◎案例：天海科技公司向以福利優厚、管理嚴謹著稱於業界，珍珍在銀行工作多年，前一陣子才離職，偶然在媒體上看到天海公司招募財會主管便上網應徵，在網上填載基本資料時，赫然發現其中有一欄位要應徵者填載性取向，包括同性戀與異性戀兩個選項，請問天海公司可以在網上蒐集個人資料嗎？除此之外，天海公司在為應徵員工而蒐集、處理應徵者其他個人資料時，應注意什麼事情？
◎解答：
一、關於蒐集「性取向」個人資料部分：
關於個人資料的保護，個人資料保護法第六條針對醫療、基因、性生活、健康檢查及犯罪前科等比較特殊或具敏感性的個人資料規定原則上不得蒐集、處理或利用，以免造成社會不安或對當事人造成難以彌補的損害，其中「性生活」包括「性取向」，因此，本案例事實中天海公司既無第六條但書所列的例外情形，若只是單純為了應徵人才的目的，則關於是異性戀或者是同性戀，因為是屬於上述第六條所稱之「性生活」，所以連蒐集都不得為之，違反者，若無營利意圖，則可能該當個人資料保護法第四十一條第一項違反同法第六條第一項足生損害於他人罪，最高可處二年有期徒刑，且得由中央目的事業主管機關或直轄市、縣（市）政府處以新台幣五萬元以上五十萬元以下罰鍰，並令限期改正，限期未改正者則按次處罰之。
二、關於「性取向」以外個人資料蒐集的部分：
至於天海網站上要求填寫之性取向以外個人基本資料如姓名、身分證字號、聯絡方式等，則非第六條第一項所規定之資料，因非公務機關在蒐集、處理這類個人資料時，對當事人可能造成之影響亦不可小覷，故個人資料保護法第十九條第一項明文規定非公務機關於蒐集或處理一般個人資料時，應有特定目的，並符合下列情形之一：
（一） 法律明文規定。
（二） 與當事人有契約或類似契約之關係。
所謂「與當事人有契約關係」係指為履行契約義務的過程中常須要蒐集或處理當事人之個人資料，因此在有契約關係的前提下可以蒐集、處理當事人之個人資料，如基於買賣契約，消費者於網購平台填具之個人資料，是網購業者履行出貨義務所需，消費者亦須獲得網購業者的帳戶資訊才得以履行給付價金之義務；所謂「與當事人有類似契約關係」，依施行細則第二十三條規定，係指（一）非公務機關與當事人於契約成立前，為準備或商議訂立契約或為交易之目的，所進行之接觸或磋商行為；（二）契約因無效、撤銷、解除、終止或履行而消滅時，非公務機關與當事人為行使權利、履行義務，或確保個人資料完整性之目的所為之連繫行為。另外，施行細則第二十二條規定，本條所稱之「契約或類似契約的關係」，不以本法修正施行後所成立者為限，此乃因契約或類似契約之關係具有持續性，且修正施行前本法第十八條已有規範，人民應有信賴之期待可能性，不致產生衝擊，無須重新締約。
（三） 當事人自行公開或其他已合法公開之個人資料。當事人自行公開之個人資料已無保護必要，至於非由當事人公開之情形，有合法公開與非法公開二種情形，若因非法公開個人資料而使得他人得以任意蒐集、處理，對當事人之隱私勢必造成侵害。自行公開之資料如當事人在自己公開的部落格檔案中公布生日、工作單位或行動電話號碼等；合法公開之個人資料，則如學校於公布欄公告榜單等。
（四） 學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。為避免寬濫，學術研究機構僅得基於公共利益之目的而於統計或學術研究時蒐集、處理個人資料，如當事人資料經過提供者匿名化處理，或蒐集者就其揭露統計或研究內容之方式已無從再識別特定當事人者，便無侵害個人隱私權益之虞，此為個人資料之合理利用。
（五） 經當事人書面同意。既當事人同意，表示當事人應已知非公務機關蒐集其資料可能產生之風險且當事人願意承擔，於此部分對當事人隱私已無侵害之虞。
（六） 與公共利益有關。
（七） 個人資料取自於一般可得之來源。
但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。
三、以本案例事實而論，天海公司為應徵員工而使應徵者於公司網站填載個人資料，除性取向不可蒐集外，其他一般屬個人資料保護法第十九條第一項第二款之情形，亦即天海公司與珍珍間為訂立僱傭契約前為取得相關訂約與否之訊息所形成之類似契約關係，故天海公司可依法蒐集、處理應徵者之性取向以外的一般個人資料。本文為律師投稿文章呂錦峯 律師/海灣國際法律事務所