個資保護1.0

第二章 個資法保護了什麼？
個資法通過施行後，對你我的生活都造成了影響。個人資料保護的意識提升，反應在此次的修正，使我們有更多的權利可以主張，另一方面，相對也加重了政府以及企業的責任。前面一章從較廣的面向認識個資法，接下來，則我們要介紹，究竟個資法保護的內容是什麼。

在進入個資法之前，最先要了解的應該是什麼叫做個人資料？個人資料一直是一個爭執不休的議題。舉例來說，電話號碼是不是個人資料？電話號碼是一連串數字的集合，所以早期並不認為電話號碼是個人資料，但現在新法已經明文規定聯絡方式也是個人資料的一種。由此可知，個人資料的定義是與時俱進，而非一成不變。本章將帶領讀者認識，要具備哪些條件才算是個資法所要保護的個人資料？個人資料檔案定義為何？以及個人資料當中，某些被歸類為「特種個資」的資料，在個資法上究竟有什麼特殊之處？
Q1、什麼是個人資料？

個人資料一詞顧名思義，就是與個人有關的一切資訊。舉凡大家最熟知的姓名、電話、住址等資訊，以至於病歷、學歷、工作履歷等等經歷等等，都可以是所謂的個人資料。舉例而言，個人在申請行動電話時，需要附上雙證件，並填寫姓名、聯絡市話、戶籍地址、帳單地址、身分證號及生日等資料，所以實際上個人資料的範圍十分的廣泛，而不僅限於法條所例示的文字。就個資法上來說，個人資料的定義可以分析如下：

1.與自然人相關

「個人資料」是與人有關的一切資料，凡可以直接或間接連結到特定人的資料，都是個資法所定義的個人資料。但是，究竟什麼樣的人才是個資法中所指的「人」？

在個資法中，只有「自然人」的個資是需要保護的。所謂的「自然人」，即是法律賦予權利以及負擔義務之個人。簡單來說，所謂的自然人就是生存的個人。民法規定人之權利「始於出生，終於死亡」。因此，死亡之後的人不是法律上所稱之人。換句話說，已死亡之個人，其個人資料不屬於個資法所保護。不過，這並非指已死亡之個人就其個人資料權利可主張，而是指無法依個資法來主全權利，此點應特別注意。

以多年前曾轟動一時之誹韓案為例，韓愈第三十九代的直系血親控告某人寫文章指稱韓愈染上風流病，妨害其名譽。如果我們從個資法的角度來看，風流病在個資法的定義上，可將之視為一種個人的醫療資訊。醫療資訊雖是個資法上定義之個人資料，但因為定義中已經說明個資法所保護的個人資料，限自然人之個人資料，因此韓愈的個人資料並不適用個資法加以保護。但是，韓愈的名譽或韓愈親族的名聲還是有其他法條可以加以規範。
另外，法律上所說的人除自然人外，還包括法人。法人是指法律上具有人格的組織，它們就像自然人一樣享有法律上的權利與義務。換言之，法人就是自然人以外，具有權利能力的社會組織。簡單來說，法人並非「人」，而是一個「團體」的代稱。在法律上，我們將法人當作是人，讓它可以和自然人一樣，從事買賣或是其他相關法律行為，負擔一定的責任，享受一定的權利。然而，由於個資法是以個人人格、隱私等專屬於自然人之權利為出發點，因此法人的資料在個資法中並不受到保護。舉例來說，財團法人資訊工業策進會，所在地是台北市大安區XX路XX號，這些資料的內容並不受到個資法所保護。不過，如同前段所說，法人的資料的權利依然可以透過其他法律，例如營業秘密法加以保障。
最後，尚有一點值得釐清。在法人團體登記的相關資料中，通常都會包括其負責人的資料，包括其姓名、電話，甚至還有身分證字號等較為敏感的資料，究竟這是否屬於法人的資料而不在個資法適用範圍內呢？對於法人來說，負責人是誰固然屬於其法人資料的一部分，但是對於負責人本身來說，他所留下的資料只要是專屬於其個人的，例如姓名或是身分證字號，當然是不折不扣的個人資料。

