銀行國際傳輸客戶資料保護規範--以英國法為中心 - 政大學術集成

全文

(1)國立政治大學法學院碩士在職專班碩士論文指導教授：陳起行博士. 銀行國際傳輸客戶資料保護規範－以英國法為中心. 研究生：林詩韻. 中華民國一百零一年一月.

(2) 致謝詞本研究論文得以順利完成，首先感謝陳起行老師的細心指導。印象深刻的是在學生就讀法學院碩士在職專班二年級，修習陳起行教授開設之法理學課程時，老師採取開放式及以日常生活舉例之授課方式，開啟學生對於基礎法學的認識，並引發學生獨立思考及相互溝通對話之能力。在論文構思起草之初，感謝老師對於論文研究方向的提點及在論文撰寫過程中有困惑時，老師總能即時及適時給予學生指點及鼓勵，使得本研究論文在遵循教授的指導下，順利完成初稿。口試過程中，特別感謝廖緯民教授及劉定基教授之提醒及提供詳細之指導意見，尤其是在對於我國銀行業國際傳輸個人資料保護規範之建議方面，提點學生可提出兼顧我國個人資料保護實務運作現況所能努力之改善建議方向，使得本研究論文之表達能更為完整，並能在理論與實務間取得平衡，由衷感謝老師們的耐心指正。感謝在就讀法學院碩士在職專班二年半的過程中，家人的支持、體諒及陪伴，使得我在家庭、工作及學業間能夠兼顧無虞，也謝謝我貼心的同事及長官們在工作上的協助，使我成長許多。最後，謝謝政治大學法學院開設碩士在職專班課程，使非法律系的學生，亦能有機會學習法學相關知識，以及專班同學與助教們的熱心幫忙，學生將持續充實相關法律知識，並將所學應用於工作及生活上。林詩韻. 謹誌. 2012 年 1 月.

(3) 論文提要隨著資訊技術之快速發展及受到金融交易全球化之影響，在營運模式及法令遵循之需求下，使得銀行業將客戶個人資料跨境傳輸至其他國家之公務或非公務機關所產生之資料保護或對資訊隱私權衝擊等議題漸增。為調和不同國家間對於個人資料保護文化及規範程度之差異，各國及各國際組織間均致力於如何在不影響商業交易需要、個人資料隱私安全及資訊自由流通之前提下，經由適當法律規範對於資料管理者國際傳輸個人資料之行為，予以適當控管。隱私權之概念雖起源於美國，惟現行各國對於個人資料國際傳輸保護規範仍以歐盟委員會於 1995 年發布之個人資料隱私保護指令（Directive 95/46/EC）最為重要且影響層面較大。在歐盟指令仍須各會員國將其轉化為國內法，始得有效執行之前提下，本研究以金融服務產業發展較為領先之國家—英國，以英國銀行業適用之個人資料國際傳輸保護規範為研究主題，所涉法規包括：歐盟指令、英國 1998 年資料保護法（Data Protection Act, DPA）及英國金融服務業適用之相關規範等。研究結果發現，英國 1998 年資料保護法在參照歐盟指令之相關規範下，對於資料管理者將個人資料國際傳輸已訂有相關限制規定及如何符合相關豁免規定之作業流程及評估程序，英國專責資料保護之監理機關（資訊自由及保護委員會），並已依據歐盟指令，發布規定授權英國企業得採用標準契約範本及經其個案核准採用共同約束條款，顯示英國對於國際傳輸之個人資料已有一定程度之保障。惟如同歐盟委員會之研究報告所述，英國相對於歐盟其他會員國，並未將國際傳輸規範明訂於資料保護法之本文，對於當事人資訊隱私權保護之法律位階，仍有待加強。不同於我國係於銀行法明定銀行對客戶資料之保密義務，英國法院認為銀行對於客戶資料之保密責任，原始存在於銀行與客戶間之契約。惟英國與我國相同 i.

(4) 於金融相關法令中僅針對銀行境外委外所涉之國際傳輸訂有相關監理規範（包括境外委外事先申請核准、申請程序及應檢附之文件），以透過銀行與委外服務供應商之委外契約，確保金融監理機關能跨國有效行使其監理權限，保護當事人之權益，至於銀行因非委外事項，將客戶資料跨境傳輸至其他國家時，仍應回歸適用資料保護法有關國際傳輸之相關規定。本研究最後就我國與英國對於個人資料國際傳輸相關保護規範之比較結果發現，我國個人資料保護法雖已於 99 年修正發布（新個資法），但對於國際傳輸之限制規定，修法後雖已明定國際傳輸之定義及加重非公務機關違反國際傳輸規定之罰則，惟未修正其實質規範內容，仍僅授權中央目的事業主管機關於非公務機關有第 21 條所列四項情形之一時，得限制其進行國際傳輸。在新個資法下，非公務機關對於個人資料之國際傳輸，已無須取得目的事業主管機關登記，並取得執照，雖有利於資料之國際流通，惟為保護當事人個人資料於傳輸後之安全，我國是否尚須其他配套措施，以落實個人資料於國際傳輸層面之保障，值得深思。本研究對於我國銀行業國際傳輸個人資料保護規範之主要建議，包括（1）宜透過各中央目的事業主管機關對被監理機構之監理及其與相關公益團體間之合作，以強化各界對於個人資料保護之重視，（2）國際傳輸之限制規定應予細緻化，並透過產業自治逐步達成個人資料保護之目的，（3）金融監理機關宜配合個人資料保護法之修正，訂定銀行業國際傳輸之作業規範，（4）宜透過租稅合作協定，在不違反我國個人資料保護法及銀行法之原則下，協助我國金融機構解決美國「外國帳戶稅收遵從法」之實施，衍生對於個人財務資訊隱私權及跨境傳輸個人資料保護之問題。. ii.

(5) 目第一章. 錄. 緒論................................................................................................................1. 第一節. 研究動機與目的………………………………………………………1. 第二節. 研究範圍與方法………………………………………………………5. 第二章. 銀行國際傳輸客戶資料之探討……………………………………………9. 第一節. 國際傳輸之態樣………………………………………………………9. 第二節. 國際傳輸之需求…………………………………….……………….13. 第三節. 國際傳輸面臨之法律問題…………………………………………..15. 第四節. 小結…………………………………………………………………17. 第三章. 英國銀行國際傳輸保護規範……………..………………………………19. 第一節. 英國資料保護法……………………………………………………19. 第二節. 1998 年資料保護法之國際傳輸規定……………………………….27. 第三節. 英國落實歐盟指令研究報告………………………………………..43. 第四節. 銀行保密義務及相關金融法令..……………………………………47. 第五節. 小結…………………………………………………………………55. 第四章. 標準契約範本及共同約束條款（BCR）之規範…………………………61. 第一節. 標準契約範本之制訂背景及適用依據……………………………61. 第二節. 標準契約範本內容…………………………………………………63. 第三節. BCR 之制訂背景及適用依據……………………….………………81. 第四節. BCR 之規定內容…………………………………………………..84. 第五節. 小結…………………………………………………………………88. 第五章. 我國銀行國際傳輸保護規範…………..…………………………………91. 第一節. 個人資料保護法……………………………………………………92. 第二節. 亞太經濟合作會議（APEC）隱私保護綱領…………………….….98. 第三節. 銀行法及相關金融法規…………………………………………100 i.

(6) 第四節. 我國規定與英國規定之比較……………………………………112. 第五節. 小結………………………………………………………………119. 第六章. 結論與建議………………………………………………………………121. 第一節. 結論…………………………………………………………………121. 第二節. 建議…………………………………………………………………125. 參考資料……………………………………………………………………………133. ii.

