACROSS EUROPE 158 (Deryck Beyleveld, David Townend, Ségolène Rouillé-Mirza & Jessica Wright eds., 2004).
134 Pub. L. No. 93-579, 5 U.S.C. § 552a
135 See id. § 552a(a)(4)
136 Pub. L. No. 90-32, 15 U.S.C. §§ 1681 et seq. See FCRA, Sec. 603(w) & 612(a)(c)(i); ANITA L.ALLEN
&RICHARD C.TURKINGTON,PRIVACY LAW:CASES AND MATERIALS 476(2000).
137 Comparative Study of European Commission Directorate-General Justice, Freedom And Security on Different Approaches to New Privacy Challenges, In Particular in the Light of Technological Developments- B.1 – United States Of America, at 10 (May. 2010) available at
http://ec.europa.eu/justice/policies/privacy/docs/studies/new_privacy_challenges/final_report_country _report_B1_usa.pdf; 如該信用報告係分析自消費者之行為而非信用活動（例如貸款）者，則不受 本法規範，詳情可參見 JON L.MILLS,PRIVACY: THE LOST RIGHT 142 (2008).
138 Pub. L. No. 103-322, 18 U.S.C. §§ 2721-2725. See DPPA §§ 2722(a) & 2725(3).
139 Jacob Wetterling Crimes Against Children and Sexually Violent Offender Registration Act of 1994.
38
美國對於敏感性個資之保護，缺乏統一立法規範。敏感性個資須依其類型，
分別適用不同法規，故適用上常有疑義。以「醫療保險流通與責任法」(Health Insurance Portability and Accountability Act, HIPAA)140為例，該法雖專門規範醫療資 訊之處理，但如由不受HIPPA規範之機構蒐集醫療資訊，即不受到任何保護，例如 其國內企業利益，能與歐盟間進行商業資料傳輸，由商務部(U.S. Department of Commerce)發佈「安全港協定」(U.S.-EU Safe Harbor Agreements) 145，其中定義敏
相關討論參見 ALLEN &TURKINGTON, supra note 137, at 153-155.
140 Pub. L. No. 104-191 (Privacy Rule promulgated at 45 CFR § 460).
141 其他類別之法律還有「有線通訊政策法」(Cable Communications Policy Act of 1984)規範有線電 視業者蒐集「個人電視收看習慣」；「金融服務法」(Gramm-Leach Bliley Act of 1999)專規範金 融服務機構所持有之個人資訊。
142 例如設立於喬治亞州的 ChoicePoint 公司，該公司專門將公共或私人資料庫中的個人資訊，公開 販售給政府機關與私人企業，但這樣的情況在歐洲卻是違法的。目前該公司擁有多達 17 億筆個 人資訊，10 萬名顧客，收益高達 1 億美元，參見 Maeve Z. Miller, Note, Why Europe Is Safe from Choicepoint: Preventing Commercialized Identity Theft through Strong Data Protection and Privacy Laws, 39 GEO.WASH.INT’L L.REV.395-421 (2007). 該公司曾因揭露敏感性個資而遭聯邦貿易委 員會(Federal Trade Commission, FTC)控告，詳情參見 MILLS, supra note 137, at158-159.
143 根據隱私法第 7 條 Sec. 7(a) (1)，聯邦或州政府於揭露當事人社會安全號碼時，應予通知。
144 例如加州，詳細規定參見 California Office of Information Security and Privacy Protection,
“Recommended Practices for Protecting the Confidentiality of Social Security Numbers,” available at http://www.privacy.ca.gov/res/docs/pdf/ssnrecommendations.pdf
145 本協定係由美國商務部基於促進國際商業發展之法定職權所發佈，並於 2000 年 7 月經歐盟執委
39
感性個資為：與「醫療、健康資訊」、「種族血緣」、「政治意向」、「宗教或哲學信 仰」、「工會會員資格」與「個人性生活」者，其定義與「歐盟個資指令」一致。「安 全港協定」並規定機構組織應針對「敏感性資料」(sensitive information)提供當事 人「同意加入(opt-in)」146之權利，以主動選擇是否願意將其敏感性個資提供給第 三人。
美國聯邦參議員Patrick Leahy於 2011 年 6 月所提出「個人資料隱私與保障法」
(The Personal Data Privacy and Security Act of 2011)草案147，將「可識別之敏感性個 人化資料」(sensitive personally identifiable information)定義為：以電子化或數位形 式所記載之下列資訊：1. 與「個人姓名」結合之「未經截斷(non-truncated)之社會 安全號碼」(social security number)、「駕照號碼」(driver’s license number)、「外國人 登記號碼」(alien registration number)、住家地址、電話號碼、母親本姓(Mother’s maiden name)、出生日期、「獨特之生物辨識資訊」(unique biometric data)，例如「指 紋」(finger print )、「聲紋」(voice print)、「虹膜或視網膜圖像」(retina or iris image)、
「其他獨特的物理特徵」(any other unique physical representation)、「獨特之帳戶識 別碼」(unique account identifier)、電子識別號碼、使用者名稱或「以獲取金錢、商 品、服務或任何有價值之物所必要，而結合安全代碼(security code)、近用代碼(access code)或帳戶密碼(password)之序列代碼(routing code)；2. 財務帳戶名稱與「以獲得 信用(credit)、撤銷貸款(funds)或從事財務移轉所必要，而結合安全代碼(security
會同意批准(Commission Decision 2000/520/EC, 2000 O.J. (L 215)7) 遵守本協定之美國機構，皆可 視為已達到「歐盟個資指令」之保護水平。有關本協定，參見 International Safe Harbor Privacy Principles, available at http://export.gov/safeharbor/eu/eg_main_018475.asp
146 詳情參見本文第四章。
147 草案原文 available at
http://www.leahy.senate.gov/imo/media/doc/BillText-PersonalDataPrivacyAndSecurityAct.pdf
40
code)、近用代碼(access code)或帳戶密碼(password)之信用卡或轉帳卡號碼」。148草 案所規範之敏感性個資，似皆為中性(neutral)之個資，不帶有主、客觀價值判斷，
與「歐盟個資指令」規範迥異。
（二）加拿大
加拿大之個人資料保護法，依據適用對象不同分為「隱私法」(Privacy Act, PA)149與「個人資訊保護暨電子文件法」(Personal Information Protection and Electronic Documents Act 2000, PIPEDA, 下稱「個資法」)。前者適用於聯邦政府機 關，後者適用於私人機構。加拿大「隱私法」將個人資料定義為，「有關可得識別 之個人訊息，而以任何形式紀錄以下事項：
(a) 有關種族、國家民族根源或膚色、宗教、年齡或婚姻狀況之資訊；
(b) 有關教育或醫療、刑事與個人就業紀錄與個人涉及財務交易之資 訊；
(c) 任何得識別之號碼、象徵或其他特徵；
(d) 個人地址、指紋或血型；
(e) 個人意見或觀點；…」
上開定義不僅包括一般常見之敏感性個資，尚及於其他一般個人資料。此外，
加拿大「個資法」將「個人資料」廣泛定義為，「屬於可得辨識之個人資訊，並排
加拿大「個資法」將「個人資料」廣泛定義為，「屬於可得辨識之個人資訊，並排