2.資料內容包含：姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料

個人資料的種類，在個資法中明文列舉出的有19種。除此之外，個資法針對個人資料還有一個概括的定義，即「其他得以直接或間接方式識別」之個人資料。所謂「其他得以直接或間接方式識別」之個人資料，將個人資料的範圍擴大。由此可知，個資法想要儘量的把可能成為與「人」有關的資料通通納入規範。從姓名、國民身分證統一編號等直接可以與個人相連結之資料，乃至財務情況、社會活動等與人的作為相關聯的資料，甚或是其他得以直接或間接方式識別該個人之資料都包括在個人資料的範疇內。

所謂「得以直接識別」之個人資料，其資料本身必定具有高度辨識性，可以直接指涉到個人，如上述所舉之姓名、國民分證統一編號等等均屬之。由於這些資料具有直接識別的特性，一旦有問題，容易使當事人之隱私或生命、身體、財產安全有機會遭到侵犯，因此保護此種資料符合個資法的目的，所以「得以直接識別」之個人資料當然屬於個資法中應受保護之資料。

然而，因為社會態樣複雜，有些資料雖未必可以直接可以辨識為某個特定個人，但只要依據蒐集者所持有之其他資料可以互相對照、組合後然後連結到某特定個人時，也有可能使當事人上述權利遭到侵犯，因此這種資料也會被認為是個資法當中所定義的個人資料。這種需要與其他資料對照組合進而連結到特定當事人的個人資料，就是所謂的「得以間接識別」的個人資料。「得以間接識別」之個人資料，有什麼樣具體的例子可以想像呢？以特徵為例，某人在公車上、是男性（性別）、打有領帶（特徵）、帶有眼鏡（特徵）且坐在駕駛座上（特徵），以上各個資料獨立時並無法確認到底是誰，但將上述資料結合起來後，就可以確認到底所指稱的對象為何人。這些資料就是個資法所指之「得以間接識別」的個人資料。又例如電話或地址等資訊，如果結合姓名，也就是電話或住址的所有人時，此時，這些資料之結合可以連結到特定人，因此像是電話或是住址就是「得以間接識別」之個人資料。由於這種「得以間接識別」之個人資料一經揭露仍可以識別當事人是誰，對個人隱私會造成衝擊。所以，個資法也保護了「得以間接識別」之個人資料。

關於「其他得以直接或間接方式識別該個人之資料」實務上有哪一些情況呢？我們以下面這個例子來作討論。

線上遊戲是現在很多人的休閒活動。玩線上遊戲的時候，玩家通常會以ID註冊並使用暱稱在虛擬世界裡行動。ID與暱稱可代表玩家當事人本人，如果以個資法的定義來看，線上遊戲的「暱稱」跟「ID」到底是不是個人資料？

從個資法的角度加以觀察，所謂「得以間接方式接識別」之個人之資料是用來補強「得以直接方式識別」的不足。而當要判斷該個人資料是不是屬於個資法所保護之「得以間接方式接識別」之個人之資料，必須判斷這個資料是不是可藉由投蒐集者所保有之其他資料互相對照、組合、連結然後指涉到某個特定的人。因此，線上遊戲的「暱稱」跟「ID」雖然可能無法直接識別出特定的人，但是透過其他的方式（如遊戲公司的資料庫內有ID或暱稱使用者的真實姓名），如果可以把「暱稱」或「ID」的持有者加以結合得出特定個人時，該「暱稱」跟「ID」就會是個資法所稱的個人資料。

Q2、有沒有不適用個資法之個人資料？
依據個資法所定義出來的個人資料，原則上在蒐集、處理、利用都應該有一定的規範，且都需要被適當的保護。我們接下來要繼續討論，是不是所有屬於個資法定義的個人資料都應該被個資法所規範？