(7) 第一章緒論第一節研究動機與目的第一項研究動機研究動機隱私權之概念，最早始於美國 Warren 和 Brandeis 於 1890 年在哈佛法學評論所發表之論文，其認為由於照相技術之發展及新聞業已侵入神聖之私人領域，使得「不受干擾之權利（the right to be let alone）」為時代所需，該項權力之基礎係基於人格之不可侵犯（ an inviolate personality），而非基於私人財產應受到保障1。自此之後，個人隱私之保護，隨著資訊社會的快速發展更形重要，尤其當電腦、網路、傳播等各種科技，使得國家、企業甚或個人之各種資料，均能被迅速蒐集、儲存及傳送，並以不同組合之方式加以組成或呈現，進而作為一種資源或商品，加以利用2。銀行業對於個人資料之蒐集、處理、利用及傳輸，相對於其他產業，更屬不可或缺。隨著金融交易的發展，銀行得以客戶臨櫃方式或直接透過網際網路提供客戶各種不同之金融服務，如辦理存款帳戶或薪資轉帳開戶、消費借貸、信用卡交易、金融商品投資或財富管理等金融服務，使得銀行業相對於其他一般企業而言，更易取得個人之相關資料（如身分證字號、個人相片、電話號碼、住址、電子郵件、投資偏好、財務狀況等），由於銀行每日須處理之客戶金融交易相關資料筆數龐大，使得銀行對於客戶個人資料之管理及處理機制（即對客戶財務資訊隱私權之保護3），更顯重要。 1. Warren and Brandeis, The right to Privacy [The implicit made explicit], Harvard Law Review, Vol.4, 1890, 轉引自陳起行，資訊隱私權法理深討—以美國法為中心，政大法學評論，頁 299，2000 年 12 月。 2 王澤鑑，人格權保護的課題與展望（三）──人格權的具體化及保護範圍（6）──隱私權（上），臺灣本土法學雜誌，96 期，頁 21，2007 年 7 月。 3 「財務隱私」（或金融隱私）係指個人或企業與金融機構進行金融交易之非公開資訊，包括個人 1.

(8) 受到金融交易全球化的影響，銀行業為提升國際競爭力，近年來金融整併事件頻繁，除國際性大型銀行以合併國內金融機構之方式來台設立子行營運外4，在我國與大陸地區簽署「海峽兩岸銀行業監理合作備忘錄（MOU）」，建立兩岸金融監理合作機制後，隨著兩岸金融業務之開放，兩岸金融機構互設分子行營運之情形亦將逐漸普遍5 6。另美國財政部及、. 稅務局（Internal Revenue Service, IRS）為落實「外國帳戶稅收遵從法」（Foreign Account Tax Compliance Act, FATCA）於 2010 年 9 月陸續發布 2010-60 通知函（Notice 2010-60）及 2011 年 4 月發布 2011-34 通知函（Notice 2010-34），要求外國金融機構自 2014 年起須每年向美國稅務局通報當年度美國納稅義務人（美國籍或持有綠卡）透過該機構帳戶所取得之利息、所得、資金流動、資本利得情形及帳戶年餘額等個人財務資訊7，亦產生國內銀行得否將其在台客戶之存款帳戶等相關個人財務資料跨境提供予美國稅務局等個人資料保護之問題。在上開銀行業營運模式及法令遵循之需求下，使得我國銀行業（包括外國銀行在台子行及分行）因發展業務需要8 、降低資料處理作業成. 或企業之基本資料、帳務資料、信用資料、投資資料、保險資料等財務情況及其他相關資料。至於「財務隱私權」，則理論上係指個人或企業對於金融機構不法蒐集、處理、傳遞、利用及揭露之自主性權利，而金融機構有維護個人資料安全之義務、以防止客戶資料被竊取、竄改、毀損、滅失或洩漏；若受侵害，應得請求損害賠償。見王志誠，現代金融法，新學林出版股份有限公司，頁 257，2009 年 10 月。 4 如 2007 年英國渣打銀行合併新竹國際商銀、荷蘭銀行合併台東企銀（荷蘭銀行後於 2010 年 4 月與澳洲紐西蘭銀行合併）、匯豐台灣銀行合併中華銀行、花旗台灣銀行合併華僑銀行、2008 年新加坡星展銀行合併寶華銀行等，資料來源：金管會銀行局新聞稿。 5 截至 2011 年 11 月，本國銀行經金管會核准至大陸申設分行或子行者，計有 11 家，包括臺灣銀行上海分行、兆豐銀行蘇州分行、第一銀行上海分行及成都分行、土地銀行上海分行、合作金庫銀行蘇州分行、彰化銀行昆山分行、國泰世華上海分行、中國信託銀行上海分行、華南銀行深圳分行、上海商業儲蓄銀行子行設立上海分行、玉山銀行東莞分行、臺企銀上海分行，資料來源：金管會銀行局新聞稿。 6 截至 2011 年 11 月大陸地區計有中國建設銀行、招商銀行、中國銀行、交通銀行經金管會核准來台設立代表人辦事處，其中中國銀行及交通銀行已於 2011 年 10 月 27 日遞件申請升格為分行，資料來源：金管會銀行局新聞稿。 7 「個人資料保護法規對金融業影響之探討」研討會會議資料，金融總會，2011 年 5 月 17 日。 8 2009 年 12 月 28 日報載兩岸金融監理合作備忘錄(MOU)即將在 1 月 16 日生效，未來陸資銀行來台也成為台灣的聯徵中心會員，並查詢客戶資訊，也引發恐慌，擔心個人及企業徵信資料外洩，對此，金管會主委陳冲今(28)日在立法院財委會表示，徵信資料的查詢僅限於台灣使用，如果要 2.

(9) 本，或因稅務處理、協助警察或司法單位進行金融犯罪調查等因素，而有需要將客戶個人資料國際傳輸（International Transfers 或 Transborder Data Flows9）至國外公務機關及非公務機關（如母行、分子行或委外服務供應商等），致使銀行將個人資料跨國傳輸至其他國家產生之資料保護或對隱私權衝擊等議題漸增。國際傳輸個人資料應為適當限制之原因，在於各國對個人資料保護文化及規範程度不一，為避免個人資料自對資料保護已有相當法令規範之國家，輸出至資料保護規範不足之國家（如我國銀行因業務需要，將其在台客戶資料傳輸至其他國家等情形），產生資料一旦輸出後，未被妥善處理，甚而發生被不當使用之情形10。如何在不影響銀行業務發展及兼顧客戶個人資料隱私安全之前提下，經由相關法規機制對銀行國際傳輸予以適當控管，爰引發本研究之動機。第二項研究目的我國現行對於銀行將客戶資料進行國際傳輸，並未訂定特殊規範，、銀故應適用個人資料保護法（即現行「電腦處理個人資料保護法」11）行法及相關金融法令等規定。在個人資料保護法方面，其涉及非公務機關將個人資料國際傳輸之相關條文，包括於第 21 條授權中央目的事業主. 跨境查詢（將資料傳送至大陸地區之母行），須向金管會申請國際傳輸；聯合徵信中心董事長胡富雄也強調，若違法查詢，除可停權 90 天，情節嚴重者，將撤銷會員資格。原文網址: 陸銀登台可查詢徵信資料陳冲：國際傳輸則要金管會同意 | 財經新聞 | NOWnews 今日新聞網。 9 International Transfers（Transborder Data Flows or Cross-border data transfers）一詞於國內相關文獻有人將之譯為個人資料之跨境傳輸（遞）、跨國資料流通等，鑑於 2010 年 5 月 26 日修正發布之「個人資料保護法」第 2 條第 6 款已將該名稱修正為「國際傳輸」，並明定只要將個人資料作跨國（境）之傳輸，不論是屬處理或利用，皆屬該法所稱之「國際傳輸」，故本文中統一稱為「國際傳輸」。 10 Lingjie Kong, Data Protection and Transborder Data Flow in the European and Global Context, The European Journal of International Law, Vol. 21 no. 2, 443（2010）. 11 我國於 2010 年 5 月 26 日發布修正「個人資料保護法」（原「電腦處理個人資料保護法」），新法主要參考 1995 年之歐盟個人資料隱私保護指令（Directive 95/46/EC）修訂，由於本次修正擴大適用範圍，除須進行相關宣導外，民間業者需相當時間調整與準備，相關法規亦需配合增修，故本次修正條文第 56 規定，本法施行日期，由行政院訂之（截至 2012 年 1 月止，行政院尚未明定施行日期）。 3.

