位置資料之防疫使用與隱私保護之衡平
撰成日期：110年9月
更新日期：110年9月29日
作者：方華香
編號：R01462
一、 題目：位置資料之防疫使用與隱私保護之衡平
二、 所涉法規
個人資料保護法、嚴重特殊傳染性肺炎防治及紓困振興特別條例、傳染病防治法
三、 探討研析
（一） 隨著疫情延燒，各國政府紛紛利用科技取得人民的行動位置資訊做為協助防疫管控措施，包括向電信業者取得使用者之位置資料，或由民眾下載APP（例如臺灣之社交距離APP），透過2台不同行動裝置在同一地理空間之藍芽訊號估計出兩人距離及持續時間多寡。此種APP之實施成效，仰賴一定比例以上人口下載，否則效果不彰；且民眾若自願下載，通常會同意提供其位置資訊，既有當事人同意，在執行時謹守比例原則，相對較無違法問題。
（二） 至於政府向電信業者取得用戶的位置資訊部分，即使在個資保護法規最嚴格之歐盟地區，亦不禁止。歐盟資料保護委員會認為，原則上此種位置資料須加以匿名化或經當事人事前同意，如果無法匿名，須有其他法律規定為依據，透過立法方式利用該個資，以維護公共安全。而會員國有義務採取適當保障措施，提供權利救濟途徑，蒐集、利用、保存個資之範圍、時間、手段等應符合比例原則、資料最小化原則等，並定期接受審查與科學評估，以確保防疫與個資保護之衡平。
（三） 依我國個人資料保護法（下稱個資法）第15條規定，公務機關對個人資料之蒐集或處理，應有特定目的，並在其執行「法定職務」必要範圍內；同法第16條規定，公務機關對個人資料之利用，應於執行「法定職務」必要範圍內為之，並與蒐集之特定目的相符，於「法律明文規定」時，得為目的外利用。亦即，公務機關蒐集處理或利用民眾之電信位置資料做防疫使用，是否屬於「法定職務」或「法律明文規定」，必須回到嚴重特殊傳染性肺炎防治及紓困振興特別條例（下稱COVID-19條例）與傳染病防治法相關規定之解讀。
（四） 觀諸COVID-19條例第7條：「中央流行疫情指揮中心...為防治控制疫情需要，得實施必要之應變處置或措施。」、第8條：「於防疫期間，受隔離或檢疫而有違反隔離或檢疫命令或有違反之虞者，中央流行疫情指揮中心...得指示對其實施錄影、攝影、公布其個人資料或為其他必要之防治控制措施或處置（第1項）。為避免疫情擴散，對確診罹患嚴重特殊傳染性肺炎病人，亦同（第2項）。...」、傳染病防治法第7條：「主管機關應實施各項調查及有效預防措施，以防止傳染病發生；傳染病已發生或流行時，應儘速控制，防止其蔓延。」、第16條：「地方主管機關於轄區發生流行疫情或有發生之虞時，應立即...採行必要之措施，並迅速將結果彙報中央主管機關（第1項）。...」、第26條：「中央主管機關應訂定傳染病通報流程、流行疫情調查方式，並建立傳染病流行疫情監視、預警及防疫資源系統...」等規定，並未明確規定中央或地方政府可以調取民眾之電信位置資料，僅泛泛言以「必要之應變處置或措施」、「各項調查及有效預防措施」，相對於通訊保障及監察法須限於法定罪名且須向法院聲請通訊監察書之嚴密程序，顯然法律明確性之程度較顯不足。
四、 建議事項
（一） 法律明確性原則之檢視宜趨嚴謹
