【鼎昊說法】 個人資料保護法（二）
【鼎昊說法】
個人資料保護法（二）– 直接識別與間接識別
| 法務部 民國 107 年 01 月 02 日 法律 字第 10603513690 號
說明三：…本件依來函所述，貴部為減少民眾疑慮，爰規劃僅提供「戶籍地址」予中央研究院（下稱中研院）辦理抽樣調查研究計畫，而不包含姓名、出生日期及性別等個人資料，惟如上開戶籍地址與其他資料對照、組合或連結而得以識別特定個人者，則仍屬個人資料。申言之，如中研院設定抽樣研究調查範圍（例如特定村里之特定年齡層人口），再由貴部依中研院所設定之條件轉錄符合該條件之戶籍地址資料提供予中研院，就蒐集者（中研院）而言，如可藉由將戶籍地址與其他資料（所設定之條件資料）對照、組合、連結之方式而得間接識別特定個人，則貴部提供之「戶籍地址資料」仍屬個人資料，…。 |
其次，個人資料之內容則包括「姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」
本段所採取之方式為例示，其上記載包括姓名、出生年月日等項目，以及最末之「其他得以直接或間接方式識別該個人之資料」。在個人資料保護法施行細則中，並未說明何謂直接識別，而係以何謂間接識別，藉以對照直接識別，個人資料保護法施行細則第3條規定：「本法第二條第一款所稱得以間接方式識別，指保有該資料之公務或非公務機關僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人。」
拆解該條，有數個重點，首先，「得以間接方式識別，指保有該資料之公務或非公務機關僅以該資料不能直接識別…」，因此可知判斷是否屬於個人資料應從保有該資料者之角度觀之，而非就一般社會大眾角度判斷，亦即，縱使一般人無法判斷個別資料是否是個人資料，但保有該資料者可以識別時，該些資料即屬於個人資料保護法所稱之個人資料。
再者，間接識別係指「須與其他資料對照、組合、連結等，始能識別」，因此，當該資料在與其他資料對照、組合、連結後可識別，則該資料與其他資料均成為個人資料，而「其他資料」可以是原本即可識別之資料，亦可能是原本無法識別特定個人之資料，當然，如果這些資料結合後，仍無法識別特定個人，當然均非個人資料。至於如何判斷是否可以識別，臺灣高等法院 105 年度金上訴字第 5 號刑事判決提出以「直接識別性」與「識別重要性」作為界定「特定個人之資訊」，「直接識別性」指不必結合複數以上之個人資料即可特定個人之資料，其餘之資料則需與具備直接識別性之資料相結合，或必須結合複數以上之資料群，藉由比對、連結、勾稽等方式，足以直接識別特定之個人時之「識別重要性」，則該等資料即屬於個人資料，其判斷方式則以「依客觀方式進行推測，亦無法確定究係何一特定之個人時，則對於該資訊之蒐集、處理或利用，並未侵害特定個人之資訊，自不在個人資料保護法規範之範圍內。」。
| 臺灣臺南地方法院 110年度訴字第698號刑事判決
換言之，只需該等資訊得以直接或間接方式識別該個人之資料即為已足，並不以須達到「一般第三人可以直接識別」之程度為要。而「身體特徵」具有生物上之識別性，「臉部」固為身體常見可識別之特徵，但除「臉部」以外，因每個人之身體外觀仍具相當差異性，若結合人之身體其他多個部位外觀特徵，已足以個別化而具有識別性，當同屬該法所欲保護之標的，不得非法擅自利用。 |
而臺灣臺南地方法院110年度訴字第698號刑事判決則稱，「只需該等資訊得以直接或間接方式識別該個人之資料即為已足，並不以須達到『一般第三人可以直接識別』之程度為要。」因此，回歸個人資料保護法之立法意旨以及參酌施行細則，該「客觀方式」仍係從「資料保有者」之角度加以觀察判斷，如客觀上資料保有者能透過該資料，以直接或間接方式識別特定個人，則該資料即屬於個人資料。故，以此標準回過頭思考法務部 民國 107 年 01 月 02 日 法律字第 10603513690 號函釋，就蒐集者也就是資料保有者角度而言，如可藉由將戶籍地址與其他資料對照、組合、連結之方式而得間接識別特定個人，則戶籍地址資料當屬個人資料而無疑問。
| TIPS：判斷是否屬於個人資料應從保有該資料者之角度觀之，縱使一般人無法判斷個別資料是否是個人資料，但保有該資料者可以識別時，該些資料即屬於個人資料保護法所稱之個人資料。 |
作者 蕭崴仁律師