• 沒有找到結果。

保險業適用個人資料保護法問題研究—以保險法第177條之1及個人資料保護法第3條為核心 - 政大學術集成

N/A
N/A
Protected

Academic year: 2021

Share "保險業適用個人資料保護法問題研究—以保險法第177條之1及個人資料保護法第3條為核心 - 政大學術集成"

Copied!
93
0
0

加載中.... (立即查看全文)

全文

(1)國立政治大學風險管理與保險學系研究所 碩士學位論文. 保險業適用個人資料保護法問題研究 —以保險法第 177 條之 1 及個人資料保護法第 3 條為核心 A Study of the Legal Issues on Insurance Company under Personal Information Protection Act of Taiwan - Focusing on the Article 177-1 of Insurance Act and Article 3 of Personal Information Protection Act. 指導教授:彭 金 隆 博士 研究生:吳 珞 齊 撰. 中 華 民 國 一 ○ 七 年 六 月 DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(2) 謝辭 首先,誠摯感謝口試委員余啟民教授、臧正運教授,兩位教授於繁忙日程中 撥冗前來參與論文口試,並給予諸多寶貴建議與鼓勵,提點多元思考面向,使本 研究得更臻完善。而指導本篇論文的彭金隆教授,總是不厭其煩地為我解惑、釐 清盲點、指引迷津,更時常替我加油打氣、關懷我的身心健康。十分榮幸能成為 彭金隆教授的指導學生,自老師身上所獲諸多,無法一一細數,無論是課業知識 亦或人生道路上,我也期許自己能成為老師這般溫暖且具智慧的人。對於老師的 一切照顧與關心,實在至深感荷。 回顧風管所時光,感恩每一位給予我專業指導的教授們,使我各方能力皆有 所成長、也更懂應對表達;感恩每一位助教、學長姐,有你們的協助我才得以順 利完成學業;謝謝同是風管所 104 級的每一位同學,能與來自不同領域的同學相 互切磋是件很幸福的事。在此特別感謝俊智,每每給我如及時雨般的幫助,十分 可靠又值得信賴;也感謝法律組好夥伴們對我的關照,那些互相激勵、彼此學習 的日子非常充實,著實令人難忘,尤其芸瑋,妳總如好姊妹般,從不吝於給我課 業上的協助也和我分享生活,能夠認識妳真好。此外,感謝彭門的大家,每次一 同討論、腦力激盪的時間總能激發我新的想法,亦謝謝口試前給我鼓勵的同學們、 學弟妹們、朋友們,使我勇氣倍增。 最後,萬分感謝我的家人,爸爸、媽媽讓我可以做個無後顧之憂的幸福孩子, 陪伴我面對各式挑戰,鼓勵我、支持我的選擇,以及久久才能回家一趟時,一見 面就給我最溫暖問候的奶奶和外婆;特別感謝妹妹,忙碌於課業考試之間,還不 假思索地答應幫我細心校稿。謝謝每一位關心我、愛我的家人,你們都是我最堅 強的後盾。 要感謝的人與事不計其數,謝謝老天庇佑我健康的身心,還有伴我左右的每 一個人,因為有你們我才能克服每一個阻礙與困難,將本篇論文順利完成。. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(3) 摘要 隨著「資訊時代」來臨,隱私權概念延伸至個人資料之保護,強調個人對自 身資料之自我決定權,個人資料保護相關議題頗受各方重視,國外無不致力於建 立切合時勢之個人資料保護架構。我國同樣於此時空背景下,於 2010 年將 1995 年之電腦處理個人資料保護法修正為個人資料保護法,然而我國個人資料保護法 之修法與施行歷程,可謂一波三折,首次公告後延宕兩年才施行,首次施行又凍 結部分條文,包括個資法第 6 條關於敏感性個資蒐集、處理或利用之條文,後又 再次針對部分條文進行修正,始成為現行之個資法。 又保險業係高度依賴個人資料之產業,無論保險銷售、核保或理賠等程序, 蒐集、處理或利用客戶個人資料乃必要手段,敏感性個人資料更是壽險業的重要 核心。以此作為問題發想之起點,本研究發現兩大問題,其一,個資法第 6 條與 保險法第 177 條之 1 條之應用問題,由於自現行法觀察,此二條文內容似乎部分 重疊,因而保險法第 177 條之 1 妥適性存有疑問;其二,即使個人資料係保險業 不可或缺之資料,個資法第 3 條仍明文當事人擁有個資刪除權等權利,若要保人 或被保險人於人身保險存續期間請求刪除其個人資料,保險業應如何應對,保險 契約是否受到影響。 基於保險業必然涉及個人資料之特性,本研究以「個資之蒐集處理利用和個 資自決權」作為中心而開展,整理比較國內外個資保護架構,目的係在了解「保 險業與個人資料保護」間之互動,並針對上述保險業適用個人資料保護法之兩大 核心問題,嘗試提出未來修法方向或可行之因應對策供各方參考,希冀透過本研 究能引起相關單位之重視與討論。. 關鍵字: 個人資料保護法、敏感性個資、資訊自決權、保險法第 177 條之 1. I. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(4) Abstract The "information age" has come. The concept of privacy rights has extended its scope to the protection of personal information with the focus on the right to information self-determination of individuals. The issues related to the protection of personal information have been highly regarded by all parties concerned, and most foreign countries endeavored in the establishment of personal information protection structures that meet contemporary requirements. With the same background at the same time, our country modified the Computer-Processed Personal Data Protection Act enacted in 1995 into the Personal Information Protection Act in 2010. However, the processes of the modification and enforcement of the Personal Information Protection Act in our country were not so smooth. The act was actually enforced 2 years after the first public notification of it, and part of its content which includes the provision about the collection, processing and use of sensitive personal information in Article 6 was paused to be enforced at the very beginning. Part of its provisions were amended again after that, and the current Personal Information Protection Act was thus formed. The insurance industry highly depends on personal information. The collection, processing and use of clients' personal information are necessary no matter the case is about a sale of insurance, an underwriting or a compensation, and sensitive personal information is the core of the business operation of Life Insurance Company. With this fact as the starting point for thinking, 2 major questions were discovered in the study. First, there is a question concerning the application of Article 6 of the Personal Information Act and Article 177-1 of the Insurance Act. On observing the existing law, there are repeated parts in the contents of the 2 provisions, and therefore the appropriateness of Article 177-1 of the Insurance Act is questionable. Second, even if personal information is necessary for the insurance industry, Article 3 of Personal II. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(5) Information Protection Act still specifies that the concerned party of an insurance case has the right to ask for the deletion of his/her personal information provided to an insurance company. What should an insurance company do if an applicant or an insured person asks to delete his/her personal information during the validity period of his/her insurance policy? And is the effectiveness of the insurance policy affected? Based on the nature that personal information must be involved in the insurance industry, the study was developed with "the collection, processing and use of personal information and the right to information self-determination" as its core. Different structures for the protection in the world were compiled and compared for understanding the interaction between "the insurance industry and personal information protection", and the possible directions for the amendment of the acts and feasible coping measures were proposed as reference for all concerned parties. It is hoped that the study may draw the attention of the authorities concerned and trigger further discussions.. Keywords: Personal Information Protection Act, sensitive personal information, right to information self-determination, Article 177-1 of the Insurance Act. III. