跳到主要內容區塊

主管法規查詢系統

:::

行政函釋

發文單位: 法務部
發文字號: 法律字第 10603509640 號
發文日期: 民國 106 年 10 月 11 日
相關法條
要  旨:
個人資料保護法第 19 條第 1  項規定所稱「同意」,係指當事人經蒐集
者告知該法所定應告知事項後,所為允許意思表示,而基於契約關係蒐集
個人資料,原則上僅能於契約事務特定目的必要範圍內為之;又非公務機
關使用基於契約或類似契約關係下取得之個人資料,對其進行行銷應合乎
社會通念下當事人對隱私權合理期待;同法第 7  條第 3  項規定所稱「
明確告知」方式,任何足以使當事人知悉或可得知悉方式均屬之,惟為達
到「明確告知」目的,蒐集者仍應以個別通知方式使當事人知悉,不得以
單純擺設公告或上網公告概括方式為之,須足以使當事人知悉或可得知悉
該公告內容方式始屬之;同法第 8  條第 1  項立法意旨在使當事人能充
分瞭解個人資料被他人蒐集情形,告知有關「個人資料利用之對象」時,
以告知時已知資訊進行適度描述已足,尚無須詳列未知資訊
主    旨:貴所函詢有關個人資料保護法解釋適用乙案,復如說明二至四。請查照參
          考。
說    明:一、復貴所 106  年 7  月 3  日 106  年度慕資字第 106120003-1  號
              函。
          二、有關來函說明一(一)至(三)所詢問題:
          (一)按個人資料保護法(下稱個資法)第 19 條第 1  項規定:「非公
                務機關對個人資料之蒐集或處理,除第 6  條第 1  項所規定資料
                外,應有特定目的,並符合下列情形之一者:……二、與當事人有
                契約或類似契約之關係,且已採取適當之安全措施。……五、經當
                事人同意。……」又所稱「同意」,係指當事人經蒐集者告知個資
                法所定應告知事項後,所為允許之意思表示(個資法第 7  條第 1
                項規定參照)。再以,基於契約關係蒐集個人資料,原則上僅能於
                契約事務之特定目的必要範圍內為之,如已逾越特定目的之必要範
                圍,而欲蒐集與契約之履行欠缺正當合理關聯之其他個人資料,則
                應依個資法第 19 條第 1  項規定,另行取得蒐集之正當事由(如
                另經當事人同意)。是以,依本件來函所述,若非公務機關為與客
                戶成立契約而蒐集客戶個資(例如:請求客戶填寫基本資料表),
                如上開個人資料係於履行契約事務之必要範圍內所蒐集者,則該蒐
                集行為與個資法第 19 條第 1  項第 2  款「與當事人有契約或類
                似契約之關係」規定相符,而無須再另行取得當事人同意(個資法
                第 19 條第 1  項第 5  款規定)。然如所蒐集者包括其他與契約
                履行無關之個人資料或並非為履行契約所必需者,則應依個資法第
                7 條第 1  項規定,應於契約之外另行取得當事人同意,始為合法
                (本部 106  年 6  月 15 日法律字第 10603503880  號函參照)
                。又非公務機關與個人資料當事人間具有個資法第 19 條第 1  項
                第 2  款之關係存在時,應優先適用此款,不能再以同條項第 5
                款作為蒐集事由,以避免個人資料當事人立於不對等地位而無法真
                正作成自主決定(例如:以同意做為契約成立前提);甚至在已有
                其他合法事由下,仍尋求當事人同意,更有可能顯失公平。況若僅
                欲運用個資法第 7  條第 3  項規定推定「個資法第 19 條第 1
                項第 5  款當事人同意」,以規避個資法第 20 條第 1  項第 6
                款特定目的外利用之規定,自非妥適。
          (二)次按個資法第 20 條第 1  項規定:「非公務機關對個人資料之利
                用,除第 6  條第 1  項所規定資料外,應於蒐集之特定目的必要
                範圍內為之。但有下列情形之一者,得為特定目的外之利用:……
                。」所稱「蒐集之特定目的必要範圍內」,如係依據個資法第 19
                條第 1  項第 2  款規定,並基於「行銷」(代號:040) 、「契
                約、類似契約或其他法律關係事務」(代號:069) 或「其他經營
                合於營業登記項目或組織章程所定業務」(代號:181) 之特定目
