法律字第 10603509640 號

要旨

主旨

說明

一、復貴所 106 年 7 月 3 日 106 年度慕資字第 106120003-1 號函。

二、有關來函說明一（一）至（三）所詢問題：

（一）按個人資料保護法（下稱個資法）第 19 條第 1 項規定：「非公務機關對個人資料之蒐集或處理，除第 6 條第 1 項所規定資料外，應有特定目的，並符合下列情形之一者：……二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。……五、經當事人同意。……」又所稱「同意」，係指當事人經蒐集者告知個資法所定應告知事項後，所為允許之意思表示（個資法第 7 條第 1項規定參照）。再以，基於契約關係蒐集個人資料，原則上僅能於契約事務之特定目的必要範圍內為之，如已逾越特定目的之必要範圍，而欲蒐集與契約之履行欠缺正當合理關聯之其他個人資料，則應依個資法第 19 條第 1 項規定，另行取得蒐集之正當事由（如另經當事人同意）。是以，依本件來函所述，若非公務機關為與客戶成立契約而蒐集客戶個資（例如：請求客戶填寫基本資料表），如上開個人資料係於履行契約事務之必要範圍內所蒐集者，則該蒐集行為與個資法第 19 條第 1 項第 2 款「與當事人有契約或類似契約之關係」規定相符，而無須再另行取得當事人同意（個資法第 19 條第 1 項第 5 款規定）。然如所蒐集者包括其他與契約履行無關之個人資料或並非為履行契約所必需者，則應依個資法第7 條第 1 項規定，應於契約之外另行取得當事人同意，始為合法（本部 106 年 6 月 15 日法律字第 10603503880 號函參照）。又非公務機關與個人資料當事人間具有個資法第 19 條第 1 項第 2 款之關係存在時，應優先適用此款，不能再以同條項第 5款作為蒐集事由，以避免個人資料當事人立於不對等地位而無法真正作成自主決定（例如：以同意做為契約成立前提）；甚至在已有其他合法事由下，仍尋求當事人同意，更有可能顯失公平。況若僅欲運用個資法第 7 條第 3 項規定推定「個資法第 19 條第 1項第 5 款當事人同意」，以規避個資法第 20 條第 1 項第 6款特定目的外利用之規定，自非妥適。

（二）次按個資法第 20 條第 1 項規定：「非公務機關對個人資料之利用，除第 6 條第 1 項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：……。」所稱「蒐集之特定目的必要範圍內」，如係依據個資法第 19條第 1 項第 2 款規定，並基於「行銷」（代號：040） 、「契約、類似契約或其他法律關係事務」（代號：069） 或「其他經營合於營業登記項目或組織章程所定業務」（代號：181） 之特定目的而蒐集個人資料，則其利用需與原蒐集之要件「與當事人契約或類似契約之關係」有正當合理之關聯，始能屬特定目的內利用。換言之，非公務機關使用基於契約或類似契約關係下取得之個人資料，對該個人當事人進行行銷，應合乎社會通念下當事人對隱私權之合理期待，故「行銷行為內容」與「契約或類似契約」二者間，應有正當合理之關聯，始符合個資法第 20 條第 1 項本文規定特定目的內利用之範疇，而無需再得「當事人同意」（同條項但書第 6款）。如行銷與當事人契約或類似契約內容無涉之商品或服務資訊，則除符合個資法第 20 條第 1 項但書第 1 款至第 5 款或第7 款事由外（例如：為增進公共利益或免除當事人生命、身體、自由、財產上之危險等事由），應依同條項但書第 6 款規定經當事人同意（同意方式請依個資法第 7 條第 2 項規定），始得為之，以符合司法院釋字第 603 號解釋所揭櫫「個人自主控制個人資料之資訊隱私權」意旨（本部 102 年 7 月 5 日法律字第 10203507340 號函參照）。是以，本件來函所稱蒐集客戶個資之目的包含「行銷（含行銷本公司業務及與本公司合作或業務往來之關係企業及合作廠商之商品或服務）」乙節，其中「行銷與本公司合作或業務往來之關係企業及合作廠商之商品或服務」部分，涉及將客戶個資提供予當事人以外第三人為特定目的外之利用，應符合個資法第 20 條但書規定情形之一，始得為之。

三、有關來函說明二所詢問題：

按個資法第 7 條第 3 項規定：「公務機關或非公務機關『明確告知』當事人第 8 條第 1 項各款應告知事項時，當事人如未表示拒絕，並已提供其個人資料者，推定當事人已依第 15 條第 2 款、第19 條第 1 項第 5 款之規定表示同意。」上開規定所稱之「明確告知」應與個資法第 8 條規定「明確告知」之意義相同，又上開規定所定告知之方式，得以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式為之（個資法施行細則第 16 條參照），亦即任何足以使當事人知悉或可得知悉之方式，均屬之。此一告知並未要求當事人須簽署相關文件，亦未限制不得與其他文件（例如契約）併同為之。惟為達到「明確告知」之目的，蒐集者仍應以個別通知之方式使當事人知悉，不得以單純擺設（張貼）公告或上網公告之概括方式為之，而須足以使當事人知悉或可得知悉該公告內容之方式（例如：須直接向當事人提示公告內容所在位置，並請其閱讀瞭解）始屬之（本部 102 年 10 月 17 日法律字第 10203511430 號書函參照）。是以，本件來函所述「非公務機關如僅於門市公告或網站公告個資法第 8 條第 1 項所定應告知事項，但以現場告知或簡訊告知等各種方式向客戶提示公告內容所在位置，並請其閱讀瞭解」乙節，若可達到個別通知使當事人知悉之效果，則可認為符合「明確告知」之意旨。

四、有關來函說明三所詢問題：

按個資法第 8 條第 1 項之立法意旨在使當事人能充分瞭解其個人資料被他人蒐集之情形，又於告知有關「個人資料利用之對象」（該條項第 4 款規定）時，以告知時之已知資訊進行適度描述已足，尚無須詳列未知之資訊，亦即，蒐集者應就其利用個人資料之範圍及可能將資料移轉對象之類別，提供合理程度之確定性。是以，本件來函所稱「告知客戶利用個資之對象包含『關係企業及合作廠商』」乙節，對於利用對象之描述恐過於廣泛，無法合理地界定出個人資料利用對象之類別，尚難認符合本條項立法意旨。

正本

達文西個資暨高科技法律事務所

副本

本部資訊處（第 1 類）、本部法律事務司（4 份）