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(6) 目錄 第一章 緒論 ........................................................... 1 第一節 研究動機與目的 ............................................... 1 第二節 研究方法與範圍 ............................................... 3 第三節 研究架構 ..................................................... 4 第二章 個人資料保護之緣起 ............................................. 6 第一節 時代變遷下的隱私顧慮 ......................................... 6 第二節 國外個人資料保護架構 ......................................... 7 第一項 OECD 隱私保護及個人資料之跨國傳輸指導原則 ................... 8 第二項 歐盟個人資料保護架構 ...................................... 11 第三項 APEC 隱私保護綱領 .......................................... 14 第四項 美國個人資料保護架構 ...................................... 17 第三章 我國個人資料保護發展歷程 ...................................... 20 第一節 隱私權之憲法保障 ............................................ 20 第二節 個人資料保護之立法沿革 ...................................... 21 第一項 從電腦處理個人資料保護法至個人資料保護法 .................. 22 第二項 現行個人資料保護法規範重點 ................................ 25 第三節 小結 ........................................................ 30 第四章 保險業之個人資料保護 .......................................... 43 第一節 保險制度與保險業特性 ........................................ 43 第一項 保險制度 .................................................. 43 第二項 保險業特性 ................................................ 45 第二節 保險業個人資料使用及限制 .................................... 46 第一項 一般性個人資料與敏感性個人資料 ............................ 46 第二項 個人資料保護法對保險業之影響 .............................. 47 第三節 政府機關因應措施 ............................................ 52 第一項 增訂保險法 177 條之 1 ....................................... 52 第二項 告知義務範本及同意書 ...................................... 53 IV. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(7) 第五章 保險業敏感性個資之蒐集處理利用–保險法第 177 條之 1 問題研究 .... 55 第一節 保險法第 177 條之 1 之增訂 .................................... 55 第一項 修法背景 .................................................. 55 第二項 條文逐項說明 .............................................. 55 第二節 保險法第 177 條之 1 妥適性討論 ................................ 57 第一項 保險法第 177 條之 1 規範內容重複 ............................ 62 第二項 普通法特別法適用問題 ...................................... 63 第三項 敏感性個資類型適當與否 .................................... 64 第三節 小結 ........................................................ 65 第六章 個資刪除權和保險業個資蒐集處理利用之衝突 ...................... 67 第一節 個資法中資訊自決權的展現 .................................... 67 第一項 個人資料保護法第 3 條 ...................................... 68 第二項 個人資料保護法第 11 條 ..................................... 68 第二節 保險契約存續期間行使個資刪除權問題研析 ...................... 70 第一項 行使個資刪除權對保險業之影響 .............................. 70 第二項 法務部函釋之妥適性研究 .................................... 71 第一款 法務部法律決字第 0930043354 號函 ................. 71 第二款 有違反法律優位原則之虞 ........................... 73 第三款 當事人行使個資刪除權蒐集個資之特定目的之存否 ..... 75 第三節 解決方案提出–保險業者因應方法 .............................. 76 第七章 結論與建議 .................................................... 77 附錄 ................................................................. 80 參考文獻 ............................................................. 82. V. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(8) 表目錄 表 3-1 台灣個人資料保護法與歐盟 GDPR 比較表 .......................... 31 表 5-1 個人資料保護法第 6 條保險法第 177 條之 1 比較表 ................. 58 表 5-2 個人資料保護法第 6 條保險法第 177 條之 1 比較表(續) ........... 59 表 5-3 個人資料保護法第 6 條保險法第 177 條之 1 比較表(續) ........... 60 表 5-4 個人資料保護法第 6 條保險法第 177 條之 1 比較表(續) ........... 61. VI. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(9) 第一章 緒論 第一節 研究動機與目的 保險係透過團體力量分散個人風險之經濟制度1,在此制度運作之下,危險藉 由多數人共同承擔與轉移,達其分散風險之目的。且保險亦為重要的社會安全機 制,其具有減少社會問題、維持安定,促進經濟繁榮之作用,為現代經濟人所肯 定2。惟保險事業之永續經營,須仰賴眾多資訊精算與運用,就吾人生活經驗所知, 要保人或被保險人之姓名、出生年月日、身分證號碼、職業、財務狀況等個人資 料,對保險業具有相當重要性,病歷、醫療、健康檢查等與健康相關之資料更是 維繫壽險業者經營其業務之重要核心,此類資料於壽險業核保、計算保費絕對係 不可或缺的,然其將涉及保險業對於其所取得之客戶個人資料隱私是否給予合理 保護之問題。此外,根據報導,保發中心調查去年 2017 年我國之保險密度,滲 透率已超過二成,高達 20.51%,創下史上新高,壽險則拉高至 19.61%,維持全 球第一高,國人平均一人有 2.5 張以上壽險保單3,由此可見在台灣,國人生活 與保險密切程度之高,保險與個人資料更是密不可分,因此促使本研究對個資法 個資保護與保險業經營之間之連動關係產生好奇,此乃整個研究之開端。 關於個人資料之保護,源自於對人對人性尊嚴、隱私權之尊重,隨著科技、 電腦技術發展蓬勃、日新月異,吾人不得不在享受科技所帶來之便利的同時,重 新反思現行個人資料保護架構是否完善切合實務運作,國外如歐盟,於 2016 年 4 月通過「通用資料保護法案」(General Data Protection Regulation,簡稱 GDPR),取代 1995 年之「歐盟個人資料保護指令」 ,並於 2018 年 5 月 25 日正式 生效。了解我國現行個人資料法之演進過程,可謂一波三折,我國個資保護架構. 1. 葉啟洲,保險法實例研習,元照出版社,第三版,2013 年 7 月,頁 4。 江朝國,保險法基礎理論,瑞興圖書,第五版,2009 年 4 月,頁 23。 3 台灣人最愛買保險 解讀近 15 年關鍵大數據,經濟日報,2018 年 3 月 20 日,網址: https://money.udn.com/money/story/8853/3041917。(最後瀏覽日:2018 年 6 月 1 日) 2. 1. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(10) 起始於 1995 年訂定之「電腦處理個人資料保護法」 ,鑒於當時電腦處理個人資料 保護法對個人資料隱私權保護之不足,不論係適用主體僅限於公務機關及其他八 類行業,及保護客體限於經電腦處理之個人資料等,已無法順應時勢,行政院因 而提出對電腦處理個人資料保護法之修正草案,於 2010 年 4 月 27 日三讀通過, 同年 5 月 26 日總統公布,是為「個人資料保護法」 。