                的而蒐集個人資料,則其利用需與原蒐集之要件「與當事人契約或
                類似契約之關係」有正當合理之關聯,始能屬特定目的內利用。換
                言之,非公務機關使用基於契約或類似契約關係下取得之個人資料
                ,對該個人當事人進行行銷,應合乎社會通念下當事人對隱私權之
                合理期待,故「行銷行為內容」與「契約或類似契約」二者間,應
                有正當合理之關聯,始符合個資法第 20 條第 1  項本文規定特定
                目的內利用之範疇,而無需再得「當事人同意」(同條項但書第 6
                款)。如行銷與當事人契約或類似契約內容無涉之商品或服務資訊
                ,則除符合個資法第 20 條第 1  項但書第 1  款至第 5  款或第
                7 款事由外(例如:為增進公共利益或免除當事人生命、身體、自
                由、財產上之危險等事由),應依同條項但書第 6  款規定經當事
                人同意(同意方式請依個資法第 7  條第 2  項規定),始得為之
                ,以符合司法院釋字第 603  號解釋所揭櫫「個人自主控制個人資
                料之資訊隱私權」意旨(本部 102  年 7  月 5  日法律字第 102
                03507340  號函參照)。是以,本件來函所稱蒐集客戶個資之目的
                包含「行銷(含行銷本公司業務及與本公司合作或業務往來之關係
                企業及合作廠商之商品或服務)」乙節,其中「行銷與本公司合作
                或業務往來之關係企業及合作廠商之商品或服務」部分,涉及將客
                戶個資提供予當事人以外第三人為特定目的外之利用,應符合個資
                法第 20 條但書規定情形之一,始得為之。
          三、有關來函說明二所詢問題:
              按個資法第 7  條第 3  項規定:「公務機關或非公務機關『明確告
              知』當事人第 8  條第 1  項各款應告知事項時,當事人如未表示拒
              絕,並已提供其個人資料者,推定當事人已依第 15 條第 2  款、第
              19  條第 1  項第 5  款之規定表示同意。」上開規定所稱之「明確
              告知」應與個資法第 8  條規定「明確告知」之意義相同,又上開規
              定所定告知之方式,得以言詞、書面、電話、簡訊、電子郵件、傳真
              、電子文件或其他足以使當事人知悉或可得知悉之方式為之(個資法
              施行細則第 16 條參照),亦即任何足以使當事人知悉或可得知悉之
              方式,均屬之。此一告知並未要求當事人須簽署相關文件,亦未限制
              不得與其他文件(例如契約)併同為之。惟為達到「明確告知」之目
              的,蒐集者仍應以個別通知之方式使當事人知悉,不得以單純擺設(
              張貼)公告或上網公告之概括方式為之,而須足以使當事人知悉或可
              得知悉該公告內容之方式(例如:須直接向當事人提示公告內容所在
              位置,並請其閱讀瞭解)始屬之(本部 102  年 10 月 17 日法律字
              第 10203511430  號書函參照)。是以,本件來函所述「非公務機關
              如僅於門市公告或網站公告個資法第 8  條第 1  項所定應告知事項
              ,但以現場告知或簡訊告知等各種方式向客戶提示公告內容所在位置
              ,並請其閱讀瞭解」乙節,若可達到個別通知使當事人知悉之效果,
              則可認為符合「明確告知」之意旨。
          四、有關來函說明三所詢問題:
              按個資法第 8  條第 1  項之立法意旨在使當事人能充分瞭解其個人
              資料被他人蒐集之情形,又於告知有關「個人資料利用之對象」(該
              條項第 4  款規定)時,以告知時之已知資訊進行適度描述已足,尚
              無須詳列未知之資訊,亦即,蒐集者應就其利用個人資料之範圍及可
              能將資料移轉對象之類別,提供合理程度之確定性。是以,本件來函
              所稱「告知客戶利用個資之對象包含『關係企業及合作廠商』」乙節
              ,對於利用對象之描述恐過於廣泛,無法合理地界定出個人資料利用
              對象之類別,尚難認符合本條項立法意旨。
正    本:達文西個資暨高科技法律事務所
副    本:本部資訊處(第 1  類)、本部法律事務司(4 份)
資料來源: 法務部