個人資料保護委員會籌備處-函釋要旨-個資籌法字第1130001758號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1130001758號
要旨	臺高檢署如針對已合法保有之個人資料欲為處理或利用之行為，得委託其他研究團隊辦理。研究團隊於受委託蒐集、處理或利用範圍內之行為，視同委託機關之行為，並以委託機關為權責機關，惟受委託研究團隊，雖有取得個人資料之外觀，但該研究團隊並非另一蒐集主體，不得因此據為己有，只能依委託機關（即蒐集主體）所應適用的個資法規定為之。
主旨	有關貴署委託學術機構辦理研究案之相關個資保護法疑義一案，復如說明二至四，請查照。
說明	一、復貴署113年8月21日檢事孟字第11395502110號函。二、按個人資料保護法（下稱個資法）第2條第1款及同法施行細則第3條規定，個人資料係指得以直接或間接方式識別該特定個人之資料，而得以間接方式識別該個人之資料，係指該等資料須與其他資料對照、組合、連結等，始得識別特定個人之資料。貴署來函所稱之緩起訴處分相關欄位資料，倘經與其他相關資料對照、組合、連結後，仍可識別特定當事人者，即屬上開個資法及其施行細則所稱間接識別之個人資料，而有個資法之適用。本件附表欄位（含地檢署別、罪名、緩起訴起訖日、緩護命及緩護療之履行情形等）雖無當事人姓名項目，惟綜合前述欄位記載內容，有無可能得以間接方式識別特定個人，未可一概而論。如上開資料得以間接方式識別該特定個人，則為個資法所保護之客體，而有個資法之適用。三、又緩起訴之相關紀錄，係屬個資法第2條第1款及第6條第1項所稱犯罪前科之個人資料（個資法施行細則第4條第6項參照），為特種個人資料，貴署對上開個人資料之蒐集、處理或利用，應遵循個資法第6條規定。如貴署針對已合法保有之個人資料欲為前開處理或利用之行為，得委託來函所稱研究團隊（即國立清華大學）辦理前揭研究案，研究團隊於受委託蒐集、處理或利用範圍內之行為，視同貴署之行為，並以貴署為權責機關（個資法第4條及同法施行細則第7條規定參照），惟受委託研究團隊，雖有取得個人資料之外觀，但該研究團隊並非另一蒐集主體，不得因此據為己有，只能依委託機關之貴署（即蒐集主體）所應適用的個資法規定為之。四、再按個資法施行細則第8條第1項規定：「委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。」第8條第2項規定：「前項監督至少應包含下列事項：一、預定蒐集、處理或利用個人資料之範圍、類別、特定目的及其期間。二、受託者就第12條第2項採取之措施。三、有複委託者，其約定之受託者。四、受託者或其受僱人違反本法、其他個人資料保護法律或其法規命令時，應向委託機關通知之事項及採行之補救措施。五、委託機關如對受託者有保留指示者，其保留指示之事項。六、委託關係終止或解除時，個人資料載體之返還，及受託者履行委託契約以儲存方式而持有之個人資料之刪除。」本案研究團隊透過貴署蒐集之緩起訴資料，倘經貴署認定仍涉及個人資料，則因係依據委託關係所取得，研究團隊僅為資料受託管理者，為貴署手足之延伸，研究團隊不得於受託範圍之外基於其他特定目的利用該資料，且於委託關係消滅時，即應將以儲存方式持有之個人資料刪除，另貴署應對該研究團隊為適當之監督，及定期確認受託者執行之狀況，將確認結果記錄之，並應注意該研究團隊應於監督範圍內蒐集、處理或利用相關個人資料（個資法施行細則第8條第3項及第4項規定參照），不得逾越原蒐集之特定目的必要範圍，併請注意。
正本	臺灣高等檢察署
資料來源	個人資料保護委員會籌備處