Embed Size (px)
Citation preview
1
個人資料保護法修法因應
明沂律師事務所
簡榮宗律師
(上海)華東政法大學 法學博士研究
國立台灣大學會計暨決策 EMBA研究
3
隱私基本概念
隱私的定義
讓一個人不被打擾，安靜獨處生活的權利（the
right to be let alone)
隱私就是保護一個人在其不願意的情形下不被他人接近或接觸，無論是實際的身體接觸或是對個人資料的接觸
資訊隱私權（資訊自決權）：對自身所有資料的控制權，個人資料非經本人允諾，不得任意蒐集、儲存、利用與傳遞
4
大法官針對隱私的解釋
隱私權雖非憲法明文列舉之權利，惟基於人性尊嚴與個人主體性之維護及人格發展之完整，並為保障個人生活秘密空間免於他人侵擾及個人資料之自主控制，隱私權乃為不可或缺之基本權利，而受憲法第二十二條所保障。（大法官會議釋字第585號）
就個人自主控制個人資料之資訊隱私權而言，乃保障人民決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並保障人民對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權。（大法官會議釋字第603號）
55
個人資料保護法制最新發展
個人資料保護法立、修法沿革
1993年，行政院研擬完成「電腦處理個人資料保護法」草案，並送請立法院審議
1995年，立法院三讀通過「電腦處理個人資料保護法」草案，同年總統公布施行
2005年，法務部研擬完成「電腦處理個人資料保護法」草案，並將法規名稱改為「個人資料保護法」，並送請立法院審議
2010年4月27日立法院三讀通過個人資料保護法，總統府並於5月26日正式公告新法(惟施行日期仍待行政院訂之)
6
法規適用
時間 法規適用 重要規定
現在～
100年12月1日不適用個人資料保護法
99年7月1日～100年12月1日(網際網路業)
須遵循「電腦處理個人資料保護法」規定
當事人權行行使(第3條)
蒐集處理之限制(第18條)
正當蒐集與處理行為(第19條)
利用之限制(第23條)
100年12月1日之後
須遵循「個人資料保護法」規定
當事人權利行使(第4條)
正當蒐集與處理行為(第19條)
特種資料(第6條)
告知義務(第8,9,12條)
首次行銷之表示拒絕接受(第20條)
新法第56條第1項規定「新法施行日期由行政院訂之」
100年12月1日為假定之日期
7
個人資料保護法 電腦處理個人資料保護法
第五十六條 本法施行日期，由行政院定之。
現行條文第十九條至第二十二條及第四十三條之刪除，自公布日施行。
前項公布日於現行條文第四十三條第二項指定之事業、團體或個人應於指定之日起六個月內辦理登記或許可之期間內者，該指定之事業、團體或個人得申請終止辦理，目的事業主管機關於終止辦理時，應退還已繳規費。已辦理完成者，亦得申請退費。
前項退費，應自繳費義務人繳納之日起，至目的事業主管機關終止辦理之日止，按退費額，依繳費之日郵政儲金之一年期定期存款利率，按日加計利息，一併退還。已辦理完成者，其退費，應自繳費義務人繳納之日起，至目的事業主管機關核准申請之日止，亦同。
第五十五條 本法施行日期，由行政院定之。
8
個人資料保護法整體架構
第一章 總則
第二章公務機關之資料處理對個人資料之蒐集、處理及利用
第三章非公務機關之資料處理對個人資料之蒐集、處理及利用
第四章 損害賠償及團體訴訟
第五章 罰則
第六章 附則
99
新舊法比較(一)
舊法所保護個人資料，應具備下列兩個要件：1.必須為經電腦處理的個人資料 :(1) 第1條規定，為規範「電腦」處理個人
資料，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。(2) 第3條第2款規定，個人資料檔案，指
基於特定目的儲存於電磁紀錄物或其他類似媒體之個人資料之集合。2.該等資料須足以識別該個人之資料 :第3條第1款規定，所保護之個人資料包括：姓名、生日、身分證字號、特徵、指紋、婚姻、家庭、教育、職業、健康、病歷、財務狀況等，所有足以識別該個人之資料
新法名稱修正為“個人資料
保護法”,並擴大保護客體到非電腦處理之個人資料的保護。第2條第2款規定個人資料檔案：指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合。
保護客體的不同
10
保護客體
– 新法：個人資料
– 舊法：電腦處理之個人資料
保護客體(個人資料)
規範對象
(公務機關)
規範對象
(非公務機關)
當事人
個人資料蒐集、處理與利用
保護客體的不同
11
保護客體
– 當事人之個人資料 [包括人工資料]
當事人
指個人資料之本人
現行法上所稱之當事人，以自然人為限，不包括法人之資料 (公司法、營業秘密法等)
自然人又以尚生存之自然人為限，不包括死亡者之個人資料
保護客體
12
個人資料保護法 電腦處理個人資料保護法
第二條 本法用詞，定義如下：
