個人資料保護法第二十條規定註釋-非公務機關利用個人資料之除外情形

個人資料保護法第20條規定：

 

非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：

一、法律明文規定。

二、為增進公共利益所必要。

三、為免除當事人之生命、身體、自由或財產上之危險。

四、為防止他人權益之重大危害。

五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。

六、經當事人同意。

七、有利於當事人權益。

非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。

非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。

    

說明：

 

非公務機關於個人資料之利用，應受目的原則限制。但如目的原則嚴格執行，難免會因過於嚴苛以致窒礙難行，爰以列舉方式為例外規定，以資調和。基於公益與私益之平衡，如有維護國家安全與增進公共利益之情形，應許非公務機關得為目的外之利用。爰為第一款及第二款之規定。目的外之利用如為免除當事人急迫危險或防止他人權益之重大危害，亦應准許，爰為第三款及第四款之規定。四、如目的外利用係經當事人書面同意者，亦應准許。爰為第五款之規定。

 

參考日本法第九條及德國法第十四條第二項之立法例。第一項修正理由如次：（一）將序文「左列」修正為「下列」，並將文字酌作修正，以符合法制用語。又本條僅適用在一般個人資料，特種資料之利用，仍應依本法第六條規定為之。（二）按法律有明文規定得特定目的外利用個人資料者，自應允許，爰增訂第一款規定。（三）原條文第一款之「增進公共利益」，由非公務機關認定，恐有爭議，爰予刪除。（四）原條文第二款之「急迫」二字，甚難界定，爰予刪除，以資明確。（五）原條文第三款之「而有必要」屬不確定法律概念，易滋疑義，故予刪除。（六）為促進資料合理利用，對於公務機關執行法定職務，或學術研究機構基於公共利益，從事統計或學術研究工作，有必要蒐集個人資料者，被請求提供資料之非公務機關，應得允許特定目的外利用該個人資料，提供作統計或學術研究之用。惟為避免寬濫，應僅限公務機關或學術研究機構，始得為之，且該個人資料經過提供者處理後或蒐集者依其揭露方式，無從識別特定當事人，以保護個人資料之隱私權益，爰增訂第四款規定。（七）原條文第四款移列第五款。

 

非公務機關依第一項規定，利用個人資料從事商品行銷時（包括特定目的內與特定目的外之利用），如當事人擬拒絕接受該產品之行銷，只能依第三條規定，請求停止處理或利用或刪除其個人資料，往往緩不濟急。為尊重當事人拒絕接受行銷之權利，爰參考一九九五年歐盟資料保護指令（95/46/EC）第十四條、德國聯邦個人資料保護法第二十八條第四項規定，增訂第二項，明定當事人表示拒絕接受行銷時，非公務機關即應停止再利用其個人資料進行行銷。四、為便利當事人表達拒絕接受行銷之意思表示，爰增訂第三項，規定非公務機關對當事人進行首次行銷時，應免費提供當事人表達拒絕接受行銷之方式，例如，免付費電話、免費回郵等。至於當事人日後得隨時以自費方式，表示拒絕再接受行銷，非公務機關應即停止再利用其個人資料進行行銷，自不待言。

 

