個人資料保護委員會籌備處-函釋要旨-個資籌法字第1130000307號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1130000307號
要旨	一、若招標機關依政府採購法或其他法律或法律授權之命令所定職務亦無從認定有蒐集投標廠商之「實質受益人」資訊之必要，則尚難符合個資法第15條第1款規定。另若招標機關係以個資法第15條第2款「經當事人同意」作為其合法事由時，應注意踐行法定應告知事項，使當事人得充分瞭解個人資料之後續利用，並不得因當事人拒絕提供而對其有不利之影響，始符合個資法及其施行細則等規定。二、投標廠商與實質受益人之間應有契約或類似契約之關係，依個資法第20條第1項規定，投標廠商原則上應於蒐集之特定目的必要範圍內利用該等個人資料。故投標廠商若將實質受益人之個人資料提供給招標機關，則屬特定目的外利用，應符合個資法第20條第1項但書規定各款事由之一，始得為之。如是以「經當事人（即實質受益人本人）同意」作為於特定目的外利用之事由，投標廠商應明確告知當事人特定目的外之其他利用目的、範圍及同意與否對其權益之影響後，由當事人單獨所為之意思表示，始符合個資法第7條第2項及第20條第1項第6款規定。
主旨	關於貴會所詢機關要求廠商於投標文件揭露實質受益人之個人資料保護法適用疑義，復如說明二至四，請查照。
說明	一、復貴會113年2月16日工程企字第1130002417號函。二、關於招標機關蒐集投標廠商之「實質受益人」資訊部分: (一)按個人資料保護法（下稱個資法）保護之個人資料，依個資法第 2 條第 1 款及個資法施行細則第 2 條、第 3 條之規定，僅限於現生存之自然人資料，而不及於法人等組織資料之保護。依來函所附會議紀錄所示，關於廠商於投標文件揭露之「實質受益人」定義，係指「直接、間接持有法人、團體之股份或資本超過百分之二十五，或具最終所有權或控制權之自然人」，因此定義僅有涉及投標廠商背後持有股份或資本超過一定比例或具最終所有權或控制權之自然人資料，屬個人資料，從而有個資法之適用。 (二)按個資法第15條規定：「公務機關對個人資料之蒐集或處理，…，應有特定目的，並符合下列情形之一者：一、執行法定職務必要範圍內。二、經當事人同意。…」所稱法定職務，同法施行細則第10條明定包括法律、法律授權之命令等所定公務機關之職務。又個資法第7條規定:「第15條第2款…所稱同意，指當事人經蒐集者告知本法所定應告知事項後，所為允許之意思表示(第1項)。…公務機關或非公務機關明確告知當事人第8條第1項各款應告知事項時，當事人如未表示拒絕，並已提供其個人資料者，推定當事人已依第15條第2款…之規定表示同意(第3項)。」蒐集者就本法所稱經當事人同意之事實，應負舉證責任（第4項）。」第8條第1項規定「公務機關…依第15條…規定向當事人蒐集個人資料時，應明確告知當事人下列事項：…。」同法施行細則第16條規定「依本法第8條…所定告知之方式，得以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式為之。」 (三)貴會欲在「投標廠商聲明書範本」增訂投標廠商揭露「實質受益人」之聲明事項，其目的旨在促進採購公開透明及防止利益衝突，且初期係鼓勵廠商自行揭露之非強制事項，未聲明者不影響其成為決標對象，亦不以其聲明正確與否作為決標對象之考量。依來函所附會議紀錄招標機關基於促進政府採購公開透明、防止利益衝突之特定目的似僅得依公職人員利益衝突迴避法第14條第2項規定蒐集公職人員及其關係人之資料，且政府採購法尚無明定招標機關得蒐集投標廠商之「實質受益人」資訊，若招標機關依其他法律或法律授權之命令所定職務亦無從認定有蒐集投標廠商之「實質受益人」資訊之必要，則尚難符合個資法第15條第1款規定。另若招標機關係以個資法第15條第2款「經當事人同意」作為其合法事由時，應注意踐行法定應告知事項，使當事人得充分瞭解個人資料之後續利用，並不得因當事人拒絕提供而對其有不利之影響，始符合上開個資法及其施行細則等規定。三、關於投標廠商提供「實質受益人」資訊予招標機關部分: (一)依個資法第 19 條第 1 項規定：「非公務機關對個人資料之蒐集或處理，…，應有特定目的，並符合下列情形之一者：…二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。…」個資法第 20 條第 1 項規定：「非公務機關對個人資料之利用，…，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：一、法律明文規定。二、為增進公共利益所必要。…六、經當事人同意。…」 (二)依上開實質受益人的定義可知，實質受益人係指「直接、間接持有法人、團體之股份或資本超過百分之二十五，或具最終所有權或控制權之自然人」，是以投標廠商與實質受益人之間應有契約或類似契約之關係，依個資法第20條第1項規定，投標廠商原則上應於蒐集之特定目的必要範圍內利用該等個人資料。故投標廠商若將實質受益人之個人資料提供給招標機關，則屬特定目的外利用，應符合個資法第20條第1項但書規定各款事由之一，始得為之。又投標廠商如是以「經當事人（即實質受益人本人）同意」作為於特定目的外利用之事由，投標廠商應明確告知當事人特定目的外之其他利用目的、範圍及同意與否對其權益之影響後，由當事人單獨所為之意思表示，始符合個資法第7條第2項及第20條第1項第6款規定。至於投標廠商提供實質受益人之個人資料是否確能使招標機關達到「促進採購公開透明」、「防止利益衝突」等效果，從而符合個資法第20條第1項第2款「為增進公共利益」等特定目的外利用事由，宜由保有該個人資料之投標廠商本於權責審酌之。另得為特定目的外利用之各款合法事由，僅係限制利用之解除而未具強制力，惟如投標廠商基於各款合法事由提供實質受益人之個人資料予招標機關，尚符合上開個資法規定。四、綜上，政府採購法並未明定招標機關得蒐集投標廠商之「實質受益人」資訊，且廉政法規及洗錢防制法亦未規範此部分，建請貴會衡酌是否於主管政府採購法規或由相關法規主管機關於其廉政相關法規明定「實質受益人」定義及其範圍、揭露立意、方式及時點等事項，以完備法制。另依個資法第5條規定：「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」，若欲辦理前開蒐集、處理及利用時，仍應注意符合個資法第5條比例原則之規定，併此敘明。
正本	行政院公共工程委員會
副本	個人資料保護委員會籌備處