一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。
(下略)
第三條 本法用詞定義如左：
一、個人資料：指自然人之姓名、出生年月日、身分證統一編號、特徵、指紋、婚姻、家庭、教育、職業、健康、病歷、財務情況、社會活動及其他足資識別該個人之資料。
(下略)
個人資料的定義
13
個人資料保護法 電腦處理個人資料保護法
第六條 有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：
一、法律明文規定。
二、公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。
三、當事人自行公開或其他已合法公開之個人資料。
四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且經一定程序所為蒐集、處理或利用之個人資料。
前項第四款個人資料蒐集、處理或利用之範圍、程序及其他應遵行事項之辦法，由中央目的事業主管機關會同法務部定之。
新法增訂舊法所無之「特種資料」概念特種資料
14
受規範之主體
– 公務機關
– 非公務機關
保護客體
(個人資料)
規範對象(公務機關)
規範對象(非公務機關)
當事人
個人資料蒐集、處理與利用
15
受規範主體的不同
電腦處理個人資料保護法
公務機關
依法行使公權力之中央或地方機關
非公務機關
公務機關以外之事業、團體或個人
徵信業及以蒐集或電腦處理個人資料為主要業務之團體或個人。
醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業。
其他經法務部會同中央目的事業主管機關指定之事業、團體或個人
16
新法(個人資料保護法)
公務機關：指依法行使公權力之中央或地方機關或
行政法人
非公務機關：指前款以外之自然人、法人或其他團
體 (新法已取消行業別之限制)
受委託者：受公務機關或非公務機關委託蒐集、處
理或利用個人資料者，於本法適用範圍
內，視同委託機關
受規範主體的不同
17
受規範行為
– 蒐集
– (電腦)處理
– 利用
– 國際傳輸(非公務機關) 保護客體
(個人資料)
規範對象(公務機關)
規範對象(非公務機關)
當事人
個人資料蒐集、處理與利用
受規範的行為
18
電腦處理個人資料保護法之操作
電腦處理個人資料保護法下之定義
– 蒐集
指為建立個人資料檔案而取得個人資料(第3條第4款)
– 電腦處理
指使用電腦或自動化機器為資料之輸入、儲存、編輯、更正、檢索、刪除、輸出、傳遞或其他處理 (第3條第3款)
– 利用
指公務機關或非公務機關將其保有之個人資料檔案為內部使用或提供當事人以外之第三人 (第3條第5款)
– 國際傳遞
未作定義
19
新「個人資料保護法」下之操作
蒐集：指為建立個人料檔案而取得個人資料
直接向當事人蒐集間接從第三人取得
處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送
利用：指將蒐集之個人資料為處理以外之使用
國際傳輸：指將個人資料作跨國（境）之處理或利用
機關內部之資料傳送 (資料處理)
將資料提供當事人以外之第三人 (資料利用)
指以任何方式取得個人資料
新法調整部分用語，並增訂國際傳輸之定義
20
新「個人資料保護法」下之操作
合法之個人資料蒐集/處理 公務機關之蒐集/處理(§15)
執行法定職務所必要範圍內經當事人書面同意對當事人權益無侵害
非公務機關之蒐集/處理(§19)須有特定目的並符合下列事項之一:法律明文與當事人有契約或類似契約關係當事人自行公開或其他已合法公開學研機構基於公共利益為學術或統計必要，資料並經提供者處理後或蒐集者依其揭露方式無從識別當事人經當事人書面同意
適當之安全措施 公務機關：專人辦理(§18) 非公務機關：適當安全措施.安全
維護計劃(§27)
特定範圍外之利用– 公務/非公務機關相同條件部分：
法律明文免除他人生命、身體、自由、財產之危險
防止他人權益之重大危害公務/學研機構為學術或統計必要並經特殊處理
當事人書面同意– 個別特殊條件：
公務機關：– 維護國家安全/增進公共
利益– 有利於當事人權益
非公務機關：– 特定目的外之行銷，當
事人表示拒絕接受，應即停止利用其個資行銷
– 須提供首次行銷當事人得拒絕接受之方式，並支付所需費用
21
當事人之權利
– 請求查詢、閱覽
– 請求製給複製本
– 請求補充或更正
– 請求停止處理或利用
– 請求刪除 保護客體
(個人資料)
規範對象
(公務機關)
規範對象
(非公務機關)
當事人
個人資料蒐集、處理與利用
當事人之請求權
當事人之請求權
不得預先拋棄或以特約限制之
當事人之權利
22
責任規範
– 民事賠償
– 刑事責任
– 行政處罰
保護客體(電腦處理之個人資料)
規範對象(公務機關)
規範對象(非公務機關)
當事人
個人資料的蒐集、處理與利用
民事賠償、刑事責任、行政處罰
責任規範
23
個人資料保護法 電腦處理個人資料保護法
