金融控股公司旗下子公司所保管個人資料相互流用的法律問題

金融控股公司旗下子公司所保管個人資料相互流用的法律問題(原登載於2007/5/13經濟日報)
吳尚昆（寬信聯合律師事務所律師）

在現代化金融機構的經營，客戶資訊是重要資產，金融機構可藉由客戶提供或自行蒐集的資訊來建立、調整經營策略；同時，金融機構對客戶資訊的蒐集、使用、保存等程序均須負一定的責任
關於隱私保護立法，OECD（經濟合作暨發展組織）曾提出個人資料的國際流通及隱私權保護準則的建議，關於國內實施有八項原則：1.限制收集原則；2.資料正確原則；3.目的明確原則；4.限制利用原則；5.保護安全原則；6.政策公開原則；7.個人參與原則；8.管理責任原則。
我國電腦處理個人資料保護法，原則上亦依循上開八項原則。依現行法，保護之客體是指電腦處理之個人資料；個人資料是指：自然人之姓名、出生年月日、身分證統一編號、特徵、指紋、婚姻、家庭、教育、職業、健康、病例、財務情況、社會活動及其他足資識別該個人之資料。
另外，金融控股公司法對金融機構蒐集、使用、保存客戶資料，設有特別規定，即第42條「金融控股公司及其子公司對於客戶個人資料、往來交易資料及其他相關資料，除其他法律或主管機關另有規定者外，應保守秘密。主管機關得令金融控股公司及其子公司就前項應保守秘密之資料訂定相關之書面保密措施，並以公告、網際網路或主管機關指定之方式，揭露保密措施之重要事項。」及第43條「金融控股公司與其子公司及各子公司間業務或交易行為、共同業務推廣行為、資訊交互運用或共用營業設備或營業場所之方式，不得有損害其客戶權益之行為。前項業務或交易行為、共同業務推廣行為、資訊交互運用或共用營業設備或營業場所之方式，應由各相關同業公會共同訂定自律規範，報經主管機關核定後實施。前項自律規範，不得有限制競爭或不公平競爭之情事。」
關於金控公司建置資料庫有關保密義務相關規範，行政院金融監督管理委員會曾有函示，要求金融控股公司運用資料庫之分析結果或產出表報，如涉及客戶個人資料、往來交易資料及其他相關資料，應僅限於金融控股公司及原提供資料之子公司使用，且不得揭露予其他子公司或第三人，亦不得損害客戶相關權益。且該函示對於資料庫之使用倘涉及共同業務推廣行為及資訊交互運用等情形，亦應依金融控股公司法第43條、第48條規定及相關函令辦理。
金控公司所掌控之客戶資料包括：（一）基本資料：包括姓名、出生年月日、身分證統一編號、電話及地址等資料。（二）帳務資料：包括帳戶號碼或類似功能號碼、信用卡帳號、存款帳號、交易帳戶號碼、存借款及其他往來交易資料及財務情況等資料。（三）信用資料：包括退票記錄、註銷記錄、拒絕往來記錄及業務經營狀況等資料。（四）投資資料：包括投資或出售投資之標的、金額及時間等資料。（五）保險資料：包括投保保險種類、年期、保額、繳費方式、理賠狀況及拒保記錄等相關資料。
金控公司旗下業務包括銀行業務、保險業務、創投業務、證劵業務等，若允許客戶資料的互相流用，則金融控股公司集團就可以擁有龐大數量的個人資料，社會大眾難免會有個人資料受濫用的疑慮。
依目前金融控股公司及其子公司自律規範對客戶資料運用的規範，除了必備的遵循法令規定及保密措施外，僅客戶的基本資料可以由子公司互相流用外，其餘帳務資料、信用資料、投資資料或保險資料等，於揭露、轉介或交互運用時，應經客戶簽訂契約或書面明示同意後方可使用。且揭露、轉介或交互運用客戶資料，不得有損害客戶權益之情事，並應訂定保密協定，並維護客戶資料之機密性或限制其用途。如客戶發現金融控股公司或其子公司使用其客戶資料從事共同業務推廣行為時，客戶得發通知命其停止使用。
電腦處理個人資料保護法施行細則第30條第二項規定，非公務機關基於特定目的，為取得當事人書面同意，於初次洽詢時，檢附為特定目的蒐集、電腦處理或利用之相關資料，連同得於所定相當期間表示反對意思之書面，經本人或其法定代理人收受，而未於所定期間內為反對之意思表示者，推定其已有同意之表示。換句話說，所謂經當事人書面同意，非公務機關可以用概括變通的方式處理，只要當事人收受相關文件而未於一定期間反對，就可推定為同意。
雖然電腦處理個人資料保護法施行細則第30條第二項對於取得當事人同意的方法有變通方式，不過上面提到，金控公司旗下子公司對客戶的帳務資料、信用資料、投資資料或保險資料等客戶資料，依法規與自律規範要求，於揭露、轉介或交互運用時，應經客戶簽訂契約或書面明示同意後方可使用。應注意的是，既然此處指明「書面明示同意」，與單純「書面同意」尚屬有別，應該不得再依電腦處理個人資料保護法施行細則第30條的變通方式處理，而應確實取得客戶書面同意。