然而此新修之個人資料保護 法並未立即施行,反而空窗兩年,遲至 2012 年 9 月 21 日行政院才公告於 2012 年 10 月 1 日正式施行4,且於施行前,行政院又於 2012 年 9 月 6 日向立法院提 出部分條文修正草案(包括第 6 至 8 條、第 11 條、第 15 條、第 16 條、第 20 條、 第 41 條、第 45 條、第 53 條、第 54 條等),可見當時各界對此新修之個資保護 架構抱持困惑擔憂之態度,特別係針對部分條文於實務上施行困難產生非議,如 個資法第 6 條敏感性個資原則上禁止蒐集、處理或利用之規定對壽險業產生之衝 擊,以及將對企業造成可觀成本等各項問題。為顧及保險業經營所需,立法者於 2011 年 6 月增訂保險法第 177 條之 1,作為保險業對於即將施行之個資法第 6 條 之因應。然而,於增訂保險法第 177 條之 1 後,個資法第 6 條又歷經一次修法, 作為因應修正前個資法第 6 條之保險法第 177 條之 1,與修正後之個資法第 6 條 同時施行,是否無疑,本研究認為值得深入探究。此外,個人資料保護架構中所 謂資訊自決權之概念,當事人同意原則、資料更正權、資料刪除權、請求停止蒐 集、處理或利用個資請求權等權利皆為其內涵,當事人原則上得隨時行使;惟保 險契約作為繼續性契約之一,當事人之個資、敏感性個資於保險契約存續期間扮 演絕對必要之角色,是故本研究發現,倘若當事人於保險契約期間行使資訊自決 權,將對保險契約產生極為不利之影響,造成壽險業執行業務時窒礙難行,關於 此爭議問題,亦值得深入探究。. 4. 行政院於民國 101 年 9 月 21 日以院臺法字第 1010056845 號令公告個人資料保護法之施行日 期。資料來源:法務部網站,網址: http://pipa.moj.gov.tw/cp.asp?xItem=1191&ctNode=430&mp=1。(最後瀏覽日;2018 年 6 月 9 日) 2. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(11) 由於個資保護與壽險業經營之連動關係涵蓋甚廣,且經多次關鍵字查詢後, 發現少有論述係專門針對保險法與個資法之交互運用,及分析個資法個資自決權 對保險業可能之影響。因此,本研究揀選認為最重要之保險法 177 條之 1、個資 法第 6 條適用問題,及保險契約期間行使個資法第 3 條第 5 款個資刪除權之問題 做為研究中心,以期以淺顯易懂之方式點出此二問題所在,並嘗試提供可行之解 決辦法,進而提出個資法、保險法與保險實務相互運用之建議,作為相關業者之 提點,及未來修法或施行細則制定之參考。此外,個資領域中,關於歐盟已開始 實施之 GDPR 係近來另一熱門議題,雖非本研究之核心問題,仍企盼於本研究中 呈現 GDPR 之規範重點及與我國個人資料保護法之異同,做為未來欲深入探究此 議題之根基。. 第二節 研究方法與範圍 本研究首先以文獻分析法,蒐集國、內外相關文獻資料,透過資料的閱讀與 整理,了解國外個資保護架構以及我國個人資料保護法的發展歷程與內涵,輔以 政府機關之公告、函釋,學界、實務界對個人資料保護法的評析論著,與其他相 關書籍與報章雜誌,以及自身對保險法、保險實務之學習理解,以歸納分析法配 合解釋性研究,歸納整合各項資料,點出兩大核心問題「保險法 177 條之 1、個 資法第 6 條適用問題」 、 「保險契約期間行使個資法第 3 條第 5 款個資刪除權之問 題」之所在,並闡述對保險業乃至壽險業產生之負面影響,進而提出因應對策。 此外,本研究亦採取比較分析法,分析各個資保護之基本架構,包括:OECD、歐 盟、APEC、美國,並特別對各國個資保護架構有無對具特殊性、敏感性之個人資 料做特殊規範處理及資訊自決權展現進行整理,再以最新 GDPR 之 15 個重點規範 與我國現行個資法進行對照比較,以表格呈現兩者的不同。 本研究做為對於保險實務上與法制上之研究,期待能從敏感性個資和資訊自 決權做為出發之觀點,貫穿本研究之頭尾,分析比較國內、外個資保護規範,再 3. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(12) 將保險業乃至壽險業與個人資料保護法串聯,說明兩者之互動關係,緊接呈現本 研究兩大核心爭議問題,盡可能全面地分析、討論可行之因應辦法,在實踐個資 保護與穩定保險業經營間取得平衡。. 第三節 研究架構 本研究之研究架構大致上可分成六個部分。 第一部分,個人資料保護之緣起。外國個資保護架構發展較我國為早,故在 探討我國諸多個人資料保護法適用問題前,吾人有必要對隱私權概念的演進及與 我國個人資料保護法有關之國外各資保護架等等先行了解。按我國個資法立法說 明,整理與我國個資法規範有關之外國個資保護之基本架構,並特別留意敏感性 個資及資訊自決權之規範。 第二部分,我國個人資料保護發展歷程。本章從最上位之憲法層面至下位法 律層面討論我國個人資料保護架構,藉由電腦處理個人資料保護法之缺失與不足, 分析立法者於個人資料保護法修法過程中所作之努力與改變。本研究另於本章最 後,嘗試以重點式表格方式比較分析我國現行個資法與歐盟最新 GDPR 之異同, 以期能作為業者在法律遵循上之提點。 第三部分,保險業之個人資料保護。本章為銜接個人資料保護與保險業間之 橋樑章節,分析保險業之特性和個人資料保護法對保險業可能造成之影響,分別 就保險銷售、核保與理賠階段來討論,並闡述主管機關最原始之因應手段,包括 增訂保險法 177 條之 1 以及製作告知義務範本等。 第四部分,保險業敏感性個資之蒐集處理利用–保險法第 177 條之 1 問題研 究。本章從保險法 177 條之 1 和個資法第 6 條修法歷程出發,以彰顯發生本問題 最根本之原因在於立法上之疏忽,再分析於現行法制下,實際運用之法律效果為 何,給予本研究之修法建議。 4. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(13) 第五部分,個資刪除權和保險業個資蒐集處理利用之衝突。本章從資訊自決 權出發,並將討論重點限縮在當事人之個人資料刪除權,故先對個資法第 3 條、 第 11 條修法歷程、規費內容有充分整理後,再分析法務部就本章爭議問題之函 釋見解有何不妥之處,最後提出本研究認為最即時有效的解決方案。 第六部分,結論與建議。本章為本研究之總結,統整本研究於重要章節之問 題意識與建議,並實際套用至所舉之壽險業蒐集、處理或利用敏感性個資之假設 場景,再次凸顯問題的存在,並確認本研究提出之建議確實可行。. 5. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(14) 第二章 個人資料保護之緣起 第一節 時代變遷下的隱私顧慮 隱私權,是現代人們耳熟能詳之詞彙,惟各國隱私權概念的起始及發展過程 並不相同。在台灣,大法官 1992 年 3 月才首次於第 293 號解釋提及隱私權,此 時間點相較於國外緩慢許多。舉例而言,在英國,關於隱私權的概念最早可追溯 至 1361 年 Justices of the Peace Act;而美國,隱私權最早於 1890 年由 Samuel D. Warren 與 Louis D. Brandeis 合著的《隱私權》 (The Right to Privacy) 中被提出,並在當年 12 月出刊的《哈佛法學評論》 (Harvard Law Review)發表。 由於當時十分盛行揭發他人私密生活,Samuel D. Warren 和 Louis D. Brandeis 兩人認為攝影器材的發明、報社新聞紙的迅速發展使得私人生活遭受侵害的情事 5 愈發嚴重,強調任何人均有不受干擾的權利(general right of the individual. to be let alone) ,隱私權係基於一不受侵犯的人格權(inviolate personality) 而來的權利;在歐洲,對於隱私的保護可以追溯至 1950 年代, 「歐洲人權公約」 第 8 條明文對於隱私權的保障,該條文表示對每個人私人、家庭生活、其家庭及 通訊隱私權利尊重,除非有法律為依據且在民主社會中是必要的,如為了國家安 全、公共安全、謀求國家的經濟福利、預防犯罪,為了保護健康、道德或他人的 權利和自由6。 隨著科技的日新月異,以及電腦等數位產品的普及,基於電腦得以迅速、大 量處理各式資料的特性,一旦將個人之姓名、生日、社會活動、健康狀態、工作、. 5. 周悅儀,美國保護隱私權法制之研究,法務部法律事務司年度研究報告,1993 年 12 月,頁 5。 European Convention on Human Rights Article 8: (1) Everyone has the right to respect for his private for his private and family life, his home and his correspondence. (2) There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety or the economic well-being of the country, for the prevention of disorder or crime, for the protection of health or morals, or for the protection of the rights and freedoms of others. available at: http://www.echr.coe.int/Documents/Collection_Convention_1950_ENG.pdf (last visited Mar. 29, 2018) 6. 6. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(15) 財產、宗教信仰、政治主張等資料綜合起來便可窺知一個人的生活全貌。此外, 現今資料儲存科技的進步,能將龐大的資料永久留存並以最短的時間完成大量傳 輸,不僅如此,已刪除的資料依舊能再予以回復。如今已是過去凡事以人力為主 之社會難以想像的時代,因此個人資料一旦被不當利用,隱私將面臨極大的隱憂, 所以勢必要隨著世界的變遷而與時俱進。資訊時代下的隱私概念,不僅是避免個 人私密生活遭受侵害,更進一步地衍伸出個人資訊自決權、被遺忘權的概念。然 事實上,法制建立之速度難以與科技進步並駕齊驅,一方面可能產生隱私保護的 隱憂,而同時也可能剝奪企業及社會有效利用個資帶來之益處。美國廣播電視實 業家 David Sarnoff 曾說「我們太容易把科技產品當成代罪羔羊,承擔操控這些 工具的人的罪過。現代科學產物的本身並沒有好壞,決定其價值的是我們使用它 們的方式7。」 ,是科技讓吾人有機會重新檢視隱私保護的內涵,重新形塑隱私保 護的架構。 雖學者不斷嘗試定義何謂隱私,但至今仍眾說紛紜,由於隱私的概念本就曖 昧不明,其亦常與不同權利產生衝突,更牽制著社會利益與私人利益的均衡。正 因隱私權界定不易,學者們為因應現代生活模式,形成以個人資料保護的模式來 實踐隱私保護。原因在於,個人資料保護的定義、實行、範圍上相較隱私更為明 確,基本上即是設計一套制度用以規範個人資料的蒐集、儲存、處理利用、傳輸 行為8。換言之,隱私權跟個人資料保護的關係實是上下位概念,隱私權位於上位, 個人資料保護則是實踐隱私權保護的手段或途徑。. 第二節 國外個人資料保護架構 國外個人資料保護架構十分多元,為銜接後續討論,此節列出與我國個資法. 7. 該句全文:“We are too prone to make technological instruments the scapegoats for the sins of those who wield them. The products of modern science are not in themselves good or bad; it is the way they are used that determines their value.” 