(10) 管機關12得於一定情況下，限制非公務機關之國際傳輸13、第 22 條中央目的事業主管機關為執行國際傳輸限制，得派員進行檢查、第 41 條及第 47 條違反國際傳輸規定之相關罰則等。至於金融相關法令，現行除銀行法第 48 條第 2 項訂有銀行之保密義務外，其餘相關金融法令僅於銀行將內部作業境外委外訂有國際傳輸之相關規範，至於非委外事項之國際傳輸，除個人資料保護法之上開規定外，未有特別規定，目前實務作法係由金融監理機關視個案情形監理，予以原則性之規範（如要求銀行於傳輸時，不得違反個人資料保護法、銀行法及相關金融法令等），在上開個人資料保護法及金融法令下，顯見我國現行對於國際傳輸仍欠缺具體明確之法令規範。國際傳輸涉及多重管轄權及資料輸出國與接收國對於個人隱私權保護規範之程度不一，尤其當資料接收國欠缺隱私保護法制或保護標準遠低於輸出國時，可能引發更多問題14。現行各國對於限制個人資料國際傳輸之相關規範較為重要者，為歐盟委員會於 1995 年發布之個人資料隱私保護指令（Directive 95/46/EC15，以下簡稱歐盟指令），該指令於第 25 條及第 26 條針對歐盟會員國將個人資料傳輸至第三國家（ third countries，即非歐洲經濟區內之國家），明訂有國際傳輸之原則及相關限 12. 所稱「目的事業主管機關」，依個人資料保護法第 22 條立法說明，基於落實個人資料隱私權益之立法意旨，自宜設立專責機關為主管機關，但未設立專責機關之前，由於各行業均有其目的事業主管機關，有屬中央者，有屬地方者，而個人資料之蒐集、處理或利用，與該事業之經營關係密切，應屬該事業之附屬業務，自宜由原各該主管機關，一併監督管理與其業務相關之個人資料保護事項，較為妥適。依上開立法意旨，有關涉及銀行對於個人資料保護之監督，其主管機關應為我國金融監理之主管機關，即金管會。 13 依新版個人資料保護法第 21 條規定，非公務機關為國際傳輸個人資料，而有下列情形之一者，中央目的事業主管機關得限制之，包括涉及國家重大利益、國際條約或協定有特別規定、接受國對於個人資料之保護未有完善之法規，致有損當事人權益，以及以迂迴方法向第三國（地區）傳輸個人資料以規避本法之情形。 14 Gehan Gunasekara, The “Final” Privacy Frontier ？ Regulating Trans-Border Data Flows, International Journal of Law and Information Technology, Vol. 17, No. 2, 378-832（2007）. 15 Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data, available at http://ec.europa.eu/justice/policies/privacy/docs/95-46-ce/dir1995-46_part1_en.pdf（last visited November, 2011）. 4.

(11) 制或豁免規定。考量歐盟指令仍須經由各會員國將其轉化為國內法，始得有效執行，而英國金融服務產業之發展始終處於世界領導地位，具國際競爭優勢，且英國早於 1998 年即以歐盟指令為基礎，修正其資料保護法（Data Protection Act, DPA），故本研究選擇以英國財務隱私權保護規範為基礎，蒐集英國資料保護法及金融服務業之相關規範予以分析比較，以期利用英國經驗，提供我國金融監理機關訂定銀行將客戶資料進行國際傳輸相關限制規定之建議，並供銀行於面臨類似問題時，可能處理方式之參考。. 第二節研究範圍與方法有關國際傳輸之定義，有學者稱「廣義之國際傳輸」係指不論以交通工具實際將文件資料攜帶出境（實體傳送），或利用電腦傳輸資料（透過網際網路傳輸），均屬之16。我國修正後之「個人資料保護法」雖已明定國際傳輸之定義，係指將個人資料作跨國（境）之處理或利用，惟新法與舊法相同，並未明確定義何謂「傳輸」，例如企業為確保資料之安全，將異地備援之系統，設置於境外，並不定期將資料傳輸至該地，應屬企業營運之常態。在上開情況下，雖企業之實體備援系統係設置於其他國家，惟對於所儲存資料之控制仍在我國境內管理者之情況下，該項傳輸是否為跨國傳輸，仍待討論。在對於「傳輸」難以明確判斷之情況下，現行歐盟指令及英國資料保護法對於「國際傳輸」亦未給予明確之定義17。個人資料國際傳輸依其傳輸之目的、型態、主體或客體之不同，可區分為以下之態樣：一、傳輸目的：可區分為三個層面，包括(一)成本效益考量，即境外委外 16. 黃莉雲，資料跨國流通法律問題之研究—相關理論與規範，國立臺灣大學法律學研究所碩士論文，頁 2，1994 年。 17 英國資料保護法於 1998 年修正時，曾對「傳輸」予以定義，傳輸常見之意思為如將資料由一個地方、一個人、一個所有者、一物體或一團體運送至另一地方、人、所有者、物體或團體，惟該定義最終並未納入資料保護法予以明定。見 Peter Carey, Data Protection—a Practical Guide to UK and EU Law, 105-106（2009）. 5.

(12) （offshore outsourcing）。如台灣之外商銀行為降低營運成本，將台北分行客戶申請信用卡之書面資料，委外由中國大陸廣州分行之員工進行輸入，轉為電腦檔案，再傳輸回台灣，或將客戶申貸資料委由外國公司處理等情形、(二)資訊技術考量—電子商務、資料銀行與資料探勘，如美國花旗集團（City Group）於全球 140 個國家設有 160 個營運據點對 2 億多個帳戶之客戶提供服務等、(三)罪犯調查之需要，如反恐怖攻擊行為或因應稅務機關之需求。如德國政府為查緝逃稅案件，收買列支敦斯登（Liechtenstein）所屬銀行離職員工，以取得銀行客戶個人資料之機密18。二、傳輸主體：可分各國公務機關間個人資料之國際傳輸、非公務機關間之國際傳輸，以及公務與非公務機關間之國際傳輸，其中非公務機關間之國際傳輸又分為跨國企業（集團）內部間（如跨國企業總公司與其在國外之子公司或分公司間）及公司與公司或其他非公司組織間之傳輸。三、傳輸客體：依資料性質區分為敏感性19及一般個人資料20。由於公務機關間及非公務機關與公務機關間之個人資料國際傳輸，尚涉及取得公益與私益目的間之平衡、二國法權平等及互惠等面向之問題，與本文主要著重非公務機關如何落實個人資料保護制度之重點有所不同。故本研究仍以銀行業將客戶資料於非公務機關間（含企業因委外及非委外事項，將個人資料於集團間及集團外進行跨境傳輸）之國際傳輸所適用之個人資料保護規範為研究主題，在英國法方面將就 1998 年英國資料保護法（Data. 18. 翁清坤，論個人資料保護標準之全球化，東吳法律學報，第 22 卷第 1 期，頁 5-11，2010 年 3 月。 19 依修正後個人資料保護法第 6 條規定，有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，除有所列情形者外，不得蒐集、處理或利用。上開五類個人資料即屬敏感性（特種）資料。 20 依修正後個人資料保護法第 2 條第 1 款規定，個人資料指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。 6.

(13) Protection Act, DPA）及其資料保護監理機關「資訊自由及保護委員會」（Information Commissioner’s Office,以下簡稱 ICO）所發布國際傳輸相關指引，暨英國金融服務與市場法（Financial Services and Market Act 2000）對於保密義務及金融業境外委外等涉及客戶個人資料國際傳輸之相關保護規範為英國法之研究範圍。我國規範方面，將就個人資料保護法修正前後所涉國際傳輸之規定與銀行法第 48 條有關銀行保密義務等相關金融法令，暨聯徵中心發布有關會員機構辦理信用資料進行國際傳輸等相關規範為基礎予以整理，透過上開法律規範及相關文獻之閱讀，瞭解並分析比較英國及我國有關財務隱私權及國際傳輸客戶個人資料相關保護規範之現況，以期提出銀行將客戶資料進行國際傳輸時之可能模式及我國相關金融法規之可能改善建議。. 7.

(14) 8.

(15) 第二章銀行國際傳輸客戶資料之探討銀行國際傳輸客戶資料之探討第一節國際傳輸之態樣國際傳輸之態樣隨著通信之全球化及網際網路的快速成長，個人資料進行國際傳輸變得非常容易，且存有潛在經濟價值。對跨國企業而言，將個人資料跨國傳輸以進行處理或利用，更為日常營運之重要部分，常見情形包括(一)設立於美國之跨國企業（母公司），透過內部網路定期將海外分支機構（如歐盟地區）之資料（含個人資料）傳輸至美國；(二)位於英國之企業將其公司內部之個人資料，傳輸並儲存設立於瑞士之資訊作業中心，或透過電子郵件（郵件內容含個人資料）將個人資料由英國傳輸至香港子公司，亦或(三)英國企業將人工資料傳輸至印度進行處理，並儲存於資料庫後，再傳回至英國之情形21。國際傳輸個人資料之態樣，可依傳輸技術、傳輸主體與客體之不同予以區分，由於本研究主要探討銀行將客戶個人資料進行國際傳輸可能衍生之相關問題，故傳輸態樣中有關傳輸之媒介部分（即傳輸之技術），如實體運送、透過電子通訊或網際網路傳輸等，尚不在本文之討論範圍。以下分別就個人資料傳輸之主體及客體介紹如下。第一項第一項傳輸主體傳輸主體國際傳輸個人資料之主體，依傳輸目的之不同，分為以下三種類型：一、公務機關間公務機關間（包括傳輸至其他國家包括傳輸至其他國家之其他國家之公務機關及國際組織）公務機關及國際組織）之國際傳輸此種傳輸多基於為達成特定行政目的或為維持社會安全，兩國或國家與國際組織間，因相互合作進行個人資料之交換，最常見之情形為國際刑警組織會員國間有關犯罪資料之傳輸。又例如，我國為強化與各國政府間之聯繫，積極參與國際洗錢防制組織，並利用參與國際組織促進我國與各國從事洗錢情報之交換與犯罪偵查之 21. Peter Carey, Data protection in the UK, London: Blackstone, 56（2000）. 9.

