個人資料保護法與學校相關之因應Q&A

NII財團法人中華民國國家資訊基本建設產業發展協進會提供

資料來源：http://www.nii.org.tw/Profession/Qna/12

Q：學校可以公告成績單、獎懲或榜單等事項嗎？

新聞中的事實是榮譽榜的比賽得獎公告，對於被公告的學生來說應該是充滿自信與值得驕傲的事，但學校仍然為免違反個資法，而以圈圈替代學生名字，這樣的做法是否妥適，是否一定要以不公布全名的方式處理公告事項，才是符合個資法的作法呢？
個資法第1條開宗明義立法目的為「規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人料之合理利用，特制定本法」，因此固然為了保障個人資料隱私的人格權而有諸多程序事項規定，但若是行為人的行為已經符合個資法相關程序規定，則該行為即屬合法，以促進個人資料能於合理的範圍內加以利用，故而，個資法上路後並非各項過去業務皆須要停止或是完全將個人資料隱去或使之無法識別特定個人才屬適法，法規遵循的重點毋寧在於正確判斷目前的特定行為應遵守個資法上何種特殊的程序規定，始為正辦。
於公布欄公告包含個人資料在內的特定事項，應該是屬於個資法上的「利用」行為，而對於「利用」行為的適法性遵循判斷相當簡單，只須要判對於該資料是否「於蒐集之特定目的必要範圍內為之」即可，亦即只要資料的利用可以解釋屬於蒐集的特定目的範圍內，該利用行為即屬合法，無須因個資法上路而將個資作任何去識別化，甚至停止過去慣習的利用行為。
既然利用行為的適法性判斷為利用是否於蒐集的特定目的必要範圍內，我們就須要回頭判斷學校蒐集學生資料的特定目的為何？理論上，學校蒐集學生個人資料之特定目的應該都是「學生（員）(含畢、結業生)資料管理」，因此只要學校在這個特定目的內的利用，且符合個資法第5條的比例原則規定，那就可以說是符合個資法的利用方式。
對於學生的獎懲、成績等公告，在解釋上由於可能是為了獎勵、鼓勵、警惕等教學及管理上的理由，應該都可以認為屬於學生資料管理的目的內利用，因此我們接下來只要確認利用的方式符合比例原則，比如，在公告模範生候選人時，是否有須要貼上候選人的大頭照；在公告學生受處罰時，是否只須要公告學號及違反校規情形而不須要公告姓名；在公告獲獎或其他獎勵事項時，為了鼓勵得獎學生並激勵其他學生仿效，而須要完整公布學生班級與姓名等等，以合於特定目的且適於比例性的方式公告學生個資，即屬個資法上合法的利用行為。
綜上所述，只要是在蒐集之特定目的內且合於比例原則的利用方式即屬個資法上的合理利用，新聞中的學校公布學生榮譽榜時，既是特定目的內的利用，且想像上此種榮譽事項公布學生全名也不致過度侵害學生個資隱私權，因此其實並不需要將姓名部分以○○取代，直接以學生全名公布，應亦屬合法的利用態樣。

Q：在網路上(例如：臉書)公布親友照片或影片，是否適用個人資料保護法?

A(參考見解) ：

按個資法第51條第1項第1款規定：「有下列情形之一者，不適用本法規定：一、自然人為單純個人或家庭活動之目的，而蒐集、處理或利用個人資料。」自然人為單純個人活動目的，而將其個人資料(例如照片、影片或電話)，於網路上分享予其他友人等利用行為，尚無本法之適用。

但是，若上述行為有侵害民眾隱私者，受害人仍可以依民法第18條、第184條及第195條等規定，請求法院除去侵害或防止侵害及損害賠償。

資料來源：法務部法律字第10203502790號函
(函文可於法務部主管法規系統查詢)

Q：學生的校服上如繡上姓名、學號是否違反個人資料保護法？

A(參考見解) ：

個人資料保護法主要規範個人資料之蒐集、處理及利用相關行為，有關學校要求學生於制服繡上姓名、學號，尚未涉及學校蒐集、處理及利用個人資料，故無個資法適用與否的問題。

資料來源：法務部法律字第10403500300號函

Q：學校是否可以將成績單直接寄到家中給學生家長？

A(參考見解) ：

學生在校的學習過程、相關資格、考試訓練考核及成績，以及老師所給予的評分評語等或考試成績紀錄等，均屬於法務部【個人資料保護法之特定目的及個人資料之類別】中的『學生(員)、應考人紀錄』（Ｃ○五七），凡屬於個人資料之內容，則其蒐集、處理與利用之過程均需符合個人資料保護法之規定。

將學生的成績單寄到家中給家長，應分就幾種不同的情況來討論。

若學生未滿20歲，參照個人資料保護法第 10 條、民法第 1086 條等規定，父母係未成年子女法定代理人，得行使同意權以補充其能力之不足，也得行使代理權，逕行代為法律行為，故學校將學生的成績單直接寄到家中給家長，應屬於個人資料之合理利用。且依據「國民小學及國民中學學生成績評量準則」第 9 條之規定「學校就國民中小學學生學習領域及日常生活表現之成績評量紀錄及具體建議，每學期至少應以書面通知家長及學生一次」，因此學校有義務將學生的學期評量成績結果提供給家長。（民國103年國民基本教育延伸至高級中等學校，高中生學生之成績將可為相同解釋）

