Zi 字媒體

個人資料保護法Q&A-與當事人約定永久保留、使用其個人資料，是否有違反法律？

2021/12/25

◎賴文智律師

個人資料保護法並未對於個人資料未為利用時，其保存年限為任何規範，主要相關之條文為第11條：「Ⅰ公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。Ⅱ個人資料正確性有爭議者，應主動或依當事人之請求停止處理或利用。但因執行職務或業務所必須並註明其爭議或經當事人書面同意者，不在此限。Ⅲ個人資料蒐集之特定目的消失或期限屆滿時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。但因執行職務或業務所必須或經當事人書面同意者，不在此限。Ⅳ違反本法規定蒐集、處理或利用個人資料者，應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料。Ⅴ因可歸責於公務機關或非公務機關之事由，未為更正或補充之個人資料，應於更正或補充後，通知曾提供利用之對象。」

亦即，個人資料之蒐集者若是在「個人資料蒐集之特定目的消失或期限屆滿時」，無再繼續利用該等含個人資料之紙本或電磁紀錄者，確實應該主動刪除該等資料。

然而，與當事人約定永久保留、使用其個人資料是否有效？如從私法自治的觀點來看，依民法第71條及72條之規定，當事人間的私法契約只要不違反強制禁止規定或有背於公共秩序善良風俗者，皆屬有效，而個人資料保護法又有因執行職務或業務所必須或經當事人書面同意之情形下，得例外於個人資料蒐集之特定目的消失或期限屆滿時，得不刪除、停止處理或利用該個人資料之規定，因此即使與當事人間永久保留、使用其個人資料的約定，似乎非無不可。

然而應該注意的是，個人資料保護法第5條也規定，「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍」，因此，「永久」保留個人資料是否在蒐集者與當事人間特定目的的必要範圍內，便是很重要的判斷因素，如果並不具備這樣的必要條件，即使契約上就個人資料的保存年限作了這樣的約定，依舊是無效的。

除此之外，企業與一般消費者間的契約，往往是企業經營者為與不特定多數消費者訂立同類契約之用，所提出預先擬定之契約條款，此種當事人一方預定用於同類契約之條款而訂定之契約，即法律上所稱的定型化契約。而依據消費者保護法第12條及民法第247-1條之規定，如定型化契約中的條款有顯失公平的情形，則部分的約定無效，亦即企業與當事人間永久保留其個人資料的約定，有經法院判決認定為顯失公平的可能。

蒐集、處理或利用個人資料雖然可為企業獲利，然而同時持有大量的個人資料也可能於個人資料被竊取時使企業擔負高額的賠償責任。個人資料保護法已引入團體訴訟制度，日後如再出現個人資料大規模外洩之案件，由符合資格之財團法人或公益社團法人代受害人提起團體訴訟的情形已可預見。因此，如非必要，建議企業仍不宜長期持有當事人之個人資料，以免成為歹徒覬覦之目標，而有遭到竊取最終受到求償的風險。

工商時間：個人資料保護法Q&A預購網頁

同系列文章

黃曉薇律師，個人資料保護法Q&A-書面同意是否一定要以紙本為之？

賴文智律師，個人資料保護法Q&A-敏感性個人資料禁止蒐集的效力？

賴文智律師，個人資料保護法Q&A-網友「人肉搜索」的合法性？

賴文智律師、蕭家捷律師，個人資料保護法Q&A-僱主臉書(Facebook)洩個資，當然不行！

賴文智律師、蕭家捷律師，個人資料保護法Q&A-可否要求網路業者刪除網友張貼之個人資料？

賴文智律師、蕭家捷律師，從南韓控蘋果集體訴訟案看我國個資法團體訴訟制度

賴文智律師，個人資料保護法Q&A-從NFC手機談個人資料的管制

賴文智律師，個人資料保護法Q&A-企業上雲端，個資保護責任誰負？

賴文智律師，個人資料保護法Q&A-依法股東名冊絕不能外流？

賴文智律師，個人資料保護法Q&A-拒絕電話行銷後，仍然不斷收到相同業者的電話？