個人資料保護委員會籌備處-函釋要旨-個資籌法字第1140002435號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1140002435號
要旨	一、虹膜作為生物特徵資料之一種，雖非屬個資法第6條第1項所列之特種個人資料，惟因與指紋同為具有高度人別辨識功能，仍受個資法有關一般個人資料蒐集、處理及利用等規範之保障。二、非公務機關欲取得當事人同意蒐集一般個人資料時，雖非以書面形式為必要，仍應在明確告知當事人個資法第8條第1項所定應告知事項，包括非公務機關名稱、蒐集目的、利用對象等之前提下，經當事人明確表示同意後為之，始屬合法有效。又為達到「明確告知」之目的，蒐集者仍應以個別通知之方式使當事人知悉，不得以單純擺設（張貼）公告或上網公告之概括方式為之。
主旨	有關虹膜是否屬於個人資料保護法第6條所稱特種個資等疑義一案，復如說明二、三，請查照。
說明	一、復貴部114年12月9日數授產服字第1146000740號函。二、按個人資料保護法(下稱個資法)第2條第1款規定「本法用詞，定義如下：一、個人資料：指自然人之…、特徵、指紋…及其他得以直接或間接方式識別該個人之資料。」其中指紋係個人身體之生物特徵，因其具有人各不同、終身不變之特質，故一旦與個人身分連結，即屬具備高度人別辨識功能之一種個人資訊(司法院釋字603號解釋理由書參照)。準此，虹膜作為生物特徵資料之一種，雖非屬個資法第6條第1項所列之特種個人資料，惟因與指紋同為具有高度人別辨識功能，仍受個資法有關一般個人資料蒐集、處理及利用等規範之保障。三、次按個資法第19條第1項規定：「非公務機關對個人資料之蒐集或處理，除第6條第1項所規定資料外，應有特定目的，並符合下列情形之一者：…五、經當事人同意。…」本項第5款所稱「同意」，係指當事人經蒐集者告知個資法所定應告知事項後，所為允許之意思表示，而蒐集者就當事人同意合法要件之事實，應負舉證責任（個資法第7條第1項、第4項規定參照）。準此，非公務機關欲取得當事人同意蒐集一般個人資料時，雖非以書面形式為必要，仍應在明確告知當事人本法所定應告知事項，包括非公務機關名稱、蒐集目的、利用對象等(個資法第8條第1項參照)之前提下，經當事人明確表示同意後為之，始屬合法有效。又上開規定所定告知方式，得以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式為之(個資法施行細則第16條參照)。惟為達到「明確告知」之目的，蒐集者仍應以個別通知之方式使當事人知悉，不得以單純擺設（張貼）公告或上網公告之概括方式為之。是以，本件來函所述網站「隱私權政策」內容，是否已就個資法第8條第1項所定各款事項為完整告知，並足認已對個別當事人為明確告知，因涉及具體事實之判斷，宜請貴部本於職權先行釐清，並得請資料蒐集者舉證證明經當事人同意之合法要件。
正本	數位發展部
資料來源	個人資料保護委員會籌備處