個資法衝擊保險業 怎麼收個資才好？

在「電腦處理個人資料保護法」的年代，保險業已經列入適用範圍內，但還是侷限於電腦資料的處理。目前新修訂的「個人資料保護法」（以下簡稱「個資法」），已經擴大了適用主體，對於個人資料的蒐集、處理及利用都有詳細規範。因此，新修訂的個資法，對於保險業的衝擊，已經從以往的資訊部門，擴大到一般的壽險業務員。

保險業蒐集個資 易觸雙法

 對於壽險顧問而言，除了維繫既有的客戶，如何開發新客源也是一個重要的議題。而新客戶的來源，大概又可以分為幾個途徑，不管是透過老客戶的介紹，或是藉由陌生拜訪，都和個人資料的蒐集有關。舉例來說，如果是經由原有客戶的推薦，現行做法經常是壽險顧問拿了一份聯絡表格，交由客戶填寫推薦名單，但依照「個資法」第十九條的規定，非公務機關對個人資料之蒐集或處理，應有特定目的，並符合下列情形之一者（註1），否則這些資料的取得，都不符合個資法所定義的資料蒐集或處理。

 壽險業另外一種取得名單的方式，則是透過舉辦各式的講座，或是問卷的方式，藉以取得當事人的相關資料及聯繫方式，以便做後續追蹤。如果是利用講座的方式，通常是在講座結束之後，請參與聽眾填寫意見調查表，然後留下相關個人資料，但這種做法很容易與「個資法」第八條相牴觸，第八條規定，公務機關或非公務機關向當事人蒐集個人資料時，應明確告知當事人公務機關或非公務機關名稱、蒐集之目的、個人資料之類別、個人資料利用之期間、地區、對象及方式等，同時，當事人得自由選擇提供個人資料時，不提供將對其權益之影響。

 如果是採用問卷的方式，有部分的業務員會採用健康檢查問卷，詢問有關家族病史，或是過去的醫療行為，但這類健康檢查的問卷，則明顯的違反了「個資法」第六條，其規定有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限（註2）。

註1：

(1)法律明文規定。

(2)與當事人有契約或類似契約之關係。

(3)當事人自行公開或其他已合法公開之個人資料。

(4)學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。

(5)經當事人書面同意。

(6)與公共利益有關。

(7)個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。

註2：有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：

(1)法律明文規定。

(2)公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。

(3)當事人自行公開或其他已合法公開之個人資料。

(4)公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且經一定程序所為蒐集、處理或利用之個人資料。

前項第四款個人資料蒐集、處理或利用之範圍、程序及其他應遵行事項之辦法，由中央目的事業主管機關會同法務部定之。

過往壽險業同樣有購買名單的案例發生，壽險業會購買名單，除了當作新客戶的來源之外，壽險業同樣也會利用這份名單，做為增員的使用。也有壽險業者從人力銀行處合法取得求職人員的相關資訊，如果無法有效的增員，就變成保單販售的對象。這兩種做法，都違反了「個資法」第十九條「非公務機關對個人資料之蒐集或處理，應有特定目的」，以及「個資法」第八條「公務機關或非公務機關向當事人蒐集個人資料時，應明確告知當事人該資料使用的相關資訊」。

 依據「個資法」第四十一條的規定，違反上述條文，足以損害他人者，處二年以下有期徒刑、拘役或科或併科新臺幣二十萬元以下罰金。而若意圖營利犯前項之罪者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。即便沒有相關的刑事責任，但違反「個資法」第六條、第十九條，依照「個資法」第四十七條的規定：非公務機關有下列情事之一者，由中央目的事業主管機關或直轄市、縣(市)政府處新臺幣五萬元以上五十萬元以下罰鍰，並令限期改正，屆期未改正者，按次處罰之。而若是違反「個資法」第八條，依照「個資法」第四十八條的規定：「非公務機關有下列情事之一者，由中央目的事業主管機關或直轄市、縣(市)政府限期改正，屆期未改正者，按次處新臺幣二萬元以上二十萬元以下罰鍰」。

 另外不論是違反個資法第四十七條、四十八條，依照「個資法」第五十條的規定:「非公務機關之代表人、管理人或其他有代表權人，因該非公務機關依前三條（第四十七、四十八、四十九）規定受罰鍰處罰時，除能證明已盡防止義務者外，應並受同一額度罰鍰之處罰。」，由此可知，都會有所謂雙罰的問題產生。

客戶資料帶回家？壽險顧問成隱憂

 另外，許多壽險顧問會將保戶的保單資料，自行影印後留存。照壽險顧問的講法，是為了要協助保戶做後續理賠服務之用，因為保單上面有批註條款，這些批註條款不見得每家公司都開放給業務員查詢，於是壽險顧問就會留存紙本的資料。或是將保戶的資料下載到個人電腦中。但這樣的舉動，仍然需要符合「個資法」第十九條：「經當事人書面同意」的規定，這意味著壽險顧問，如果沒有取得當事人的同意，是不可以再擁有客戶的保單資料。這也是未來保險業者在推動的時候，需要花更多的時間與第一線的壽險顧問進行溝通與再教育。

 有些壽險從業人員會覺得，反正客戶填的要保書就交回給公司，同時壽險公會也有09602551631函號，要求要不得將客戶資料外洩，如果情節嚴重，還會暫停壽險業務員的資格，怎麼還會有個資的問題？但從資安的著眼點，可以將客戶的資料下載到個人電腦中，就已經是一個很大的隱憂，再加上許多營業處的實體安全，也是以往較容易被忽略的一塊，為了降低使用面積，不但是採取開放式空間，同時對於各壽險顧問的文件資料，似乎也沒有統一的控管標準。未來在個資法通過實施以後，這些都會成為個資的漏洞。

現實生活中這樣的案例並非沒有，今年四月在彰化就曾發生，一天內，四家保險公司的客戶資料同時遭竊，還包括數台的筆記型電腦（註3）。在「個資法」第二十七條指出，非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。同時，中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。

 

此外，對於保單內容，應該要依據不同的職掌，賦予不同的使用及查核的權限，尤其是保單的批註條款，這一部分因為涉及個人的健康狀況，又直接牽涉到「個資法」第六條的規定，即便是依法定義務所必要蒐集的資料，但仍然需要有是當安全維護措施。這點在「個資法」第二十九條「非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但若能證明其無故意或過失者，不在此限。」

 也就是說，未來一旦有類似個資事件發生時，是要由企業負舉證的責任。我們檢視法院過往的判例，就有壽險公司應為權限設定不當，以致將同名當事人資料外洩的實例。在這個案例中，被告的保險公司分別賠償了新台幣7,155元及新台幣81,100元。而雖然這只是單一個案，但新的「個資法」對於損害賠償的部分，也已經大幅提高。同時又有判例可以參考，對於保險業而言都會產生某種程度的警惕作用。

把守第一線壽險員避免訴訟糾紛

 對於保險業而言，除了冀望保險法修法，以便對「個資法」相關的規定能夠解套外，更重要的事，一旦當事人對於個資的意識提高時，保險業沒有做好相關的因應措施，對於第一線的壽險人員有更明確的規範及要求。那麼個資法開始實施之後，可以預見有關個資的爭議會不斷的發生。