若學生為大學以上之在校生，通常大一、大二之學生，年紀仍未滿20歲，因此父母親可基於親權行使之目的向學校請求子女學習相關成績或獎懲紀錄。但若學生年齡已屆滿20歲，屬於法律上所定義之完全行為能力人，可主張個人之權益，因此學校在未取得學生的同意下，不宜逕自將學生的成績單直接寄給家長，避免構成目的外利用或是超出法定職務必要範圍的可能。
NII協進會管理顧問建議，大專院校可設計相關申請表單，並加註學生本人同意的書面同意簽名欄位，提供學生家長可合法取得或調閱學生的成績單或學習紀錄。此外，學校也可以依據大學法第 32 條所賦予學校之權利，修訂學則內容，將成績通知之相關規定列入，作為成績單寄送之相關法令規定依據。

Q：外國人在台短期進修或者留學，是否也受我國個人資料保護法的保障？

A(參考見解) ：

只要是在我國境內所進行的個人資料蒐集、處理或利用行為，無論對象是我國國民或是外國人，均受我國個人資料保護法所規範。
故，外國學生在臺灣短期進修或留學，也受到我國個人資料保護法的保障。

Q：個人資料蒐集的管控重點為何？

A(參考見解) ：

依我國個資法，個人資料蒐集之三個基本管控重點，一是個資蒐集不逾越特定目的、二是個資蒐集須符合個資法有關蒐集之法定要件、三是個資蒐集須履行當事人之告知義務。
以下簡述此三個管控重點之內涵。
一、個資蒐集不逾越特定目的
首先可先確認組織內所持有的各項個資的種類，例如員工資料或會員資料等，並釐清這些個資的內涵，以確認是否持有特種個資。例如：會員資料中可能包含姓名、電話、戶籍地址、是否有犯罪紀錄等。接續則應核對這些所持有的個資為符合主管機關所公布之特定目的。

二、個資蒐集須符合個資法有關蒐集之法定要件
確認所持有的個資是否符合個資法第19條有關個資蒐集與處理之法定要件（必須滿足其中之一），這些要件包括：
* 是否有法律明文規定？
* 是否與當事人訂有契約？有無合約關係？
* 是否與當事人有類似契約關係？
* 是否取得當事人書面同意？
* 是否為當事人「自行公開」或其他合法公開者？
* 是否為學術研究與統計目的？
* 是否與公共利益有關？
* 是否取自於一般可得之來源？

三、個資蒐集須履行當事人之告知義務
確認是否須履行告知義務並建立告知機制，若個資為向當事人直接取得者， 應於蒐集時一併告知以下事項（個資法第8條）
* 公務機關或非公務機關名稱。
* 蒐集之目的。
* 個人資料之類別。
* 個人資料利用之期間、地區、對象及方式。
* 當事人依第三條規定得行使之權利及方式。
* 當事人得自由選擇提供個人資料時，不提供將對其權益之影響。

若是從第三人處取得當事人個資，則應於處理或利用之前告知（個資法第9條），告知內容與直接取得個資者一致，但多了「告知個人資料來源」這一個項目。

Q：公務機關違反個人資料保護法會有哪些相關責任？

Q：公務機關違反個人資料保護法會有哪些相關責任？
A(參考見解) ：

(一)民事賠償責任：
1.公務機關違反個人資料保護法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。（個資法 第28條第1項）

2.被害人雖非財產上之損害，亦得請求賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分。（個資法 第28條第2項）

3.如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節以每人每一事件新臺幣五百元以上二萬元以下計算。
對於基於同一原因事實造成多數當事人權利受侵害之事件，應對當事人負損害賠償責任，其合計最高總額以新臺幣二億元為限。
若同一原因事實造成之損害總額超過新臺幣二億元，被害人所受賠償金額，則不受每人每一事件最低賠償金額新臺幣五百元之限制（本法第28條第3~5項）

4. 損害賠償除依個人資料保護法規定外，公務機關適用國家賠償法之規定。（個資法 第31條）

(二)刑事責任：

1.違反個人資料保護法有關特種資料的蒐集、處理或利用規定，足生損害於他人者，處二年以下有期徒刑、拘役或科或併科新臺幣二十萬元以下罰金。（個資法 第41條第1項）

2.意圖營利犯前項之罪者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。（個資法 第41條第2項）

3.意圖為自己或第三人不法之利益或損害他人之利益，而對於個人資料檔案為非法變更、刪除或以其他非法方法，致妨害個人資料檔案之正確而足生損害於他人者，處五年以下有期徒刑、拘役或科或併科新臺幣一百萬元以下罰金。（個資法 第42條）

4.公務員假借職務上之權力、機會或方法，犯個資法第五章之罪者，加重其刑至二分之一。（個資法 第44條）