規制與啟示
第三節 對我國學生個人資料保護現狀之啟示
相較於美國等先進國家，我國對於個人資料保護的觀念顯然起步 較晚，對學生個人資料保護觀念亦然。雖然憲法、刑法、民法及各式 各樣行政法中，不乏有與祕密、保密、隱私等與個人資料保護有關詞 彙出現，但直到「電資法」出現後，才算真正就個人資料保護之意義 內涵救濟等作出明確的規範，就保障的目的來說，也最為直接。
「憲法」第 12 條明文規定人民祕密通訊的自由，旨在保障人民有 不公開意見的權利內涵，若從其內涵中再擴大解釋為保障隱私空間之 生活利益亦無不可，在憲法未就個人資料保護有明確規範前，作為個 人資料保護之學理基礎之一相當適合，然在實務上與個人資料保護之 直接相關性較低。
其次在刑法中亦有妨害祕密的規定，但整體來說，個人資料保護 及隱私權包含但不限於「祕密」這個觀念的運用；另外民法在 1999 年 修法中加入不法侵害「隱私」人格法益可要求撫慰金，然在個人資料 落入民事之侵害但又屬於不能回復之侵害，以本條要求損害賠償以金 錢為主，額度是否到達「相當之金額」沒有一定的標準，以目前法院 審理人格權受侵害案件中，所准許之金額可說是少得可憐。由上觀之，
若無專法保護，對於個人資料保護之定義與救濟程序將莫衷於是。
據此，在我國 1995 年「電資法」公布後才對個人資料保護有較完 整的說明，並希望可以得到相當程度的保護。不過由於「電資法」陳 義甚高，規範甚嚴但管制對象狹窄罰責過輕，對於公務機關、非公務 機關蒐集、運用個人資料的行為沒有產生實際上的約束性，一般認為 沒有達到當初立法目的，以致於現今社會上詐騙、身分盜用等案件頻 傳；而學生個人資料相較其他社會上有名望者的個資來看，「投資報酬
率」不一定最高，但可以使用的「年限」可謂最長，若未好好保護，
將明顯侵害國家未來主人翁長時間的隱私權及資訊自決權。
吾人希望學生個人資料有法律層級的保護，但我國對於學生個人 資料保護之規定散落在各類法律條文中，以現今立法現狀來看，尚不 敢言有專法的出現，但對於美國 FERPA 規範及修法趨勢來看，倒不乏 有許多值得我國在學生個人資料保護工作可學習的地方：
壹、明定學生個人資料的內涵
我國對於學生個人資料的內涵並沒有詳細的規定，就「電資法」
規範個人資料內涵包括自然人之姓名、出生年月日、身分證字號、特 徵、指紋、婚姻、家庭、教育、職業、健康、病歷、財務情況、社會 活動等足資識別該個人之資料，但目前未修法前僅限於以電腦處理 者。筆者認為包含但不限於電腦處理之個人資料，除婚姻、職業等學 生較為無關之項目外，上述內容皆屬於學生個人資料範疇應予以保 護；另外以 FERPA 對教育紀錄的定義來看應加入與學生直接相關之日 常活動資訊之學生輔導紀錄、特殊教育紀錄、獎懲紀錄、成績紀錄、
犯罪紀錄、出缺席紀錄及針對個別學生之照片、錄影等，以收保護之 效。
以輔導紀錄為例，該資料為教師對學生進行心理輔導之歷程紀 錄，一般分為導師處理之輔導紀錄及認輔教師之輔導紀錄，內頁通常 包括學生自填包含學生姓名、出生年月日及家庭背景資料及興趣、專 長等個人資料，另外空白頁面則由導師或認輔教育就其輔導歷程加以 紀錄，內容除家長、具相關正當教育權益者(填寫者、呈核輔導主任、
校長)外不應外洩。特殊教育紀錄為輔導室特教組所維護之輔導紀錄，
一般分為導師(肢障)及特教老師(學障、智障)所填寫之個別化教育計 畫(Individualized Education Plans,IEP)，特教法並未規定此類紀錄教師
需保密，但可由「教師法」中教師不得洩漏學生個人或其家庭資料的 義務來加以規範。
另外，值得注意的是，FERPA 規範之「名錄指引資訊」雖屬學生 之教育紀錄，但一般認為當被揭露時不會侵害學生隱私，如姓名、電 話、地址等資訊，任何人均可向學校取得學生是項資料。以現今身分 盜用（Identity Theft）192案件與日俱增的狀況下，名錄指引資訊明顯地 可能會成為學生隱私遭受侵害的源頭，對小孩及家庭成員資料上的隱 私(資訊隱私權)影響甚巨。是故，學校通知家長同意將小孩個人基本資 料放進名錄指引資訊時，家長多抱持戒慎恐懼的態度。
我國並沒有像美國 FERPA 屬於教育紀錄的名錄指引資訊，類似的 名錄乃為學校基於與家長互動及聯絡之必要所建立的學生通訊錄或緊 急聯絡名冊，但依其利用之目的乃屬內部使用，不對外公開；我國學 校對於外界要求獲知學生姓名、生日、電話、地址等基本資料的申請，
由於沒有法源依據，多數學校不可能也不會將其公開給無關但有需要 的第三者得知。多年前唯一可以取得學生基本資料的管道－畢業紀念 冊，也因為補習班向學生取得後不斷以電話、郵件騷擾畢業生後，大 多數學校已逐漸取消通訊錄頁面的設計，但補教業者的動作並沒有因 此減少，主因乃是透過不法的手段從學校或協助學校進行學務系統建 置或資訊委外廠商取得。
為此，我國是否適合採取類似名錄指引資訊的設計，讓外界得以 合法一窺學生基本資料？以筆者的看法應建立學生通訊錄但僅供校內 擁有正當教育權益者使用並妥慎保管；在對外公開的部分，站在學生 個人資料保護的立場來看諸如姓名、生日、住址等「電資法」已列舉
192 意指盜用身分資料，在美國為快速成長的犯罪型態，受害人數隨資訊科技的發展日增。See http://www.identitytheft.org/ ,accessed on 2008/10/25.
