楊智傑教授，個人資料保護法，單元3：台灣個資法概說與架構

臺灣的個資法的內容 比較概要式的介紹 所以只是加了一些運動的案例 讓大家認識一下 個資法這個東西 當然是受到那個外國影響來的 最主要就是歐盟 他一直推動這個個資的保護 然後又引領全世界去制定 那我們最早就是有一個電腦處理 個人資料保護法 那當時他就區分了 公務機關跟非公務機關 公務機關就是公家機關 那非公務機關就民間 那當時他認為說 民間如果就都要保護個資有困難 所以他只選了八種行業 這個八大行業並不是我們 想像中的那個特種行業 這個八大行業例如說包括教育類 所以教育業就被指定為說 在一開始某些業別就 就是你不是公務機關 但你例如說你屬於教育業 你就要保護個資 那當時他的個資還是限於說 就是用電腦處理的個資 當然現在大家所有的東西 都是用電腦處理 然後在民國這個99年 我記得因為歐盟1995年有一個 當時歐盟1995年有一個 個資保護指令 那時候算新 然後我們一直到99年 就已經是2010年了 然後才全面修正 那我們全面修正的對象就是看1995年 所以我們在2010年修正的時候 看的已經是歐盟15年前的一個 那個個資指令 已經有一段日子了 那他最主要改變就是 把這個適用對象非公務機關 擴及到所有的民間行業 這個 但是他這個2010年的修正 不是立刻上路 他是2012年10月1號才全面上路 那我們目前用的就是這個版本 我要強調說我們目前用的這個版本 當時是學歐盟1995年版的 個資保護的指令 可是各位也許都聽過 或之前一直講說 歐盟在2016年通過了一個叫做GDPR 這個我們之後會詳細講 GDPR就是新版的個人資料保護規章 然後從2018年開始全面實施 等於是我們臺灣現在的 個人資料保護法 還看的是一個舊的1995年的東西 那人家歐盟有一個2018年的東西 所以你如果說以2022年的現金來看 我們還用的一個是一個舊的 1995年的東西 感覺他都已經快30年了 不只是條文本身具體的內容舊 主要還是那個執法機關太奇怪 所以導致我們臺灣其實 個資保護是做得非常差的 那我們的條文區分為公務機關 非公務機關 公務機關就是公家機關 依法行止公權力 中央地方機關還有行政法人 非公務機關就是其他以外的全部 這定義裡面有一個當事人 當事人指的是個人資料的那個人 就是我們說侵害了誰的個人資料 就是當事人 那在歐盟他叫做資料主體 叫data subject 資料主體就是那個資料的主人 好 那我們這個法要規範的就是說 對個人資料的三個行為 蒐集 處理 利用三個行為 這個個資法在第二條的定義 所定義的三個行為 蒐集指任何方式取得 蒐集來 然後蒐集來處理 因為當時可能比較重視用電腦處理 所以你會把這個資料key進電腦 然後記錄 輸入 儲存到電腦 然後你開始做編輯 更正 複製 檢鎖 刪除 輸出 這個都是傳送給別人等等 這個都是利用電腦去處理 那其實這個電腦處理最重要是說 你這個處理完是將來你要利用 不管你在什麼目的上你要去 利用人家的個人資料 為處理以外之使用 好 好像還蠻合理的這個三個階段 先蒐集 然後電腦處理 然後將來有一天用 不管是用在哪個地方 那如果純粹的電腦處理 他不會說是用 那用比較說 例如說他打電話來跟你行銷 最典型的就是利用你的電話跟你行銷 利用你的email跟你行銷 那就是利用 可是他的電話蒐集來之後 他在他的電腦裡面 做什麼樣的規檔或分類等等 這叫處理 好 如果是對照歐盟的條文 我的理解 我不要決定 我的理解是歐盟會認為 處理跟利用不就同一件事嗎 因為你在處理其實就是用 雖然這個用 利用感覺好像比較已經是對外用了 處理好像只是在內部處理 但是其實概念上 我蒐集到一個人資料 然後我傳給你看 傳給你看是不是一種用 其實也是用 或是說我寄給你 我把一堆人學生的通訊錄寄給你 你說他只是一種處理嗎 說電腦寄給別人 其實你在寄給別人也就是一種用 