(16) 合作，故於洗錢防制法第 16 條規定，為防制國際洗錢活動，政府依互惠原則，得與外國政府、機構或國際組織簽訂防制洗錢之合作條約或其他國際書面協定。對於外國政府、機構或國際組織請求我國協助之案件，除條約或協定另有規定者外，亦得基於互惠原則，提供受理申報或通報之資料及其調查結果（包括有關疑似洗錢交易報告、大額通貨交易報告或其他海關通報資料等可能涉及個人隱私資料之金融情報之國際交換）。二、非公務機關間之國際傳輸非公務機關間之國際傳輸非公務機關間之國際傳輸，可分為下列二種型態：（一）跨國企業或集團內各公司間內部資料之國際傳輸（如跨國企業總公司與其在國外之子公司或分公司，或集團內設立於不同國家之關係企業間）：此種類型之國際傳輸最為常見，產生之爭議亦最多，上開二者間資料傳輸之內容可能包括人事、業務營運、市場銷售或研究發展等相關資料。（二）企業與提供資料服務（處理）機構間之個人資料國際傳輸：此類型又可分為企業將資料提供予資料處理機構進行處理，如國際性銀行為降低客戶資料處理之作業成本，故將其分設於各國之分子行當地客戶之資料，跨國傳輸至特定國家（如印度）統一進行資料處理後，再傳回至各分子行之所在國；或從事蒐集、儲存與分析各種資料之機構，將其資料庫提供予客戶（企業）跨境查詢其所蒐集之資料，如信用報告機構將其蒐集之個人信用資料，跨境提供予會員機構進行查詢等情形。三、公務與非公公務與非公務機關間之國際傳輸與非公務機關間之國際傳輸此種類型與公務機關間之資料傳輸目的類似，多基於國家安全或特定行政目的（課稅目的）之考量，如美國於 2001 年遭受 911 10.

(17) 恐怖攻擊後，於 2001 年「航空與運輸安全法」（The Aviation and Transportation Security Act of 2001, ATSA）規定，航空公司須於飛機起飛後 15 分鐘內，將旅客及機組員之姓名、出生日期、性別、國籍、護照號碼等美國政府機關認為，為確保飛行安全所必要之資訊，傳輸至關稅及邊界保護局，進而引發歐盟與美國間對於將歐盟公民之個人資料國際傳輸至美國之隱私保護爭議22，以及美國為遏阻美國公民透過海外帳戶進行逃漏稅之行為，要求國外金融機構自 2014 年起應向美國稅務局申報其客戶帳戶資產超過美金 5 萬元之美籍納稅義務人（含公民及具永久居留證者）之特定資訊，外國金融機構若未依規定申報，可處 1 萬美元之罰鍰，最高並可處 5 萬美元罰鍰23。美國國會通過之上開法令，係對美國公民財務隱私權所為之限制，提供稅務局適當之手段，驗證其課稅所得資料之正確性。惟對於部分國家（如香港、新加坡等）而言，銀行若將其美籍客戶之財務資料傳輸至美國，恐將違反當地隱私權保護之相關規範 24. ，產生稅務資料之蒐集與個人隱私權保護間之衝突。. 第二項第二項傳輸客體國際傳輸之客體25，依資料性質可分為敏感性及一般性之個人資料：一、敏感性資料（）敏感性資料（Sensitive Personal Data）敏感性資料係指於處理個人資料時，需較一般個人資料予以特殊處理之資料類型，可能包括人種、種族、政治傾向、宗教信仰、 22. 歐盟與美國對於個人資料國際傳輸產生之個人資料保護爭議，直至歐盟與美國簽訂安全港協議後（即歐盟委員會認定美國對於個人資料之保護措施已符合歐盟個人資料隱私保護指令所設之標準），始獲得一定程度之解決—翁清坤，同註 17，頁 10-11。 23 Summary of Key FATCA Provisions, available at http://www.irs.gov/businesses/corporations/article/0,,id=236664,00.html（last visited November, 2011） 24 US demands tax tolerance of foreign financial groups, Financial Times（2011）. 25 國際傳輸之客體亦有以資料種類進行區分者，例如生產及分配資訊、財務管理資訊、個人與薪資資訊、銀行與信用管制資訊、航空與旅行社訂位資訊、政府施政資訊、科學技術資訊及環境與氣象監督資訊—洪榮彬，資訊時代之資料處理與資料保護—以德國聯邦個人資料保護法為中心，輔仁大學法律學研究所碩士論文，頁 310，1993 年 6 月。 11.

(18) 工會會員身分、生理及心理之健康狀況或條件、性生活及犯罪前科等26。一般人通常認為財務資料（financial information）及與年齡有關之資訊，同樣具敏感性，惟在資料保護法規中，該等資料並不被歸類為敏感性資料27。敏感性資料之蒐集、利用及處理應為特別規範之原因，係考量該等資料相對一般個人資料而言，若未被適當處理，將對當事人隱私權益之影響形成難以彌補之傷害，故當國際傳輸之個人資料為敏感性資料時，通常被認定為屬高度風險之傳輸，依英國資料保護法規定，若國際傳輸之客體為敏感性資料，企業於評估他國法令對個人資料保護是否符合適當程度時，應更為審慎處理且進行全面性之審查28。二、一般個人資料除敏感性資料外，其餘能透過直接或間接之方式辨識該自然人（living individual）之資料，均屬個人資料之範疇，依據英國資料保護法第 1 條(1)規定，個人資料尚包括任何對於該自然人（當事人）意見之表達（如公司主管於升遷時，對其員工工作表現之意見等人事資料），另依歐盟指令第 2 條(a)之規定，個人資料係指足以直接或間接辨識個人之資料，特別是能辨別當事人之身分證字號或當事 29. 人生理、心理、經濟、文化或社會特性之表徵，其中個人之財務資料應屬對該個人經濟狀況之特徵。銀行傳輸客戶個人資料之可能類別如下30、31：. 26. 依我國修正後個人資料保護法第 6 條之立法說明，考量我國國情及民眾之認知，故未將人種、種族、政治傾向、宗教信仰、工會會員身分等資料視為敏感性資料。 27 Richard Morgan and Ruth Boardman, Data Protection Strategy—Implementing Data Protection Compliance, London Sweet& Maxwell, 7（2003）. 28 Data Protection Act 1998—The eighth data protection principle and international data transfers, 2.3.5, Information Commissioner’s Office, Version 4.0, 10（2010）. 29 Peter Carey, supra note 21，at 11. 30 Security of Personal Financial Information—Report on the Study Conduct Pursuant to Section 508 of the Gramm-Leach-Bliley Act of 1999, The Department of the Treasury, 14（2004）. 31 金融控股公司子公司間共同行銷管理辦法第 10 條。 12.

(19) （一）申請文件資料：包括基本資料（如姓名、出生年月日、身分證統一編號、電話及地址等資料）及基本財務狀況（如資產、收入、負債）。（二）往來交易之歷史資料：包括帳戶號碼或類似功能之號碼、持卡期間、信用卡帳號、信用額度、存款帳號、帳戶餘額、交易帳戶號碼、存借款、支付紀錄、還款是否逾期、消費日期、金額及筆數、交易對手與客戶溝通資訊及其他往來交易與財務情況等資料。（三）信用報告資訊：包括信用狀況及信用紀錄（退票紀錄、註銷紀錄、拒絕往來紀錄）等資料。（四）外部資訊：包括工作證明、個人財產資料、信用狀況、其他連絡人及財產保險範圍等查證資訊。（五）其他一般資料：未用於申請資格審查之統計資訊。. 第二節國際傳輸國際傳輸之需求傳輸之需求個人財務隱私受到侵害，例如因當事人之財務資料具有價值，即當他人取得當事人之個人財務資料時，他人將可能有從中獲利。財務隱私權通常代表個人之財務能力，故銀行對客戶（即當事人）之收入、支出、投資及財富等情況應保守秘密，上開個人資料對大部分人而言，通常不會在公開場合討論其薪水，或與朋友、同事討論其財產狀況，因該等財務情況之討論，或透過個人收入與支出之詳細資訊，即可瞭解個人所從事活動、消費、儲蓄習慣、職業、政治傾向及信仰等額外之個人資訊，使得他人得對當事人擁有之財富進行評估，進而要求當事人捐贈，甚或引來偷竊等行為。惟對當事人財務隱私之侵害，應不限於對於當事人財物損害已發生，只要未經當事人之同意，而將其個人財務資料向第三人揭露，對當事人隱私即已造成侵害，即對當事人財物之侵害，不限於財務損失結果已實際發生。. 13.

