新聞中的法律／個資安全維護 重在事前預防

知名拍賣網站「旋轉拍賣」未能妥適保護用戶個資，遭數位發展部裁處，日前因不服提起行政救濟，最高行政法院近期做出終審判決，確立「個資安全維護義務重在事前預防」的重要原則。

值得注意的是，近期另一件同樣也是在最高法院的終審判決，卻認定旋轉拍賣勝訴。這並非法院對於個資保護的見解不同，而是最高法院以「處分機關沒有權限」為由，判定原處分違法。

旋轉拍賣頻傳假買家、假客服等釣魚詐騙，詐騙集團甚至能精準掌握民眾交易商品及金額，數發部因此啟動檢查，並依《個人資料保護法》要求業者限期改正。

首先，在旋轉拍賣敗訴的案件中（最高行113年度上字第724號判決），法院確立「個資安全維護義務重在事前預防」的重要原則。

旋轉拍賣當時主張，許多用戶是點擊釣魚連結後自行受騙、洩漏個資。不過，最高行政法院闡釋，《個資法》第27條要求企業採取適當安全措施，本質上是「事前預防」，而非等到實質損害發生後才追究責任。

最高法院認為，詐騙電話中能精準說出消費者的購買時間、交易明細及金額，而這些交易活動軌跡除買賣雙方外，僅平台端持有，因此可合理推斷拍賣網站存留的交易個資有遭外洩的情形。因此，主管機關只要掌握相當事證，認定拍賣網站有「個資外洩之虞」，即有權要求業者限期改正。

換言之，業者及電商平台面對新型態網路釣魚與詐騙，不能再以消費者自行受騙為由置身事外。只要系統掌握用戶個資檔案，平台就必須採取技術上及組織架構上的措施，防止個資遭竊取、竄改、毀損、滅失或洩漏。

但，另一件認定旋轉拍賣勝訴（最高行114年度上字第193號判決）的關鍵在於「管轄權法定原則」。個資法對業者監管採分散式管理，由各行業「中央目的事業主管機關」負責；針對數位經濟與電商產業，法定主管機關為中央二級機關「數發部」。但當時對旋轉拍賣祭出限期改正處分的，卻是數發部轄下的三級機關「數位產業署」。

法院明確指出，組織法僅涉及行政機關內部事務分工，對外若要限制人民權益或作成行政處分，仍須嚴格依據行為法，也就是要回到《個資法》授權。《個資法》第52條僅允許將行政檢查等事項委任下級機關執行，至於限期改正與裁罰權限，法律並未授權委任。數位產業署可以進行檢查，但最終處分應以數發部名義作成；換言之，本案三級機關以自己名義作成處分，屬於逾越權限，原處分因此違法。

這判決對主管機關而言，也是一記警鐘，即使未來個人資料保護委員會成立，在成立後六年的過渡期間內，經行政院公告的特定產業仍由中央目的事業主管機關管轄。因此，不論是數位產業署，或是經濟部轄下的商業發展署等三級機關，在執行個資法檢查時，若要要求業者限期改正或開罰，都必須回歸以「部」的名義作成處分。（拓威法律事務所合署律師蕭富庭口述，記者邱琮皓採訪整理）