凡與個人有關，得以直接或間接識別個人之資料，都是屬於個人資料的範疇。然而，個人資料在日常生活中，被蒐集、處理、利用的樣態實在多不勝數，上至基於公務或商業之原因，下至人民的一般日常作息，都可能會包含了個人資料。姑且不論個資法是否真的能夠做到滴水不漏的保護到每一種個資的蒐集、處理、利用，但要知道的是，過多的規範，有時可能會使原本避免人格權受侵害的出發點，遭到了扭曲，而因此會對民眾的日常生活帶來不便。
為避免衝擊過鉅，個資法第51條第1項即規定了二種不適用個資法的情形：

1.自然人為單純個人或家庭活動之目的，而蒐集、處理或利用個人資料

自然人因為單純的個人活動或家庭活動，而蒐集、處理或利用個人資料，若是要求其依照個資料法的規範，例如，告知蒐集之目的、取得當事人同意、通知義務，甚至在未履行義務時處以相關罰則等，勢必會造成民眾極大的不便。

什麼樣的個人資料是「自然人為單純個人或家庭活動之目的，而蒐集、處理或利用個人資料」？例如：社群網站Facebook推出的標記功能，可以將個人活動照片上傳，並標記參與活動的朋友。這種屬於社會活動的個人資料，在個資法的定義之中，為個人資料，此點無庸置疑。然而，試想在資訊技術發達的現代，為了分享自己與朋友間的互動，而標記了好友姓名時，這種標記行為提供了好友的個人資料，屬於個人資料利用行為的一種。此時若個資法還是要求人民對於利用個人資料的行為，遵守一定的規範，否則將會被處以高額罰款時，這樣的法律規定豈不造成人民的生活極大的不便利。

此外，現代人分享個人生活的管道很多，我們經常會將聚會活動照片上傳到部落格，而照片中除了自己外，可能亦包括了其他人的個人資料（特徵）。既然牽涉到了其他人的個人資料，在拍照之前是不是應該要對他們進行告知，或者取得書面同意？如果答案是肯定的，你還會想跟朋友拍照嗎？又如，我們為了記下親朋好友的聯絡方式或其他資料，會在手機中保存其連絡方式，甚至以紙本記錄、整理相關的通訊錄等，凡此種種，若是亦適用個資法的規範，其影響可想而知。

正因為個資法所要求的規範較為複雜，影響層面太大，因此，立法者將這種單純為個人目的以及為了家庭活動所蒐集、處理或利用個人資料，排除在個資法的適用範圍之外，以免影響到一般人民的日常生活。但是這並不表示因為個人目的利用資料時，可以完全不用遵守其他保護隱私之基礎法律。近來很多社會新聞中會報導情侶或朋友基於炫耀或報復的心理，將曾拍攝的親密照片放在網站上供他人瀏覽，這樣的行為仍有可能觸犯刑法妨害秘密罪或是侵害當事人人格權而遭到求償，不可不慎！

2.公開場所或公開活動中所蒐集、處理或利用之未與其他個人資料結合之影音資料

在影音記錄設備發達的時代，藉由影音方式蒐集、處理或利用個人資料（影音紀錄中可能包含肖像、聲音個人的特徵，因此亦屬於個人資料）的情形時有所聞，有時是錄製日常生活，例如，出外遊玩時以攝影機拍攝遊玩過程。有時甚至還是依法律規定而為之，例如，刑事訴訟法第100條之1，訊問被告，應全程連續錄音；必要時，並應全程連續錄影。有時則是基於安全或蒐證等理由而為之，例如，街道路口的監視器、個人或商家的監視器等。既然有記錄下個人的特徵（胎記、刀疤、聲紋等）的可能，而個人特徵又屬於個人資料，就會產生適用個資法的可能。

然而，是不是所有錄到的影音資料，都必須遵守個資法的規範？答案是否定的，個資法第51條第1項第2款即規定，公開場所或公開活動中所蒐集、處理或利用之未與其他個人資料結合之影音資料，不適用本法之規定。