(20) 個人財務資料無法被絕對保密之原因在於金融機構（如銀行、信用卡公司及證券經紀商等）須透過財務資料之取得及傳輸，協助客戶進行金融交易。銀行將客戶個人資料國際傳輸之需求，包括因應客戶金融交易之需要、遵. 32. 循法令規定、降低客戶服務成本或獲取利潤等因素：一、客戶金融交易之需要：隨著金融交易之全球化，銀行為履行與客戶間之合約義務，故須將客戶個人資料國際傳輸至其他國家，如臺灣銀行之客戶至國外渡假，並使用其信用卡作為旅館住宿費用之付款工具，則位於臺灣之發卡銀行可能需傳輸該信用持卡人之資料至國外當地旅館，以驗證該信用卡之真實性，或外國銀行在台分行於辦理在台客戶之授信業務，因授信戶申貸金額已超過在台分行之核准權限，故須將客戶授信等相關資料國際傳輸至國外總行，以進行審核。二、法令遵循之需要：銀行為協助跨國偵查金融犯罪、防制洗錢、舞弊案件、遵循「注意義務」（due diligence）或「認識客戶」程序（know-your-customer）33，將客戶個人資料進行國際傳輸。三、帳戶管理：為管理及服務客戶帳戶或將借款人授信資料歸戶分析與控管等需要，故將客戶個人資料傳輸至提供該等服務之公司，以委託他人協助進行某些帳戶之管理功能（如寄發對帳單等）34。四、降低客戶服務成本：金融集團內由於可能會有銀行、證券及保險等子公司提供不同種類之服務，基於集團內組織架構及內部管理之需要，同一集團可能採功能別方式處理集團內不同公司相同事務之作業，以降低服務客戶之總成本。 32. Cynthia Blum, Sharing Bank Deposit Information With Other Countries：Should Tax Compliance or Privacy Claims Prevail？, Florida Tax Review Vol. 6 no. 6, 603-608（2004）. 33 Security of Personal Financial Information—Report on the Study Conduct Pursuant to Section 508 of the Gramm-Leach-Bliley Act of 1999, The Department of the Treasury, June 2004, 轉引自陳姸沂，美國財務資訊隱私權保護規定之研究，國立政治大學法學院在職專班碩士論文，頁 31-35， 2008 年 5 月。 34 同前註，頁 31-35。 14.

(21) 四、交互行銷，獲取利潤：金融集團基於法規因素及經營政策之考量，為提供消費者多樣化之金融商品與服務，同一金融控股公司之銀行、證券及保險等子公司得在符合相關金融法令之規定下，將客戶資料交互運用進行行銷，透過子公司間之資料分享，獲取利潤。. 第三節國際傳輸國際傳輸面臨傳輸面臨之法律問題面臨之法律問題個人資料國際傳輸所引發複雜之法律問題，在於國際傳輸之行為同時涉及跨國性、衝突性、脆弱性及經濟性等面向之考量，分述如下：一、跨國性之法律規範跨國性之法律規範各國對於個人隱私權保護之文化與重視程度之落差，在兩國法律環境、司法管轄權不同之情況下，將造成各國對於個人資料保護規範程度之差異及國際傳輸之跨國性問題。各國訂定之個人資料保護規範，常受到當地政治或經濟環境之影響，目前各國國際傳輸之相關規定，以歐盟法律體系於 1995 年發布之歐盟指令對各國影響之範圍及程度最甚，該指令允許歐洲經濟區內（European Economic Area, EEA）之個人資料，得於各會員國間自由傳輸，惟對傳輸至歐洲經濟區以外之其他國家或地區（以下簡稱第三國家）時，卻設有相關嚴格之限制。雖歐盟指令有關國際傳輸之規範目的，係為平衡各國資料保護規範程度不一之情形（消除資料傳輸之障礙）35，但由於在該規範下，已將歐洲經濟區與其他國家予以明確劃分，間接造成資訊自由流通之障礙。在歐盟指令國際傳輸之限制規定下，已迫使全球或區域性之組織致力於相互合作，調和各國間資料保護相關法律規範之一致性，以降低個人資料傳輸之阻礙。二、全球資訊流通與個人資料保護規範之衝突類似於貿易障礙，各國訂定之國際傳輸限制，相對於全球資訊之自. 35. Lingjie Kong, supra note 10, at 46. 15.

(22) 由流通亦產生一定程度之限制。國家對於資訊自由流通之開放程度（含資訊之輸出與接收）受到國家主權、文化及經濟政策與環境之影響。當一國為擴張國家主權時，可能對資訊自由流通採取較為保守之政策（即禁止資料於各國間流通），並對個人資料訂定較為嚴格之國際傳輸限制，相反的，若一國對資訊流通採行較為開放之政策時，則該國有關國際傳輸個人資訊之法規限制，將相對降低或較為寬鬆。如何有效平衡資訊自由流通及個人隱私權保護間之衡突，取得適當平衡為各國訂定資訊自主權與個人隱私保護規範時之重要議題。三、影響個人隱私權之特殊性影響個人隱私權之特殊性相對於個人財產權受到侵害時，其損害賠償請求權之範圍較為容易確定，隱私權因屬人格權，故其損害之有無及損失之範圍尚難認定。隱私權概念之不確定性，造成法律適用之不安定36。惟隨著網際網路及資訊技術之快速發展，個人資料一旦被不當進行傳輸後，當事人之個人資料可能已迅速散佈至不特定之國家，並已對當事人之隱私權產生侵害。在各國個人資料保護程度不一之情況下，當事人隱私造成損害後，因司法管轄權之不同，除不易獲得救濟外（可能涉及跨國訴訟，故即使可進行救濟，花費之成本及時間也甚難估計），若傳輸後資料散佈之範圍無法確定，將造成個人資料無法進行刪除、改正或塗銷；即使範圍可確定，後續補救之成效亦屬有限37。四、營運需求與國際傳營運需求與國際傳輸國際傳輸個人資料限制個人資料限制規範間之平衡限制規範間之平衡對企業來說，將個人資料進行國際傳輸之目的，不外乎為營運所需，以銀行業為例，一則為銀行營業自由、營運成本及經營風險之考量，二則是對於個人隱私之尊重，在國際洗錢、金融詐騙及恐怖攻擊相繼出現後，各國金融法制亦透過立法手段，調整財務隱私權之保護政策。藉由. 36 37. 王澤鑑，同註 2，頁 24。洪榮彬，同註 25，頁 312-313。 16.

(23) 客戶資料庫之建立、分享及傳輸，降低其授信、行銷或其他交易之風險及成本，但個人亦有不受侵犯之隱私領域，如何調和私益與公益間之衝突，並在個人資料保護與金融服務效率間取得平衡，為保護財務隱私權之核心課題38. 第四節小結針對個人資料國際傳輸之限制，在非公務機關間，係為在保護個人資訊隱私、資訊自由流通與營運服務效率三者間取得平衡。若為公務與非公務機關間之國際傳輸，則應考量個人資訊隱私保護之基本權與公務機關自非公務機關取得該等個人資料所為維護之公共利益目的間之平衡，以避免違反比例原則。銀行將客戶之個人資料（包括個人基本資料及其財產或財務資料），因金融交易、營運或法令遵循之需求，傳輸至國外之母行、分子行或提供金融服務之供應商時，如前所述，該等資料之自由流通為全球金融交易發展所需，對銀行日常營運及業務管理確有必要性，自不宜絕對禁止。惟客戶個人資料在傳輸後，若被資料接收者不當管理，進而被不當使用，對客戶個人隱私所造成侵害，亦難以補正，故在國際傳輸個人資料無法被絕對禁止之情況下，對於國際傳輸自應有合理之規範機制，予以適度限制。以金融監理之角度，對客戶個人資料之輸出限制，應重於資料之接收，銀行將當地國之個人資料輸出前，應瞭解資料接收國有關個人資料保護之相關法制及資料接收者對於個人資料是否有妥善之安全管理措施，避免資料遭受損害或濫用，資料傳輸後更應注意資料之處理及使用，是否符合原始傳輸之目的。在當事人權益保護方面，個人資料傳輸後，若被不當使用，而對當事人之權益造成侵害，將涉及跨國法律問題，在資料輸出國之當事人，難以對國外之資料接收者主張其權益之情況下（若其損害可歸責於資料接收者之故意. 38. 王志誠，同註 3，頁 252。 17.

