第三章 個人資料保護上之疑慮
第三節 同意淪於形式
國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
有規定外，須再次徵求資料主體的同意。然須注意的是，本項僅是用於規範 須取得資料主體之同意而已，並非用於目的內或目的外之判斷，因有載明於 芝麻信用服務協議或芝麻信用隱私權政策上之目的不當然即為目的內，所謂 目的內或目的外判斷，還是要回歸是否為資料處理者提供之服務所必要者加 以判斷。
退步言，姑且不論目的內或目的外，單純僅就再次徵求資料主體同意 來看，芝麻信用隱私權政策第四條第二項規定，其實設有一前提要件，即是
「當您的信息被用於本政策未載明的其他用途時」才會需要再次徵求同意，
但當已載明之用途意涵不甚明確時，也很難判斷到底需不需要徵求同意。
如：芝麻信用隱私權政策第四條第一項第四款載明之「監管要求」用途內涵 為何？
再退步言，即使用於「隱私權政策未載明的其他用途時」，芝麻信用也 僅有再次徵得同意的保護機制，相較於我國個資法與 GDPR 中有更多且詳細 之告知要求，諸如：變更後目的及範圍為何？會造成何等影響？變更後目的 與原先蒐集目的之連結性？資料主體與控管者間之關係？資料本身是否為 生物特徵或前科記錄等特種個資？變更目的後是否有保護可能？不論有無 載明，凡目的外利用均應一律告知之要求，可知芝麻信用在目的外使用對個 人資料主體之保障確實不足。
第三節 同意淪於形式
同意是現代個人資料保護重要原則之一，OECD 即將其列為個人資料 保護八大原則之一，何況芝麻信用適用上多係經資料主體同意方式取得處理 個人資料之權利，故本節特針對芝麻信用取得資料主體同意，所涉及之問題 加以分析。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
第一款 請求同意之語意不清
在資料處理者就應告知事項充分表述後，資料主體即可為允許之同意 意思表示，我國個資法第七條第一項規定「第十五條第二款及第十九條第一 項第五款所稱同意，指當事人經蒐集者『告知本法所定應告知事項後』，所 為允許之意思表示。」、同條第三項復規定「...非公務機關明確告知當事人 第八條第一項各款應告知事項時，當事人如未表示拒絕，並已提供其個人資 料者，推定當事人已依第十五條第二款、第十九條第一項第五款之規定表示 同意。」設有推定同意之要件，再同條第四項規定「蒐集者就本法所稱經當 事人同意之事實，應負舉證責任。」為舉證責任做明確之分配。
參考 GDPR 第四條第十一項「資料主體之『同意』係指資料主體基於其 意思，透過聲明或明確肯定之行動，所為自主性、具體、知情及明確之表示 同意處理與其有關之個人資料」、GDPR 第 7 條「當處理係基於同意時，控管 者應證明資料主體已同意其個人資料之處理。」、「如資料主體之同意併係為 其他事件所為之書面聲明時，同意請求應以易懂且方便取得之格式，並採用 清楚簡易之語言，且與其他事件清楚區分之方式呈現。該聲明之任何條款違 反本規則者，不具約束力。」、「資料主體有權隨時撤回其同意。同意之撤回 不影響撤回前基於該同意所為處理之合法性。資料主體為同意前，資料主體 應受告知其得隨時撤回該同意。同意之撤回應與給予同意一樣容易。」、「在 評估同意之給予是否具自主性時，應特別考慮，包括但不限於，契約之履行
（包括服務之提供）依存於個人資料處理之同意，且處理個人資料非履行契 約所必要者。」針對同意之定義、方式、撤回、自主性判斷等同意內涵為詳 盡且細緻之規範。
芝麻信用服務協議前言第三條「當您在相關頁面上點擊確認的時候，
例如，您點擊『開通芝麻信用』或類似文字的按鈕，或者實際使用芝麻服務，
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
請您事先仔細閱讀本協議內容，您點擊確認或實際使用服務即代表您接受協 議的內容。」前者係以電子方式表示同意之意思，後者則是類似「意思實現」。
在前者所謂「開通芝麻信用類似文字的按鈕」究竟為何？其實並不明 確，無法清楚簡易加以判斷。對照芝麻信用相關協議及授權須知第一條「您 點擊『同意協議並授權』按鈕，意味著您在此授權...」是否即為此處所 指「類似文字的按鈕」？倘若是，單就該按鈕文字觀察，未清楚載明是同意 芝麻信用協議，倘未透過其他文件比對，要判斷出所同意之協議就是芝麻信 用服務協議，並非易事，因此以此方式取得資料主體之同意，是否有效，恐 有疑義。
