當心誤踩個資地雷  ....2013-11-11

---

個人資料保護法於2012年10月開始施行後，中小企業法律服務中心即陸續接獲許多詢問個人資料保護法的問題，由此可見，企業主對於蒐集或利用客戶資料進行行銷活動時已變得小心翼翼，深怕一不小心抵觸個資法，賠了夫人又折兵。其實只要達到個資法賦予企業的基本義務，蒐集及利用客戶資料並非如此困難，相對地反而可避免未來產生不必要的紛爭。

個資法的行為範圍

所謂「個人」即指自然人， 也就是說公司或團體的資料就不在此範圍內。但要注意的是，公司的代表人在名義上屬於公司一部分，但其相關隱私資料仍屬個人資料，使用時不可不慎。個人資料在新法規定， 包括「任何得以直接或間接方式識別該個人之資料」，如姓名、身分證字號、家庭、教育、職業、健康檢查或財務狀況等，當在蒐集處理上述資料時，都要留意是否符合法規。

新法所規定的行為包括蒐集、處理、利用以及國際傳輸。「蒐集」指涵蓋以任何方式取得個人資料之行為，例如以填寫會員申請單方式蒐集會員個人資料；「處理」為資料的紀錄、儲存、編輯、複製、檢索或內部傳送等各種行為，例如公司以建置職員出差勤管理系統儲存或編輯員工上下班情形；「利用」係指將資料作處理以外的使用行為，例如：金融機構將蒐集之存款戶個人資料提供行政執行分署依行政執行法令辦理相關執行事項，或者公司行號運用員工差勤系統個人差勤資料，作為年終考核或抽查員工差勤之用；「國際傳輸」顧名思義為跨國(境)之處理或利用，例如：總公司將資料傳送給國外(境外)分公司或其他公司、機關(構)，或者公務機關將資料傳送給國外(境外)辦事處或國外其他公務機關(構)、公司等。

如何合法蒐集個人資料

蒐集個人資料前， 除非該資訊已為當事人自行公開或已合法公開的事項，否則均須告知當事人並取得其同意。告知的內容必須包含機關名稱、蒐集目的、資料類別、利用期間、地區、對象、方式、當事人依法得行使的權利，以及當事人若選擇不提供資訊時所造成的權益影響。蒐集後，業主就必須採取適當的安全措施，防止資料被竊等情事發生，並訂定一套資料安全配套措施，以維護資訊安全。

適當的安全配套措施在個資法施行細則裡也有明確的定義，是指防止個人資料被竊取、竄改、毀損、滅失或洩漏，所採取之技術上或組織上的措施，包括配置相當管理人員及資源、界定個人資料範圍、風險評估管理機制、事故預防及應變機制及安全的稽核管理等。重要的是這些措施必須與所欲達成個人資料保護目的間，具有適當的比例，簡單說就是必須考量組織規模與個人資料之數量，當規模、數量愈龐大，所需要的安全措施及投入資源就必須更加完善與充沛。

確實履行告知義務

個人資料保護法第8條規定：向當事人蒐集個人資料時應明確告知其相關資訊，實務上要注意避免下列情形：

一、 告知書內容不明確： 在履行告知義務時，應明確告知當事人蒐集資料的目的，且蒐集資料範圍與目的有相關聯性，不可過於概括模糊。

二、 告知書與同意書列於同一張書面：若未將告知書與同意書明顯區隔，易造成客戶混淆，而為概括同意。

三、 當事人不同意或要求刪除其個人資料時，未提供合理說明：若當事人不同意被蒐集處理其個人資料，或因業務關係終止等因素要求刪除其個人資料時，應建立內部標準作業流程，並於作業完成時，告知當事人。若依法有不可刪除之理由，也應充分告知與說明。

觸法應負的法律責任

若違反個人資料保護法所須負擔的責任，包括行政責任、民事責任，甚至刑事責任。行政責任部分，裁罰從新臺幣2萬元至50萬元不等，並可按次裁罰直到改善為止，且代表人、管理人或其他有代表權人也會一併受罰；民事責任部分，若蒐集者故意或過失致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，應負損害賠償責任。若被害人不易或不能證明實際損害金額時，可請求法院依侵害情節，以每人每一事件處以新臺幣500元至2萬元，賠償金額更可高達2億元。刑事部分，若蒐集者違反情節重大，且涉及他人利益受損的情形，有可能遭受最高5年以下有期徒刑，以及新臺幣100萬元以下之罰金。

因此，當企業主要以蒐集、處理及利用客戶資料達到經營目的時，都必須考量個人資料保護法所產生的管制效果。雖然會多一些作業程序，但只要事先做好規劃，於前期合法取得當事人同意，並建立完善的資料保護機制，這同時也是為企業及客戶雙方多一層安全與保障。目前個人資料保護法仍處於改革階段，企業主應持續密切注意相關法條的修正訊息，並留意自身所屬的主管機關有無訂定相關規定，藉以建立企業完善的個人資料保護管理制度，進而取得客戶的信賴，達到企業永續經營的目標。

..青創會訊102年第四季刊載(文/賴威源)