個人資料保護委員會籌備處-函釋要旨-個資籌法字第1140000771號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1140000771號
要旨	一、非公務機關用於運算、統計、分析之「去識別化資訊」，倘若依其資料型態與資料本質，客觀上仍有還原而間接識別當事人之可能時，無論還原識別之方法難易，若以特定方法還原而可間接識別該個人者，其仍屬個人資料，而有個資法之適用。二、非公務機關用於運算、統計、分析之個人資料，倘非屬其受委託辦理相關事務者，或另涉及其基於本身之其他特定目的（如商業策略）時，因屬特定目的外利用，應符合個資法第6條第1項但書、第20條第1項但書各款所列情形之一，始得為之。
主旨	有關貴部函詢「非公務機關將保有之個人資料，於原始蒐集利用目的外運用技術予以去識別化並進行統計資料釋出及發布，是否仍有個人資料保護法之適用」乙案，復如說明二至四，請查照。
說明	一、復貴部114年6月10日衛部顧字第1141961562號函。二、按個人資料保護法（下稱個資法）第2條第1款及同法施行細則第3條規定，個人資料係指得以直接或間接方式識別該特定個人之資料，而得以間接方式識別該個人之資料，係指該等資料須與其他資料對照、組合、連結等，始得識別特定個人之資料。其次，個人資料若經處理，依其資料型態與資料本質，客觀上仍有還原而間接識別當事人之可能時，無論還原識別之方法難易，若以特定方法還原而可間接識別該個人者，其仍屬個人資料。當事人就此類資料之自主控制權，仍受憲法資訊隱私權之保障。反之，經處理之資料於客觀上無還原識別個人之可能時，即已喪失個人資料之本質，當事人就該資訊自不再受憲法第22條個人資訊隱私權之保障。個資法第2條第1款以「得直接或間接識別該個人」為是否屬個人資料之標準，即在表彰上開憲法對個人資訊隱私權保障界限之意旨（憲法法庭111年憲判字第13號判決理由第35段參照）。三、復按非公務機關如係受委託辦理相關事務，而該委託辦理事務涉及個人資料之蒐集、處理或利用者，依個資法第4條規定，於個資法適用範圍內，受委託機關於該委託機關蒐集之特定目的，以及受委託蒐集、處理或利用範圍內所為行為，均視同該委託機關之行為，而以委託機關為權責機關，受委託機關並應注意於委託機關監督範圍內蒐集、處理或利用相關個人資料（個資法施行細則第8條第2項規定參照）。本件受委託機關（即○○公司）蒐集、處理或利用個人資料，如有非屬前述受委託辦理相關事務者，或另涉及該公司基於本身之其他特定目的所需者，則該受委託機關對於個人資料為特定目的外利用時，應符合個資法第6條第1項但書各款所列情形之一（特種個人資料）或第20條第1項但書各款所列情形之一（一般個人資料），始得為特定目的外利用；並應注意個資法第5條規定，尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。四、有關來函說明六所詢疑義，析述如下： (一)貴部來函所稱○○公司將長照機構提供之住民/個案監測資訊及長照機構工作人員年齡、經歷資料，經去識別化後用於研究、統計及出版相關報告一節，依前揭個資法第2條第1款、個資法施行細則第3條及憲法法庭111年憲判字第13號判決理由第35段所示，該公司用於運算、統計、分析之「去識別化資訊」，倘若依其資料型態與資料本質，客觀上仍有還原而間接識別當事人之可能時，無論還原識別之方法難易，若以特定方法還原而可間接識別該個人者，其仍屬個人資料，而有個資法之適用。惟因來函所附資料（包含該公司與長照機構簽訂之系統租用契約第5條第3項所謂「去識別化後之監測資訊」），尚無從得知該公司用於運算、統計、分析之「去識別化資訊」究係如何進行、能否以特定方法還原而可間接識別個人，仍請貴部本於職權調查審認。 (二)承前所述，倘若該公司用於運算、統計、分析之資訊仍屬個人資料，且非屬受委託辦理相關事務者，或另涉及該公司基於本身之其他特定目的（如商業策略）時，因屬特定目的外利用，應符合個資法第6條第1項但書、第20條第1項但書各款所列情形之一，始得為之；此與該公司出版之《○○報告》，亦即於統計分析成果發表時，第三人依其呈現或揭露方式是否已無從直接或間接識別特定個人，係屬二事。另上開個資法第6條第1項但書第6款所稱「當事人書面同意」、第20條第1項但書第6款所稱「當事人同意」，依個資法第6條第2項、第7條第2項及第4項規定，係指當事人經蒐集者（即本案之○○公司）明確告知特定目的外之其他利用目的、範圍及同意與否對其權益之影響後，單獨所為之意思表示，且蒐集者就本法所稱經當事人同意之事實，應負舉證責任；另如涉及個資法第6條第1項規定有關「病歷、醫療、基因、性生活、健康檢查及犯罪前科」之特種個人資料，當事人同意並限定應以「書面」方式為之。是以，該公司如欲透由取得「當事人（書面）同意」方式進行個人資料之特定目的外利用，應注意遵循上開規定，而各類型長照服務機構並無法逕行代其住民及服務個案表示前揭個資法所定之「當事人（書面）同意」。
正本	衛生福利部
資料來源	個人資料保護委員會籌備處