司法院釋字第603號解釋理由書揭示：「憲法對個人資訊隱私權之保護亦非絕對，國家基於公益之必要，自得於不違反憲法第23條之範圍內，以法律『明確』規定強制取得所必要之個人資訊。」雖然學說上認為疫情初起時，難以掌握預測，無法事先列舉相應具體措施，且應賦予行政權較高度權限，以供緊急應變，而對以COVID-19條例與傳染病防治法相關規定來調取民眾位置資料，在法律明確性原則之認定上採取較寬鬆而非嚴格審查標準。但疫情已逾1年有餘，各國法制漸備，COVID-19條例與傳染病防治法相關規定之法律明確性審查，即不宜再寬鬆以待，而可能有重新檢視修正之必要。準此，條文文字僅泛泛言以「必要之應變處置或措施」、「各項調查及有效預防措施」等用語，尤其在涉及干預人民資訊隱私權之防疫措施時，即可能有不符法律明確性原則之疑慮。
（二） 位置資料之防疫使用應落實比例原則及採取必要防護措施
COVID-19條例與傳染病防治法相關規定僅是讓政府機關有蒐用民眾個資之依據，但在執行時，仍必須注意比例原則，包括蒐用之內容、範圍、時間長短等，須符合侵害最小化原則。
為防止個人資料被竊取、竄改、毀損、滅失或洩漏，公務機關應配合科技發展，採取技術上及組織上之必要的防護措施，包括配置適當的管理個資人員、資料安全稽核機制、應留存使用紀錄、軌跡資料等（司法院釋字第603號解釋、個人資料保護法施行細則第12條），以強化民眾信心及供公眾監督。
（三） 優先運用匿名化資料
「匿名化」與「假名化」不同，匿名化指利用技術移除資料與特定自然人之連結，使之無法識別該特定自然人，惟如僅以加密或運算碼轉換等方式處理個人資料，與其他資料對照、組合、連結後，仍可識別某特定自然人，至多僅屬「假名化」。匿名化後，無法以直接或間接識別該特定自然人，故無個資法之適用。參照歐盟資料保護委員會強調應優先運用匿名化資料且鼓勵公開匿名化方法，我國政府在蒐用民眾之位置資料時，亦宜優先使用匿名技術，並適度公開匿名化方法，以利公眾監督。
撰稿人：方華香
二、 所涉法規
個人資料保護法、嚴重特殊傳染性肺炎防治及紓困振興特別條例、傳染病防治法
三、 探討研析
（一） 隨著疫情延燒，各國政府紛紛利用科技取得人民的行動位置資訊做為協助防疫管控措施，包括向電信業者取得使用者之位置資料，或由民眾下載APP（例如臺灣之社交距離APP），透過2台不同行動裝置在同一地理空間之藍芽訊號估計出兩人距離及持續時間多寡。此種APP之實施成效，仰賴一定比例以上人口下載，否則效果不彰；且民眾若自願下載，通常會同意提供其位置資訊，既有當事人同意，在執行時謹守比例原則，相對較無違法問題。
（二） 至於政府向電信業者取得用戶的位置資訊部分，即使在個資保護法規最嚴格之歐盟地區，亦不禁止。歐盟資料保護委員會認為，原則上此種位置資料須加以匿名化或經當事人事前同意，如果無法匿名，須有其他法律規定為依據，透過立法方式利用該個資，以維護公共安全。而會員國有義務採取適當保障措施，提供權利救濟途徑，蒐集、利用、保存個資之範圍、時間、手段等應符合比例原則、資料最小化原則等，並定期接受審查與科學評估，以確保防疫與個資保護之衡平。
（三） 依我國個人資料保護法（下稱個資法）第15條規定，公務機關對個人資料之蒐集或處理，應有特定目的，並在其執行「法定職務」必要範圍內；同法第16條規定，公務機關對個人資料之利用，應於執行「法定職務」必要範圍內為之，並與蒐集之特定目的相符，於「法律明文規定」時，得為目的外利用。亦即，公務機關蒐集處理或利用民眾之電信位置資料做防疫使用，是否屬於「法定職務」或「法律明文規定」，必須回到嚴重特殊傳染性肺炎防治及紓困振興特別條例（下稱COVID-19條例）與傳染病防治法相關規定之解讀。
