觀點

個資境外傳輸關鍵:有沒有完善保護法規 ?

2011 / 10 / 17
廖珮君
個資境外傳輸關鍵:有沒有完善保護法規  ?

企業為求降低營運成本,全球化發展、業務委外已成常態,可能製造工廠在東南亞,客服中心卻設在印度,也或者在全球各地都設有分支據點,客戶資料卻集中在某一地的伺服器裡,在此情況下,企業所擁有的個人資料不只在境內流通,也可能跨境傳輸到世界上任何一個國家,這種做法是否會抵觸個資法?

 

首先來看歐盟與加拿大的規範,歐洲素來重視人權與隱私,對於個人資料跨境傳輸的限制也較為嚴苛。根據歐盟「個人資料保護指令(D95/45/EC)」,個資境外傳輸的前提是,輸入國具備充足的個人資料保障措施,但若傳輸至於境外的資料不涉及處理行為,則不受此規範。資策會科法所研究員張乃文表示,評估個資輸入國的保障措施是否充足的關鍵在於:資料傳輸環境及法令實施狀況,由於歐盟的認定標準相當嚴苛,目前僅瑞士、加拿大、阿根廷、根西島、曼島、法羅群島、及安道爾等國符合「可充分保障個資」的資格。

 

另外,針對不符合標準的國家,則採用特殊協議的方式,讓雙方業者滿足資料傳輸的需求。以美國為例,其採聯邦共和制,各州對個人資料保護的法令不同,因此不符合歐盟的標準,美國商務部乃與歐盟制定安全港協議(U.S-EU Safe Harbor),採自願加入的方式,滿足美國業者資料跨國傳輸的需求。換句話說,歐盟企業若要傳輸個資予境外第三方,則第三方需符合安全港協議所設定的個資保護規範,方可為之。

 

加拿大則要求資料輸出者應為跨境流通的資料安全負責,以契約或其他方式,確保傳輸予境外第三方的個人資料可受到充足保護。加拿大「跨境處理個人資料指導原則(Processing Personal Data Access Borders Guideline)」指出,資料輸出者的責任有:第一、防止第三方在處理資料過程中,出現未經授權使用或揭露的情形;第二、確認第三方具有完善的資料保護政策或流程;第三、3.定期稽核第三方處理或儲存個人資料的安全性。

 

回到台灣來看,資策會科法所組長顧振豪表示,台灣對跨境資料傳輸的規範,與歐盟法規相似,根據新版個資法第21條,非公務機關為國際傳輸個人資料,而有下列情形之一者,中央目的事業主管機關得限制之:

一、涉及國家重大利益

二、國際條約或協定有特別規定

三、接受國對於個人資料之保護未有完善之法規,致有損當事人權益之虞

四、以迂迴方法向第三國(地區)傳輸個人資料規避本法。

 

由此來看,台灣允許個資境外傳輸的關鍵在於,資料輸入國有沒有個資法規範,如果沒有最好還是不要傳輸的好。前不久,遠傳電信爆發客服中心委外、個資可能外洩的爭議,隔了1個月,通傳會便在網站上預告訂定「限制非公務機關國際傳遞個人資料之命令」,其內容為:衡酌大陸地區之個人資料保護法令尚未完備,通訊傳播事業於國際傳遞及利用個人資料時,應考量接受國家或地區對個人資料有完善之保護法令,爰依上揭法律規定,限制通訊傳播事業經營者將所屬用戶之個人資料傳遞至大陸地區。

 

顧振豪認為,個資母法只是提供一個規範方向,並沒有嚴格禁止個資境外傳輸,企業在什麼情況下可以將個資傳輸至境外?什麼才叫做完善法規?最終仍得視其所屬的目的事業主管機關來決定。