12.個人資料保護法的基本概念

許多研究者需要向研究對象蒐集資料，若研究者在進行研究時，涉及自然人（也就是一般人）的個人資料蒐集、處理及利用，應受《個人資料保護法》（以下簡稱《個資法》）規範。因此，研究者有必要了解《個資法》的相關規定，以避免觸犯法律。 本單元將介紹《個資法》的基本規定，包括《個資法》規範的對象、範疇、禁止蒐集的個人資料、蒐集個人資料時應告知當事人的事項、當事人可主張的權利，以及蒐集、處理、利用個人資料的要件等，將可協助研究者了解並遵守《個資法》的規定。

單元目標

本單元介紹《個資法》的基本觀念，幫助學習者達到以下目標： 1.理解《個資法》的適用範圍。 2.理解《個資法》的基本概念。 3.理解《個資法》有關蒐集、處理與利用個人資料之相關規範。

1.《個資法》的規範對象

我國《個資法》於2010年5月26日修正，同年10月開始施行，其中第1條即規定： 「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」 由此立法目的觀之，《個資法》除為保障個體對個人資料的「人格權」外，其更強調對個人資料的「合法」、「合理」的蒐集、處理及利用，以徹底落實任何個體對個人資料的「資訊隱私權」。此外，個資法進一步擴大適用的範圍，將「公務機關」與「非公務機關」納入規範對象，且含括透過電腦或非自動化方式獲取的個人資料。（蕭家捷、賴文智，2013：4、6）。

有關「公務機關」的定義，依據《個資法》第2條第7款規定： 「指依法行使公權力之中央或地方機關或行政法人。」 而「非公務機關」，同法第2條第8款規定：「指前款以外之自然人、法人或其他團體。」

由此條文得知，「公務機關」是指依法可以行使公權力行為的組織或個人，包括行政機關、受委託行使公權力的個人或團體、行政法人等。關於「非公務機關」，只要不在「公務機關」的範圍內，就是「非公務機關」，如個人、公司、團體等（劉佐國、李世德，2012：22-23）。

《個資法》所規範的個人資料

根據《個人資料保護法施行細則》（以下簡稱《個資法施行細則》）第2條規定：「個人，指現生存之自然人。」，而有關個人資料中的「病歷」、「醫療」、「基因」、「性生活」、「健康檢查」、「犯罪前科」、「得以間接方式識別」等概念，則規範於《個資法施行細則》第3、4條。

《個資法施行細則》第3、4條 「病歷」：指《醫療法》第67條第2項所列之各款資料。 「醫療」：指病歷及其他由醫師或其他之醫事人員，以治療、矯正、預防人體疾病、傷害、殘缺為目的，或其他醫學上之正當理由，所為之診察及治療；或基於以上之診察結果，所為處方、用藥、施術或處置所產生之個人資料。 「基因」：指由人體一段去氧核醣核酸構成，為人體控制特定功能之遺傳單位訊息。 「性生活」：指性取向或性慣行之個人資料。 「健康檢查」：指非針對特定疾病進行診斷或治療之目的，而以醫療行為施以檢查所產生之資料。 「犯罪前科」：指經緩起訴、職權不起訴或法院判決有罪確定、執行之紀錄。 「得以間接方式識別」：指保有該資料之公務或非公務機關僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人。

舉例而言，某公司內的甲部門有六名員工，其中男性的員工有五位及女性的員工有一位。有一份報告資料並沒有記載姓名，但卻載明甲部門女性員工的教育及財務狀況，由於甲部門只有一名女性員工，因此，該教育及財務狀況的個人資料可透過間接方式識別該女性員工；因此，該公司應更謹慎保護個人資料的隱私性（劉佐國、李世德，2012：18-19）。

3.《個資法》所禁止的資料蒐集種類

《個資法》第6條第1項 有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限： 1.法律明文規定。 2.公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。 3.當事人自行公開或其他已合法公開之個人資料。 4.公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且經一定程序所為蒐集、處理或利用之個人資料。

該法之規範，實乃 考量「醫療」、「基因」、「性生活」、「健康檢查」、「犯罪前科」等個人資料是屬於敏感性資料，若對該等資料的蒐集、處理或利用，恐怕會對個人產生重大的危害與畏懼，因此， 必須嚴格規範此等敏感性資料之蒐集、處理及利用行為（劉佐國、李世德，2012：37）。因此，由法條的內容觀之，關於醫療、基因、性生活、健康檢查及犯罪前科的個人資料，原則上是不得蒐集、處理或利用，只有在例外的情況下才可以為之。須注意的是，《個資法》已於2012年10月1日施行，然而本條的施行日期，是由行政院另外定之。

