禁止「蒐集、處理或利用」之原則

個人資料保護法之立法目的，在於確保個人之資訊隱私權、保護資訊安全流 通，並提升資料處理之「究責可能性」(accountability)與「透明性」(transparency)。²²⁹ 對一般個人資料而言，個人資料保護法係為一「透明化之工具」(transparency tool)，

使資料處理之過程向本人透明化，但對於敏感性個資而言，個人資料保護法則為 一「非透明化之工具」(opacity tool)，²³⁰以立法限制或禁止國家、私人機構接觸敏 感性個資。

蓋敏感性個資之公開或揭露將對個人「資訊隱私」造成較大之侵害，故針對 敏感性個資，各國立法規範上採取與一般個人資料不同之規範方法，即原則禁止 資料控制人蒐集、處理或利用之，例外始得蒐集、處理及利用之。我「個資法」

第 6 條第 1 項亦同：「有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，

不得蒐集、處理及利用」。

「歐盟個資公約」與「歐盟個資指令」皆「禁止處理(processing)」²³¹敏感性

229 See Nadezhda Purtova, Property in Personal Data: Second Life of an Old Idea in the Age of Cloud Computing, Chain Informatisation, and Ambient Intelligence, in COMPUTERS,PRIVACY AND DATA PROTECTION: AN ELEMENT OF CHOICE 3.2.2 (Serge Gutwirth et al. eds., 2011).

230 See Christel Beckman, Regulating Privacy: Vocabularies of Motive in Legislating Right of Access to Criminal Records in Sweden, in COMPUTERS,PRIVACY AND DATA PROTECTION: AN ELEMENT OF CHOICE 115 (Serge Gutwirth et al. eds., 2011).

231 此處所謂「處理」(process)應為廣義之處理，包含「蒐集」與「利用」之概念，參照「歐盟個 資指令」第 2 條規定：「個人資料處理」指對個人資料所進行之任何或一系列操作，無論其是 否以自動化方法進行，例如蒐集、記錄、組織、儲存、改編或修改、回復、參閱、使用、以傳

67 刑案有罪判決之完整紀錄，應由公務機關監管。²³⁴2012 年「歐盟執委會」(European Commission)提出「個人刑事資料保護指令」草案，以規範各國主管機關(competent

輸或散佈而揭露或以其他使其有效的結合或排列、封鎖、消除與破壞，可茲參考。(“processing of personal data” ('processing') shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organization, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction).

232 Convention 108 Art.6 “Personal data revealing racial origin, political opinions or religious or other beliefs, as well as personal data concerning health or sexual life, may not be processed automatically unless domestic law provides appropriate safeguards. The same shall apply to personal data relating to criminal convictions.” (emphasis added).

233 Directive 95/46/EC Art.8.1 “Member States shall prohibit the processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning health or sex life.” (emphasis added).

本條之規定與某些會員國之憲法規定產生連結。例如西班牙憲法規定，認為「無人得以被要求 揭露其宗教或信仰」與「禁止單獨創造記載『意識型態、工會會員資格、宗教信仰、種族血緣 或性生活』相關資料」，丹麥亦有類似的規定。葡萄牙憲法特別就敏感性個資之儲存予以限制，

參見 Korff, supra note 31, at 7.2

234 Directive 95/46/EC Art.8.5 “Processing of data relating to offences, criminal convictions or security measures may be carried out only under the control of official authority, or if suitable specific safeguards are provided under national law, subject to derogations which may be granted by the Member State under national provisions providing suitable specific safeguards. However, a complete register of criminal convictions may be kept only under the control of official authority.” (emphasis added).

68

authorities)處理有關「刑事犯罪之預防、調查、偵察與起訴」(prevention, investigation, detection or prosecution of criminal offences)與「刑罰之執行」(the execution of criminal penalties)之個人資料。²³⁵

各國立法例率皆禁止「蒐集、處理或利用」敏感性個資。²³⁶英國「資料保護 法」(Data Protection Act 1998)禁止「處理」(process)敏感性個資，此規定與「歐盟 個資指令」相同，²³⁷德國「聯邦資料保護法」(Bundesdatenschutzgesetz, BDSG)禁 止：公務機關「蒐集」(collection)敏感性個資；²³⁸私人機構「蒐集」(collection)、「處 理」(processing)或「使用」(use)敏感性個資。²³⁹澳洲「國家隱私原則」(NPPs)第 10 點禁止私人機構²⁴⁰「蒐集」(collection)敏感性個資。²⁴¹

綜上，各國立法例關於禁止敏感性個資之「操作」，有區分「禁止處理」、「禁

235 參見前揭註 102。

236 歐盟會員國都遵循「歐盟個資指令」的處理方式，原則禁止處理敏感性個資，僅於符合例外情 況時，始得進行處理。此外，丹麥、德國、希臘、義大利與葡萄牙增加額外規定，認為處理敏 感性個資，須先經主管機關「事前審查」或「事先許可」參見 Korff, supra note 31, at 7.2

237 有認為此一法定豁免禁止之清單，為列舉規定者，參見 MORGAN &BOARDMAN,supra note 120, at 8.3.1.2

238 參見德國聯邦資料保護法 § 13(2)

239 參見德國聯邦資料保護法 § 28(6)

240 由於 NPPs 僅適用於私人機構，並不適用於公務機關，為免疏漏，「澳洲法改會」建議將其擴 大適用至公務機關，參見 1 ALRC, supra note 32, Recommendation 22-1 & 25-2 此外，基於將 NPPs 擴張至公務機關之故，為使公務機關便於執行法定職務，「澳洲法改會」建議新增例外得情形：

「因法律授權或要求而予以蒐集」以及「為避免他人之生命或健康遭受重大危難」之情況時，

得豁免限制而蒐集敏感性個資，參見 Recommendation 22-2 & 22-3.

241 參見澳洲隱私法「國家隱私原則」第 10 點。澳洲隱私法(Privacy Act 1988)僅禁止私人機構「蒐 集」(collection)敏感性個資，而未禁止「使用或揭露」(Use and Disclosure)敏感性個資。私人機 構「使用或揭露」敏感性個資時，須適用「國家隱私原則」第 2 點(NPPs 2)之規定。

69

止蒐集」或「禁止蒐集、處理或利用」者，我「個資法」係一體禁止公務機關或 非公務機關「蒐集、處理或利用」敏感性個資，並未加以區分。本文認為，此規 定較部分立法例僅限制蒐集敏感性個資者，涵蓋周延，更能完善保護敏感性個資，

值得稱許。

70