而後者「實際使用芝麻服務」與個資法第七條第三項比較，兩者仍有 不同。我國個資法第七條第三項推定同意除了「無拒絕之意思表示外」還需 要更積極的「提供其個人資料」行為，但依據第二章討論芝麻信用服務協議 四種類型中，同意芝麻信用向第三方蒐集資料主體之個人資料，與資料主體 自行提供個人資料給芝麻信用，係兩種不同態樣，因此芝麻信用服務協議所 稱「實際使用芝麻服務」不必當然即為資料主體主動提供個人資料，而與我 國個資法第七條第三項規定有異，無法將「實際使用芝麻服務」視為我國個 資法第七條第三項規定之推定同意。此時既然沒有推定同意適用，則資料主 體是否知悉其即將要使用芝麻信用服務？反徵芝麻信用請求同意之語意相 當不清。
另外有論者質疑用戶若想開通芝麻信用，必須先在支付寶中進行同意 授權，然而在授權幾分鐘後即可出現芝麻分值，該等快速評分方式讓人不免 懷疑，信用個人資料的收集早在授權之前即完成，而有違反大陸徵信業管理 條例第十三條「採集個人資訊應當經資訊主體資料主體同意，未經資料主體
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
同意不得採集。」之疑慮，讓同意變成只是形式上的授權。150
此等狀況除涉及同意前告知內涵是否落實，資料主體所為之同意是否 為實質上同意外，也有可能係因芝麻信用對於請求同意之語意不清所造成，
特別是「實際使用芝麻服務」與「類似文字的按鈕」之認定，資料處理者與 資料主體之認知有所歧異，而產生此類後果。但不論如何，芝麻信用必須確 認資料主體有為實質同意後，才可以開始為個人資料之蒐集。
第二款 概括同意浮濫
告知後同意之設計是本於個人資訊自主之展現，151進入大數據時代後，
面對即時且多樣的數據，要事前取得資料主體有意義的同意，實際上有相當 難度。152因為儘管蒐集時盡量交代目的，但也無法預期未來不會有新目的產 生，如果要徹底貫徹告知後同意原則，恐會阻礙新興科技對於公共利益的追 求。153如 GOOGLE 也沒有預料到蒐集用戶搜尋疾病記錄，居然可以運用到疫 情預測。154
我國個資法第七條第一項「第十五條第二款及第十九條第一項第五款 所稱同意，指當事人經蒐集者告知本法所定應告知事項後（包括蒐集之目 的），所為允許之意思表示。」，個資法第七條第二項「第十六條第七款、第 二十條第一項第六款所稱同意，指當事人經蒐集者明確告知特定目的外之
『其他利用目的』、範圍及同意與否對其權益之影響後，單獨所為之意思表 示。」上述規定均顯示資料主體之同意需針對「具體、特定」目的為之，不 得為概括之同意。
150 趙雯，同前註 44，頁 28。
151 張陳弘，新興科技下的資訊隱私權保護：「告知後同意原則」的侷限性與修正方法之提出，台大法學論叢，第 47 卷第 1 期，2018 年，頁 215-217。
152 劉定基，同前註 24，頁 268。
153 張陳弘，同前註 25，頁 213。
154 雖然日後發現使用搜尋記錄無法百分之百精準預測疫情，但確實是將搜尋記錄作超出同意範圍外使用。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
如前所述 GDPR 第四條第十一款將資料主體同意定義為資料主體基於其 意思，透過聲明或明確肯定之行動（a clear affirmative action），所為 自願性（freely given）、「特定（specific）」、受告知（informed）及明確
（unambiguous）之表示同意處理與其有關之個人資料。亦強調同意須符合 具體、特定之要件。
而芝麻信用服務協議第二條第四項「（四）『為了外部機構給您提供更 多優質的服務，包括享受有關優惠、享受更加便捷的流程體驗等』，您同意 我們可將您的全部信息進行分析並將結果推送給我們的合作或服務的機 構，考慮到該分析結果並不涉及您的具體信息或其他敏感信息，您同意上述 分析結果的輸出無須另行獲得您的授權。」中稱將您的全部信息進行分析之 目的為「為了外部機構給您提供更多優質的服務，包括享受有關優惠、享受 更加便捷的流程體驗等」，而「更多優質的服務」、「享受有關優惠」具體內 容為何？特定範圍在哪？讓資料主體根本無從預見將全部個人資料分析之 目的究竟為何，而認為不夠具體、特定。
第三款 定型化契約預先安排
定型化契約為企業經營者常見與消費者締結契約之模式，就法律風險 控管而言，對於經營者甚為優勢，但對於消費者而言卻難有足夠實力與經營 者抗衡，可能以為僅同意一部份，但其實契約內隱藏了其他不同類型之同意 內涵也會一併成立，又或為了使用經營者之服務，不得不與經營者簽立定型 化契約。
我國個資法第七條第二項「第十六條第七款、第二十條第一項第六款 所稱同意，指當事人經蒐集者明確告知特定目的外之其他利用目的、範圍及 同意與否對其權益之影響後，單獨所為之意思表示。」針對目的外利用時，
我國個資法第七條第二項「第十六條第七款、第二十條第一項第六款 所稱同意，指當事人經蒐集者明確告知特定目的外之其他利用目的、範圍及 同意與否對其權益之影響後，單獨所為之意思表示。」針對目的外利用時，