8 古清華,個人資料保護相關議題探討,資訊法務透析,第 5 卷第 6 期,1993 年 6 月,頁 24-25。 7. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(16) 立法相關之國外個人資料保護架構,有利協助解決我國各項個人資料保護法適用 之問題。我國電腦處理個人資料保護法立法之初係參照 OECD 所揭示的八大原則 來訂立,修正草案亦參考了他國的立法,例如:德國、奧地利、荷蘭、丹麥、西 班牙、日本、澳洲及紐西蘭,這期間還適逢 APEC 亞太經濟合作會議欲研擬 APEC 隱私保護綱領9,以上皆為影響我國個人資料保護架構設計之規範,因此進入本研 究核心問題前,先討論及分析上述規範之重點。以下就 OECD 隱私保護原則、歐 盟隱私保護規範、APEC 的個資保護制度做說明,另因美國隱私保護制度有其特 殊性值得討論,故亦納入本節之中。. 第一項 OECD 隱私保護及個人資料之跨國傳輸指導原則 在全球化的時代,經濟合作暨發展組織(Organization for Economic Cooperation and Development,縮寫 OECD)研究社會、經濟、環境等各項議題並 尋求解決方案。由於數據自動處理及傳輸技術的進步,資料流動範圍不僅限於一 國境內,已開始跨越國界,因此與個人相關的數據資料隱私保護更成為不容小覷 之議題。此外,各國立法間的差異亦造成個人相關之數據資料於傳遞上的障礙, 可能使得國家商業經濟如銀行、保險等事業發展產生不利影響。有鑑於上述情形, 1980 年 OECD 建立「保護隱私和個人資料跨國流通指導原則」 ,即 OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data, 建立統一指導方針,以達保護人權及避免國際數據傳輸發生障礙。然隨著科技的 進步,資料傳遞之風險不同以往,2013 年 OECD 對於 1980 年頒布之指引進行修 正,以風險管理(Risk management)和全球資料流通的互動性(Improved interoperability)為修正的兩大核心,納入國家隱私策略(National privacy strategies)、隱私管理程序(Privacy management programs) 、資安威脅通報. 9. 劉佐國,個人資料保護法釋義與實務:如何面臨個資保護的新時代,碁峰資訊出版社,第二版, 2015 年 10 月,頁 3-5。 8. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(17) (Data security breach notification)等新概念10。 OECD 個資隱私保護綱領作為對隱私保護的基本原則的共識,得為國家現有 法律修正的參考,尚未有相關法律的國家則可以做為立法的基礎。OECD 保護綱 領提出個資保護的八大原則11,包括: 一、限制蒐集原則(Collection Limitation Principle) 個人資料的蒐集應限制在合法且公平的手段,並應以適當之方式取得當事人 的同意。 二、資料內容正確原則(Data Quality Principle) 個人資料內容必須與使用的目的有關並具備必要性,且必須確保個人資料內 容的正確、完整、隨時更新。 三、利用目的明確原則(Purpose Specification Principle) 個人資料的蒐集目的在蒐集時即需明確表明,後續使用也必須在目的範圍內, 若蒐集目的有任何變更應指明變更後的目的。 四、限制利用原則(Use Limitation Principle) 個人資料不可做違反特定目的允許之揭露、公開或其他使用,除非已獲得當 事人同意或受法律允許。 五、安全保護原則(Security Safeguards Principle) 應有合理適當之安全措施保護個人資料,以降低個人資料發生遺失、不當存 取、毀損、使用、修改或揭露之風險。. 10. OECD Privacy Guidelines (2013), available at: http://www.oecd.org/internet/ieconomy/privacyguidelines.htm (last visited Mar. 29, 2018) 11 OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data, available at: http://www.oecd.org/internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsof personaldata.htm (last visited Mar. 29, 2018) 9. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(18) 六、公開原則(Openness Principle) 對於個人資料的發展、實務與政策應依公開原則為之;此外,關於個人資料 的性質、特定目的和個資控管者的身分及聯絡方式同樣應公開,保持當事人知悉 管道的暢通。 七、個人參加原則(Individual Participation Principle) 個人資料當事人應擁有下列各項權利,包括有權向資料控管者確認是否持有 與其有關的個人資料、合理的時間和費用的前提下,有權向資料控管者查詢與其 有關的個人資料、前兩項權利若遭拒絕,得提出異議要求資料控管者說明、若該 異議成立,有權要求將其個人資料刪除、修正、補充或變更。 八、責任原則(Accountability Principle) 個資控管者應負責並確保以上各項隱私保護原則之落實。 綜觀 OECD 保護綱領的內容,資訊自決權表現於限制利用原則以及個人參加 原則;關於敏感性個資,並無特別將其區分出來,但在綱領之解釋性備忘錄中 (Explanatory Memorandum)對於原則的說明提及「蒐集的資料會因該資料後續 處理的方式、資料性質及將被使用的環境等因素影響其敏感之程度」。然而是否 可列舉特定類型、類別的資料謂其係本質上具敏感性之資料,進而限制甚至禁止 該等資料的蒐集行為,不同國家持有不同看法,如歐洲有立法例採取肯定見解, 將種族、宗教信仰、犯罪紀錄等視為具敏感性之個人資料。相反地,美國的隱私 立法例認為沒有數據本質上就是敏感的,然而會因所處背景和用途變得具敏感性。 OECD 雖曾嘗試列舉敏感性標準,如歧視風險(Risk of discrimination) ,最終 仍認為缺少足以被認為是敏感性資料的普遍定義,此標準也因各成員國的傳統和 國情而有差異,因此本個資保護綱領中的限制蒐集原則僅作最基本的聲明,即收 集個人資料應有限制。. 10. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(19) 第二項 歐盟個人資料保護架構 有鑑於資料處理技術進步快速,1981 年歐洲理事會(Council of Europe) 制定「保護自動化處理個人資料公約」(Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data) ,在 自動化處理技術範圍內,對個人資料的定義、個人資料保護和跨國資料傳輸等作 了初步的規定,其中公約第 6 條規定,除非國內法已建立適當的保護措施,不得 自動處理揭露種族、政治立場、宗教信仰或其他信仰,以及有關健康或性生活等 的個人資料,與刑事犯罪有關的個人資料亦同,並將以上歸類為特殊的個人資料 12. 。 然而,由於加入公約的國家不一且落實程度取決於各國的選擇,使得「保護. 自動化處理個人資料公約」約束力較弱。為了使歐洲地區個人資料保護的制度更 加一致,1995 年歐洲議會暨歐聯理事會(The European Parliament and of the Council)通過「歐盟個人資料保護指令」 (The European Union Data Protection Directive: EU Directive 95/46/EC) ,共 34 條。該指令對歐盟的會員國均產生 拘束力,但不能直接約束企業或公民,會員國應以指令內容為依據,考量自身國 情制定國內個人資料保護的相關法令。「歐盟個人資料保護指令」對於個人資料 之保護範圍包括自動化處理及非以自動化方式處理之個人資料13,關於特別資料. 12. Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data Article 6 – Special categories of data : Personal data revealing racial origin, political opinions or religious or other beliefs, as well as personal data concerning health or sexual life, may not be processed automatically unless domestic law provides appropriate safeguards. The same shall apply to personal data relating to criminal convictions. available at: https://rm.coe.int/1680078b37 (last visited Mar. 29, 2018) 13 EU Directive 95/46/EC Article 3–Scope : 1. This Directive shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system. 2. This Directive shall not apply to the processing of personal data: - in the course of an activity which falls outside the scope of Community law, such as those provided for by Titles V and VI of the Treaty on European Union and in any case to processing operations concerning public security, defence, State security (including the economic well-being of the State when the processing operation relates to State security matters) and the activities of the State in areas of criminal law, 11. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(20) 類別的規定在第 8 條,及敏感資料之處理,會員國應禁止種族血緣、政治意向、 宗教或哲學信仰、商會會員、健康或性生活等有關資料,除非當事人明示同意、 資料管理人依法職掌、當事人實質或依法不能為同意之表示而為當事人之重大利 益所需、非營利團體基於法定活動限於其會員或經常聯繫者且訂有適當安全維護 措施、係已顯然公開之資料或為行使法律上主張者。 然而如前所述,「歐盟個人資料保護指令」在各會員國落實的程度仍因各國 內法而異,進一步增加跨國企業之營業成本,不利資料流通,歐盟因此期許能建 置一套統一之規範。此外,自 1995 年至今,科技環境和資料運用技術大有不同, 有必要對舊行指令進行修正。