如果是以歐盟架構 這個處理利用沒有需要去區分 在歐盟的用語都叫做處理 那我們的用語是 好像說處理是指比較電腦階段 然後處理完再利用 我現在把處理跟利用寫在一起 不過我們待會看條文 我又覺得他有的時候 他又會蒐集跟處理寫在一起 那我覺得這都是當初在 寫這個法條的時候 沒有把它想得很清楚的地方 整體的架構呢 我們是說 如果你在蒐集處理 你看他寫在一起 然後利用把他分開來 可是不太合理 因為我覺得處理利用應該是綁在一起 好 不管 他說你要蒐集處理人家的資料 你要有特定目的 然後如果是公務機關蒐集 原則上有法定職務 如果是非公務機關蒐集 原則上要當事人的同意 然後利用他就說 要符合原來的蒐集目的 那我就覺得很奇怪 原來的蒐集目的 好像沒有說要符合原來的處理目的 所以我的覺得就是說 如果他當初把這個處理 把它寫在跟處理利用寫在一起 會比較合理 那但是又會有這個所謂的 非原始蒐集目的的利用 也就是目的外利用 那這個目的外利用就要嚴格限制 可是我們待會看我們臺灣條文就是 我們雖然好像有前面的幾款 好像有一些嚴格限制 結果後面又開了一些大門 所以我們的目的外利用 就是不符合原來的目的 也不符合原來的同意的範圍 但是我們的目的外利用就開得很大 好 整個法的架構 大概它有一個總則 有一個分則 分則的各位看我們臺灣的法規就知道 喜歡有這個所謂什麼共用的放在總則 然後不是共用的就分開來 所以我們有這個公務機關跟非公務機關 他想要分開來 然後我剛剛講他把蒐集處理寫在第15條 然後利用寫在第16條 那我認為是怪怪的 我覺得處理應該跟利用寫在一起才對 然後非公務機關的蒐集處理寫在第19條 利用寫在第20條 好 然後幫公務機關跟非公務機關的 共用條文拉到前面 那有什麼共用條文呢 例如說假設都要許得當事人的書面同意 那怎麼樣去許得書面同意 那書面同意前要先告知 不是光有同意 不是光他簽名 你要告知他 然後還有一種就是說 如果你不是從他那邊蒐集來的 是從別人那邊蒐集來的 利用前要告知等 這個他說會共用 再來這個當事人的資料控制權 就我不希望你用 我提出抗議 我要求刪除等等的 這個共用的 對公務機關 非公務機關 都會當事人提出一些抗議 這個個人的資料權或個人的控制權 通通拉在前面 好 這是整體的架構 好 再來我們所定義的個人資料有哪些 逐資辨識該個人資料 指自然的姓名 出生年月日 身分證 統編護照號碼 特徵指紋 婚姻家庭 教育 職業 病歷 醫療 性生活什麼什麼的 其實很多 還有社會活動 各種社會活動都是 然後其他得以直接間接識別 該個人的資料 所以因為前面講那麼多 是一種叫做例是舉例 但是最後就是有一個其他 只要能夠直接或間接識別 這個識別出一個人的資料 什麼意思呢 例如我舉例 我昨天看到一個新聞 南部某國立大學 某國立大學副校長 被人檢舉什麼什麼的 這是我昨天看到一個新聞 那這個算不算個資 這個就是說你能不能 直接知道是哪個人 好像沒辦法 但是有沒有辦法 間接知道是哪個人呢 這個你會說因為南部的國立大學 可能至少還有五家以上國立大學 那五家以上 每個學校有 假設有三個副校長 這個還有五乘以三 還有15個人 不知道他講的是哪一個人 好 所以還沒有辦法明確 但是其實已經可以限縮囉 假設他又再加上說黃姓副校長 假設他我隨便舉例的喔 那幾乎你就馬上知道 這15個人裡面 隨便去查你就知道是誰 這個時候你就已經間接可以識別 他雖然沒有直接講說這個人是誰 但是我們可以用一些 不同的資料去對照出來 如果用司法界喜歡用的用語 叫做什麼勾稽不同資料 這個資料去勾稽到另外一個資料 我可以藉由這個部分的資料 但是我去再參考別的資料 我就對照出來 其實我可以間接的找出這個人是誰 我就間接知道這個人是誰 而且他所謂被檢舉什麼 不管他被檢舉什麼 可能是一個他的社會活動吧 就是說他做了什麼事情 那這個就是他個資啊 你為什麼要把一個人做了什麼事講出來