依個人資料保護法所保護之個人資料，係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。而本件系爭判決中之事實概要中，已記載原告為大陸籍配偶、並記載原告及其配偶姓名及相關社會事實，應認屬已得特定識別為原告之個人資料，即符合個人資料保護法所保護之範疇，先予敘明。再依個人資料保護法第19條、20條之規定「非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：一、法律明文規定。二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。三、當事人自行公開或其他已合法公開之個人資料。四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。五、經當事人同意。六、為增進公共利益所必要。七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。八、對當事人權益無侵害。蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之處理或利用時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。」；「非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：一、法律明文規定。二、為增進公共利益所必要。三、為免除當事人之生命、身體、自由或財產上之危險。四、為防止他人權益之重大危害。五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。六、經當事人同意。七、有利於當事人權益。非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。」，依上開規定可知，非公務機關縱然得依個人資料保護法第19條第1項、20條第1項之規定蒐集、處理、利用個人資料，惟一經當事人通知拒絕時，即應刪除。本件被告縱辯稱其係為了證明其業經查證而張貼系爭判決之節錄及連結，屬合理利用系爭判決，固屬有理，惟查：原告於被告張貼系爭判決在粉絲頁後，即以「邱慧貞」名義在該貼文後留言「立法委員林麗蟬那我明確告訴你，新住民的立委，請聽好了，當事人委託我提醒你們刪文，因為影響到對方的生活和工作了，而且報導是不真實的，當事人並沒有把這些提供給報社，重點是案子是別人的隱私，一個堂堂立委就為了自己名聲去搜查新住民隱私嗎，還公開發粉絲頁。」，可知被告於張貼系爭判決後之10多分鐘後，該名「邱慧貞」即已告知被告或被告之受僱人「當事人（即原告）」「拒絕」被告蒐集、處理及利用系爭判決，至此，依個人資料保護法第19條第2項、20條第2項之規定，被告或其受僱人應「即」刪除之。惟被告及其受僱人並未於接獲拒絕通知後立即刪文，反一再拖延，此由原告所提出之網頁留言對話紀錄相關時間即可得知（見起訴狀所網頁列印資料），是被告或其受僱人所為，即屬違反個人資料保護法之規定，依個人資料保護法第29條、第31條、民法第184條第2項、188條等相關規定，被告自應負損害賠償責任（臺灣臺北地方法院107年度北小字第3421號民事判決）。

 

按個人資料保護法規範之個人資料係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料，個人資料保護法第2條第1款定有明文。又個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯，同法第5條定有明文；再依同法第20條第1項前段之規定，非公務機關對個人資料之利用，除第6條第1項所規定資料外，應於蒐集之特定目的必要範圍內為之，除非有第20條第1項但書所定例外狀況，方得為特定目的外之利用。是本件被告未經告訴人同意，於臉書社群網站上，擅自張貼載有告訴人之姓名、出生年月日、國民身分證統一編號等個人資料之國民身分證正面照片，使臉書社群網站之不特定多數人瀏覽該網頁內容即得直接識別該個人資料，顯已逾越取得上開個人資料特定目的之必要範圍，難認與公共利益有何關聯，且使瀏覽該網頁之人得識別特定個人，造成告訴人之困擾，已足生損害於告訴人（臺灣高等法院108年度上訴字第2470號刑事判決）。

 