4.蒐集個人資料的告知事項及方式

向當事人蒐集個人資料的告知事項

由上述法條所載，「公務機關」或「非公務機關」向本人蒐集個人資料時，原則上應明確告知上述法定事項之內容，只有在例外的情形，才能免除告知的義務。

非向當事人蒐集個人資料的告知事項 《個資法》第9條第1項規定：「公務機關或非公務機關依第15條或第19條規定 蒐集非由當事人提供之個人資料，應於處理或利用前，向當事人告知個人資料來源及前條第1項第1款至第5款所列事項。」

《個資法》第9條第2項規定，有下列情形之一者，可以免為告知義務： 1.有第8條第2項所列的情形之一。 2.個人資料已由當事人自行公開或其他已合法公開，如自己在部落格公開個人資料。 3.不能向當事人或其法定代理人告知的情形，例如本人或其法定代理人因病昏迷(劉佐國、李世德，2012：54)。 4.基於公共利益目的之必要所為的統計或學術研究，並且該資料經處理後或揭露方式，無法知悉特定的當事人。 5.大眾傳播業者基於公益目的而蒐集個人資料。

向當事人以外的第三人蒐集個人資料，依上述法條內容，除了告知第8條第1項第1款至第5款所列事項外，還要告知 當事人個人資料來源，使當事人知悉其個人資料是否被合法蒐集，以採取防範行動，維護其權益（劉佐國、李世德，2012：52）。 然而具有以下情形之一者，則不需要告知： 1.具有第8條第2項所列情形之一。 2.已公開的個人資料。 3.無法告知。 4.基於公共利益或學術研究之必要，並且該資料無從識別特定當事人。 5.大眾傳播業者為公共利益的新聞報導。

5.本人對個人資料的權利 為落實保障資料本人對其個人資料有自決權，《個資法》第3條規定，本人就其個人資料行使下列權利：「1.查詢或請求閱覽。2.請求製給複製本。3.請求補充或更正。4.請求停止蒐集、處理或利用。5.請求刪除。」並且不得預先拋棄或以特約限制之（劉佐國、李世德，2012：28）。 也就是說身為 個資的所有人，依照《個資法》的規定，可以向蒐集研究資料的研究者請求查詢、閱覽、複製本、補充或更正個人資料，也可要求研究者停止蒐集、處理或利用個資，甚至可以請求刪除資料，而且研究者不得要求個資所有人拋棄或限制個人資料行使的權利。此外，其中在查詢、請求閱覽、製給複製本方面，公務機關或非公務機關可以酌收必要成本費用（《個資法》第14條）。又為避免國家或公共利益或其他第三人之權益因本人行使上述權利而受損害，《個資法》第10、11條明文限制本人權利行使（劉佐國、李世德，2012：29）。

6.蒐集、處理個人資料時的注意事項

所謂「蒐集」，依《個資法》第2條第3款規定，「是指以任何方式取得個人資料。」至於「處理」，同條第4款規定，「是指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。」關於蒐集、處理個人資料的要件，依蒐集處理者的不同，而有不同的條件內容，以下分別說明公務機關與非公務機關蒐集處理個人資料所應具備的要件。

公務機關蒐集、處理個人資料的要件 《個資法》第15條規定，「公務機關對個人資料之蒐集或處理，除第6條第1項所規定資料外，應有特定目的，並符合下列情形之一者：1.執行法定職務必要範圍內。2.經當事人書面同意。3.對當事人權益無侵害。」

公務機關對個人資料之蒐集或處理之要件

由法條規定得知，公務機關欲蒐集或處理個人資料，必須具備兩個要件： （一）要有特定目的 有關特定目的之項目，《個人資料保護法之特定目的及個人資料的類別》有詳細規定，如戶政機關為「戶政」目的而蒐集人民的戶籍資料(劉佐國、李世德，2012：74)。 （二）屬於以下三種情況之一 1. 執行法定職務必要範圍內 所謂「法定職務」，依《個資法施行細則》第10條規定，是指於下列法規中所定公務機關之職務： 1.法律、法律授權之命令。 2.自治條例。 3.法律或自治條例授權之自治規則。 4.法律或中央法規授權之委辦規則。

至於「必要性」，學者許文義（2001：234-235）認為應符合「比例原則」，並且在具體個案中予以判斷。舉例而言，稅捐機關依法規所定的職務，在必要範圍內，可蒐集處理納稅義務人申報的所得資料(劉佐國、李世德，2012：75)，像納稅人需要減免稅捐時，就可能會提出相關就醫紀錄等予稅捐機關。

