搞錯方向放錯重點的個資法修法

邱文聰（中央研究院法律學研究所助研究員）

個人資料保護法草案11/12在立法院進行政黨協商並達成共識。從人權團體的角度而言，此一協商結果根本未能解決長久以來存在於現行法的結構性問題，但媒體及部分立委卻指責法務部在人權團體壓力下刪除媒體「免告知義務」條文，大大限縮新聞自由。此一爭議恰好提供一個機會，釐清個資法修法的問題究竟何在。

依照行政院版的原始條文來看，「告知」分為「直接向當事人蒐集時的告知」與「間接蒐集當事人個資時，對當事人的告知」兩種情形。同樣地，新聞媒體對個人資料的蒐集除了當事人自行公開或其他已合法公開之個人資料外，其方式應該也可分為「直接蒐集」與「間接蒐集」二者。

當新聞媒體「直接」向當事人蒐集個人資料時，要求媒體必須先向當事人告知：究竟是「誰」在蒐集個資、蒐集之目的為何、蒐集哪些個人資料等事項，甚至應得其「同意」，我們很難想像這樣的要求究竟會如何限縮新聞自由？難道我們要賦予新聞媒體在當事人不同意提供個人資料時可以有「強制處分權」？或者，我們容許新聞媒體可以不正方法，直接跟當事人「騙取」個資？


當新聞媒體欲「間接」取得當事人個資時，其方法大致上有二：一是向知悉當事人資訊的第三人，打探第三人透過觀察等個人經驗所獲悉有關當事人之個資；二是向曾合法蒐集當事人個資的公務機或非公務機關請求「目的外利用」。小道消息的採訪、友人間的傳誦、甚至是深喉嚨的個人爆料都屬前者，但個資法對媒體告知義務所規範的行為卻是後者（「依第15條或第19條規定蒐集非由當事人提供之個人資料」）。當然這並不意謂，透露消息的深喉嚨一定不會招致任何的法律責任，例如，倘若員工個人違反公司規定而將顧客資料外洩給媒體，將可能引發民事甚至刑事法律責任。

因此，個人資料保護法對媒體進行規範所觸發的真正問題其實不在於「告知義務是否限縮新聞自由」，而在於握有個人資料的公務機關（第16條）或非公務機關（第20條），究竟可否將其所蒐集之個人資料，在未經當事人同意前，轉提供給媒體使用。而這個核心問題，其實也正是民間團體一再質疑行政院及法務部修法版本的理由：究竟我們要允許公務機關或非公務機關在什麼時候，可以不需要經過個人的同意，而把為A目的蒐集到的個資，使用在B目的、C目的、D目的上？

個資法修正草案，表面上擴大了適用範圍，也增加了「敏感性個資」（醫療、性生活、基因等）的特別規定，實則修正草案一再混淆「正當事由」乃是「法治國原則」對公務機關資訊作為的拘束，其與透過「個人同意權」所欲維護的「個人資訊自主/隱私權」二者，在規範上有截然不同的功能。這樣的混淆使得「個人同意權」在這部個資法中幾乎遭到架空。公務機關可以不需要得到個人同意而廣泛蒐集個資，也可以基於籠統的國家安全與增進公共利益，在不經個人同意的情形下，將原來蒐集之個資提供做其他目的使用。更離譜的是，非公務機關竟然也可以只因學術研究有必要，不論研究所涉及之風險高低，即可不經當事人同意而蒐集處理或利用個人的敏感性個人資料（主管機關雖口頭承諾將於子法做適當規範，但子法豈可增加母法所無之限制？）。


個人資訊自主/隱私權之保障與資訊社會中資料的正當利用間，固然存在一些緊張關係，因此不得不承認在某些限定情形，個人同意權應受到限制，以滿足現代社會生活的期待。但在結構上搞錯方向的修法，不僅造成違背國際學術社群之研究倫理的結果，其要如何作為「個資保護」的最低底線，也著實令人匪夷所思。