传销事业举办活动搜集个人资料的注意事项

随著 AI 应用越来越普遍化，传销事业对个资保护的认识与落实也应相对提升；包括一般及特种个资，在地使用及国际传输，告知及同意间的执行等等，不论是企业或个人，都须更审慎以待，减低争议、确保资安。

A 传销公司为促销产品，举办会员的体重管理竞赛，会员如报名参加比赛，即可享有购物优惠，如又能提供体重等个人生理数据，作为比赛评比的依据，另有丰厚的赠品奖励。

A 传销事业搜集会员参赛资料，除作为行销策略分析使用外，其搜集的会员健康数据，也将提供给公司的实验室，作为产品研发使用。由于 A 公司举办此项竞赛涉及搜集会员个人资料，如你是 A 传销公司的人员，请问你需要注意哪些什么呢？

一般个资与特种个资之不同

依据上开案例所示，A 传销公司为了举办竞赛，可预期或将搜集取得会员的「一般个人资料」与「特种个人资料」。前者可能包含会员姓名、地址、电话、生日、会员编号、身分证字号等资讯，此部分性质为一般个人资料应无疑义。但会员如提供体重、身高、BMI、体脂率等个人生理数据，则究竟属于一般个人资料，或是特种个人资料呢？

依据个人资料保护法第 6 条规定，特种个人资料是指有关病历、医疗、基因、性生活、健康检查及犯罪前科之个人资料。

又依据同法施行细则第 4 条第 1 款规定：「本法第二条第一款所称病历之个人资料，指医疗法第六十七条第二项所列之各款资料。」第 2 款规定：「本法第二条第一款所称医疗之个人资料，指病历及其他由医师或其他之医事人员，以治疗、矫正、预防人体疾病、伤害、残缺为目的，或其他医学上之正当理由，所为之诊察及治疗；或基于以上之诊察结果，所为处方、用药、施术或处置所产生之个人资料。」及第 5 款规定：「本法第二条第一款所称健康检查之个人资料，指非针对特定疾病进行诊断或治疗之目的，而以医疗行为施以检查所产生之资料。」

会员提供个人生理资讯，如得直接或间接识别该个人，固属个人资料，但除非符合上开定义，否则不会构成特种特人资料，而仍属一般个人资料。国家发展委员会亦曾发函指出，民众自行操作器材所得之生理数据资讯直接提供予业者搜集、处理、利用，若未涉及医事人员诊察（诊断）、治疗，或以医疗行为施以检查，即未符合前述医疗或健康检查之个人资料定义，非属个资法第 6 条之特种个人资料类型[1]。

换言之，若 A 业者为举办此竞赛而与医疗院所合作，透过医师或其他医事人员取得会员之生理数据资讯，则所得资讯可能属于特种个人资料，否则，如是由会员自行操作器材所取得的生理数据，应属一般个人资料。

告知与同意之落实

依据「多层次传销业订定个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」规定，多层次传销事业于完成报备后二个月内，应订定个人资料档案安全维护计划及业务终止后个人资料处理方法。

故目前大部分的传销事业应该都订有相关规定，执行时也应该都会依个人资料保护法第 8 条第 1 项，在搜集传销商的个资前，告知相关事项并取得同意。

但需注意，一般业者在订定相关规定时，通常都是在「行销」及「履约」等目的下，并以搜集、处理、利用「一般个人资料」为范围。比较少见在传销商申请加入时，业者就会告知兼含以「研发产品」为目的搜集个资。

因此，就上开案例而言，当业者随著业务推展，欲于举办竞赛时，同时将研发产品作为生理数据搜集目的之一时，业者就有必要再一次向传销商告知本次搜集个资目的包含「研发产品」，才会符合个人资料保护法的要求。

又业者在明确告知后，依个人资料保护法第 19 条第 1 项第 5 款规定（在上开案例情境下，较难适用同条项其他款事由），应取得当事人之「同意」。虽然依同法第 7 条第 3 项规定，业者在告知后，如当事人未表示拒绝并已提供个资时，推定当事人已表示同意。

但由于此仅有「推定」效力，且主管机关认为业者应以个别通知之方式使当事人知悉，不得以单纯摆设（张贴）公告或上网公告之概括方式为之[2]。故实务上，为避免争议，可见业者是干脆将告知事项及同意与否制作成书面或电子文件，让传销商签字，作为自保存证之方式。

至于若业者是要取得「特种个人资料」时，依个人资料保护法第 6 条第 1项第 6 款规定（在上开案例情境下，较难适用同条项其他款事由），更要取得当事人之「书面同意」（依据个人资料保护法施行细则第 14 条，此项书面同意得以电子文件为之）。

AI 运用及国际传输之因应

此外，依照上开案例，A 传销公司搜集个资的目的包含分析、研拟将来的行销策略。目前由于使用 AI 作为策略分析工具益发普遍，又或者有越来越多企业选择将档案资料上传云端储存。但由于 AI 或云端服务业者未必有在台湾落地，故当 A 传销公司使用他们提供的服务时，其实很可能相关资料是会被传送到国外，而此时就会涉及个人资料的国际传输。

再者，A 传销公司在会员参加之初搜集其等个资时，也未必会告知将来会将所搜集到的个资交付给第三人（AI 或云端服务业者），且该第三人未在国内落地。

依据个人资料保护法第 8 条第 1 项第 4 款规定，告知事项包含个人资料利用之期间、地区、对象及方式。又依据多层次传销业订定个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法第 6 条之 2 规定：「多层次传销事业进行个人资料国际传输前，应检视有无本会依本法第二十一条规定所为国际传输之限制，并告知传销商其个人资料所欲国际传输之区域，同时对资料接收方为下列事项之监督：一、预定处理或利用个人资料之范围、类别、特定目的、期间、地区、对象及方式。二、当事人行使本法第三条所定权利之相关事项。」

从而，业者以往若未曾告知传销商，其所搜集到的个资可能会交付给第三人，且该第三人未在国内落地，但嗣后却有此需求时，例如上开案例中 A 传销公司，则 A 传销公司在传销商报名时，即应告知将来相关资料可能会提供给云端服务业者且可能会涉及国际传输。

告知时只需将已知资讯进行适度描述已足，尚无须详列未知之资讯，亦即，搜集者应就其利用个人资料之范围及可能将资料移转对象之类别，提供合理程度之确定性[3]。最后当然仍须依个人资料保护法第 19 条第 1 项第 5 款规定，取得传销商同意。而最佳的存证方法，就是在报名的书面文件或电子文件中有相关的记载，并有传销商的签字或点选同意的纪录，以避免争议发生。

此外，如涉及使用电脑或自动化机器相关设备搜集、处理或利用个人资料时，例如使用 AI 进行个人资料的分析等，则应注意依多层次传销业订定个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法第 6 条第 1 项第 1 款规定，另应订定使用可携式设备或储存媒介物之规范。

陈一铭

现任：万国法律事务所合伙律师、中华直销法律学会理事、台北地方法院劳动调解委员、桃园地方法院劳动调解委员。

专长：多层次传销、商业及经营权纷争、劳资权益、证券及信托事件、一般民刑事及行政诉讼。

[1] 国家发展委员会107年11月21日发法字第1072002136号函。

[2] 个人资料保护委员会筹备处115年1月2日个资筹法字第1140002435号函。

[3] 法务部106年10月11日法律字第10603509640号函。