2. 當事人書面同意 依據《個資法》第7條第1項規定， 「當事人經蒐集者告知本法所定應告知事項後，所為允許之書面意思表示。」 換言之，須先經蒐集者合法告知後，當事人所為的書面同意才會有效（蕭奕弘，2012：110）。 須注意的是，依《個資法施行細則》第14條，若該書面的意思表示，符合電子簽章法的規定，可以電子文件為之。

3. 沒有侵害當事人的權益 舉例而言，如果某公立學校基於教育行政目的蒐集了學生的個人資料，卻也順便蒐集學生的指紋，這個指紋是與教育行政無關的資料，此時，該公立學校蒐集學生的個人資料已侵害學生的資訊隱私權，這樣的蒐集是不被允許的。

非公務機關蒐集、處理個人資料的要件 根據《個資法》第19條第1項規定，非公務機關要蒐集或處理個人資料，必須具備兩個要件：

（一）需有特定目的 有關特定目的之項目，《個人資料保護法之特定目的及個人資料的類別》有詳細規定，例如研究者為學術目的而蒐集處理個人資料。

（二）需屬於以下七種情況之一 1.法律明文規定

所謂「法律」，根據《個資法施行細則》第9條，指法律或法律具體明確授權之法規命令。

2.與當事人有契約或類似契約之關係

所謂「契約關係」，《個資法施行細則》第27條第1項規定：「包括本約，及非公務機關與當事人間為履行該契約，所涉及必要第三人之接觸、磋商或聯繫行為及給付或向其為給付之行為。」 例如公司（雇主）與員工（受僱人）間，公司因僱傭契約而蒐集處理員工個人資料(劉佐國、李世德，2012：91)。

至於「類似契約之關係」，《個資法施行細則》第27條第2項，指下列情形之一者：「1.非公務機關與當事人間於契約成立前，為準備或商議訂立契約或為交易之目的，所進行之接觸或磋商行為。2.契約因無效、撤銷、解除、終止而消滅或履行完成時，非公務機關與當事人為行使權利、履行義務，或確保個人資料完整性之目的所為之連繫行為。」 舉例而言，人民向銀行申請貸款，銀行在貸款契約發生效力之前，會先查核貸款人的個人資料，即是基於類似契約的關係所為的行為（劉佐國、李世德，2012：91）。

3.當事人自行公開或其他已合法公開之個人資料 所謂「當事人自行公開」，依照《個資法施行細則》第13條第1項，「指當事人自行對不特定人或特定多數人揭露其個人資料」。至於「已合法公開之個人資料」，同條第2項規定，「指依法律或法律具體明確授權之法規命令所公示、公告或以其他合法方式公開之個人資料。」

4.學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人

「資料經過處理後或依其揭露方式無從識別特定當事人」，依據《個資法施行細則》第17條，指個人資料以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人。

5.當事人書面同意 依據《個資法》第7條第1項規定，「當事人經蒐集者告知本法所定應告知事項後，所為允許之書面意思表示。」換言之，須先經蒐集者合法告知後，當事人所為的書面同意才會有效（蕭奕弘，2012：110）。 須注意的是，依《個資法施行細則》第14條，若該書面的意思表示，符合電子簽章法的規定，可以用電子文件為之。

6.有關公共利益

新聞報導在陳述事實時，往往會蒐集到個人資料，然而其蒐集行為卻不符合上述1-6所列情形，因此，將其納入本款處理，得以在基於公益情況下蒐集個人資料。須注意的是，公共利益是不確定的法律概念，在適用本款時，應謹慎為之，不可過度侵犯當事人權益（劉佐國、李世德，2012：93）。 例如，番茄日報為報導黑心油造成人體傷害的案例，對於被傷害者資料的蒐集與處理，是基於新聞報導的特定目的，並且是為告知消費大眾有關黑心油的資訊，此與公共利益有關，這樣的蒐集個人資料是被允許的。

7.個人資料取自於一般可得之來源，並且個人對該資料沒有更值得保護之重大利益者

所謂「一般可得之來源」，根據《個資法施行細則》第28條，是指透過大眾傳播、網際網路、新聞、雜誌、政府公報及其他一般人可得知悉或接觸而取得個人資料之管道。

7.利用個人資料時的注意事項

關於「利用」的意義，依《個資法》第2條第5款規定：「指將蒐集之個人資料為處理以外之使用。」有關利用個人資料的要件，依蒐集處理者的不同，而有不同的條件內容，以下將說明公務機關與非公務機關利用個人資料所應具備的要件。

公務機關利用個人資料的要件 根據《個資法》第16條規定，公務機關要利用個人資料，必須具備兩個要件： （一）須在法定職務必要的範圍 關於「法定職務」，依《個資法施行細則》第10條， 指於下列法規中所定公務機關之職務： 法律、法律授權之命令。 自治條例。 法律或自治條例授權之自治規則。 法律或中央法規授權之委辦規則。