（四） 觀諸COVID-19條例第7條：「中央流行疫情指揮中心...為防治控制疫情需要，得實施必要之應變處置或措施。」、第8條：「於防疫期間，受隔離或檢疫而有違反隔離或檢疫命令或有違反之虞者，中央流行疫情指揮中心...得指示對其實施錄影、攝影、公布其個人資料或為其他必要之防治控制措施或處置（第1項）。為避免疫情擴散，對確診罹患嚴重特殊傳染性肺炎病人，亦同（第2項）。...」、傳染病防治法第7條：「主管機關應實施各項調查及有效預防措施，以防止傳染病發生；傳染病已發生或流行時，應儘速控制，防止其蔓延。」、第16條：「地方主管機關於轄區發生流行疫情或有發生之虞時，應立即...採行必要之措施，並迅速將結果彙報中央主管機關（第1項）。...」、第26條：「中央主管機關應訂定傳染病通報流程、流行疫情調查方式，並建立傳染病流行疫情監視、預警及防疫資源系統...」等規定，並未明確規定中央或地方政府可以調取民眾之電信位置資料，僅泛泛言以「必要之應變處置或措施」、「各項調查及有效預防措施」，相對於通訊保障及監察法須限於法定罪名且須向法院聲請通訊監察書之嚴密程序，顯然法律明確性之程度較顯不足。
四、 建議事項
（一） 法律明確性原則之檢視宜趨嚴謹
司法院釋字第603號解釋理由書揭示：「憲法對個人資訊隱私權之保護亦非絕對，國家基於公益之必要，自得於不違反憲法第23條之範圍內，以法律『明確』規定強制取得所必要之個人資訊。」雖然學說上認為疫情初起時，難以掌握預測，無法事先列舉相應具體措施，且應賦予行政權較高度權限，以供緊急應變，而對以COVID-19條例與傳染病防治法相關規定來調取民眾位置資料，在法律明確性原則之認定上採取較寬鬆而非嚴格審查標準。但疫情已逾1年有餘，各國法制漸備，COVID-19條例與傳染病防治法相關規定之法律明確性審查，即不宜再寬鬆以待，而可能有重新檢視修正之必要。準此，條文文字僅泛泛言以「必要之應變處置或措施」、「各項調查及有效預防措施」等用語，尤其在涉及干預人民資訊隱私權之防疫措施時，即可能有不符法律明確性原則之疑慮。
（二） 位置資料之防疫使用應落實比例原則及採取必要防護措施
COVID-19條例與傳染病防治法相關規定僅是讓政府機關有蒐用民眾個資之依據，但在執行時，仍必須注意比例原則，包括蒐用之內容、範圍、時間長短等，須符合侵害最小化原則。
為防止個人資料被竊取、竄改、毀損、滅失或洩漏，公務機關應配合科技發展，採取技術上及組織上之必要的防護措施，包括配置適當的管理個資人員、資料安全稽核機制、應留存使用紀錄、軌跡資料等（司法院釋字第603號解釋、個人資料保護法施行細則第12條），以強化民眾信心及供公眾監督。
（三） 優先運用匿名化資料
「匿名化」與「假名化」不同，匿名化指利用技術移除資料與特定自然人之連結，使之無法識別該特定自然人，惟如僅以加密或運算碼轉換等方式處理個人資料，與其他資料對照、組合、連結後，仍可識別某特定自然人，至多僅屬「假名化」。匿名化後，無法以直接或間接識別該特定自然人，故無個資法之適用。參照歐盟資料保護委員會強調應優先運用匿名化資料且鼓勵公開匿名化方法，我國政府在蒐用民眾之位置資料時，亦宜優先使用匿名技術，並適度公開匿名化方法，以利公眾監督。
撰稿人：方華香