敏感性個人資料概念之發展

1970年代起，拜資訊傳播科技(Information, Communication Technology, ICT)快 速發展之賜，私人企業開始廣泛使用個人資料，致個人資料遭到誤用之風險日益 升高。⁴⁸1968年，經濟合作暨發展組織(Organization for Economic Co-operation and Development, OECD)乃針對當時之「科技缺口」(Gaps in Technology)召開部長級會 議(Ministerial Meeting)，商討對策。⁴⁹為避免個人資料於進行儲存、傳送、修改與 處理時遭到誤用，而侵害個人利益，各國開始制定相關法規。⁵⁰1970年，德國黑森 邦(Land of Hesse)制定資料保護法(Datenschutzgesetz)⁵¹，堪稱今世第一部個人資料 保護法，時僅適用於公部門。⁵²同時期其他較具代表性之立法，例如瑞典資料法⁵³、 美國隱私法⁵⁴與德國聯邦資料保護法⁵⁵。

48 See Neil Robinson et al., Technical Report, Review of the European Data Protection Directive, at 6, available at

http://www.ico.gov.uk/upload/documents/library/data_protection/detailed_specialist_guides/review_o f_eu_dp_directive.pdf (2009).

49 See Hans Peter Gassmann, Former Head of the ICCP Division Directorate for Science, Technology and Industrtry, OECD 30 Years After: The Impact of The OECD Privacy Guidelines, Address at Joint Roundtable of the Committee for Information, Computer and Communications Policy (ICCP), and its Working Party on Information Security and Privacy (WPISP) (Mar. 10, 2010), available at

http://www.oecd.org/document/39/0,3746,en_2649_34255_44946983_1_1_1_1,00.html

50 See David P. Farnsworth, Data Privacy or Data Protection and Transborder or Transnational Data Flow, an American's View of European Legislation, 11(4) INT’L BUS.LAW. 114, 114 (1983).

51 Data Protection Act 1970 (Hessisches Datenschutzgesetz). See Godfrey Stadlen, Survey of National Data Protection Legislation, 3(3) COMPUTER NETWORKS 174-186 (1976); Frits W. Hondius, Data Law in Europe, 16 STAN.J.INT'L L. 87, 92 n.10 (1980); ROBERTO J.RODRIGUES ET AL.,THE REGULATION OF PRIVACY AND DATA PROTECTION IN THE USE OF ELECTRONIC HEALTH INFORMATION 76 (2001).

52 See Gassmann, supra note 49.

53 Data Law 1973. 北歐之個資法發展可參見 Lee A. Bygrave, Data Protection Reform in Scandinavia, 5 PRIVACY L.&POL’Y REP.9-12 (1998).

54 U.S. PA 5 U.S.C. § 552a.

55 Germany Bundesdatenschutzgesetz, BDSG.

19 境個人資料流通保護綱領」（Annex to the Recommendation of the Council of 23rd September 1980: GUIDELINES GOVERNING THE PROTECTION OF PRIVACY AND TRANSBORDER FLOWS OF PERSONAL DATA, 下稱「OECD個資綱領」）。

「OECD個資綱領」其最初草案曾定義「敏感性個資」之概念，嗣專家小組(Expert Group)就敏感性個資之認定標準（例如差別待遇的風險(the risk of discrimination)）

進行討論後，認為「無法定義普世(universally)的敏感性個人資料」，乃刪除草案之 定義，故後來通過之「OECD個資綱領」中並未明確定義「敏感性個資」。⁵⁸此外，

有關「敏感性個資」之概念，在「OECD個資綱領」B部分細部評論(detailed comments) 第七段「合法蒐集原則」中有如下記載：⁵⁹

56 See Spiros Simitis, Revisiting Sensitive Data, Review of the answers to the Questionnaire of the Consultative Committee of the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, at 1, available at

http://www.coe.int/t/dghl/standardsetting/dataprotection/Reports/Report_Simitis_1999.pdf; Karen McCullagh, Data Sensitivity: Proposals for Resolving the Conundrum, 2 J.INT’L COM.L.&TECH. 190 (2007).

57 See McCullagh, supra note 56; Rebecca Wong, Date Protection Online: Alternative Approaches to Sensitive Data, 2(1) J.INT’L COM.L.&TECH. 9 (2007). The developments of the data protection in European before the 1980’s conventions, see generally A. C. Evans, European Data Protection Law, 29 AM.J.COMP.L. 571 (1981).

58 OECD Guidelines on the Protection of the Privacy and Transborder Flow of Personal Data, Part I, para.19 & Part II B. Detailed Comments, para.50.

59 OECD Guidelines on the Protection of the Privacy and Transborder Flow of Personal Data, Part II B.

Detailed Comments, para.50.

