跳到主要內容

[筆記]關於個人資料保護法的小記

跨海大橋上的落日
愈來愈少在這裡寫這種偏硬的文章,主要原因是在於自己不是讀法律的,寫這種東西很容易出錯,或意思的表達不正確,所以,我在這裡分享的是昨天上課的筆記。
昨天去集思會議中心參加B2C電子商務研討會,原本打算下午離開去參加品牌行銷的課,但早上的議程讓我覺得留下來會很值得,於是就繼續留在那椅子很難坐的蘇格拉底廳裡上課。
在詐騙愈來愈嚴重的情況下,大家才開始重視所謂的隱私問題,原本,我們有一個在民國84年8月公布的電腦處理個人資料保護法,但是,它只限於電腦處理的資料,並不包括人工手寫的紙本資料,所以「電腦處理個人資料保護法」只規範了電腦裡的資料。
在年初吧!我記得也參加過類似的課程,對於「電腦處理個人資料保護法」之後的修正草案,早在2005年改為「個人資料保護法」並已送立法院,但至昨天早上,都還在協商階段,主要在於賠償總額的上限是五千萬還是拾億?民代是否有免責條款?這兩個問題一直沒有取得共識,一直到下午我所聽到的訊息是個資法的草案已通過一讀了,有望在今年年底通過三讀。
對每個民眾而言,個資法將要通過會是一個好消息,就我所看到的內容而言,還有台上專業的法律人所分享,個資法對民眾來說是有很完善的保護,但對廠商來說,絕對是非常麻煩。
  • 在「電腦處理個人資料保護法」中所定義的個人資料包括了:自然人之姓名、出生年月日、身分證統一編號、特徵、 指紋、婚姻、家庭、教育、職業、健康、病歷、財務情況、社會活動及其足以識別該個人之資料都被稱為個人資料;在在「個人資料保護法」中,個人的醫療資訊、性生活、健康檢查及犯罪前科等五種資料是特別保護的特種資料。
  • 在「電腦處理個人資料保護法」的時代裡,只限定了:醫院、學校、電信業、金融業、證券業、保險業、徵信業、大眾傳播業等八大行業,在「個人資料保護法」中,任何行業、團體及個人都納入其範疇,但如果是單純的個人或家庭活動目的就不在於此限。當廠商要蒐集個人資料時,要有明確且單獨的同意書,但像是家族出遊如果要買保險,需要蒐集家族成員的個人身分證字號、姓名、地址等個人資訊是不限制的。如果家裡有未成年的小朋友在學校裡,老師要求小朋友寫通訊錄提供個資,除了要同意書外,因為小朋友未成年,所以要家長同意書。
  • 個資法的規範已不限於電腦而已,還包括了紙本手寫的資料,
  • 當資料被竊取或外洩時,資料持有者要以適當方式通知當事人。
  • 不得任意蒐集個人資料,廠商一定要先向主管機關申請取得許可後才能蒐集資料。昨天聽到會由法務部公告相關的主管機關,所以,網路商店等會由經濟部擔任其主管機關;而其他相關的主管機關會再由法務部公告。
  • 在個資法通過後,只要是符合一定要件的財團法人或公益社團法人就可以代替當事人提起團體訴訟。
  • 民事責任:在同一原因事實行為,賠償總額提高(但目前未確認是五千萬還是拾億)。
  • 刑事責任:非意圖營利違反個資法行為者,科處兩年以下有期徒刑,屬於告訴乃論;意圖營利者的處罰則提高為五年以下有期徒刑,屬於非告訴乃論。
  • 行政責任;除了上述的處罪外,也要連帶處罰該公司(民間團體、行業)負責人之監督責任,處以壹百萬元以下的罰鍰。
  • 非金務機關首次行銷時應免費提供當事人表示拒絕的方式;當事人表示拒絕接受行銷時,應即停止利用其個人資料行銷。
重點是,只要我們覺得因個人資料被竊取或被外洩發生損失而索賠時,是不須負舉證責任,非公務機關要證明「無故意或過失責任」才能免責;公務機關則須負「無過失責任」。
還有很多的內容,要看草案才會清楚,但光是上面列的這些,就夠讓商家頭痛了,站在商家的立場來說,資安問題可以說是一個錢坑,就是不斷的砸錢買設備和軟體→測試→更新軟體的砸錢循環,儘管該買的該裝的都裝了,只要電腦連上網路你還是無法避免有哪個員工的電腦被植入木馬開了後門,甚至也很難避免員工把公司的重要資料帶出,就算沒有網路也沒有提供儲存設備,但也別低估人腦的能力
在研討會結束時,還有一點資訊,整理如下:
  • 在個資法通過後,向主管機關申請許可時還是會有空窗期,在這段期間,商家可以先寄送同意書讓現有的會員進行同意的動作,但同意書的內容一定要明確且單獨。像是一些銀行在辦卡時都會在契約書裡註明會將個人資料提供給事業相關單位或夥伴使用,這是絕對不行的哦!
  • 在蒐集個人資料時,只收集email,email address不是個人資料,但如果像是姓名(XXXXX@gmail.com),可以識別出我個人的話,這就是個人資料,當公務或非公務機關要收集這樣的資料時,就要先告知資料蒐集後的用途,我同意後才能使用,且只能使用在這個用途裡。同樣的,電話號碼因為是數字,無法辨識,所以也不算是個人資料。
令人氣餒的一個消息是,據說,那個處罰垃圾信的法案要通過還要好久好久,可能不會通過了,只能每週看某個很惹人厭的黃XX繼續寄他的垃圾信,可惡。

