個人資料保護委員會籌備處-函釋要旨-個資籌法字第1140000195號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1140000195號
要旨	非公務機關以電子郵件辦理消費爭議，未以密件副本方式而揭露其他消費者電子郵件地址資料之行為，是否違反個人資料保護法第27條第1項「應採行適當之安全措施」一節，應視個案所採行各項具體措施之內容，綜合判斷是否達到足以防止個人資料被竊取、竄改、毀損、滅失或洩漏之程度，尚難一概而論。另是否違反第27條第1項之安全維護義務，與同法第41條之構成要件無涉。
主旨	有關民眾陳情○○○○○有限公司疑涉違反個人資料保護法一案，復如說明二至三，請查照。
說明	一、復貴局114年2月14日北市文化文創字第11430084992號函。二、按個人資料保護法（下稱個資法）第27條第1項規定：「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」所稱「適當之安全措施」，依同法施行細則第12條規定，係指非公務機關為防止個人資料被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施。前開措施得包括「事故之預防、通報及應變機制」、「個人資料蒐集、處理及利用之內部管理程序」、「資料安全管理及人員管理」、「認知宣導及教育訓練」等事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則。倘非公務機關違反個資法第27條第1項者，依個資法第48條第2項規定，由中央目的事業主管機關或直轄市、縣（市）政府處新臺幣2萬元以上200萬元以下罰鍰，並令其限期改正，屆期未改正者，按次處新臺幣15萬元以上1500萬元以下罰鍰。查本案電子郵件未以密件副本方式而揭露消費者電子郵件地址資料之行為，是否違反個資法第27條第1項「應採行適當之安全措施」一節，仍應視個案中就上開事項所採行各項具體措施之內容，綜合判斷是否達到足以防止個人資料被竊取、竄改、毀損、滅失或洩漏之程度，惟此屬於具體個案事實之認定，建請貴局賡續本於職權調查釐清。三、另按個資法第41條規定：「意圖為自己或第三人不法之利益或損害他人之利益，而違反第6條第1項、第15條、第16條、第19條、第20條第1項規定，或中央目的事業主管機關依第21條限制國際傳輸之命令或處分，足生損害於他人者，處5年以下有期徒刑，得併科新臺幣100萬元以下罰金。」查本案是否違反個資法第27條第1項之安全維護義務，與個資法第41條之構成要件無涉，至於相關行為人是否構成個資法第41條規定之犯罪，應以偵審結果為準。
正本	臺北市政府文化局
資料來源	個人資料保護委員會籌備處