(24) 或過失），對於國際傳輸自應有相關規範，以維護對當事人隱私權益之保護。. 18.

(25) 第三章英國銀行國際傳輸保護規範第一節英國資料保護法英國資料保護法相對於美國採取分散式之立法形式，英國對於個人資料保護之立法與其他歐盟會員國相同，採全面適用式之資料保護法制，將對個人資料之保護統一訂定於單一法律，故英國銀行國際傳輸個人資料所應遵循之規範，以現行 1998 年資料保護法（Data Protection Act, DPA）為主要之法律依據。該法首次訂定公布於 1984 年，並於 1995 年因應歐盟委員會發布「個人資料隱私權保護指令」，故於 1998 年修正資料保護法（Data Protection Act 1998），將歐盟指令納入國內法律，修正後規定於 2000 年 3 月 1 日生效，取代 1984 年資料保護法。資料保護法修正後，由於該次修正將個人資料之保護客體，由「電腦處理之個人資料」擴大為包含「人工資料」，英國政府為避免衝擊過大，故將 1998 年資料保護法分為兩個階段實施，分別於 2001 年 10 月 24 日及 2007 年 10 月 24 日逐步將人工資料納入適用39。本節將就 1984 年及 1998 年英國資料保護法之立法背景及該法中有關資料管理者將個人資料國際傳輸等相關規範進行探討。第一項立法背景英國對於個人資料保護之立法需求，係因應 1970 年起電腦及資訊技術之快速發展，造成對個人隱私之威脅。英國政府鑑於當時現存之法律已不足以處理企業以電子型態持有及處理與個人資料相關資訊所衍生之問題，故開始資料保護法之訂定，立法歷程如下：一、楊格報告書（The Younger Report）. 39. 周慧蓮，英國個人資料保護最新案例發展及其對我國法制之啟示，科技法律透析，頁 55，2005 年 1 月。 19.

(26) 1970 年初英國楊格委員會（the Younger Committee on Privacy）針對電腦及資訊技術發展引發之個人隱私保護議題提出 10 項使用電腦處理個人資料保護之指導原則40。英國政府為回應楊格報告書所提議題，前後共計公布二份白皮書（White Papers），首份白皮書主要檢討公務部門對於個人資料之處理，續後發布之白皮書，英國政府開始思考是否須對個人隱私訂定更進一步之保護規範，以管理公務 41. 及非公務部門對於個人資料之處理，並設立寧得普委員會（Lindop Committee）負責研究相關議題42。二、寧得普報告書（Lindop Report）寧得普委員會成立後於 1978 年發布報告指出由於「楊格報告書已就個人隱私之相關議題提出相關建議。本委員會之工作係針對個人資料保護之問題提出處理意見。事實上，該二領域相有重疊之處，重疊部分可稱為『資訊隱私』（information privacy），或『資料隱私』（data privacy）。本報告中使用『資料隱私』，以代表個人控制與其個人相關資料流通之權利。」該報告中同時建議英國政府應設立專責之資料保護機關（Data Protection Authority），針對不同產. 40. 楊格委員會對於隱私保護提出之 10 項指導原則，包括(1)因特定目的取得之資訊，未經適當授權不得為特定目的外之使用；(2)授權應能限制因特定目的所取得之資訊；(3)資訊之蒐集及持有必須是適當、相關且不超逾該特定目的之最低需求為限；(4)因統計目的，以電腦系統處理之資訊系統應有適當之設計及程式，以將處理中之資料與資料庫中之其他資料予以區分；(5)與當事人間應有適當之約定，持有與當事人相關之資訊時，應能告知當事人；(6)系統中應有一定程度之安全機制，並事先提供使用者明確詳細之說明，包括如何預防資料被故意的濫用或被錯誤的使用；(7)應提供監控系統以協助發現任何違反系統安全性之情形；(8)設計資訊系統之期間，不應將資料儲存於系統中；(9)持有資料之正確性，應有更正錯誤及資訊更新之機制；(10)編碼值判斷時，應採取適當之保護措施（care should be taken in coding value judgments），楊格報告書提出之立法建議，在當時最終未被英國政府所採用。See Peter Carey, supra note 21, at 1-8. 41 Val Collins, Privacy in the United Kingdom：a Right conferred by Europe？, International Journal of Law and Information Technology, Vol. 1 No. 3, 293（1993）. 42 英國政府發布之白皮書中指出使用電腦處理個人資訊的時代已來臨，並提出電腦處理個人資料之 5 項特性，包括(1)有助於龐大資料之處理、記錄及保存於系統中；(2)可從各不同資訊點以簡便及快速之方式取得資料；(3)快速將資料由一個資訊系統傳輸至另一個資訊系統之可能性；(4) 將資料予以合併處理之可能性增加；(5)可將資料儲存、處理及轉換為無法直接閱讀之型態。See Peter Carey, supra note 21, at 1-8. 20.

(27) 業特性訂定資料保護之最佳實務守則，但寧得普報告所提建議，英國政府於當時並未採用43。英國政府開始真正重視個人資料保護之原因，主要憂慮企業因商業活動，產生個人資料國際傳輸之需求時，若英國對於資料保護之立法與各國規範程度差異過大，將對英國資訊流通產生阻礙，進而影響其商業發展，故英國政府對於個人資料保護之立法政策，係基於商業交易需要，而非基於對個人隱私權之保護44。第二項 1984 年資料保護法一、立法過程英國政府在上開立法背景下，雖已開始重視並逐漸推動資料保護之立法，惟直至 1981 年歐洲理事會發布個人資料自動化處理保護公約（the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data），為使英國資料保護之法律能與國際規範一致，避免英國因個人資料保護程度之不足，被其他國家視為非會員國，而限制其資料進行跨國傳輸（含資料之輸出及接收），英國上議院於 1982 年 12 月提出英國第一部之資料保護法案，但該法案因 1983 年之大選而終止，再次修正之法案於 1983 年 7 月提出，最終成為英國 1984 年資料保護法，該法計有 5 節 43 條條文及 4 個附錄，其中附錄一，並明定八項個人資料保護之基本原則45。. 43. Peter Carey, supra note 21, at 1-8. Val Collins, supra note 41, at 292. 45 英國 1984 年資料保護法於附錄一訂有八項資料保護原則：原則一，個人資料之取得及處理，應公平與合法；原則二，個人資料之持有，僅限於一項或多項特定且合法之目的；原則三，因任何目的持有之個人資料於使用及流通時，不得違反該特定目的；原則四，因一項或多項目的持有之個人資料，應適當、相關且不超逾該特定目的；原則五，個人資料應正確，必要時應保持更新；原則六，因任何目的所持有之個人資料，其持有期間不得超出該目的所需之期間；原則七，當事人有權請求(1)不得有不當之遲延或由當事人支付不當之費用，在合理之期間內，得要求資料者告知，其是否持有以該當事人為資料主體之個人資料及取得資料使用者所持有之相關資料、(2) 在適當情形下，當事人有權請求資料予以更正或消除；原則八，個人資料應採取適當之措施，以防止個人資料被未經授權之取用、修改、揭露或毀損，或防止個人資料被意外喪失或毀損。見經社法規譯介叢書 028—英國資料保護法，頁 41-42，1988 年。 44. 21.