順應這樣的呼聲,歐盟在 2016 年 4 月通過「通用 資料保護法案」 (General Data Protection Regulation,簡稱 GDPR) ,取代「歐 盟個人資料保護指令」 ,並於 2018 年 5 月 25 日正式生效14。相較於「歐盟個人資 料保護指令」,即 95/46/EC 指令,GDPR 最大之異處在於不再透過各歐盟會員國 制定國內法,而直接將 GDPR 適用至各國,以形成強力且一致的法律規範,歐盟 國與國之間不再有隱私規範上的歧異。GDPR 共 11 章 99 條,與先前的 95/46/EC 指令相比,其關鍵變化如下15: 一、適用之地域範圍擴大 一旦處理歐盟內主體之個人資料,無論該公司是否設置於境內或處理的設備、 行為是否發生於歐盟境內,均須統一受 GDPR 規範之拘束。向歐盟公民提供商品 或服務,及對於歐盟域內發生的行為進行監控觀測等,不論是否涉及金錢交易, 均在 GDPR 規範範圍內。此時,GDPR 適用範圍非常明確,以達消除各國法規歧異 之目的。. - by a natural person in the course of a purely personal or household activity. 14 GDPR Timeline of Events, available at: https://www.eugdpr.org/gdpr-timeline.html (last visited Mar. 29, 2018) 15 GDPR Key Changes, available at: https://www.eugdpr.org/key-changes.html (last visited Mar. 29, 2018) 12. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(21) 二、明訂高額罰則 根據 GDPR,違反 GDPR 的規範可能會受到高達全球年營業額的 4%或 2000 萬 歐元的罰款,金額以較高者為準,這樣明確的罰則規範在 95/46/EC 指令中是沒 有的。 三、當事人同意 當事人同意的要件規定比過去明確且強度增加,根據 GDPR,取得當事人同 意的文書不得使用複雜的法律規定或用語,必須簡單明瞭、易於理解。又當事人 對個資處理之同意必須清楚明確、易於理解,且須與對於其他事項的同意相區別, 撤回同意的方式亦同。 四、設置資料保護官 GDPR 要求核心活動需要進行大規模的定期和系統性監測、特殊類別資料, 或 與 刑 事 犯 罪 有 關 的 資 料 控 管 者 、 處 理 者 必 須 設 置 資 料保 護 官, 即 Data Protection Officer(DPO),以確保有效遵循法律規定。DPO 除了須依法行使職 權,例如直接向最高管理階層報告等外,也有一定之法律責任,例如不可擔任可 能形成利益衝突的其他職務等。 五、資料當事人之權利 (一)強制通報義務(Breach Notification) 假若有任何個資洩漏致資料當事人的權利受侵害的事件發生,資料控管者必 須通報給主管機關,時間不得遲於第一次知悉事件的 72 小時後,不得無故拖延。 (二)接近權(Right to Access) 資料主體有權從資料控管者處掌握是否正在處理與其有關的個人數據、地點 以及目的等有關資訊的權利。此外,資料控管者應以電子方式免費提供個人資料. 13. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(22) 的副本,以達增進數據透明度及資料主體權力再強化之目的。 (三)被遺忘權(Right to be Forgotten) GDPR 第 17 條規定,關於被遺忘權,資料主體有權要求資料控管者立即刪除 其個人資料,停止傳播並使第三方停止處理該等資料,不允許發生不當延誤。行 使被遺忘權尚包括一些條件如該資料係與原始目的不相關之資料、資料主體撤回 其同意、個人資料被非法處理等等。但假若有保障言論自由、法定義務或達成公 益目的等狀況存在,相權衡下則不適用被遺忘權的規定。 (四)資料可攜權(Data Portability) 資料主體有權接收其提供給資料控管者的個人資料,也有權利以機器可判讀 的模式將其個人資料在資料控管者之間傳輸,換言之資料主體有使其個資在不同 服務間移動個資的權利。 除此之外,關於個人資料的定義比起 95/46/EC 指令第 2 條(a)所列,GDPR 第 4 條(1)明文增列姓名、定位資料、網路識別資料、基因等足以直接識別或間接識 別者,故配合現在科技的發展,可以解釋出 GPS 定位資料、網路 IP 位置、基因 序列、用於生物辨識之虹膜、指紋或臉部特徵等皆歸屬於個人資料定義範圍內。 本研究認為「足以直接識別或間接識別之資料」即屬個人資料已包山包海,然而 何謂直接識別或間接識別終究屬於不確定概念用語。而 GDPR 為因應時勢而明文 增列定位資料、網路識別資料、基因等項,此外,GDPR 特殊類別資料之核心規定 在第 9 條,相較於 95/46/EC 指令第 8 條所列,原則上禁止處理之個人資料增列 了基因資料、生物特徵資料、性取向等類別之資料。除了所列例外得處理的情況 外,開放歐盟會員國可以自行制定關於處理基因、生物特徵或有關健康的資料的 條件或限制。. 第三項 APEC 隱私保護綱領 14. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(23) 亞洲太平洋經濟合作會議 (Asia-Pacific Economic Cooperation,縮寫 APEC)設於 1989 年,又稱亞太經合會,此組織係以論壇(Forum)的形式讓各會 員國進行開放的對話,一同追求區域內經濟之共享與繁榮。各會員參與此組織的 方式係以經濟體的身分加入,而我國 1991 年也以中華台北(Chinese Taipei) 的名稱加入。 由於科技的進步,APEC 意識到隱私保護及消除資料流通的障礙之必要,唯 有透過政府和企業的合作,制定及實施相關政策和技術,建立安全、可靠的通信 環境,才得以發揮電子商務的的潛力,提升企業和人民的對於隱私保護的信心。 換言之,型塑完善的隱私保護環境,係電子商務發展的關鍵,亦能促進亞太地區 貿易的順暢和經濟的成長。因此,APEC 在 2004 年制定出「APEC 隱私保護綱領」 (APEC Privacy Framework),旨在促進整個亞太地區的電子商務,該綱領內明 示其核心價值與 1980 年的 OECD「保護隱私和個人資料跨國流通指導原則」一致。 在「APEC 隱私保護綱領」中最重要的就屬綱領第三部分「APEC 資訊隱私保護原 則」 (APEC Information Privacy Principles) ,共有九大原則16,附帶一提者係 「APEC 隱私保護綱領」未對特殊類別資料有所定義及說明。關於 APEC 九大保護 原則簡述如下: 一、損害預防原則(Preventing Harm) 基於當事人的隱私期待,應防止個人資料遭到任何濫用及因此所生之損害, 故應建立適當的保護措施來防止此種損害的發生;針對任何不當之蒐集、處理或 傳遞行為,也應有適切的損害填補機制。 二、告知義務原則(Notice) 在蒐集前或蒐集時,應向當事人提供清楚且易取得的隱私保護聲明,包括已 16. 整理自 APEC Information Privacy Principles 原文,網址: https://www.apec.org/Publications/2005/12/APEC-Privacy-Framework (最後瀏覽日:2018 年 3 月 29 日) 15. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(24) 為蒐集的事實聲明、蒐集之目的、當事人和資料控管者的聯絡方式和當事人得請 求查閱、更正和限制其個人資料之利用及揭露範圍的權利及方法。惟公開可取得 之個人資料,本原則不適用之。 三、蒐集限制原則(Collection Limitation) 個人資料的蒐集應在蒐集目的範圍內為之,並應依合法且正當之方法,且應 在適當的狀況使當事人知悉或取得其同意。 四、個人資料利用原則(Uses of Personal Information) 利用個人資料的行為應限於達成蒐集目的或與蒐集目的相關的範圍內,除非 已取得資料當事人同意、為提供當事人所要求之產品或服務所必要或法律已明文 規定。 五、當事人自主原則(Choice) 假若情況允許,資料控管者應提供資料當事人就其個人資料之蒐集、利用和 揭露與否之選擇權利行使的機制,而該機制必須清楚明白、易於理解、可查閱及 可負擔。但同樣地,公開可取得之個人資料,本原則不適用之。 六、個人資料完整性原則(Integrity of Personal Information) 在蒐集利用目的範圍內,資料控管者應維護個人資料的正確性、完整性,隨 時更新以保持其正確性。 七、安全保護原則(Security Safeguards) 當事人對其個人資料受到安全保護應有合理的期待,因此資料控管者應妥善 防止資料受到不當截取、利用、修改、揭露或濫用,至於防免的措施應和個資受 侵害的機率、傷害程度、資料敏感度符合比例,並定時檢視、重新評估之。 八、查閱與更正原則(Access and Correction) 16. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(25) 當事人擁有查閱資料控管者是否持有其個資的權利,且資料控管者供個人查 閱的管道的期間費用等必須合理,在適當及可能的情況下當事人得對其個人資料 進行更正、補充、修改及刪除。假若有造成資料控管者負擔顯不合理的成本的情 況或另有法律、保護商業祕密的考量、有侵害他人隱私的可能,則例外可不提供 當事人上開權利,但須對當事人說明拒絕的理由。 九、責任原則(Accountability) 資料控管者必須要確保上列所有原則的實踐,亦應確保資料傳遞至第三人時, 該第三人也具備同樣相當的隱私保護政策。 我國身為 APEC 的成員中之一員,以上九大原則在我國個人資料保護法修法 過程有一定程度的影響,現行條文中皆可發覺九大原則的蹤跡。. 第四項 美國個人資料保護架構 與歐盟最不同之處,乃美國採取部門式立法輔以判例的架構,且按照不同領 域的保護需求,分別在法律上規範之,且長期以來仰賴產業自律,未如歐洲國家 一般嚴密,採取統一的個人資料保護法立法模式17。例如美國在 1970 年代制定了 一系列與隱私權有關的法令,以因應電腦科技改變例傳統隱私權的樣貌,如 1970 年之公平信用報告法(Fair Credit Reporting Act of 1970) 、1974 年之隱私 權法(Privacy Act of 1974)、1978 年之財務隱私權法(Right to Financial Privacy Act of 1978) 、家庭教育權利及隱私權法(Family Educational Rights and Privacy Act)18等法令。 關於聯邦隱私權法 Privacy Act of 1974,是美國國會第一個通過最完整的 隱私權保護法案,當時美國最高法院判決雖已經確立隱私權此一概念,然遲遲未 17. 劉靜怡,資訊隱私權保護的國際化爭議—從個人資料保護體制的規範協調到國際貿易規範的適 用,月旦法學雜誌,第 86 期,2002 年 7 月,頁 195-196。 18 周悅儀,同註 5,頁 25。 17. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(26) 有基於隱私權之法律來保障個人資料。隨著電腦科技的發展,個人資料開始被大 量快速地蒐集、處理、分析、傳遞,尤其政府部門更掌握了龐大人民資料,引起 訂定此法的聲浪。1974 年的隱私權法旨在規範政府使用、交換和傳遞個人資料, 明文人民擁有向政府取得其個人資料、確保資料正確、合時且完整的權利19,但 不適用於聯邦司法機關、各州所屬單位和私人公司機構。