成立個人資料保護專責機關之相關法制問題研析
個人資料保護法
僅供委員問政所需參考
                        

                        
                            不代表本院意見或立場
                        

                    
                

            
        

                                               
                                               編號：1976 
        

        
            議題研析
        

        
            一、題目：成立個人資料保護專責機關之相關法制問題研析
        

        
            二、議題所涉法規
        

        個人資料保護法

        
            三、背景說明
        

        （一）近期國內連續發生多起重大個人資料(以下簡稱個資)洩漏事件，不但包括航空公司及多家汽車租賃業等民間企業，甚至戶政、健保資料均有洩漏情事，引發各界關注。行政院於107年間責成國家發展委員會(以下簡稱國發會)成立「個人資料保護專案辦公室」，負責個資保護法制之主政機關與跨部會協調工作[footnoteRef:1]。然依個人資料保護法(以下簡稱個資法)規定，個資法之監督機關係為公務機關或非公務機關所屬中央目的事業主管機關或直轄市、縣（市）政府，因而容易產生監督單位權責不清的問題，故而朝野立委均呼籲應儘快成立獨立專責保護機關，以落實個資保護[footnoteRef:2]。 [1:  國家發展委員會，個人資料保護專案辦公室，https://www.ndc.gov.tw/Content_List.aspx?n=726A44EA5D724473，最後閱覽日：112年2月14日。]  [2:  楊丞彧、謝武雄、蔡亞樺，個資外洩連環爆 立委促設個資保護機關，自由時報，112年2月11日，第A9版。謝君臨，立委促設個資專責機關 國發會允1個月內提報告，自由時報，112年2月7日， 第A4版 。] 


        （二）行政院為加強個資保護，擬視情況將個資保護議題納入行政院國家資通安全會報討論[footnoteRef:3]，具體作法係責成各機關及其主管事業於重大事件發生時立即通報，並由個資行政檢查小組會同數位發展部(以下簡稱數位部)、國家資通安全研究院進行行政檢查並擬具報告後，提報專案會議，以利後續處分決策[footnoteRef:4]。為此，民眾對於111年間設立，專責國家資通安全防護相關業務的數位部寄予厚望，甚至希望能由其統籌辦理個資保護[footnoteRef:5]。 [3:  林縉明、陳素玲、馬瑞璿，個資頻外洩 數位部何在 政院擬設新獨立監督機制 能否解決資安破口不明，聯合報，112年2月10日，第A2版。]  [4:  國家資通安全研究院揭牌 鄭副院長盼成為資安政策、產業及相關服務最堅強後盾，行政院新聞稿，112年2月10日，https://www.ey.gov.tw/Page/9277F759E41CCD91/d7b3af57-0799-45be-8ace-47544d570162，最後閱覽日：112年2月15日。]  [5:  林縉明、陳素玲、馬瑞璿，同註3。] 


        
            四、探討研析
        

        （一）單一資安部門是否足以勝任個資保護有待深究

        在網際網路盛行的數位資訊年代，政府與企業均以電子資料庫保存個資，並大量透過網際網路傳輸，故而外界有由數位部統籌負責個資保護之提議[footnoteRef:6]。然而資安及法律專家認為個資獨立監督機制與資安處理平台分屬不同概念[footnoteRef:7]，且個資涉及法律、資安、標準規格、認證、使用以及與產業介接等各層面，需跨領域整合始能周延，單一資安部門是否足以勝任[footnoteRef:8]亦值深究。 [6:  馬瑞璿、蕭白雪，疊床架屋 難解資安困境，聯合報，112年2月10日，第A2版。]  [7:  林縉明、陳素玲、馬瑞璿，同註3。]  [8:  陳美伶：個資涉及層面廣　需跨領域規管整合，中央社，108年9月14日，國內財經。] 


        （二）獨立專責機關主管個資保護已為國際潮流

        歐洲議會及歐盟理事會於2016[footnoteRef:9]年4月27日通過歐盟規則第2016/679號「歐盟資料保護一般規則(General Data  Protection  Regulation，GDPR)」，藉以提升及確保對於歐盟境內資料當事人權利保護之一致性(特別是網路活動)。歐盟視個人資料保護為人權的體現，爰要求個資主管機關必須「獨立」且「專責」[footnoteRef:10]，故而於GDPR第51條明文規範各會員國除法院及司法權外應設立至少一個獨立專責公務機關[footnoteRef:11]，以監督GDPR之落實。經查，除歐盟國家外，其他國家亦多有設立個資保護獨立專責機關者，如新加坡個人資料保護委員會(Personal Data Protection Commission Singapore, PDPC)[footnoteRef:12]、日本個人情報保護委員會[footnoteRef:13]、韓國個人資訊保護委員會(Personal Information Protection Commission, PIPC)[footnoteRef:14]、	香港個人資料私隱專員公署[footnoteRef:15]及加拿大個人資料私隱專員公署(Office of the Privacy Commissioner of Canada, OPC)[footnoteRef:16]等。此外，憲法法庭於111年亦在針對健保資料庫裁判案中明確指出，個資法及其他相關法律規定，均欠缺獨立監督機制，對個人資訊隱私權保障不足，有違憲之虞，相關機關應自判決宣示之日起3年內，制定或修正相關法律[footnoteRef:17]。爰此，目前以任務編組方式設置之「個人資料保護專案辦公室」對於確保個資安全似有不足，允宜參酌憲法法庭判決意旨，制定或修正相關法律成立獨立專責個資保護機關，以符合國際潮流，落實個資及人權之保護。 [9:  為求全文一致性，引述涉及年代部分，除外國資訊以西元表示外，其他均以民國表示。]  [10:  潘姿羽、廖禹揚，個資管理多頭馬車 成立專責機構當務之急，中央社，108年9月14日，國內財經。]  [11:  法務部，歐盟資料保護一般規則(General Data Protection Regulation,GDPR)與我國個人資料保護法之重點比較分析，https://www.ndc.gov.tw/Content_List.aspx?n=92A54D2FBC1D329E，最後閱覽日：112年2月10日。]  [12:  新加坡個人資料保護委員會(Personal Data Protection Commission Singapore, PDPC)，https://www.pdpc.gov.sg/，最後閱覽日：112年2月18日。]  [13:  日本個人情報保護委員會， https://www.ppc.go.jp/，最後閱覽日：112年2月18日。]  [14:  韓國個人資訊保護委員會(Personal Information Protection Commission,PIPC)，https://www.pipc.go.kr/eng/index.do，最後閱覽日：112年2月18日。]  [15:  香港個人資料私隱專員公署，https://www.pcpd.org.hk/cindex.html，最後閱覽日：112年2月18日。]  [16:  加拿大個人資料私隱專員公署(Office of the Privacy Commissioner of Canada,OPC)，https://www.priv.gc.ca/en/，最後閱覽日：112年2月18日。]  [17:   詳見憲法法庭111年8月12日111年憲判字第 13 號判決。] 


        撰稿人：安怡芸

        1