個資法的衝擊

在iThome周刊449期的編者的話這個單元中，我寫到個人資料保護法三讀通過，其中有一句話有錯誤，必須更正：「現在新版個人資料保護法過關了，不論你是大公司或是小公司，只要你的公司擁有5千筆個人資料，就得受到個資法的規範。」這段話的「5千筆個人資料」有誤，個人資料保護法最後通過的版本並沒有放寬門檻，正確的說法應為，只要擁有「1筆個人資料」，就得受到個資法的規範。 

5千筆個人資料的門檻設計，是參考日本個人情報保護法的做法，在新版個資法的討論階段曾被提出來做為參考，不過由於最後三讀的版本沒有納入，因此任何企業只要擁有1筆個人資料，或是想要蒐集顧客資料，就一定得遵守個資法的規範。 

從這個角度來看，臺灣個資法帶來的衝擊，其實是遠比日本還要大。如果有5千筆個資的門檻，那麼或許還有一些規模較小的公司或組織不受影響，然而，最後定案的版本確定沒有這個保護門檻了，因此，大至財團企業，小至街角的一家餐廳，無一倖免，除非你只打算擺攤做個小吃生意，或純做流水席，完全不做顧客行銷。然而在這個時代，不做顧客行銷的話，絕大多數的企業就要關門了，很少有企業可以完全跟顧客毫無關係。所以，可以說接下來全臺灣1百多萬家企業，都跟個資法有關，都得好好面對個資法。 

不只如此，新版個資法還要溯及過往，企業在新法開始實施之前所擁有的個人資料，一樣得遵守個資法的要求，不能有所例外。這讓許多企業很擔心，對於手上擁有的成千上萬的客戶，若得逐一告知、取得同意之後才能使用個資，那麼能夠全數取得同意的比例應該會很低，如此豈不是數十年來的努力全部付諸一炬，整個產業的競爭不就是全部重頭開始？ 

諸如此類難以從法條直接獲得解答的疑問，我們特別採訪承辦個資法修法業務的法務部法律事務司，就企業現今常見的疑慮，提供正確的解答。這些問題像是：對於企業已擁有的個人資料，企業應該在個資法實施後1年內告知當事人，那麼是只要告知就行，還是也得取得同意呢？告知一定得用什麼樣的型式嗎？書面同意是一定得用紙本文件嗎，可以使用電子文件嗎？對於個人資料的利用，企業可以自行定義利用的目的嗎？ 

除了這些問題，當然還有大家最關切的時程問題。法務部法律事務司科長黃荷婷表示，個資法在立法院三讀通過後，可能在未來的兩周內總統就會正式公告。目前法務部已經著手進行施行細則的擬定工作，將成立施行細則修法小組，由各部會派員組成，將各個產業的狀況列入考慮，並將舉辦公聽會徵詢各界與專家學者的意見。預計施行細則可在6～8個月之內完成，完成之後就會送交行政院審核，估計需要2～3個月，如果沒什麼問題的話，完成後就會頒布實施時間。 

若一切照進度完成，企業只剩「1年」的時間可以因應了。雖然說行政院是否會在審核完後頒布立即實施，或是再考量其他因素而延後，目前是不得而知，不過，企業仍須秉持最壞的打算，也就是只剩1年的時間。由此可見，個資法這個風暴可是又急又大，不可不慎。