之個人資料不應做為目錄性質的公開或供查詢檢索。
貳、界定學校揭露的合理程序
在建立學生個人資料之內涵後，參考 FERPA 之規範，應界定揭露 學生個人資料的合理程序。而我國學生個資得否揭露?以我國現有法令 觀之，「教師法」與「電資法」相關規定值得探討。
「教師法」第 17 條規定教師除應遵守法令履行聘約外，並負有非 依法律規定不得洩漏學生個人或其家庭資料的義務。「教師對於學生個 人或其家庭資料不得洩漏」意指教師在教育現場所蒐集、處理及利用 學生個人或家庭之資料，不得洩漏給不相關之第三者，而但書內容「非 依法律規定」則頗具玩味，若以「學校衛生法」第 9 條規定來看應有
「應教學、輔導、醫療之需要，經學生家長同意或依其他法律規定應 予提供者，不在此限」等例外；若以「電資法」第 23 條規範，學校蒐 集之個人資料為特定目的範圍外之利用應有「為增進公共利益者、為 免除當事人之生命、身體、自由或財產上之急迫危險者、為防止他人 權益之重大危害而有必要者、當事人書面同意者」等例外，是故教師 並非全然不得「洩漏」學生個人或其家庭資料。
當然「教師法」使用「洩漏」一詞應指將學生個人或其家庭資料 交付不符正當教育權益者之不當利用，其用詞較重，筆者認為若改以
「揭露」來看，教師其實可以基於上述法律之規定將學生個人或其家 庭資料交付給合法的第三者（即「電資法」上「利用」之定義），但問 題是，我們並沒有所謂合理揭露程序，各校對於第三者取用學生個人 資料亦頗具「彈性」。
學校在面對第三者取用學生個人資料時，可能面臨的狀況有三：
一、 因應資訊委外之需要，將學校全部或部分資料委外第三者管
理。
二、 第三者要求學校提供個別或少數之學生教育紀錄或個人資料 之申請。
三、 針對特定目的外之利用「免除當事人之生命、身體、自由或 財產上之急迫危險者、為防止他人權益之重大危害而有必要 者」提供給第三者。
針對上述三種情況，本文試圖以美國 FERPA 對揭露的規範，擬出 學校合理的揭露程序：
一、 在資訊委外模式下，應明定權利義務並應有下列程序：請求 服務委託、學校審查(個資洩漏風險責任歸屬、緊急應變等)、
通知家長並請求書面同意、揭露(服務委託)、追蹤是否以交 付時之特定目的使用。
二、 在第三者要求學校提供個別或少數之學生教育紀錄或個人資 料之申請，應包含下列程序：要求申請、學校審查(合乎法律 規定之要件審查、決定揭露範圍等)、通知家長並請求書面同 意、揭露、追蹤是否以交付時之特定目的使用。
三、 針對特定目的外之利用「免除當事人之生命、身體、自由或 財產上之急迫危險者、為防止他人權益之重大危害而有必要 者」提供給第三者(一般為執法單位或醫療機構)個別或少數 學生教育紀錄或個人資料應包含下列程序：要求申請、學校 權責單位判斷(合乎當事人急迫危險或造成他人重大危害等 要件)、揭露、追蹤是否以交付時之特定目的使用。
一般而言，學校揭露學生教育紀錄或個人資料後必然產生學生隱 私權危害的可能，但透過合理程序的制定甚至完成學校對處理此類事 件之標準作業程序(Standard Operating Procedure,SOP)可大幅降低
揭露後的個資遭受不當洩露的風險，另外在隱私權意識高漲的今日，
亦可降低學校遭致訟累的可能。
參、訂定權利內容與救濟程序
我國有關家長對於學生個人資料權利除由「電資法」據以引用外，
並無法律層次之規定，僅有「國民教育階段家長參與學校教育事務辦 法」193有資訊公開或徵求同意之規定。而有關學生個人資料之說明，一 般散見於教育部及各縣市教育局(處)頒定之學籍管理辦法及成績評量
並無法律層次之規定，僅有「國民教育階段家長參與學校教育事務辦 法」193有資訊公開或徵求同意之規定。而有關學生個人資料之說明，一 般散見於教育部及各縣市教育局(處)頒定之學籍管理辦法及成績評量