個人資料保護委員會籌備處-函釋要旨-個資籌法字第1150000631號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1150000631號
發文日期	115年4月8日
要旨	非公務機關與當事人間如已具有個資法第19條第1項第2款所定契約或類似契約關係，即應優先依此為蒐集、處理個人資料之合法事由。又基於契約關係蒐集或處理個人資料，原則上僅能於契約事務之特定目的必要範圍內為之，如已逾越特定目的之必要範圍，而欲蒐集或處理與契約之履行欠缺正當合理關聯之其他個人資料，則應依個資法第19條第1項規定，另行取得蒐集或處理之正當事由（如另經當事人同意）。
主旨	有關貴局所詢民眾陳情旅館業者案件，是否涉及違反個人資料保護法第19條、第20條及相關規定一案，復如說明，請查照。
說明	一、復貴局115年3月10日新北觀管字第1150434758號函。二、查旅館業者屬個人資料保護法（下稱個資法）第2條第8款所稱之非公務機關，其對個人資料之蒐集、處理或利用，應依個資法第19條及第20條第1項規定辦理；倘有違反，依個資法第47條第2款或第3款規定，由中央目的事業主管機關或直轄市、縣（市）政府處新臺幣5萬元以上50萬元以下罰鍰，並令限期改正，屆期未改正者，按次處罰之；後續所涉行政救濟管轄，於114年11月11日修正之個資法第51條之1施行前，應依訴願法第1章第2節相關規定辦理，合先敘明。三、按個資法第19條第1項規定：「非公務機關對個人資料之蒐集或處理，......應有特定目的，並符合下列情形之一者：……二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。……五、經當事人同意。……」如非公務機關與當事人間已具有契約或類似契約關係，即應優先依該條項第2款為蒐集、處理個人資料之合法事由。再以，基於契約關係蒐集或處理個人資料，原則上僅能於契約事務之特定目的必要範圍內為之，如已逾越特定目的之必要範圍，而欲蒐集或處理與契約之履行欠缺正當合理關聯之其他個人資料，則應依個資法第19條第1項規定，另行取得蒐集或處理之正當事由（如另經當事人同意）。四、次按個資法第20條第1項規定：「非公務機關對個人資料之利用，......應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：……六、經當事人同意。…… 。」所稱「蒐集之特定目的必要範圍內」，如係依據個資法第19條第1項第2款規定，其利用須與當事人契約或類似契約之關係有正當合理之關聯，始屬特定目的內利用，而無須再得「當事人同意」（同條項但書第6款），且依個資法第5條規定，個人資料之蒐集、處理或利用行為，均應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。五、所詢客戶旅館訂房之個人資料被旅館業者於處理同一客戶在其所營之餐廳部門訂位時蒐用，並主動提醒應注意事項（如訂房人數應與訂餐人數不同）等情一案，按同一旅館訂房與餐廳訂位固屬於不同契約關係，惟該旅館訂房個資在同一業者之不同業務部門或單位間，基於相異之契約關係所衍生之蒐用行為，是否合乎社會通念下當事人對隱私權之合理期待，且與蒐集之目的具有正當合理之關聯，尚難一概而論，建請貴局就目前整體旅館業者經營旅館業管理規則第8條所定各類服務之情形、不同服務契約之實際約定內容（含定型化契約），及個案旅館業者依個資法第8條或第9條之具體告知事項等綜合判斷後，本於職權審認之。六、另關於旅館業者訂房人員個資蒐集、處理及利用管理權限部分，按交通部依個資法第27條第3項授權訂定之「觀光產業類非公務機關個人資料檔案安全維護管理辦法」第5條、第15條規定略以:「非公務機關依前條規定訂定本計畫及處理方法時，應視其組織規模、特性、保有個人資料之性質及數量等事項，參酌第6條至第21條規定，訂定包含下列各款事項之適當安全維護管理措施......二、個人資料檔案之安全管理措施：......（五）個人資料蒐集、處理及利用之內部管理程序。 ( 六 ) . . . . . . 資料安全管理及人員管理措施。......」、「非公務機關為確實保護個人資料之安全，應對其所屬人員採取適度管理措施。前項管理措施，應包含下列事項：一、依據業務需求，適度設定所屬人員不同之權限，控管其接觸個人資料之情形，並定期檢視權限內容之適當性及必要性。二、檢視個相關業務之性質，規範個人資料蒐集、處理及利用等流程之負責人員。......」本案旅館業者有無採行上開適當安全措施，建請貴局就具體事實調查後本於職權審認之。
正本	新北市政府觀光旅遊局
資料來源	個人資料保護委員會籌備處