法律小常識

A公司預計委請知名旅行社B舉辦一年一度的員工旅遊活動，為辦理購票與保險等事項，旅行社B必須取得參加活動的A公司員工及眷屬的個人資料，是否須另外取得員工書面同意？此外，A公司每年並舉辦尾牙活動，須將員工資料提供給活動公司C，以利節目安排及抽獎活動之使用，是否須另外取得員工書面同意？

倘若A公司與員工間的聘僱合約並未明確約定將員工個人資料提供予旅行社B和活動公司C等事宜，則無法以個人資料保護法第19條第1項第2款「與當事人有契約關係」作為合法事由，意即，員工當初簽署聘僱合約所表示同意的範圍，並不及於同意A公司將其個人資料提供予旅行社B和活動公司C。再者，由於資料係為旅遊、尾牙活動安排之用而提供，與A公司原蒐集員工個人資料之人事管理目的不同，屬於特定目的外之利用，A公司應具備個資法第20條第1項各款合法事由之一，例如取得當事人書面同意（第20條第1項第6款）後，始得為目的外之利用。至於眷屬的部分，則均須經合法告知後，依個人資料保護法第19條第1項第5款取得當事人書面同意，始得蒐集、處理眷屬個人資料。