按個人資料保護法所指「個人資料」，係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料，此參個人資料保護法第2條第1款之規定即明。經查，被告所刊登之系爭貼文，其內容既包括告訴人之姓名、所屬家庭成員關係及其等交友等社會活動之資訊，自屬前揭法律明文規定之個人資料；被告辯稱：系爭貼文僅係刊登告訴人之家庭成員姓名，並未揭露伊等身分證字號或地址，未涉及個人資料，其他第三人即使閱讀系爭貼文，亦僅能獲悉告訴人之執業狀況，無法依此獲知告訴人家庭成員之個人資料，據以辯稱其於系爭隨意窩Xuite網站上所刊登之系爭貼文，不至對告訴人或其家人造成損害或有何影響云云，顯非可採。又按關於個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯，個人資料保護法第5條定有明文。再按依被告行為時即修正前個人資料保護法第20條第1項前段規定，非公務機關對個人資料之利用，除第6條第1項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：一、法律明文規定。二、為增進公共利益。三、為免除當事人之生命、身體、自由或財產上之危險。四、為防止他人權益之重大危害。五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。六、經當事人書面同意。亦即非公務機關對於個人資料之利用，除個人資料保護法第6條第1項所規定之資料（即有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，例外基於法律明文規定等事由，方得蒐集、處理或利用）外，應於蒐集之特定目的必要範圍內為之，除非有同法第20條第1項但書所規定之例外狀況，方得為特定目的外之利用。經查，被告於偵查中供稱：「（你是否認識告訴人蕭蒼澤？）是，我之前被警察欺負，所以委任告訴人幫我處理與警察的糾紛，即委任告訴人擔任我的法律顧問。‧‧‧後來他就一直找我要錢，然後一直要我去打官司，又跟我要錢‧‧‧」、「（你如何知道告訴人女兒、兒子、大姊、父親及朋友的名字？）我自95年認識告訴人，我與告訴人熟識，當然知道他親人的名字。」等語（見他字卷第52頁正反面），足認被告係因前揭另案曾委任告訴人擔任告訴代理人而與告訴人結識，進而獲悉告訴人之家人等親友姓名。而本案被告並非公務機關，是被告若無個人資料保護法第20條第1項但書所定之例外狀況（例如法律明文規定、為增進公共利益、為防止他人權益之重大危害等情形；按個人資料保護法第20條第1項於104年12月30日修正，於105年3月15日施行，將原「為增進公共利益」之例外規定，修正為「為增進公共利益所必要」，而本件應適用修正前之該條項規定），則其使用告訴人之姓名、家庭成員關係或其等交友、社會活動等個人資料，自須依誠實及信用方法為之，且不得逾越其取得前揭資料之目的之必要範圍，而其利用亦應與此取得原因具有正當合理之關聯。惟依被告於本件偵查中供稱：「（你為何在網頁上寫他親人的名字？）可能當時想說讓告訴人相關的人要搜尋告訴人資料時，可以被搜尋得到。」等語，復於原審準備程序時供稱：「（你所揭露這些告訴人親戚朋友姓名資料目的為何？）沒有什麼目的，就只是文章的標題而已。」等語，是參酌被告與告訴人曾因前揭另案所衍生之委任糾紛，及告訴人曾因另件誣告罪，遭法院判處罪刑確定等情，經相互勾稽結果，堪認被告在前揭時、地，於系爭隨意窩Xuite網站上刊載系爭貼文時，在其主觀上係認定所揭露之告訴人及其親友姓名等個人資料，要與被告前揭評論告訴人之系爭貼文要旨全然無涉，且其所揭露告訴人及其親友姓名等個人資料，亦與得閱覽上開網頁文章之不特定人及公共利益均無關，且被告縱欲與網友分享其所認定告訴人具有不適任律師之負面經歷，亦有其他合法、合理，並符合一般人期待之方式可為，顯無揭露關於告訴人前揭家庭成員等個人資料之必要。是被告以揭露告訴人及其親友姓名資料等方式，而以此不相關之資料，作為其所發表前揭網路文章評論內容搜尋連結平臺之目的，使與被告及告訴人均無關之其他第三人皆能獲悉其內容，顯已逾越被告取得前揭個人資料之特定目的之必要範圍，且與其取得之目的不具正當合理之關聯，亦難認其將前揭告訴人家庭成員等個人資料向不特定第三人揭露，係基於個人資料保護法第20條第1項但書第2款「為增進公共利益」或第4款「為防止他人權益之重大危害」所為，自無該條但書所指之其他例外情況，不符前揭但書規定所指得為特定目的外使用之例外狀況。