法律論壇

A:  您好，

個資法第2條第3.4.5款：「本法用詞，定義如下： 三、蒐集：指以任何方式取得個人資料。四、處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。五、利用：指將蒐集之個人資料為處理以外之使用。｣

個資法第19條第1項第2款規定：「非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。」

個資法第20條規定：「I非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：一、法律明文規定。二、為增進公共利益所必要。三、為免除當事人之生命、身體、自由或財產上之危險。四、為防止他人權益之重大危害。五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。六、經當事人同意。七、有利於當事人權益。非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。II非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。｣

個資法第41條規定：「意圖為自己或第三人不法之利益或損害他人之利益，而違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳輸之命令或處分，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。」

首先，您基於維修關係而取得客戶個人資料，並內部建檔留存的行為係屬個資法所稱之「處理」行為，假若符合個資法第19條所規定與當事人間具有契約或類似關係，並有做好適當保護之安全措施，這樣的行為並沒有問題。

然而，將個人資料留傳於不同法人主體之間，已屬個人資料之「利用」行為，應僅限於原先蒐集之特定目的必要範圍內，為避免企業經營風險，客戶資料的流傳還是建議於維修時就一併向客戶說明，並取得客戶特定書面之同意。