個人資料之認定－個人資料保護法適用之啟動閥

The Concept of Personal Data - When to Trigger the Taiwan Personal Data Protection Act

張陳弘(Chen-Hung Chang)

《法令月刊》 67卷5期 (2016/05) Pp. 67-101

https://doi.org/10.6509/TLM.2016.6705.04

摘要

按個人資料保護法（以下稱「個資法」）的規範設計，資料可否 識別特定個人，乃個資法適用與否的啟動閥。立法者參酌1995年歐盟資料保護指令（95/46/EC），於個資法第2條第1款規定修正「個人資料」之定義，並於個資法施行細則第3條規定進一步闡釋何謂「得以間接方式識別」特定個人，期更明確說明個人資料概念。然而，實施現況卻不如預期。本文主張在資料識別性要件的判斷上，應採用95歐盟指令第26點說明與歐盟資保小組2007年意見書見解，即只要有任何人，透過所有可能、合理的方式，能將此資料連結至特定個人，該資料即具備特定個人識別性。個資法的存立基礎主要來自於憲法第22條的資訊隱私權保障。自然地對於資訊隱私權所保護的個資定義的解釋，也理當由個資主體的隱私保障出發，而不應從可能侵害隱私的資料使用者角度出發。只要資料有任何識別特定個人的可能，資料掌控人的辨識能力，影響的是隱私威脅的程度，而非隱私威脅的有無。

關鍵字

個人資料 ； 隱私權 ； 資訊隱私 ； 識別性資料 ； 密鑰編碼資料

並列摘要

Under the Taiwan Personal Data (Information) Protection Act (PDPA), the PDPA will come into play when the subject data can identify a certain person. Referring to the EU Directive 95/46/EC, in the PDPA, personal data is identified in Item 1, Article 2 of the PDPA. Furthermore, the definition of ＂personally identifiable information＂ is explained in Article 3 of the Enforcement Rule of the PDPA. However, despite the carefully written defi nition, a handful of cases have revealed the lack of clarity on the concept of personal data. This essay proposes that personal data is personally identifi able as long as such data may connect to a certain person by anyone using all possible and reasonable means. This notion is supported by the Recital 26 of the EU Directive 95/46/EC and the Opinion 4/2007 on the Concept of Personal Data issued by the Article 29 Data Protection Working Party. The PDPA is rooted in the right to information privacy stipulated in Article 22 of the Taiwanese Constitution. The interpretation of personal data-whether the piece of personal information protected shall be perceived from the perspective of the data subject rather than the user of data (the privacy intruder). Therefore, as long as the underlying data are likely to connect to a certain person, such data shall be protected in the PDPA. As to the ability of the data user to use the data to identify a certain person, it is a matter of different degrees of risk to privacy invasion, not whether there will be a risk of privacy invasion.

並列關鍵字

Personal Data ； the Right to Privacy ； Information Privacy ； Identifi able Data ； Key-Coded Data

參考文獻

BiBi(2015)。幸福與健康的守護者全民健保2 歲了！。全民健康保險雙月刊。114，8-13。

林家慶(2014)。「電信業者別」能否揭露？個人資料保護與公共利益維護不能兼顧？—評臺灣臺北地方法院臺北簡易庭一○三年度北小字第一三六○號民事判決。月旦裁判時報。30，139-146。

邱忠義(2014)。談個人資料保護法之間接識別。月旦裁判時報。30，95-103。

范姜真媺(2013)。個人資料保護法關於「個人資料」保護範圍之檢討。東海大學法學研究。41，91-123。

徐仕瑋(2014)。個資法所保護個人資料之範圍界定—評臺灣臺北地方法院一○三年度北小字第一三六○號小額民事判決。月旦裁判時報。30，123-138。