被告辯稱其所刊登之系爭貼文內容均屬事實，並係引述自行政院公報及司法判決，屬於網路上可查詢之公開資料，其僅係轉載而已云云，顯不足採。另查，被告係違反告訴人之意願，揭露告訴人及其家庭成員關係、交友及社會活動等個人資料，自已侵害屬於告訴人隱私權內涵之個人資訊揭露自主權，足生損害於告訴人。此參證人陳萬良於本院審理時，結證略稱：伊與告訴人係朋友關係，伊約於三年前，有一次上網看到關於告訴人負面新聞之系爭貼文，看起來應係由被告所張貼，過了幾天，伊曾向告訴人詢問，告訴人當時表示不知有系爭貼文，經伊告知並教導告訴人如何以「關鍵字」搜尋關於系爭貼文之相關資料後，告訴人即表示此事很嚴重，要馬上採取法律行動，伊於嗣後雖未再向告訴人查證是否確已對被告提起本件告訴，但約於一、二個月後，有自伊與告訴人之共同友人處獲知告訴人已對被告提起告訴等語，及告訴人對被告提起本件告訴，暨其嗣後親自或委由告訴代理人到庭時，均一再以書狀或當庭表示被告本件所為，已對其個人及家人親友造成嚴重損害等語，核與常理相符等情即明。又被告既於系爭隨意窩Xuite網站上張貼系爭貼文，將有關告訴人及其親友姓名之個人資料詳列於可供不特定人閱覽之該網頁內，顯係出於刻意所為，已如前述，是瀏覽前揭網頁及系爭貼文內容之不特定人均得因此窺知告訴人及其親友之前揭個人資料，而得以獲知其等隱私，此顯然足生損害於告訴人，亦可能損及告訴人之親友，此顯係被告所明知之事實。是被告僅係為發洩其與告訴人間因前揭另案委任所生糾紛之不滿情緒，即任意、擅自揭露告訴人及其親友之姓名等前揭個人資料，其有損害告訴人利益或法益之意圖甚明。從而，被告就前揭有關告訴人姓名及其家庭成員關係、交友情形及社會活動等個人資料之利用行為，已逾越蒐集該個人資料特定目的之必要範圍，足以生損害於告訴人之隱私權，所為已違反個人資料保護法第20條第1項之規定，而犯同法第41條第1項之罪，事證自屬明確。又依前揭事證及說明，被告於系爭隨意窩Xuite網站上所張貼刊載之系爭貼文，內容既包括告訴人之姓名、任職單位及其家人、親友等個人資料，而此等個人資料均係環繞告訴人，亦即係以告訴人為其生活或社會關係中心之個人資料，並放射及於告訴人之周遭親友，是前揭有關告訴人負面新聞或表述之系爭貼文，所妨害隱私權或個人資訊揭露自主權之對象自係以告訴人為主，兼及於告訴人周遭之前揭親友。被告以前揭情詞，辯稱其並未揭露告訴人家人之個人資料，對於告訴人或其家人並無影響，亦不致造成損害，所為並未違反個人資料保護法之規定，另辯稱其前揭行為僅係侵害告訴人家人之法益，告訴人並非受害人云云，自均無可採…「行為後法律有變更者，適用行為時之法律。但行為後之法律有利於行為人者，適用最有利於行為人之法律。」刑法第2 條第1 項定有明文。本案被告行為後，個人資料保護法於104 年12月30日修正，於105 年3 月15日施行，而修正後之個人資料保護法第20條第1 項但書第2 款，由原規定「為增進公共利益」，經修正為「為增進公共利益所必要」，另同法第41條第1 項之相關部分，原規定「違反第20條第1 項規定，足生損害於他人者，處2 年以下有期徒刑、拘役或科或併科新臺幣20萬元以下罰金」，經修正為「意圖為自己或第三人不法之利益或損害他人之利益，而違反第20條第1 項規定，足生損害於他人者，處5 年以下有期徒刑，得併科新臺幣100 萬元以下罰金。」經核被告本件所為，係為發洩其與告訴人間因前揭另案委任所生糾紛之不滿情緒，乃以系爭貼文擅自揭露告訴人及其親友之姓名等個人資料，其利用與告訴人有關之前揭個人資料之行為，不僅逾越其蒐集該個人資料特定目的之必要範圍，已足生損害於告訴人之隱私權，且被告在主觀上亦有損害告訴人利益之意圖，已如前述。是無論依修正前或修正後個人資料保護法第20條第1 項、第41條第1 項之規定，均應成立犯罪，而前揭修正後個人資料保護法第41條第1 項所規定之法定刑度，顯較修正前之法定刑度為高，是經比較該條之新、舊法規定結果，自以修正前即被告行為時之規定較有利於被告。從而，依刑法第2 條第1 項前段規定，自應適用被告行為時即修正前個人資料保護法第41條第1 項之規定論處。（臺灣高等法院106年度上易字第1882號刑事判決）。

 

瀏覽次數：1359