例如：研究者申請科技部計畫，科技部可以蒐集申請人之聯絡資料、學歷、專長、過去著作等，但不能蒐集與計畫需求無關之申請人體檢報告。

（二）須符合蒐集的特定目的 但若有下述七種情形之一，可以為特定目的外的利用： 1.法律明文規定 所謂法律，《個資法施行細則》第9條規定，指法律或法律具體明確授權之法規命令。 2.為維護國家安全或增進公共利益 根據法律司字第1000700819號函釋(法務部，2012)： 市政府（人事單位）提供其基於人事管理之個人資料予政風機構，雖屬特定目的外之利用，惟其利用係為協助政風機構達成『整飭官箴、杜絕貪腐』維護公務執行之『公正廉潔』，……所定「增進公共利益」之情形。

3.為免除當事人之生命、身體、自由或財產上之危險 例如當事人發生車禍陷於昏迷，警察為做緊急處理，於是向監理機關查詢該昏迷者的個人資料。該監理機關提供的個人資料，是為免除當事人的危險，而就當事人的個人資料為特定目的外的利用(劉佐國、李世德，2012：80)。 4.為防止他人權益之重大危害 公務機關利用個人資料是基於特定目的外之使用，然而是為避免個人以外的第三人發生權益受到重大危害的情況，該特定目的外之利用是可以被允准的。

5.公務機關或學術研究機構基於公共利益為統計或學術研究而有必要， 且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人 所謂「資料經過處理後或依其揭露方式無從識別特定當事人」，依據《個資法施行細則》第17條，指個人資料以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人。 6.有利於當事人權益 舉例而言，某縣市政府社會局欲對於滿70歲以上的老人給付年金，請戶政機關提供該等老人人口的個人資料，戶政機關給社會局的個人資料，屬於特定目的外的利用，然而是有利於當事人權益的利用，所以是被允許的(劉佐國、李世德，2012：82)。

7.經當事人書面同意 所謂「書面同意」，根據《個資法》第7條第2項規定：「指當事人經蒐集者明確告知特定目的外之其他利用目的、範圍及同意與否對其權益之影響後，單獨所為之書面意思表示。」

非公務機關利用個人資料的要件 《個資法》第20條第1項 非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用： 法律明文規定。 為增進公共利益。 為免除當事人之生命、身體、自由或財產上之危險。 為防止他人權益之重大危害。 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。 經當事人書面同意。 由法條內容得知，非公務機關要利用個人的資料，原則上必須在蒐集的特定目的必要範圍內，只有於法律規定的六種例外情形，才可以為特定目的外之利用，而該例外情形大致與上述公務機關的規定內容相同。

結語

在社會生活當中，每個人的個人資料無法避免地會留在公領域（如公家機關）或私領域（如公司或他人）內，當這些個人資料沒有被適當控管，將使個人的身分曝露在大眾中，可能影響個人的人格發展、自主性、以及隱私（李震山，2004：75）；甚至若有不肖人員利用這些個人資料，將對個人生活造成嚴重威脅。因此，《個資法》建立一套對個人資料保護的規範，以保障個人資料被合法與合理地蒐集、處理、利用。由於《個資法》對於一般人蒐集、處理、利用個人資料也予以規範。因此，研究者進行研究時，無論是蒐集、處理、與利用個人資料，也必須符合《個資法》的相關規定，而且要妥慎地處理與保管個人資料，否則，將違反《個資法》的相關規定，而受到罰金、自由刑的處罰或者負擔他人所受損害的賠償，並且也將影響他人對自己研究的信賴，而摧毀自身的學術聲譽。所以，研究者應審慎蒐集、處理、與利用他人的個人資料，並妥善處理與保管之。

中文參考文獻 李震山（2004）。「電腦處理個人資料保護法」之回顧與前瞻。中正法學集刊，14，35-82。 法務部（2012）。中華民國101年1月20日法律司字第1000700819號函。http://mojlaw.moj.gov.tw/LawContentExShow.aspx?ShowType=E&LawID=&LawNo=&ItemID=22180&KeyWord= 許文義（2001）。個人資料保護法論。臺北市：三民。 劉佐國、李世德（2012）。個人資料保護法釋義與實務—如何面臨個資保護的新時代。臺北市：碁峰資訊。 蕭奕弘（2012）。個人資料保護法之研究。臺北市：司法院。 蕭家捷、賴文智（2013）。個人資料保護法Q&A。臺北市：元照。

法規

人體研究法（民國100年12月28日） 民法（民國18年5月23日） 個人資料保護法（民國84年8月11日） 個人資料保護法實施細則（民國85年5月1日） 個人資料保護法之特定目的之個人資料的類別（民國85年8月7日）