街頭問卷調查與個人資料保護

直銷問卷案人潮擁擠的鬧區往往是直銷商拓展客源的兵家必爭之地，某日剛踏進甲直銷公司的A女，為招攬客戶，選定某百貨公司門口，對過往路人進行問卷調查，並留下路人之姓名與手機號碼。或許是因A女花容月貌，身材玲瓏有致，路人回應相當踴躍，A女遂順利蒐集了數百人之聯絡方式。A女心想自己無法一一聯絡，於是將一半的資料轉手給同在甲公司之好友B女。請問A女此種蒐集與轉讓他人個人資料之行為，有無違反個人資料保護法？
民國84年間，舊有之「電腦處理個人資料保護法」公佈施行，然而台灣社會歷經十數年之發展，輿論多認為當時之「電腦處理個人資料保護法」（下稱現行法）對個人資訊之保護不足，法務部遂於2003年，首次將修正草案送交立法院，迭經數屆立委之審查與協商，終於在2010年4月27日拍板定案，並更名為「個人資料保護法」。新版「個人資料保護法」（下稱新法）之相關議題，修法前在輿論界爭議不休，支持與反對者各執一詞，雖此一爭議或許因新法通過而暫時劃下休止符，然而新法究竟應如何適用，勢必成為各方矚目的焦點 。
依現行法，非電腦處理個人資料不在法律保護範疇
現行法之立法目的，依照第1條之規定，乃「為規範電腦處理個人資料，以避免人格權受侵害，並促進個人資料之合理利用」，是以依現行法，若非以電腦處理個人資料，則不在法律保護之範疇；其次，現行法之適用行業，除公務機關外，以第3條第7款所列舉者為限 ，且應依第19條及第20條之規定進行登記；再者，依現行法之規定，非公務機關對於個人資料之蒐集或電腦處理，須有特定目的，且符合第18條各款事由之一，即可為之，而毋須告知當事人 。
然而現行法之保護密度不足，導致個人資料外洩事件層出不窮，去年修正之「個人資料保護法」遂大張保護傘，不只將個人資料放寬為「任何得以直接或間接識別該個人之資料 」，且不以電腦處理為限，更於第6條規定機密資料原則不得蒐集、處理或利用；另新法規範對象遍及所有公務機關、自然人、法人或其他團體，並且於蒐集或使用個人資料前，原則上應向當事人行告知義務 ，且限縮利用之範圍。最後，由於新法之保護客體與規範對象相當廣泛，為免一般人動輒得咎，新法於第51條特別規定了兩款概括例外事由 ，不適用新版個人資料保護法。
簡介完新舊法之主要差異點，讓我們回頭來看直銷問卷案。在現行法下，A女經由逐位向路人進行問卷調查而獲取個人資料之行為，由於直銷業並非現行法第3條第7款所列舉之事業，故A女並非現行「電腦處理個人資料保護法」之規範對象，而A女經由一張張問卷而得之客戶資訊，亦非「電腦處理」之個人資料，故在現行法下，A女蒐集並散布個資之行為並不違反電腦處理個人資料保護法。
惟若依新法之規定，因保護客體與規範對象之範圍均大幅放寬，故A女蒐集個人資料之行為，須受新法之規範。因此，A女在蒐集路人之個人資料前，必須踐行第8條第1項之告知義務 ，且須有特定目的（例如行銷），並依第19條第1項第5款取得當事人之書面同意（考量第8條告知義務之立法目的，同意之內容應包括蒐集者告知的事項，倘若蒐集者就特定事項未告知時，則未告知部分應視為未經當事人同意）；至於A女隨後將所蒐集之個人資料轉交給B女之行為是否合法，必須視A女於問卷調查時有無一併告知並取得書面同意而定，蓋「轉讓」個人資料之行為，屬於利用行為之一，依第8條第1項第4款應為告知，若A女未為告知時，就「轉讓」個人資料之部分，可認為當事人並未做出有效之同意。

違反個資法須負民事與刑事責任
最後，違反修正後之「個人資料保護法」之行為，可能分別有民事責任與刑事責任之規定，其中民事責任之法律依據為第29條 ，行為人需負損害賠償責任，且有舉證責任倒置之規定；至於刑事責任之部分，分別見於第41條與第42條，其中第41條規定：「I、違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳輸之命令或處分，足生損害於他人者，處二年以下有期徒刑、拘役或科或併科新台幣二十萬元以下罰金。II、意圖營利犯前項之罪者，處五年以下有期徒刑、拘役或科或併科新台幣一百萬元以下罰金。」因此，若A女基於營利之意圖，蒐集路人之個人資料，而有違反第19條之情形時，可能觸犯第41條第2項之罪。
至於若A女雖取得當事人之書面同意，惟其並未踐行告知義務，即有違反第8條之規定時，是否應負刑事責任？雖然新法第41條第1項並未將違反第8條之告知義務列入，但未行告知義務而取得之當事人同意，是否為真摯有效的同意，而構成第19條第1項第5款之「當事人書面同意」？上開問題在解釋上或有爭議，恐需留待學界及實務逐步累積共識，為社會撥開新版「個人資料保護法」造成的一團迷霧。