舉例來說，現在大多數的街道或店家都應該裝有監視器，這些監視器一天24小時記錄來來往往的行人，這些記錄其實都是當事人的個人的特徵，當然是個資法定義的個人資料。然而，如果使這些監視器錄製的個人資料都受個資法所規範，則表示店家必須針對每天路過的行人，履行其蒐集個人資料時所應盡的義務，比方說告知義務。因此，個資法也排除了這種個人資料，只要是在公開場所所蒐集的，例如路邊監視器錄製的，此時，這種影音資料如果沒有與其他個人資料結合，則這些監視器所錄下的影像即非個資法所規範。但如果警察機關為偵查犯罪，調閱監視器所錄下嫌犯之影音資料，並與其他偵查資料，如該嫌犯的姓名或綽號結合整理成偵查卷宗，則該影音資料於此時便成為應適用個資法之個人資料，應遵守個資法之相關規定。

又例如，今天我們到了知名的遊樂區遊玩，而且很開心的用DV錄下了美好的回憶，然而，由於人潮擁擠，難免會拍到在我們身旁經過的路人甲乙丙丁，對於這些路人甲乙丙丁，雖然我們可能拍下了能夠辨識他們的某個特徵，而有了蒐集個人資料的疑慮。這時候，我們要不要再對路人甲乙丙丁一個個進行告知，或取得其書面同意等等？放心，因為這是在公開場合中所蒐集得來，所以已經不是個資法的範圍。要不然，若是我們要分別對路人甲乙丙丁一個個為告知，或是取得書面同意，試問，我們還有心情拍DV嗎？但如某些報章雜誌所拍攝的路人或社會事件的照片，若在照片說明部分增加了當事人的姓名或其他關於該當事人之介紹時，此時又必須受到個資法的規範！

第二章 個資法保護了什麼？
個資法通過施行後，對你我的生活都造成了影響。個人資料保護的意識提升，反應在此次的修正，使我們有更多的權利可以主張，另一方面，相對也加重了政府以及企業的責任。前面一章從較廣的面向認識個資法，接下來，則我們要介紹，究竟個資法保護的內容是什麼。

在進入個資法之前，最先要了解的應該是什麼叫做個人資料？個人資料一直是一個爭執不休的議題。舉例來說，電話號碼是不是個人資料？電話號碼是一連串數字的集合，所以早期並不認為電話號碼是個人資料，但現在新法已經明文規定聯絡方式也是個人資料的一...

歡迎來到個人資料保護的新紀元在您打開本書的同時，相信您已留意「個人資料保護法」開始上路，同時意識到「個人資料保護」的重要性。隨著人際往來日益頻繁，個人資料被不當蒐集與利用的風險，正大幅地升高，連帶使得個人資料保護，成為國內近期最受關注的焦點。只是，怎麼做好個人資料保護工作，相信也是令許多人頭疼不已的課題。日常生活中，包括您我在內，大多數人同時扮演兩種角色：個人資料的「蒐集者」，以及個人資料的「被蒐集者」。我們蒐集其他人個人資料的原因，可能出自於人際往來的需求，例如與親朋好友相互交換聯絡方式，或是因為工作職務上的因素，使得我們必須大量存取客戶／消費者的個人資料，以便於提供各項服務或助益業務拓展。所以，當我們處在個人資料「蒐集者」角色時，我們的目光，自然而然就落在我們應該如何合法蒐集與利用個人資料，同時做好個人資料檔案的保護工作，並兼顧個人資料的合理運用與保障；相對的，當我們身為個人資料之「被蒐集者」時，我們也應該認識，在個人資料保護法（以下簡稱個資法）底下我們擁有那些權利，如何妥善運用個資法的規定，以確保自身個人資料不致於遭到濫用，以及資料本身的安全無虞。為了妥善保護民眾的權益，避免民眾私密資料遭到濫行蒐集或利用，立法院在2010年4月三讀通過「個人資料保護法」，並且由行政院決定在2012年10月1日起正式施行，國內自此邁入個人資料保護的新紀元。對許多企業與民眾來說，2012年10月上路的「個人資料保護法」，彷彿是一部全新的法律，但不知各位是否知悉，國內早在1995年就已經有一部「電腦處理個人資料保護法」。讓許多人認為個資法是一部全新法律的主要原因，在於原本法律所管理的對象，其實十分有限，並沒有納入所有的行業，所以才會讓部分國人覺得國內終於開始實施個資法了，但實際的情形並非如此。在個資法的規定下，無論您身處公家單位，或是任職於私人企業服務，甚至是單純的個人身分，都是這一部個資法所規範的對象。也因此，認識、掌握個資法，事不宜遲！