然而,此法在制定時有 些倉促,尚有不完足之處,爾後在 1975、1982、1984、1988、1989、1990 年逐 步進行修正20。 關於個人健康醫療資訊部分,美國在 1996 年通過「醫療保險可攜與責任法」 (Health Insurance Portability and Accountability Act,簡稱 HIPAA) ,欲 推動醫療資訊的電子化,並規定政府必須在規定時間內制定聯邦健康隱私保護規 範。然而國會未能在規定時間內通過資訊保護立法,故改授權由「健康人類服務 部」 (U.S. Department of Health and Human Services,簡稱 HHS)制定「個 人可辨識健 康資訊隱 私標準」(Standards for Privacy of Individually Identifiable Health Information) ,簡稱隱私規則(Privacy Rule) ,於 2003 年 4 月 12 日生效21。值得一提者係 HIPAA 的保護隱私手段中,核心的概念為「最 小必要性揭露原則」(Minimum Necessary Information) ,即當使用受保護的資 料資訊時,僅得在達到使用目的範圍內的揭露最低的資訊量22。換言之,當使用、 揭露或是自其他受規範之機構請求受保護之醫療資訊時,受規範之機構應該要先 行對欲使用個人受保護醫療資訊的工作成員之身分進行識別,同時付諸合理的努 力限制資料揭露或使用的範圍。除非係健康照護提供者為治療目的所為之揭露或. 19. The Privacy Act of 1974, 5 U.S.C. § 552a (e)(5) maintain all records which are used by the agency in making any determination about any individual with such accuracy, relevance, timeliness, and completeness as is reasonably necessary to assure fairness to the individual in the determination. 20 周悅儀,同註 5,頁 68-71。 21 楊智傑,美國醫療資訊保護法規之初探:以 HIPAA/HITECH 之隱私規則與資安規則為中心,軍 法專刊,第 60 卷第 5 期,2014 年 10 月,頁 82。 22 洪子洵,外國法與我國健保資訊應用之比較—以美國醫療保險可攜性及責任法(HIPAA)為鑑, 醫事法學,第 20 卷第 2 期,2013 年 12 月,頁 35。 18. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(27) 索取、係向他人揭露屬於自己的資訊或係根據本人的授權而為之使用或揭露23。 又於 2012 年,美國白宮發布「消費者資料隱私權報告:在全球數位經濟環 境下保護隱私權與促進創新體系框架」 (Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy)24之報告,特別從消費者的角度思考隱私保護的 問題,其表示在現今數位經濟時代,消費者資料隱私保護對於維持消費者的信任 至關重要。此框架包含了四個關鍵:建立消費者隱私保護法案(Consumer Privacy Bill of Rights)、政府的多方利益相關者將隱私保護原則應用於特定的商業環 境中、有效執行消費者隱私保護、強化與國際夥伴隱私保護框架的配合。爾後也 因此於 2015 年公布消費者隱私保護法草案,將消費者的個人資料控制權、隱私 權、資訊透明性、當事人控制權、個資蒐集、使用與揭露環境、安全性維護、隱 私維護責任等規範予以明確化25。 綜觀以上,不難理解美國係專門就特定行業、群體訂立隱私保護規範的立法 模式,和歐盟十分不同;亦可換句話說,美國係站在效率觀點,採取相較於歐盟 更加自由放任的心態來建立個人資料隱私保護架構。. 23. 45 C.F.R. § 164.502 (b)Standard : Minimum necessary – Minimum necessary applies. When using or disclosing protected health information or when requesting protected health information from another covered entity or business associate, a covered entity or business associate must make reasonable efforts to limit protected health information to the minimum necessary to accomplish the intended purpose of the use, disclosure, or request. (2)Minimum necessary does not apply. This requirement does not apply to: (i) Disclosures to or requests by a health care provider for treatment; (ii) Uses or disclosures made to the individual, as permitted under paragraph (a)(1)(i) of this section or as required by paragraph (a)(2)(i) of this section; (iii) Uses or disclosures made pursuant to an authorization under § 164.508; (iv) Disclosures made to the Secretary in accordance with subpart C of part 160 of this subchapter; (v) Uses or disclosures that are required by law, as described by § 164.512(a); and (vi) Uses or disclosures that are required for compliance with applicable requirements of this subchapter. 24 The White House, Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy, available at: http://repository.cmu.edu/cgi/viewcontent.cgi?article=1096&context=jpc (last visited Mar. 29, 2018) 25 丁冠齊,巨量資料與個人資料保護法之研究,世新大學法研所碩士論文,2015 年 7 月,頁 6972。 19. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(28) 第三章 我國個人資料保護發展歷程 第一節 隱私權之憲法保障 討論我國個人資料保護法之前,首重相關權利的憲法保障地位,對此學界多 有討論,有以隱私權為出發者,亦有以人格權為起始26。隱私權雖非我國憲法明 文列舉之基本權,但不因此代表其非我國憲法所保障之人民基本權利,大法官依 據憲法第 22 條概括基本權多次肯認隱私權乃憲法所保障之基本權。 憲法保障隱私權,但何謂隱私?傳統見解認為係指個人自我獨處的消極意義, 一方面這般見解過於狹隘,無法囊括應受保護的私領域利益,另一方面又過於廣 泛,包括不必納入之範圍;而近來見解將隱私概念擴張到對個人資料的控制,相 較過去更具積極意義27。綜觀我國大法官歷年解釋,與隱私權概念有關的解釋分 別有大法官釋字第 293 號、釋字 509 號、釋字 535 號、釋字 585 號、釋字 603 號 和釋字 689 號解釋,上開釋字重點簡述如下。釋字第 293 號解釋28首先提及人民 隱私權的保護,但釋字文及理由書未揭示隱私基本權的規範依據,釋字第 509 號 解釋29和釋字第 535 號解釋30亦未揭示,終在釋字第 585 號、第 603 號理由書及釋. 26. 如美國法大多從隱私權出發討論個人資料,然隱私權本係私法上概念,屬於人格權的一部份, 晚近以擴及成為公法保障權利之一。李震山, 「電腦處理個人資料保護法」之回顧與前瞻,國立 中正大學法學集刊,第 14 期,2004 年 1 月,頁 35-82。 27 王澤鑑,人格權保護的課題與展望(三) 人格權的具體化及保護範圍(6) 隱私權(上) , 台灣本土法學雜誌,第 96 期,2007 年 8 月,頁 43。 28 大法官釋字第 293 號解釋(節錄) : 「銀行法第四十八條第二項規定『銀行對於顧客之存款、放 款或匯款等有關資料,除其他法律或中央主管機關另有規定者外,應保守秘密』 ,旨在保障銀行 之一般客戶財產上之秘密及防止客戶與銀行往來資料之任意公開,以維護人民之隱私權。」 。 29 大法官釋字第 509 號解釋(節錄) : 「言論自由為人民之基本權利,憲法第十一條有明文保障, 國家應給予最大限度之維護,俾其實現自我、溝通意見、追求真理及監督各種政治或社會活動之 功能得以發揮。惟為兼顧對個人名譽、隱私及公共利益之保護,法律尚非不得對言論自由依其傳 播方式為合理之限制。」 30 大法官釋字第 535 號解釋(節錄) : 「警察勤務條例規定警察機關執行勤務之編組及分工,並對 執行勤務得採取之方式加以列舉,已非單純之組織法,實兼有行為法之性質。依該條例第十一條 第三款,臨檢自屬警察執行勤務方式之一種。臨檢實施之手段:檢查、路檢、取締或盤查等不問 其名稱為何,均屬對人或物之查驗、干預,影響人民行動自由、財產權及隱私權等甚鉅,應恪遵 法治國家警察執勤之原則。實施臨檢之要件、程序及對違法臨檢行為之救濟,均應有法律之明確 規範,方符憲法保障人民自由權利之意旨。」 20. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(29) 字文表明隱私權的憲法依據是憲法第 22 條,釋字第 585 號解釋理由書表示: 「隱 私權雖非憲法明文列舉之權利,惟基於人性尊嚴與個人主體性之維護及人格發展 之完整,並為保障個人生活秘密空間免於他人侵擾及個人資料之自主控制,隱私 權乃為不可或缺之基本權利,而受憲法第 22 條所保障。」 ;又 2005 年釋字第 603 號解釋特別針對「個人自主控制個人資料之資訊隱私權31」闡明意旨,表示該權 利係保障「人民決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方 式、向何人揭露之決定權,並保障人民對其個人資料之使用有知悉與控制權及資 料記載錯誤之更正權。」,據此,確立隱私權衍生出之個人資訊隱私自主權在憲 法上之地位。概言之,人格權位於最上位,其範圍最廣且內含隱私權之概念,而 資訊隱私權屬隱私權的一部份,資訊自決權則彰顯個人對於其資訊隱私的自主權 32. 。至於釋字第 689 號解釋,其理由書表示社會秩序維護法第 89 條第 2 款管制跟. 追行為之規定所保護者,為人民免於身心傷害之身體權、行動自由、生活私密領 域不受侵擾之自由、個人資料之自主權,參照釋字第 585 號、第 603 號係屬憲法 所保障之權利,亦再次證明大法官肯定個人資料自主權位居憲法保障的地位。 隱私權保護的強化與現代資訊社會密不可分,由於電腦、網路、傳播等科技 的快速發展,使國家、企業或個人能夠迅速地蒐集、儲存、傳送有關個人的各種 資料,以不同的方式加以組合及呈現,作為資源或商品加以利用33。