袁秀慧觀點：個人資料保護除了健檢，還需要更多法遵上的配套

近來陸續有公私部門資料外洩事件不斷發生，這些經媒體報導的都屬資料量龐大、受害人數眾多，然而還是有不少小眾、內部濫用的情形存在，這些都是個人資料保護的隱憂。個人資料外洩造成的損害，除了取得密碼，進行資產變動、移轉，還有更多是背景的掌握以進行其它民刑事的不法，絕對不會是像公私部門不斷呼籲的，要民眾定期修改密碼，勿將密碼等資料交予他人就可以阻止，這些都是已經發生資料外流，為避免造成個人更嚴重損害的補救手段。公私部門一旦取得民眾的資料，依法就必須對於資料的保管負起全責，直到資料存在的目的消失，透過將資料銷毀來解除對於個資保管的責任。

個人資料的保護會日漸受到重視，源於數位工具的綜整能力越來越強大，成為更有效的政府治理及企業獲利方式，大家也慢慢看懂網路巨頭提供免費服務換取會員背後的獲利模式--拿個資換服務，個人資料的價值受到前所未有的重視。早年個資的利用在公私部門間也沒有那麼嚴謹，只要取得個資，之後的處理、利用就變成資料控制者說了算，缺乏必要的法遵流程，資料主體無法掌握資料的去向，只知道常常收到莫名奇妙的推銷電話，這些都反映國內從公私部門到人民對於個資的保護意識淺薄。不過近年也發生過行政部門及法院在文書記載上的一堆圈圈，變成不知所云，嚴重阻礙了資料的利用，這些矯往過正的情形，其實都是個資保護發展的陣痛，反映的就是個資保護中一直很少被提及的法遵流程。

他山之石可以攻玉，其實在歐盟GDPR生效後，各國因應法令的必要，已經有法遵流程及做法，包含裁罰標準以及人民申訴方式都可以提供我國參考。個資保護與資安並不能完全劃上等號，資安強化使資料不受威脅侵擾以外，個資保護還要關注個資在蒐集、處理及利用整個過程中的法遵流程，使資料不被濫用，惟有二者兼及，才能健全個資保護的雙翼。在2020年時，台北市政府成立資料治理委員會就是為對應數位工具在政府治理中的快速發展情勢，發現一路往前踩油門的數位發展中，並未照顧到資料利用的法遵工作，顯然有違反政府良善治理的目標，可能會有侵害民眾個資主體權利的疑慮。因此，透過資料治理委員會去建立各種資料利用標準給機關，建立資料利用的SOP給機關遵循，從個資的蒐集開始，就有意識的控制資料範圍的必要及資料保管安全，以降低未來資料外洩的風險及影響，並且釐清造成損害時應有的賠償責任。 （相關報導： 葉慶元觀點：iRent洩漏個資 中央、地方共罰三次 合法嗎？ ｜ 更多文章 ）

另外，在資料取得不如過往因難的情形下，保護個人資料不妨先從哪些資料可以取得管理起，在個資法的規定中，必須符合特定目的的必要範圍並且具正當合理關聯，在公私部門必須對資料的保管負完全責任的前提下，建議應該先從資料的蒐集訂立規範開始，同時為蒐集、處理、利用導入必要的法遵流程。不過度蒐集資料，除了是對民眾做為資料主體的尊重，也是為政府及企業在保管資料上的減壓，數位資料持有越多，越是機敏，在資安設備上的投資要求更高，因此，不論公私部門，面對數位資料都應改變貪多的心態。資料的不外洩，就是花錢以更好的技術來保護資料，公私部門皆責無旁貸，沒有托詞可言，一旦取巧，不願投資在提昇資安能力，造成資料外流，除了必要的賠償，衝擊的還有民眾對於政府或是企業的信任。數位時代，可能造成人民損害的不再只有馬路，網路更值得我們關注，當各方認清資料保護責任的分配，未來資料控制者將更難以是因為後端駭客的竊取行為以及詐騙行為造成資料主體損害，來免除或降低自己未善盡保管資料的責任。

公部門而言，持有人民的資料更全面，在個資法的規定，幾乎只要為執行法定職務履行法定義務，不用告知民眾也能取得資料，因此，管理重點應該放在各部門間的資料利用，嚴守每個機關間職掌及目的的不同，不讓資料任意流用，如有使用的必要，應該有一套標準，並且受到民意的監督，避免形成政府全面掌握個人，形成數位環境下監管的狀態。未來努力的方向，可以學習愛沙尼亞，將所有資料的調用，提供軌跡供民眾查詢、質問，以充分落實對民眾資料主體的尊重。

在私部門的領域，常常是透過當事人同意來取得資料，一個行業或是一個商業行為究竟要取得多少資料即足以供該行業或是商業行為運作，在歐盟有些國家是會透過商業團體或是個資保護機關來進行管理。因此，我國似乎也可以由此著手，在現行制度上，還是採取以各個目的事業主管機關為主，不妨先由目的事業主管機關邀請商業團體，先進行個資的蒐集範圍檢視，必要時由民間團體自行訂定標準，就個人資料的利用做法遵流程檢討，避免事情發生時，才進行亡羊補牢的動作。主管機關也可以考慮以短中長期擇定稽查對象，並事先輔導的方式，每年針對不同行業，來逐一改善各行各業對於個資的保護意識及能力，否則單單只是修法提高罰鍰，恐怕除了加重企業營運成本，未必能達保護個人資料以及建立信任的目標。

說到政府究竟應該提供一個如何的獨立機制，方能就我國的個人資料保護，達到資料的充分利用以及資料的安全保障，前者對於企業界面對競爭尤其重要，後者著眼於資料主體的人性尊嚴，因此如何在二者之間取得平衡，建立數位治理的信任，是不小的挑戰。一個權責更高的單位看來是必要的，數位時代的發展，會日漸改變政府原有的治理模式，只是快慢的問題，像是這幾年的新冠役情就加速了數位工具在民間社會的全方位滲入，也迫使政府有一些施政作為的調整。除了資安技術上的檢視及精進，協助各機關標準的訂定，另一方面針對個人資料蒐集、處理、利用的每個環節，有法律的介入，訂定標準協助公私部門遵行，畢竟以施政而言，處罰不是目的，必須達成資料能被依法保障及依法利用。最後，人民是資料的主體，對於資料的蒐集、處理、利用，如果有任何問題或權利主張，政府機關應該提供必要的行政單位，以供容納意見反映以及解決人民在個人資料上的問題，此舉也會有助於政府及早發現問題，而能及早處理。 （相關報導： 葉慶元觀點：iRent洩漏個資 中央、地方共罰三次 合法嗎？ ｜ 更多文章 ）

＊作者為執業律師、台北市政府法務局前局長