(28) 二、1984 年資料保護法國際傳輸之年資料保護法國際傳輸之限制規定限制規定 1984 年資料保護法有關國際傳輸個人資料之規定，主要訂於第 4 條第 3 項 E 款、第 5 條第 2 項 E 款、第 12 條及第 39 條等條文，在該等條文規範下，英國資料保護監理機關透過事先登錄之機制，以控管企業將個人資料進行國際傳輸。（一）事先登錄（第 5 條第 2 項 E 款）事先登錄依據 1984 年資料保護法第 3 條規定為達成該法訂定之目的，英國應設立資料保護登記處（Data Protection Registrar46），負責落實該法之執行。英國之資料使用者（Data Users）若擬將資料直接或間接傳輸至英國以外之國家或地區時，依同法第 4 條第 3 項 E 款規定，資料使用者應將該國家或地區之名稱及相關說明向登記處登錄。除已登錄者外，資料使用者不得直接或間接將其持有之個人資料傳輸至境外或未經登記處核准之國家或地區。（二）禁止傳輸之通知（）（第 12 條）禁止傳輸之通知（Transfer prohibition notices） 1984 年資料保護法第 12 條規定，資料保護登記處若發現資料使用者或已向資料登記處登錄之人，將資料傳輸至非歐洲公約之會員國，且登記處認定該項傳輸可能違反或將導致違反該法所訂之資料保護原則，或資料雖係傳輸至歐洲公約之會員國，惟登記處認定該項傳輸可能將違反該法之資料保護原則，包括資料傳輸之人意圖將資料再傳輸至其他非歐洲公約之會員國，且再傳輸之行為可能違反或最終導致違反任一資料保護原則時，登記處得送達「禁止傳輸之通知」予資料使用者，明定於一定期間之內，完全禁止資料之傳輸（若登記處認為情況特殊，基於緊急之理由，禁止通知並可於送達時，立即生效）。 46. 資料保護登記處為當時英國專責資料保護之主管機關。 22.

(29) 登記處在決定是否發出禁止傳輸通知時，須考慮禁止通知能否防止對任何人之損害或侵害，並應考量英國與其他國家或地區間，對於資料自由傳輸之意願。個人資料傳輸若依據法律、法律相關授權規定或基於任何公約或其他文件，致使英國負有國際傳輸之義務時，則登記處不得發出禁止傳輸之通知。（三）個人資料若原始在英國境外處理，並在境外使用，即使對該等資料之控制（即管理個人資料之資訊內容及使用）係來自英國境內之資料使用者，將不適用國際傳輸個人資料之限制規定。（第 39 條）第三項 1998 年資料保護法一、修法背景修法背景為保護與處理個人資料當事人之隱私權，並調和各會員國間有關資料保護之法律規範，以期各國能在合法處理個人資料之情況下，保護當事人之權利及資料之品質，使各會員國之資料保護法制能維持在相當程度，以利資料於不同會員國間之傳送與接收，故歐盟委員會於 1995 年 10 月發布歐盟指令（Directive 95/46/EC），要求各會員國最遲應於 1998 年 10 月將歐盟指令納入國內法實施。英國為因應歐盟指令之發布於 1998 年 7 月 16 日經立法通過，發布資料保護法，明定該法自 2000 年 3 月 1 日生效。1998 年資料保護法之修正雖為遵循歐盟指令，但該法之規範目的，主要仍為確保個人資訊能被適當使用（資訊隱私），而非為避免或保護對個人所處領域之隱私權之侵犯47。英國上議院在 2003 年 Wainwright v Home Office 一案，指出英國普通法雖沒有就侵犯隱私權自由之行為提供任何程度之認定或保. 47. Richard Morgan and Ruth Boardman, supra note 27, at 235-238. 23.

(30) 護。惟為補救對於隱私權保護之不足，英國法院對於侵犯隱私權之行為（如侵害秘密或公開誹謗等）承認以侵權行為作為訴訟之依據，並擴大其適用範圍48，例如在 Douglsa v. Hello 一案中，英國法院以違反信賴保護（Breach of Confidentiality），肯認隱私本身係屬於來自於個人之自主價值，應受法律之保護49。為維護法律之安定與進步，英國法院採用漸增的方法，擴大對於隱私之保護，雖有學者批評此種方法，不足全面規範個人隱私之保護問題，另歐盟委員會司法部門所發布英國落實歐盟指令之研究報告，亦認為英國對於個人資料之保護，較欠缺憲法上之基礎。然於 1998 年英國已依據歐洲人權公約（Human Rights Convention）發布英國人權法（Human Rights Act 1998），對於個人隱私權之侵犯已予明文限制，肯定隱私為一種憲法上的權利與價值50。二、規定內容 1998 年資料保護法，計有 75 條條文，分為六大部分，包括總則（第 1 條至第 6 條）、資料當事人之權利（第 7 條至第 15 條）、資料管理者之通知（第 16 條至第 26 條）、豁免條款（第 27 條至第 39 條）、執行（第 40 條至第 50 條）及附則（第 51 條至第 75 條），並訂有 16 個附錄（schedules）。為確保資料保護之相關規範能具體落實，英國依據 1998 年資料保護法第 6 條之授權，設有資訊官之制度（Information Commissioner）（同 1984 年資料保護法第 3 條第(1)款(a)之規定），並設立專責之資. 48. Roger K. Baker, Offshore IT Outsourcing and the 8th Data Protection Principle—legal and regulatory requirements—with reference to financial service, International Journal of Law and Information Technology Vol. 14 No. 1, 3-5（2005）. 49 王澤鑑，同註 2，頁 35。 50 同前註，頁 36。 24.

(31) 料保護法庭（Data Protection Tribunal）。在上開法律制度下，英國個人資料保護之基本架構如下51：資訊官 Information Commissioner 報備 notify. 資料處理者. 契約保證 Contractual guarantees. Data Processor. 介入調查及強制執行 Investigation & enforcement. 資料管理者. 符合特定條件下，始可傳輸 Conditions for some transfers. Third Countries. Data Controller 告知資料蒐集及尋求同意 inform, seek consent. 第三國. 請求資料揭露與拒絕資料處理之權利 Subject access, rights to object. 資料當事人 Data Subject. 資訊官依據資料保護法之授權設有獨立之「資訊自由及保護委員會」（Information Commissioner’s Office, ICO），以維護公眾之資訊權、推動公眾團體之資訊公開及個人資料之隱私權，並專責發布處理個人資料之最佳實務、提供各界有關資料保護之建議及相關指引（guidance）；維持各組織內資料管理者有關資訊處理程序之登記，以及協助解決與決定各組織內是否已適當遵循資料保護法，有關個人資料處理之相關規定52。 1998 年資料保護法第二章明定六項資料當事人（data subjects）之權利，包括個人資料近用權（Right of access to personal data）、損 51. David Bainbridge, Data Protection Law 26, Figure 3.1，2005，轉引自李振瑋、江耀國，英國資料保護法中資料所有人權利之研究－－兼論我國個資法之相關規範及案例，中原財經法學，頁 39， 2010 年 6 月。 52 An overview of the Data Protection Act 1998, Information Commissioner Office, available at www.ico.gov.uk（last visited November, 2011）。 25.

(32) 害防止請求權（Right to prevent processing likely to cause damage or distress）、直接行銷拒絕權（Right to prevent processing for purposes of direct marketing）、防止自動化之決定（Rights in relation to automated decision-taking）、損害賠償請求權（Compensation for failure to comply with certain requirements ）、資料之更正、封鎖、刪除與銷毀（Rectification, blocking, erasure and destruction）。其中最重要者，為個人資料近用權，即賦予當事人經由書面申請（或電子方式傳輸），並支付適當費用後，得要求資料管理者提供其是否處理當事人個人資料之相關資訊，包括處理資料之內容、目的及揭露對象等53。近期英國資料保護較具代表性之案例為 2003 年英國上訴法院對 Durant v. FSA 一案之判決54，原告 Durant 先生為巴克萊銀行（Barclays Bank）之客戶，雙方於 1993 年間因故涉訟，Durant 先生敗訴後，陸續於 2000 年至 2001 年間主張依據資料保護法第 7 條個人資料近用權之規定，向英國金融服務總署（Financial Services Authority, 以下簡稱 FSA55）請求其協助取得與上開訴訟案有關之個人資料。上訴法院判決結果認為，參酌歐盟指令修正之資料保護法，其規範目的在於保護個人之基本權，特別是與個人隱私權及保護當事人得以確認資料管理者處理資料之過程，是否有非法侵害其個人隱私，而非幫助當事人取得資料，並對第三人進行訴訟，亦非所有出現當事人名字之資料，皆屬資料保護法之個人資料範圍（須該筆資料之揭露將影響個人隱私或對當事人造成負面效果），本案原告請求之相關資料，不符合資料. 53. 周慧蓮，同註 39，頁 56。針對該判決英國資訊自由及保護委員會（ICO）於 2006 年 2 月發表該判決對於 1998 年資料保護法之影響—The “Durant” Case and its impact on the interpretation of the Data Protection Act 1998。 55 FSA 目前為英國金融服務產業之監理機關，網站：http://www.fsa.gov.uk。 54. 26.