即使憲法保 障隱私權已受大法官肯定,為更加具體化個人資料隱私的保護,以及資訊自決權 的展現,因應資訊時代的來臨和時代潮流,制定了我國個人資料保護規範。. 第二節 個人資料保護之立法沿革 31. 有學者認為應區分「資訊自決權」與「資訊隱私權」 ,而釋字第 603 號解釋僅針對資訊自決權 說明。資訊自決保障個人外在行動的自由,資訊隱私責維護個人人格內在形成的彈性空間,即使 資訊自決未受侵害,資訊隱私也不必然就已受保障,故不論國家或私人的資訊作為,原則上都僅 在同時滿足資訊自決權、資訊隱私權與法治國原則下,才具有合法性。邱文聰,從資訊自決與資 訊隱私的概念區分 評「電腦處理個人資料保護法修正草案」的結構性問題,月旦法學雜誌,第 168 期,2009 年 5 月,頁 172-189。 32 李震山,同註 26,頁 49。 33 王澤鑑,同註 27,頁 22。 21. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(30) 第一項 從電腦處理個人資料保護法至個人資料保護法 我國於 1995 年 8 月 11 日由總統公布施行「電腦處理個人資料保護法」 (下 稱「舊法」) ,其立法總說明表示,該法之訂定係為配合國家現代化所需與民主先 進國家的立法趨勢,避免人格權受侵害,促進個人資料之合理利用,並參酌「經 濟合作暨發展組織」(OECD)所揭示之保護個人資料八大原則來立法。然而,隨 著時代的演進,於 1995 年至 2010 年期間,個人資料被廣泛運用於各處,各行各 業無不牽涉其中,取得並建立民眾個人資料有如固定流程,為方便經營事業或提 供顧客服務。然而個資開始四處流通、未經同意遭使用之案例層出不窮,社會新 聞屢見不鮮,基於現今社會發展情勢,舊法被認為已不合時宜,無論是其僅規範 八大類非公務機關之行業,或其僅保護電腦處理之個人資料等多項問題,舊法已 無法實現當初為避免人格權受侵害,使個人資料更加合理利用的初衷。 電腦處理個人資料保護法共 6 章,共 45 條條文,相較現行個人資料保護法, 可歸納出以下四個重點及不足之處: 一、保護客體範圍過於侷限 根據舊法規定,個人資料係指自然人之姓名、出生年月日、身分證統一編號、 特徵、指紋、婚姻、家庭、教育、職業、健康、病歷、財務狀況、社會活動、及 其他足資識別該個人之資料34;電腦處理則指使用電腦或自動化機器為資料之輸 入、儲存、編輯、更正、檢索、刪除、輸出、傳遞或其他處理35。所謂個人,又指 生存之特定或得特定之自然人36,故法人、非法人團體、已死亡之自然人不包括 在內。由此可見,舊法保護客體僅及於電腦處理之個人資料,不保護非經電腦處 理之人工資料,此外根據舊法第 4 條規定資料當事人之權利不可預先拋棄或以特 約限制。 34 35 36. 參考電腦處理個人資料保護法第 3 條第 1 項。 參考電腦處理個人資料保護法第 3 條第 3 項。 參考電腦處理個人資料保護法施行細則第 2 條。 22. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(31) 二、適用主體中非公務機關範圍過狹 受舊法規範之主體可分為公務機關與非公務機關。公務機關係指依法行使公 權力之中央或地方機關37;至於非公務機關之定義為舊法最為人詬病之處,原因 在於舊法規定非公務機關之範圍過於狹隘,被認為對個人資料保護不周全,僅包 括徵信業及以蒐集或電腦處理個人資料為主要業務之團體或個人、醫院、學校、 電信業、金融業、證券業、保險業及大眾傳播業等「八大類行業」38,至於其他 應受規範之主體,需經法務部會同中央目的事業主管機關指定納入,如:臺北市 產物與人壽保險商業同業公會39、中華民國產物保險商業同業公會及中華民國人 壽保險商業同業公會40等,是以法務部會同中央目的事業主管機關指定的方式列 入適用主體。 三、規範行為不足 舊法並未就個人資料中部份性質較特殊或較具敏感性之資料做特別規定,該 等資料若被濫用可能對當事人造成難以彌補的損害。 其次,舊法第二章及第三章分別對於公務機關及非公務機關之資料蒐集、電 腦處理利用、資料之傳輸、公開、保存、更正等行為進行規範。例如第 7 條規定 公務機關對個人資料之蒐集或電腦處理需有特定目的,並須符合法定規定職掌之 必要範圍內、經當事人書面同意或對當事人權益無侵害之虞等之一原因。至於非 公務機關個人資料之蒐集與電腦處理則根據第 19 條第 1 項規定,非公務機關未 經目的事業主管機關依本法登記與發給執照,就不得為個人資料之蒐集、電腦處 理或國際傳遞及利用。又依同法第 18 條規定,個人資料之蒐集與電腦處理,應 有特定目的,並符合以下原因之一:經當事人書面同意者、與當事人有契約或類 似契約之關係而對當事人權益無侵害之虞者、已公開之資料且無害於當事人之重 37 38 39 40. 參考電腦處理個人資料保護法第 3 條第 6 項。 參考電腦處理個人資料保護法第 3 條第 7 項。 法務部,法律字第 14816 號函,發文日期:民國 86 年 5 月 27 日。 法務部,法律字第 000403 號函,發文日期:民國 90 年 8 月 8 日。 23. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(32) 大利益者、為學術研究而有必要且無害於當事人之重大利益者、依本法第 3 條第 7 款第 2 目有關之法規及其他法律有特別規定者,方得為之。又依同法第 20 條 規定,申請第 19 條之登記須提出申請書,申請書須載明申請人之姓名、住、居 所,法人或非法人團體,其名稱、主事務所、分事務所或營業所及其代表人或管 理人之姓名、住、居所、個人資料檔案名稱、個人資料檔案保有之特定目的等共 十一項事項,可見舊法對於非公務機關個人資料之蒐集、處理、利用較公務機關 嚴格許多,且因機關別異其處理的理由並不充分。 舊法在告知義務部分,缺乏明確規定,如蒐集時取得當事人書面之同意,特 定目的外使用個人資料時之書面同意,關於告知義務的踐行及告知內容,不可僅 取得概括同意的內涵未在舊法中顯現。除此之外,舊法並未區別直接蒐集、間接 蒐集行為,且蒐集、處理、利用非由當事人提供之個人資料的行為舊法漏未提及。 四、違法責任較輕 針對違反電腦處理個人資料保護法之民事賠償責任、刑事責任、行政責任, 規定在舊法第四章與第五章中。於損害賠償責任的部分,公務機關與非公務機關 均負無過失責任41,非公務機關得舉證免責。損害賠償總額以每人每一事件新臺 幣 2 萬元以上 10 萬元以下計算;若係基於同一原因事實對當事人負責,當事人 最高可請求 2000 萬元42。基於有損害即有賠償之法理,在當事人得舉證自己所受 之損害額時,不限制當事人得請求的損害賠償金額的上下限;又現今蒐集、處理、 利用、傳輸個人資料的情形非常普遍,大量的個人資料隱含之金錢利益不容小覷, 合計以最高總額新臺幣 2000 萬元為限似乎過低,在大量被害人之個資受侵害的 案件中,將壓縮各被害人所能得到的賠償金額,實務操作計算上亦可能產生困難; 且假若所涉利益遠大於新臺幣 2000 萬元,實難想像以其為上限之舊法違法責任 規定能對行為人產生約束力。. 41 42. 參考電腦處理個人資料保護法第 27 條、第 28 條。 參考電腦處理個人資料保護法第 27 條第 4 項。 24. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(33) 此外,舊法定有意圖營利、意圖為自己或第三人不法利益或損害他人利益非 法變更刪除他人個人資料之刑事責任43,縱上開法律的適用主體為公務機關或非 公務機關,仍科與實際違法之自然人刑事責任,對非公務機關之負責人科與行政 責任44。然而若主觀上不具營利意圖違反舊法第 7 條、第 8 條、第 18 條、第 19 條第 1 項、第 2 項等條者即不構成犯罪,這樣是否仍能達到保護個人資料之目的 值得討論。. 第二項 現行個人資料保護法規範重點 除前揭舊法已存之缺失與不足之處,為配合社會環境的急速變遷,加強保護 個人隱私資料,法務部曾多次舉辦公聽會,邀請各方專家學者,針對現行法缺失 和修法建議提出意見,從而促成「個人資料保護法」的誕生,2010 年 4 月 27 日 三讀通過,並於同年 5 月 26 日經總統公布生效。根據電腦處理個人資料保護法 修正草案總說明,電腦處理個人資料保護法將更名為「個人資料保護法」 ,其中 修正要點包含擴大保護客體、普遍適用主體、增修行為規範、強化行政監督、促 進民眾參與、調整責任內涵、配合增修條文等各項。然而,由於個資法新增修之 規範內容非常多,故本段落係針對與本研究相關之規範和重點作說明,共六點, 方便與後章節相互對照。 一、個人資料定義的擴展 過去非經電腦處理之資料,僅得依民事侵權行為而請求損害賠償。有論者提 出如醫院洩漏之資料為紙本病歷,則非個人資料而受不保護?又若自然人之照片 遭不當濫用,還需檢視該照片係傳統紙張相片亦或數位相機拍攝45?實屬荒謬。 故為完整實現對個人隱私資料之保護,新個資法將客體予以擴大,不再以經電腦. 43. 參考電腦處理個人資料保護法第 33 條、第 34 條。 參考電腦處理個人資料保護法第 38 條、第 39 條、第 40 條。 45 劉佐國,我國個人資料隱私權益之保護-論「電腦處理個人資料保護法」之立法與修法過程, 律師雜誌,第 307 期,2005 年 4 月,頁 44。 44. 25. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(34) 處理之個人資料為限。(參照個資法第 1 條、第 2 條第 2 款、第 4 款) 除此之外,新修個資法又將個人資料區分為「一般資料」與「特種個資」 , 所謂「一般資料」 ,根據第 2 條第 1 款包含: 「自然人之姓名、出生年月日、國民 身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、聯 絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料」 。 至於「有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料」另於 個資法第 6 條第 1 款規定,屬「特種個資」 ,而特種個資原則上不得蒐集、處理 及利用,除非符合 1.法律明文規定、 2.公務機關執行法定職務或非公務機關履 行法定義務必要範圍內,且事前或事後有適當安全維護措施、 3.當事人自行公 開或其他已合法公開之個人資料、 4.公務機關或學術研究機構基於醫療、衛生 或犯罪預防之目的,為統計或學術研究而有必要,且資料經過提供者處理後或經 蒐集者依其揭露方式無從識別特定之當事人、 5.為協助公務機關執行法定職務 或非公務機關履行法定義務必要範圍內,且事前或事後有適當安全維護措施、 6. 經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當 事人書面同意蒐集、處理或利用,或其同意違反其意願者,不在此限。故保護客 體部分之修法較舊法多出「護照號碼、醫療、基因、性生活、健康檢查、犯罪前 科、聯絡方式」等資料,並將舊法「其他足資識別該個人之資料」之不確定用語, 於個資法第 2 條第 1 款修正為「其他得以直接或間接方式識別該個人之資料」以 期周全。此種規定模式係將「識別性」作為「個人資料」的要素,相對於「隱私 性個資」 ,可稱之為「識別性個資」或「辨識性個資」 ,區別實益在於,在採取「識 別性個資」的情況下,若將個人人別資料去除使之不具備識別至特定個人的特性, 該資料便可以自由蒐集處理利用,也可公開之46。 二、目的拘束原則 46. 若為「隱私性個資」,則係指一旦資料涉及個人隱私,不論可否識別個人身分皆屬應受保護的 範疇,和「識別性個資」非常不同。李惠宗,個人資料保護法上的帝王條款—目的拘束原則,法 令月刊,64 卷 1 期,2013 年 1 月,頁 46-47。 26. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