留言

這個網誌中的熱門文章

練習看公部門網站

2021.09.05 / 很多人來瀏覽這篇,這是 9 年前的文章,在採納許多人的建議後,國發會已經讓許多政府網站陸續更新,同時,我也離開「網站企劃」這個工作好一陣子。常常都是離開後再回頭看,會有更多感想,而且也比較不負面。如果你看到這篇或在搜尋引擎中看到這篇,請你也看看我在 9 年後寫的這篇文章: 台灣政府網站的改變 (2021年更新自己對政府網站的認知) 。 當我實際與國外的團隊一起工作,從他們的需求來看台灣政府網站時,覺得台灣政府網站並沒有太差,進步的速度看起來有點慢,除了從業人員的求好心切外,也要考量改版後民眾可能找不到資訊的挫折感。就看新的文章吧!人不能一直活在過去。 台灣政府網站的改變 (2021年更新自己對政府網站的認知) 。

【短記】關於域名爭議的處理和區塊鏈技術應用

主要是這幾天看到 TWNIC 的部落格有一篇關於 ICANN 對於通用頂級域名保護的簡介,然後我想到了在區塊鏈技術應用的世界裡,有不少人都會去註冊 Handshake 的 HNS 或是 ENS 位址,也有不少人認為,自此以後可以避開網路網路想要買域名,或想經營 gTLD 的人,不得不定時繳費給域名註冊商或是註冊了 New gTLD 卻不知該如何好好運用時,已經花費巨額資金出去。 我會在這篇文章快速的寫,就像筆記一樣,畢竟不是很多人有興趣在探討如何應用區塊鏈技術在域名的領域。 ICANN  的域名爭議處理機制目前還是以歷史悠久的「統一域名爭議處理政策」(Uniform Dispute Resolution Policy,簡稱 UDRP) 來處理。處理的時間比較長,但比較周全,它會考量商標、專利、智財這些註冊的法律,也因此許多企業會直接走法院訴訟,直接取回自己的商標域名。TWNIC: 通用頂級域名(gTLD)權利保護機制簡介 。 ENS 在我的認知比較像是「轉址」服務。它的註冊域名是 .eth ,持有者可以把錢包位址、網站位址都轉向這個 .eth 的網址,但因為 .eth 並不是註冊的TLD,所以你的域名如果是.eth 必須變成 .eth.link 才可以用一般瀏覽器瀏覽。當然如果你的瀏覽器上有掛著擴充套件,例如 MetaMask 就可以付款或交易。ENS 也是要付費的,而且是用 eth 付費,而 eth 的交易 gas fee 是嚇死人的高,所以並沒有說使用 ENS 購買域名就比較划算,你的域名可能只有0.003 eth 但要付上 0.018 eth 的 gas fee,真的很可怕。相關的頁面: EthDNS and EthLink 。ENS 有一個蠻完整的 ecosystem,也有和 ICANN、IETF合作,但我倒沒特別注意到如果有域名爭議時,有什麼機制可以處理,也許也是參考 ICANN 吧? HNS 在之前就已經掀起一股「 用一美元買自己域名 」的旋風了,但需要使用特定的瀏覽器和設定,才能用 HNS 格式的網址來瀏覽,在缺乏相關的保護機制下,你等於是讓瀏覽者曝露在風險裡。為什麼 ICANN 會努力推廣 DNSSEC 就是為了保護瀏覽者在輸入域名時就是到達域名所指向的位址,也有一些文章認為像這樣的域名格式,其實就像 Tor 網路、暗網一樣,破壞了網路的「互相

讀歐盟「數位服務法」和「數位市場法」草案心得

在 3 月 24 日時參與了 台灣網路講堂 所舉辦的 活動 ,這個活動是以在台灣較知名的美國 Parler 案為題,來討論歐盟的「數位市場法」 (Digital Market Act. 簡稱 DMA ) 對於「守門人」(Gatekeeper) 平台的管制,並邀請了從競爭法、經濟學、公平會、傳播及科技法律不同角度的講者來討論這個議題。 受限於時間,講者們只能把不同角度的重點讓參與者了解,事後再看 DMA 時,才了解並不是只有單純只對守門人做規範,而是從整個歐盟打算將會員國打造成「數位單一市場」(Digital Single Market)的整個脈絡,並從其發展資料經濟 (Data Economic)所發展不同階段的相關政策、指令與法律,而主管 (也是當天活動的引言人) 也提醒,還可以自歐盟在 2018 年 5 月正式執行的「一般資料保護規範」(General Data Protection Regulation,簡稱 GDPR) 觀察,歐盟當局不是只有外表看到的禁止、設限,更重要的,它是希望藉由明確的「法遵」 (Compliance) 要求,建立一個健全、具有發展與競爭機會的數位經濟市場。 這些法遵要求不論是對歐盟會員國境內發展數位服務的廠商、中小企業、不同規模的平台,到跨國企業進入歐盟市場發展,除了要面臨相關的市場調查外,也同樣要遵守。 如果無法看整個歐盟的數位單一市場發展,應該要了解 DMA 其實是「The Digital Services Act package」的法案之一,另一個則是「數位服務法」 (Digital Service Act. 簡稱 DSA ) ,DSA 規範了不同規模的「線上中介產業」 (online intermediary) 該做的事及責任,而 DMA 則是針對法案草案中所規範的守門人更加上了「義務」(Obligation)。由於台灣網路資訊中心已在其部落格中有整理相關的 摘要 ,且台灣網路堂也會公布當天活動的錄影,所以在這篇文章就不再解釋 DSA 和 DMA ,有興趣的人可以自己再去閱讀兩個法案的草案內容,歐盟執委會也有整理許多相關的問答在其網站中,十分好閱讀。 DSA、DMA 與歐盟其他法案的關係 在歐盟執委會網站中有提到,DSA  是一個水平的計劃,重點關注線上中介業者對第三方內容的責任,網路用戶的安全或對信息社會的不同提供者的不對稱