(33) 保護法所稱「個人資料」，自不得主張依據資料保護法第 7 條之規定，取得相關資訊56. 、57. 。. 三、英國資料保護法英國資料保護法之資料保護法之修法重點58 英國 1998 年及 1984 年資料保護法修法前後之差異如下：（一）保護客體納入人工處理之個人資料：1998 年資料保護法將部分人工處理之個人資料納入適用範圍。（二）強化資料處理程序之合法性：增訂處理個人資料之最低門檻要求。（三）增訂敏感性之資料類別（sensitive personal data）：新增敏感性資料之內涵，並明定除符合一定條件外，敏感性資料不得被任意蒐集或處理。（四）修正國際傳輸之限制：除符合一定條件，否則英國應禁止個人資料傳輸至第三國家。（五）強化當事人之權利：包括因非法處理個人資料造成對當事人之損害時，當事人損害賠償之請求權。. 第二節 1998 年資料保護法之年資料保護法之國際傳輸規定料保護法之國際傳輸規定 1998 年資料保護法有關國際傳輸之限制規定，計有附錄一第一部分之資料保護原則八、第二部分解釋何謂原則八所稱符合個人資料保護之適當程度、附錄四有關原則八之豁免規定，以及 ICO 針對原則八發布之「資料保護. 56. 周慧蓮，同註 39，頁 57-58。. 該判決同時指出，英國 FSA 依據 2000 年金融服務與市場法之授權為英國金融服務業之金融監理機關。直至 2001 年該法完全施行前，FSA 係依據 1987 年銀行法執行法定監理權限，在日常監理中，FSA 須自公司、企業及個人取得或收取許多資訊，FSA 依據 2000 年金融服務與市場法第 348 條規定，FSA 對於所取得之資料應負保密義務（1987 年銀行法第 28 條至 85 條亦訂有監理機關保密義務之相關規定，惟該等規定已被 2000 年金融服務與市場法所取代）。惟 FSA 之保密義務，已被 1998 年資料保護法第 27 條(5)之規定所取代。個人資料依同法第 7 條個人資料近用權之規定，要求所有資料管理者包括 FSA，應在金融服務與市場法之有效運作與對個人及第三人隱私權之保護間取得平衡。See Durant v. Financial Services Authority (Disclosure) [2003] EWCA Civ 1746, Court of Appeal (Civil Division), 2003-12-08 (Approx. 41 pages), 2-5（2003）. 58 Peter Carey, supra note 21, at 6-7. 57. 27.

(34) 原則八及國際資料傳輸指引」（ The eighth data protection principle and international data transfers，以下簡稱「國際傳輸指引」）。第一項原則八訂定背景及原則八訂定背景及規定內容背景及規定內容一、歐盟指令歐盟指令 1998 年資料保護法有關國際傳輸之規範，主要參酌歐盟指令第 25 條及第 26 條規定訂定。依據該等條文規定個人資料於歐洲經濟區內（European Economic Area, EEA）得自由傳輸，惟若傳輸至第三國家，為衡平各國資料保護規範程度不一致之情形，應符合相關限制規定，歐盟指令並授權歐盟委員會得發布標準契約範本（Standard Contractual Clauses）及共同約束條款（Binding Corporate Rules, 以下簡稱 BCR），供各國員國使用，規範重點如下：（一）國際傳輸原則國際傳輸原則59（第 25 條） 1、會員國會員國應於國內法訂定會員國應於國內法訂定個人資料國際傳輸應於國內法訂定個人資料國際傳輸相關規範個人資料國際傳輸相關規範：相關規範：會員國將個人資料傳輸至第三國家時，不得違反歐盟指令，並應確保第三國家之個人資料保護法制能符合歐盟指令之資料保護標準。 2、個人資料個人資料輸出之目的地國個人資料輸出之目的地國，輸出之目的地國，須符合歐盟指令之須符合歐盟指令之資料保護指令之資料保護標準資料保護標準：標準：第三國家是否符合歐盟之資料保護標準，資料輸出者應評估整體資料傳輸之作業環境，尤其應考量所傳輸資料之性質、目的、資料處理之所需作業期間、資料來源國及最終目的國、當地國之法律規範（含普通法及特別法）及其落實情形，暨與個人資料有關之安全維護措施等。 3、第三國家之第三國家之個人資料保護第三國家之個人資料保護法制個人資料保護法制，法制，不符合歐盟指令時不符合歐盟指令時之處理：之處理：歐盟委員會或各國會員若認定特定第三國家不符資料保護之標準時，應相互通知，採行必要措施以防止會員國之個人資料向該. 59. 歐盟個人資料隱私保護指令第 25 條。見何金鍾編譯，金融與徵信叢書 No. 24「歐聯資料保護綱領」，財團法人金融聯合徵信中心，頁 69-71，1997 年 6 月。 28.

(35) 特定第三國家進行傳輸。若資料已傳輸，歐盟委員會應採行相關救濟措施，必要時與該第三國家進行協商。對於歐盟委員會決定採行之措施，各會員國應配合辦理。（二）豁免規定 26 條第 1 項）豁免規定（第規定當第三國家經認定對個人資料之保護程度不符合歐盟指令之標準時，會員國得將資料傳輸至該特定第三國家之情形如下60： 1、經當事人明示同意傳輸； 2、履行當事人與資料管理者間之契約約定之所需； 3、為履行當事人與第三人之契約，且該項傳輸有利於當事人； 4、為維護重大公共利益或為在法庭提出、行使或為維護當事人權利之需要； 5、為維護當事人重大利益所必要者； 6、登記處依法律或法令之規定，有將個人資料向社會大眾公開之義務，或提供給特定或不特定之人，公開查閱。（三）資料管理者資料管理者因資料管理者因符合上開例外情形符合上開例外情形國際傳輸上開例外情形國際傳輸個人資料國際傳輸個人資料之處理個人資料之處理（第之處理 26 條第 2 項至第 4 項61） 1、資料管理人應訂定適當安全措施，以保護當事人之隱私、個人自由及基本人權，安全維護措施得於適當之契約條款中訂定。 2、會員國因例外情形須將個人資料國際傳輸時，應通知歐盟委員會及其他員會國。歐盟委員會或其他會員國若認為該項傳輸有損害當事人隱私、自由及基本人權時，得依一定程序採行適當措施，委員會決定採行之措施，各會員國應配合辦理。 3、為確保國際傳輸能符合歐盟指令之規定，歐盟委員會得依一定程序統一訂定標準契約範本，提供會員國使用。. 60 61. 同前註，頁 71-73。同前註，頁 71-73。 29.

(36) 為確保歐盟各會員國居民個人資料及隱私之安全，歐盟指令鼓勵第三國家採用近似於歐盟指令之資料保護規定，以降低國際傳輸之障礙。二、英國資料保護原英國資料保護原則八料保護原則八及則八及其豁免規定（一）原則八— 原則八—國際傳輸原則 1998 年英國資料保護法參照歐盟指令第 25 條規定，於附錄一之原則八明定國際傳輸之限制如下：「個人資料，個人資料，除該處理個人資料除該處理個人資料之國家或地區，之國家或地區，對於當事人對於當事人之個人自由與權利已有適當程度之保護（ adequate level of 禁止傳輸至歐洲經濟區」（European Economic protection））外，禁止傳輸至「歐洲經濟區」（ Area, EEA））以外之國家或地區」以外之國家或地區」。相對於 1984 年資料保護法對於將個人資料自英國輸出，除要求傳輸者應告知登記處（register）其傳輸目的，並於必要時，得發出禁止傳輸通知外，其餘尚未訂定相關限制規定。1998 年資料保護法對於國際傳輸，明定個人資料若計畫輸出至第三國家，除輸出資料之資料管理者能確認該特定第三國家對當事人資訊隱私與自由已有適當程度之保護外，否則該項傳輸將被初步認定為不合法之傳輸行為62。依原則八之規範國際傳輸時，資料管理者須考量的第一個要素為確認該項傳輸是否符合資料保護法「國際傳輸」(transfer)之定義，包括資料接收者位於第三國家及該個人資料之傳輸是否適用原則八之限制（如英國之 A 公司將員工個人資料，傳輸至位於德國之 B 公司，該等資料並經由瑞士（非歐洲經濟區之會員. 62. Peter Carey, supra note 21, at 56. 30.