20

「第七段討論兩個議題。亦即，(a) 限制資料之蒐集(limits to the collection of data)，因為資料處理之方式(manner)、資料之特性(nature)與利用該資料 之情境(context)或其他情形，該資料被視為特別敏感(specially sensitive)。

(b) 有關資料蒐集方法之規定(requirements concerning data collection methods)。關於第一個問題，常有不同意見。有人主張定義敏感性資料類 別是可能且符合期望的，且該資料之蒐集必須加以限制甚或完全禁止，

部分歐洲國家已存有立法先例（例如種族、宗教信仰、刑事紀錄等資料）。 另一方面，有人則主張或許所有的資料，本質上都不具私人性或敏感性，

只有在資料處於特定的情境(context)或使用(use)時，始具備『隱私』(private) 或『敏感性』(sensitive)。⁶⁰這樣的觀點反應於，例如美國的隱私立法⁶¹」。

前揭評論對於應否定義「敏感性個資」一事，提出兩種截然不同的觀點。第 一種是直接定義敏感性個資，並將敏感性個資之概念與「蒐集限制原則」(Collection Limitation Principle)連結，⁶²認為應禁止蒐集「特別敏感」(specially sensitive)之個 資；第二種則將資料視為中性，須依其情境予以判斷是否得予以蒐集、處理之。

第一種見解比較直觀，無須判斷資料使用之情形，只要該資料顯示或記載之資訊，

符合表列種類，即加以限制，此見解影響各國立法，堪稱目前通說。第二種見解 稍微複雜，它先將所有資料定性為「中性」（或無害），僅於該資料被蒐集或處理

60 此見解與釋字 603 號余雪明大法官「部分協同、部分不同意見書」類似（指紋僅為「中性之身 分辨識工具」，且不能因指紋所聯結之資訊本身敏感，而認為指紋亦為敏感性個資。所應禁止 或限制者為該項敏感資訊之蒐集，而非指紋或姓名）。

61 蓋美國法並無統一的敏感性個資定義，而係根據資料處理或使用之性質，分屬不同法規規範，

詳見下節討論。

62 「OECD 綱領」第 7 條規定，個人資料之蒐集應有限制，且僅得以合法且公平之方法獲得，並 通知資料主體或經資料主體之同意。

21

時，才可能對個人隱私造成侵害。該見解常成為反對定義敏感性個資的主要理論。⁶³ 雖然「OECD個資綱領」對於OECD各會員國未具有強制性，但該規定仍影響包括 歐盟成員國或是澳洲、紐西蘭、香港以及我國之個人資料保護法。⁶⁴

二、歐盟「保護個人關於自動化處理個人資料公約」

1981 年，歐洲理事會(the Council of the European Union)⁶⁵為保護經自動化處理 之個人資料，發佈「保護個人關於自動化處理個人資料公約」(Convention For The Protection of Individuals With Regard to Automatic Processing of Personal Data,

European Treaty Series - No. 108, 下稱「歐盟個資公約」)。「歐盟個資公約」為第 一個定義敏感性個資之國際公約，第 6 條規定：除國內法已提供適當的安全措施 者外，[各締約國]不得對顯示下列內容之個人資料，進行自動化處理：種族、政治 主張、宗教或其他信仰⁶⁶，以及與健康、性生活與刑事判決有關之個人資料。⁶⁷「歐 盟個資公約」採用前述「OECD個資綱領」的第一種見解，即直接以「資料顯示或

63 參見本章第四節。

64 See McCullagh, supra note 56, at 190.

65 歐盟理事會之主要職權在於向各會員國匯報並作成政治決策。理事會在兩件事情上影響資料保 護。第一，提供各會員國於行使立法權時之政治討論空間；其次，透過「歐盟個資指令」第 31 條的委員會。理事會同時也建立「工作小組」(working party)來處理資料保護事項。相關討論參 見 KUNER, supra note 34, at 1.11 & 1.12.

66 根據「歐盟個資公約」的「解釋報告」(Explanatory Report)，表達政治意見、宗教或其他信念之 活動(activities)屬「敏感性個資」，參見 Directorate General of Human Rights and Legal Affairs, Data Protection: Compilation of Council of Europe texts, para.44, available at

http://www.coe.int/t/dghl/standardsetting/dataprotection/dataprotcompil_en.pdf

67 Convention for The Protection of Individuals with Regard to Automatic Processing of Personal Data Art. 6 [hereinafter Convention 108] “Personal data revealing racial origin, political opinions or religious or other beliefs, as well as personal data concerning health or sexual life, may not be processed

automatically unless domestic law provides appropriate safeguards. The same shall apply to personal data relating to criminal convictions.” (emphasis added).

22

記載之內容」定義敏感性個資，並禁止各締約國⁶⁸將該種個資進行自動化處理，

除非各國已提供適當保護措施者外。⁶⁹

用語概念上，「歐盟個資公約」並未使用「敏感性資料」(sensitive data)一詞，

而係以「特種資料」(special categories of data)稱之。但無論哪一種用語，所指涉的 皆為同一概念。另一方面，「歐盟個資公約」第 6 條所指稱之「自動化處理」(processed 形容詞理解，參見 Colin Tapper, New European Direction in Data Protection, 3(1) J.L.&INFO.SCI. 9, 12 (1992).

