個人資料保護委員會籌備處-函釋要旨-個資籌法字第1140001332號

發文單位	個人資料保護委員會籌備處
發文字號	個資籌法字第1140001332號
要旨	一、受非公務機關委託利用個人資料者，於個資法適用範圍內，視同委託機關之行為，並以委託機關為權責機關，受託者雖有取得個人資料之外觀，但並非另一蒐集主體，不得因此將個人資料據為己有，只能依委託機關（即蒐集主體）所應遵行之個資法規定為之。委託機關並應依法對受託者妥為監督，包含委託關係終止時，受託者應將所持有之個人資料刪除。二、個人資料保護法第20條第1項規定所稱「為免除當事人之生命、身體、自由或財產上之危險」或「有利於當事人權益」均屬不確定法律概念，應由個資利用機關個案審酌是否符合得為特定目的外利用之法定情形，尚難於事前一概而論；其中第7款之立法理由亦強調，須以非公務機關之特定目的外利用在客觀上有具體特定情況「能證明係有利於當事人權益者」，始例外允許。
主旨	有關○○家醫內兒科診所提供該診所就醫民眾聯絡資訊予合作單位○○醫院進行電話催檢之行為是否涉及違反個人資料保護法一案，復如說明二至三，請查照。
說明	一、復貴局114年8月19日北市衛健字第1143125486號函。二、按個人資料保護法（下稱個資法）第4條規定：「受公務機關或非公務機關委託蒐集、處理或利用個人資料者，於本法適用範圍內，視同委託機關。」同法施行細則第7條規定：「受委託蒐集、處理或利用個人資料之法人、團體或自然人，依委託機關應適用之規定為之。」及第8條規定：「委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。(第1項)前項監督至少應包含下列事項：一、預定蒐集、處理或利用個人資料之範圍、類別、特定目的及其期間。二、受託者就第12條第2項採取之措施。……六、委託關係終止或解除時，個人資料載體之返還，及受託者履行委託契約以儲存方式而持有之個人資料之刪除。(第2項)第1項之監督，委託機關應定期確認受託者執行之狀況，並將確認結果記錄之。(第3項)受託者僅得於委託機關指示之範圍內，蒐集、處理或利用個人資料。……。(第4項)」是以，本案○○家醫內兒科診所（下稱○○診所）所謂「提供」該診所就醫民眾聯絡資訊予○○醫院健檢團隊辦理電話通知服務乙節，若如來函說明三所示「因○○診所無足夠人力，故委由○○醫院健檢團隊辦理電話通知服務，……以促進健康」等語，而僅係○○診所委託○○醫院利用個人資料者，於個資法適用範圍內，○○醫院之行為視同○○診所之行為，並以○○診所為權責機關，受委託之○○醫院雖有取得個人資料之外觀，但○○醫院並非另一蒐集主體，不得因此將個人資料據為己有，只能依委託機關之○○診所（即蒐集主體）所應遵行之個資法規定為之。除○○醫院應表明其為受委託者外，○○診所並應依法對○○醫院妥為監督，包含委託關係終止時，○○醫院應將所持有之個人資料刪除。三、另按個資法第20條第1項規定：「非公務機關對個人資料之利用，……應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：……三、為免除當事人之生命、身體、自由或財產上之危險。……六、經當事人同意。七、有利於當事人權益。」所稱「為免除當事人之生命、身體、自由或財產上之危險」或「有利於當事人權益」均屬不確定法律概念，應由個資利用機關個案審酌是否符合得為特定目的外利用之法定情形，尚難於事前一概而論；其中第7款之立法理由亦強調，須以非公務機關之特定目的外利用在客觀上有具體特定情況「能證明係有利於當事人權益者」，始例外允許。本案有鑒於曾於○○診所就診且符合篩檢年齡資格之民眾，其健康狀況、疾病史、是否符合篩檢次數限制等情形各異，該診所為特定目的外利用之行為時，如何認定個資法第20條第1項第3款規定之具體「危險」情事確定存在？又有無客觀具體情況能證明係有利於當事人權益？因涉及具體個案事實調查認定，宜由貴局依具體個案情形審酌全部事證認定之。
正本	臺北市政府衛生局
資料來源	個人資料保護委員會籌備處