敬啟



戴序
在世界經濟論壇2012年全球網路整備度（Networked Readiness）評比中，我國排名全球第11位，在亞洲僅次於新加坡，足見我國已成為重要的網路應用國家。隨著民眾日常生活的e化程度越來越高，經歷多起個人資料外洩案件的震撼教育後，更讓大家正視個人隱私保護的重要性。美國最高法院前首席大法官厄爾華倫（Earl Warren）在1963年的Lopez v. United States 案判決中指出「電子通訊領域的驚人發展，使得個人隱私面臨更大的危險」，可說預見了現今的挑戰。為因應新興資通訊科技對個人隱私權的衝擊，近年亞洲各國致力於個人資料法規調適，例如韓國在2011年制定全新個人資料保護法，今年新加坡、菲律賓及香港亦陸續制定或修正個人資料保護法令。

我國個人資料保護法在2012年10月1日正式上路後，民眾與企業對個資法都有迫切瞭解的需要。除了認識個資法中行政檢查、團體訴訟、最高賠償額2億元等法律效果外；如何遵循與著手個資安全維護計畫、因應當事人權利行使的方式等實質運作與要求，更是刻不容緩。本書作者團隊近年投入個人資料保護法之研究，從事個人資料保護與管理相關制度之輔導與建構，及提供企業或公部門個資法律諮詢服務。在實務參與過程中，深刻了解企業及民眾對於輕鬆易讀的個資法律書籍有著迫切的需求。本書從隱私、個人資料等基本觀念出發，透過問答方式介紹個資法所規範內容、如何蒐集、處理與應用個人資料、當事人權利維護及法律上的罰則等。同時就個人資料安全管理、個人資料風險評估與稽核等事項，如何落實於企業日常管理中加以闡述。最後以小故事的方式，說明違法的民事、刑事及行政責任，能更容易了解如何維護權益及遵循法律。
在個資法全面施行之際，民眾需要認識自身個人資料的合法權益。企業則透過建立內部完善的個人資料保護管理制度，避免違反個資法所造成的損害。另一方面，企業確實遵循個資法更可建立民眾的信賴，有利於交易進行與永續發展。欣見本書之出版，相信經由本書深入淺出的內容，應可讓民眾與企業在個資法的理解與運用有更清楚的認識，使個人資料保護與管理能融入日常生活當中。

行政院研究發展考核委員會副主任委員 戴豪君
中華民國一○一年十二月

歡迎來到個人資料保護的新紀元在您打開本書的同時，相信您已留意「個人資料保護法」開始上路，同時意識到「個人資料保護」的重要性。隨著人際往來日益頻繁，個人資料被不當蒐集與利用的風險，正大幅地升高，連帶使得個人資料保護，成為國內近期最受關注的焦點。只是，怎麼做好個人資料保護工作，相信也是令許多人頭疼不已的課題。日常生活中，包括您我在內，大多數人同時扮演兩種角色：個人資料的「蒐集者」，以及個人資料的「被蒐集者」。我們蒐集其他人個人資料的原因，可能出自於人際往來的需求，例如與親朋好友相互交換聯絡方式，或是...

前言
第一章 認識個人資料保護法
Q1、「隱私」與「個人資料」是不是相同的概念？
Q2、新個資法會不會溯及既往？
Q3、新個資法重點為何？

第二章 個資法保護了什麼？
Q1、什麼是個人資料？
Q2、有沒有不適用個資法之個人資料？
Q3、什麼是個人資料檔案？
Q4、什麼是特種個資？
Q5、「特種個資」有什麼特別規定？