69 該公約規定各締約國得根據下列理由，另訂處理特種資料之情形：維護國家安全、公共安全、

國家財政利益或遏止犯罪；保護資料主體或他人之權利或自由，參見 Convention 108 Art. 9(2) (“Derogation from the provisions of Articles 5, 6 and 8 of this convention shall be allowed when such derogation is provided for by the law of the Party and constitutes a necessary measure in a democratic society in the interests of:

a. protecting State security, public safety, the monetary interests of the State or the suppression of criminal offences;

b. protecting the data subject or the rights and freedoms of others”) (emphasis added).

70 Convention 108 Art.2(b) (“automatic processing” includes the following operations if carried out in whole or in part by automated means: storage of data, carrying out of logical and/or arithmetical operations on those data, their alteration, erasure, retrieval or dissemination) (emphasis added).

23

「歐盟個資公約」為國際條約中首次清楚明確定義敏感性個資，⁷¹藉此與其他 個人資料加以區別，各會員國並應當透過其國內法採取必要措施。⁷²「歐盟個資公 約」的「解釋報告」(Explanatory Report)⁷³部分同意前述「OECD個資綱領」的第 二種見解（將資料皆視為中性，資料僅於特定「情境」(context)才會對個人隱私造 成侵害），「解釋報告」認為：通常情況下，「資料之內容(contents)」並不會對 個人造成傷害，只有「資料之使用情境(context)」才會對個人造成傷害，但某些特 殊類型資料，其「資料之內容」卻很可能侵害個人權利與利益。「解釋報告」進 一步指出，「歐盟個資公約」所規定之「特種資料」，通常在各會員國內已被認 為係「特別敏感」(especially sensitive)。⁷⁴至於其「敏感度」(degree of sensitivity)，

則須取決於各國的法律與社會環境(legal and sociological context)。⁷⁵

從字面上觀察，吾人或許會以為前述這兩種概念為相斥關係，但若基於保護 個人資訊隱私與個人資訊自決權之目的，本文認為應可將第一種見解（敏感性個

71 See McCullagh, supra note 56, at 191.

72 Convention 108 Art.4

73 Directorate General of Human Rights and Legal Affairs, Data Protection: Compilation of Council of Europe texts, available at

http://www.coe.int/t/dghl/standardsetting/dataprotection/dataprotcompil_en.pdf

74 See id. para. 43

75 See id. para. 48. 「解釋報告」同時認為：公約所列舉之敏感性個資僅為例示規定，各簽約國仍 得根據公約第 11 條之延伸保護條款，增定其他類別之資料為敏感性個資，例如工會會員資料。

惟近年來，隨著科技持續發展，資料之形式與種類不斷擴張。歐盟針對「歐盟個資公約」之研 究報告遂建議新增「識別號碼」(identification number)與「生物辨識資訊」(biological and biometric data)為敏感性個資，參見 Jean-Marc Dinant, Cécile de Terwangne & Jean-Philippe Moiny, Report on the lacunae of the Convention for the protection of individuals with regard to automatic processing of personal data (ETS No 108) resulting from technological developments T-PD-BUR(2010)09 E, at 9, available at

http://www.coe.int/t/dghl/standardsetting/dataprotection/tpd_documents/T-PD-BUR_2010_09_en.pdf

24

資之「內容」(content)易侵害個人隱私與權利）視為主要解釋，而將第二種見解「資 料僅於特定情境(context)下，始具備敏感性」視為輔助性解釋。立法者應先依第一 種見解，根據資料之「內容」定義敏感性個資；再依照各國社會環境與資料蒐集、

處理或利用之「情境」，擴張或限縮敏感性個資之定義，方為周詳。

最後，由於「歐盟個資公約」僅規定締約國應以「國內法採取必要措施」⁷⁶來 實現該公約之內容，未強制要求締約國「立法」保護個人資料，⁷⁷因此使各國個人 資料保護水平差異過大，⁷⁸是故「歐盟個資公約」並未如期成功提升個人資料之保 護。⁷⁹

三、聯合國「規範電腦化個人資料檔案指導綱要」

1990年，聯合國發佈「規範電腦化個人資料檔案指導綱要」（Guidelines for the Regulation of Computerized Personal Data Files, 下稱「個資規範」）⁸⁰。「個資綱要」

捨棄前述「敏感性」或「特種」資料之用語。「個資規範」第五點「非歧視原則」

(Principle of non-discrimination)揭示：資料會造成「非法的」(unlawful)或「恣意的」

(arbitrary)歧視(discrimination)時，應不予處理，包括種族、膚色、性生活、政治主

76 「必要措施」包括得自由選擇以「立法」或「發佈命令」訂之，See id. para 46.

77 Convention 108 Art.4(1). (“Each Party shall take the necessary measures in its domestic law to give effect to the basic principles for data protection set out in this chapter”) (emphasis added).

77 Convention 108 Art.4(1). (“Each Party shall take the necessary measures in its domestic law to give effect to the basic principles for data protection set out in this chapter”) (emphasis added).