(35) 個人資料保護法第 5 條規定: 「個人資料之蒐集、處理或利用,應尊重當事 人之權益,依誠實及信用方法為之,不得逾越特定目的之必要範圍,並應與蒐集 之目的具有正當合理之關聯。」 ,本條相較於舊法, 「目的拘束原則」係延續舊法 之規定而來,並新增「與蒐集之目的具有正當合理之關聯」之要求,以避免資料 蒐集者巧立名目與原先之目的作不當的聯結,即「不當聯結禁止原則」 。關於「目 的拘束原則」,係指機關在蒐集個人資料皆必須基於正當目的,且從盡可能減少 個資蒐集的角度來看,可以導出禁止廣泛預先蒐集個資原則。而學者整理出目的 拘束原則具有三個要素,即必須在「執掌範圍內」的「必要範圍」基於「明確目 的」才可以蒐集、處理、利用個人資料,非任何說得出來之目的或公益理由都符 合個資法的「特定目的」 。又上述「必要範圍」隱含比例原則的價值取捨,而「明 確目的」含括當事人「可理解」 、 「可預見」和「可受司法審查」的明確性原則操 作47。目的拘束原則在個人資料保護法中扮演極為重要的角色,貫穿整部個資法, 也因此有人稱它為個人資料保護法的帝王條款,任何違反目的拘束原則的蒐集、 處理、利用行為即違反個人資料保護法。 三、增加告知義務之規定 當事人同意原則為資訊自決權之落實,以當事人同意作為合法蒐集、處理、 利用個人資料的基礎,但非絕對必要基礎。又舊法明定當事人之同意應以「書面」 為之,而 2010 年頒布之個人資料保護法將「書面同意」與「告知義務」作聯結, 確立「告知後同意」之原則,要求當事人在同意前,先行告知當事人必要事項48, 而後在 2015 年年底頒布之個人資料保護法修正條文將「書面同意」之「書面」 刪除,放寬「同意」的方式49,以解決一律要求書面同意缺乏彈性的弊病。. 47. 李惠宗,同註 46,頁 49-52。 劉定基,析論個人資料保護法上「當事人同意」的概念,月旦法學雜誌,第 218 期,2013 年 7 月,頁 150。 49 參考個人資料保護法部分條文修正草案總說明。資料來源:法務部網站,網址: https://www.moj.gov.tw/fp-280-45102-5a83e-001.html。(最後瀏覽日:2018 年 3 月 29 日) 48. 27. DOI:10.6814/THE.NCCU.RMI.012.2018.F08.

參考文獻

相關文件

答:國家機密保護法(以下簡稱本法)第 26 條第 1 項各 款所定人員出境,應於出境 20 日前檢具出境行程等 相關書面資料,為本法施行細則第 32

(十五)廠商為押標金保證金暨其他擔保作業辦法第 33 條之 5 或第 33 條之 6

(十二)廠商為押標金保證金暨其他擔保作業辦法第 33 條之 5 或第 33 條之 6

(十四)廠商為押標金保證金暨其他擔保作業辦法第 33 條之 5 或第 33 條之 6

5 個資法第二十七條 非公務機關保有個人資料檔案者,應採行適當之安全措施,防止個

(十三)廠商為押標金保證金暨其他擔保作業辦法第 33 條之 5 或第 33 條之 6

四、學生依個人資料保護法第三條規定,當事人依該法行使之權利,將不因報名作

1.有採購法第 50 條第 1 項第 3 款至第 5 款、第 7 款情形之一,依同條 第 2 項前段得追償損失者,與追償金額相等之保證金。. 2.違反採購法第