第三章 誰該遵守個資法
Q1、區分「公務機關」與「非公務機關」之理由何在？
Q2、什麼是公務機關？非公務機關？
Q3、不是公務機關也能適用公務機關之規定嗎?
Q4、學校是「公務機關」還是「非公務機關」？
Q5、醫院是「公務機關」還是「非公務機關」？
Q6、公營事業是「公務機關」還是「非公務機關」？
Q7、在國外蒐集、處理、利用之機關是否適用於個資法？

第四章 個人資料的蒐集、處理、利用
Q1、什麼是蒐集、處理、利用？
Q2、什麼條件之下可以蒐集、處理、利用？
Q3、告知義務的內涵為何？
Q4、可不可以不要告知？
Q5、個人資料可以做特定目的外利用嗎?
Q6、書面同意是什麼意思？
Q7、書面一定是紙本嗎？以電子/網路方式蒐集個資，符不符合書面同意之要求?
Q8、利用個人資料行銷時應該注意什麼？

第五章、個人資料的國際傳輸
Q1、什麼類型屬於國際傳輸？
Q2、我國對於國際傳輸有什麼樣的規定？可以把資料傳到國外嗎?
Q3、其他國家如何規範國際傳輸之行為呢？
Q4、目前如果要進行國際傳輸要注意什麼?

第六章、個人資料之委託
Q1、如果委託其他機關進行相關業務，需要把個資交給該公司，在個資法上是否有需要注意的事項?
Q2、個資法第4條的「視同」，是否代表要一起負擔一切責任?
Q3、要如何改變既有的作業，來符合法律的要求?

第七章 當事人權利維護
Q1、個資法提供了什麼權利給個人資料的當事人?
Q2、當事人權利可否由他人代為行使？
Q3、當事人權利行使的對象是誰?
Q4、當事人行使權利時，公務機關、非公務機關應注意什麼事項？
Q5、個人資料之查詢、閱覽、製給複製本有哪些重點？
Q6、什麼是個人資料正確性？誰負擔資料正確之義務？如何才能維護資料之正確呢？
Q7、個人資料之補充、更正有哪些重點？
Q8、個人資料停止蒐集、處理、利用或刪除有哪些重點？
Q9、應以何種方式刪除個人資料？

第八章 個人資料的安全管理法定事項
Q1、完整的個人資料安全維護架構為何？又應該要做到什麼標準才算合法？
Q2、管理專責人員與資源分配之重點為何？
Q3、何謂界定個人資料的範圍？
Q4、如何進行個人資料之風險評估及設計對應之管理機制？
Q5、如何將個資管理程序落實於日常業務中？
Q6、若不幸發生個資外洩或毀損之事故時，要怎麼做？
Q7、如何進行認知宣導及教育訓練？
Q8、何謂資料安全稽核機制？
Q9、為何要保存使用紀錄、軌跡資料及證據？
Q10、如何進行個人資料安全維護之整體持續改善？

第九章 行政檢查、損害賠償、行政罰則與刑事責任
Q1、誰可以來做行政檢查？
Q2、行政檢查發動要件與內容？
Q3、行政檢查時會發生什麼事？有什麼救濟管道？
Q4、被檢查到違反個資法時，會如何處罰？
Q5、什麼情況下，需要負損害賠償責任？損害賠償數額有沒有限制？
Q6、「團體訴訟」是什麼？
Q7、除了賠償之外，違反個資法有什麼樣的罰則？有沒有刑事責任？
個資小故事
附錄
個人資料保護法
個人資料保護法施行細則

前言
第一章 認識個人資料保護法
Q1、「隱私」與「個人資料」是不是相同的概念？
Q2、新個資法會不會溯及既往？
Q3、新個資法重點為何？

第二章 個資法保護了什麼？
Q1、什麼是個人資料？
Q2、有沒有不適用個資法之個人資料？
Q3、什麼是個人資料檔案？
Q4、什麼是特種個資？
Q5、「特種個資」有什麼特別規定？

第三章 誰該遵守個資法
Q1、區分「公務機關」與「非公務機關」之理由何在？
Q2、什麼是公務機關？非公務機關？
Q3、不是公務機關也能適用公務機關之規定嗎?
Q4、學校是「公務機關」還是「非公...