第二十八條 公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。
被害人雖非財產上之損害，亦得請求賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分。
依前二項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件新臺幣五百元以上二萬元以下計算。
對於同一原因事實造成多數當事人權利受侵害之事件，經當事人請求損害賠償者，其合計最高總額以新臺幣二億元為限。但因該原因事實所涉利益超過新臺幣二億元者，以該所涉利益為限。
同一原因事實造成之損害總額逾前項金額時，被害人所受賠償金額，不受第三項所定每人每一事件最低賠償金額新臺幣五百元之限制。
第二項請求權，不得讓與或繼承。但以金額賠償之請求權已依契約承諾或已起訴者，不在此限。
第二十七條 公務機關違反本法規定，致當事人權益受損害者，應負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。
被害人雖非財產上之損害，亦得請求賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分。
前二項損害賠償總額，以每人每一事件新臺幣二萬元以上十萬元以下計算。但能證明其所受之損害額高於該金額者，不在此限。
基於同一原因事實應對當事人負損害賠償責任者，其合計最高總額以新臺幣二千萬元為限。
第二項請求權，不得讓與或繼承。但以金額賠償之請求權已依契約承諾或已起訴者，不在此限。
責任規範
24
個資法通過後之影響評估 共通影響
– 現行各組織體蒐集、處理、利用個資之機制需要配合調整
個資特定目的規範強化、當事人書面同意與告知義務要求，將影響現行公務與非公務機關蒐集、處理、利用個人資料之流程與管理機制
公務機關– 特種資料之蒐集處理利用規範需由各中央目的事業主管機關自行訂定
– 目的事業主管機關輔導責任與壓力提高
非公務機關適用行業範圍擴大、行政檢查權及裁罰金額之提高、以及目的事業主管機關指定特定事業訂定個資安全維護計畫及服務終止個資處理方法等責任，將增加輔導之責任與壓力。
– 無過失責任使得機關內部管理規則之建立與專人責任之強化成重點
非公務機關– 未適用舊法之非公務機關，將需重新建立內部個人資料管理制度與流
程，已符合法制要求並降低風險
– 適當安全措施之要求，將提高產業進行個資保護必要投入之成本
– 個資保護法律責任風險提高，如何有效舉證釐清關聯業者所負責任，有其重要性
25
首要步驟：盤點保有之個人資料– 個人資料取得來源– 資料種類– 特定目的– 有無設定保存期限
建立適當之資料安全機制– 對於個人資料傳輸、儲存、處理等流程，建立適當之資訊安
全機制，防止個人資料遭受竊取、竄改、毀損、滅失或洩漏– 接觸、處理與應用個人資料之內部規則、管理相關流程與應
變流程，須予以建立
強化人員認知並建立訓練機制– 正職人員– 派遣人員– 其他
新個資法下可採行之初步因應措施
26
新個資法下可採行之初步因應措施
建立當事人同意流程
– 當事人書面同意機制之設置
紙本書面/電子文件
員工契約內容/蒐集個資文件之同意條款
– 蒐集之特定目的說明機制/文件之建立
– 特定目的範圍外利用，書面同意之取得機制
建立當事人權利主張機制
– 建立個人資料當事人得以主張權利之機制與流程查詢或請求閱覽請求製給複製本請求補充或更正請求停止搜集、處理或利用請求刪除
確認是否有必須對當事人補充告知義務之情事
– 若有，則若要繼續利用各該個人資料，須於一年內補行告知
27
企業如何具備良善管理能力及於當時的技術管理水帄，舉證責任倒置情形下，作為足資證明無故意過失責任(一)
制定隱私策略、政策及規範
隱私策略
成為品牌策略之一
搭配法規環境與要求推動，包含在企業/資訊治理策略中成為企業溝通計畫的要項
政策與程序重點
隱私/資訊安全保護計畫/規劃
員工、客戶、合作夥伴的適用政策與程序(基於角色與活動)
隱私分析
資料生命循環的資訊流分析（包含企業、營運單位、地理區、流程別、系統別或員工與客戶別）
風險排序及差異評估分析
文化轉換
盡可能成為治理的議題，使成為善良管理的實證
成為企業價值觀的內涵
注意動態文件的管理(角色、活動)
28
企業如何具備良善管理能力及於當時的技術管理水帄，舉證責任倒置情形下，作為足資證明無故意過失責任(二)
建立隱私保護架構 (網頁隱私權政策為基礎)
系統架構
個資的使用策略 (集中或分散管理的評估)
營運活動角度看待應用系統(CRM、ERP、識別管理等)
系統開發及運作的管理(委外、代管、驗收與測試)
持續監控與通報
成為日常營運的常態，以免證據力消失
搭配符合法令的要項，以利舉證
搭配內部稽核的防弊機制，以彰顯治理企圖
29
地址：台北市大安區新生南路1段93號5樓
電話：(02)8773-5225
傳真：(02)8773-5215
網址：www.chienandpartners.com
Email：[email protected]
