請宣讀審查報告。
立法院經濟委員會函

(一)個人資料保護法之研修政策說明
按個人資料保護法（以下簡稱個資法）適用之對象，廣泛涵蓋全國8千餘個公務機關，以及包含165萬餘個營利事業在內之各類非公務機關。鑑於個資法修法政策影響層面廣泛，本籌備處為任務型機關，以建置個人資料保護委員會（以下簡稱個資會）相關監管體制為最優先任務，個資法應分階段進行修正規劃，本階段修正主要係為配合個資會成立，賦予個資會相關執法權限；至於下一階段其他諸多修法議題，本籌備處會持續進行研議規劃，再交由正式成立之個資會以個資法主管機關之地位，賡續進行通盤修正研議及立法政策決定。本次個資法部分條文修正草案之3大重點面向包括：

為落實憲法法庭一百十一年憲判字第十三號判決，關於應建立個人資料保護獨立監督機制之意旨，「個人資料保護法」前於一百十二年五月三十一日增訂第一條之一，明定設立獨立機關之個人資料保護委員會（以下簡稱個資會）擔任本法之主管機關。
為配合個資會成立，賦予個資會相關執法權限，包含對公務機關與非公務機關之行政監督，以及與公務機關之上級或監督機關、非公務機關之中央或地方目的事業主管機關之協力合作機制等配套規定，擬具「個人資料保護法」部分條文修正草案，說明如下：
(一)增訂主管機關召開個人資料保護政策推進會議之權限。（修正條文第一條之二）
(二)增訂公務機關或非公務機關遇有個人資料洩漏等事故，有採行應變措施、保存事故紀錄之義務，於符合一定通報範圍時並應通報主管機關；另修正事故機關應通知當事人之個人資料事故樣態。（修正條文第十二條）
(三)增訂公務機關應置個人資料保護長，負責統籌推動及督導考核機關內部及所屬之個人資料保護事務，並授權主管機關分別就相關人員之職掌訓練等相關事項，及公務機關之個人資料檔案安全維護事項管理機制等訂定辦法。（修正條文第十八條）
(四)有關非公務機關之個人資料檔案安全維護事項，授權主管機關就個人資料檔案安全維護事項、管理機制等相關事項訂定辦法。（修正條文第二十條之一）
(五)增訂情報機關以外公務機關個人資料保護事務之行政監督規定，包括個人資料保護管理事項實施情形之提出、稽核、缺失改善、實地檢查、違法改正及公布違法情節、機關名稱等權限。（修正條文第二十一條之一至第二十一條之五）
(六)修正對非公務機關之行政檢查，以主管機關為權責機關，增訂其發動檢查之要件，並授權就檢查作業之規劃、目的事業主管機關之協力等事項訂定辦法。（修正條文第二十二條）
(七)配合個人資料事故通報、應變措施及紀錄保存等義務之明文化，及非公務機關辦理個人資料檔案安全維護事項及過渡期間監督管理事項之修正，增訂非公務機關違反相關義務之罰則。（修正條文第四十八條）
(八)為因應漸進達成非公務機關個人資料保護事務監督權限之一元化，增訂權限變動之過渡條款，明定主管機關得報請行政院公告一定範圍之非公務機關，於四年之過渡期間，仍暫時維持由中央目的事業主管機關或直轄市（縣、市）政府監管其個人資料保護事項，分階段將該監管權限逐步改由個資會管轄，及各該目的事業主管機關於過渡期間之相關執法配套機制。（修正條文第五十一條之一）
(九)配合個資會之成立及部分非公務機關監管權限之過渡機制，修正主管機關、中央目的事業主管機關及直轄市（縣、市）政府關於行政檢查之權限移轉相關規範。（修正條文第五十二條）
(十)配合個資會之成立，增訂對主管機關依本法所為之行政處分不服者，應逕提行政訴訟救濟，以符獨立機關特性；另針對過渡期間，規定提起訴願之相關機制，及本法本次修正施行前尚未提起或終結之訴願事件之處理。（修正條文第五十三條之一）

個人資料保護法（以下簡稱本法）於八十四年八月十一日制定公布，歷經三次修正，最近一次修正公布日期為一百十二年五月三十一日。考量個人資料之保護，除應以法律明確訂定蒐集、處理及利用個人資料之目的及要件外，並應對所蒐集之個人資料採取組織上與程序上必要之防護措施，以符憲法保障人民資訊隱私權之本旨；唯近年來個資外洩頻傳，並遭不法人士竊取進行詐騙，已嚴重危及人民生命財產之安全，成為新的國安危機。
憲法法庭2022年8月作成「111年憲判字第13號」判決，明確揭示政府必須在3年內建立個人資料保護的獨立監督機制之要求，為落實憲法法庭判決所示應建立個人資料保護獨立監督機制之意旨，2024年5月31日增訂本法第一條之一，設立獨立機關之個人資料保護委員會（以下簡稱個資會）擔任本法之主管機關。
本次修正依循憲法法庭判決意旨，考量本法現行規定尚無明定外部監督機制，對於原本全然缺乏外部監督機制之公務機關，將優先由個資會進行全面監管；非公務機關部分，因目前係由各中央及地方目的事業主管機關就其營運活動一併監督其個人資料保護事務，個資會將優先納管尚無明確目的事業主管機關之非公務機關，至於已有明確目的事業主管機關之非公務機關，則明定過渡條款，於過渡期間內暫時維持監管現況，並分階段將各該目的事業主管機關之監管權限逐步移轉予個資會，俾漸進達成個人資料保護事務監督一元化之立法政策目標。
綜上，本次修正主要係為配合個資會成立，賦予個資會相關執法權限，包含對公務機關與非公務機關之行政監督，以及與公務機關之上級或監督機關、非公務機關之中央或地方目的事業主管機關之協力合作機制等配套規定，爰擬具本法部分條文修正草案，說明如下：
(一)增訂主管機關召開個人資料保護政策推進會議之權限。（修正條文第一條之二）
(二)增訂公務機關或非公務機關遇有個人資料洩漏等事故，有採行應變措施、保存事故紀錄之義務，於符合一定通報範圍時並應通報主管機關，另修正事故機關應通知當事人之個人資料事故樣態。（修正條文第十二條）
(三)增訂公務機關應置個人資料保護長，負責統籌推動及督導考核機關內部及所屬之個人資料保護事務，並授權主管機關分別就相關人員之職掌、訓練等相關事項，及公務機關之個人資料檔案安全維護事項、管理機制等訂定辦法。（修正條文第十八條）
(四)有關非公務機關之個人資料檔案安全維護事項，授權主管機關就個人資料檔案安全維護事項、管理機制等相關事項訂定辦法。（修正條文第二十條之一）
(五)增訂情報機關以外公務機關個人資料保護事務之行政監督規定，包括個人資料保護管理事項實施情形之提出、稽核、缺失改善、實地檢查、違法改正及公布違法情節、機關名稱等權限。（修正條文第二十一條之一至第二十一條之五）
(六)修正對非公務機關之行政檢查，以主管機關為權責機關，增訂其發動檢查之要件，並授權就檢查作業之規劃、目的事業主管機關之協力等事項訂定辦法。（修正條文第二十二條）
(七)配合個人資料事故通報、應變措施及紀錄保存等義務之明文化，及非公務機關辦理個人資料檔案安全維護事項及過渡期間監督管理事項之修正，增訂非公務機關違反相關義務之罰則。（修正條文第四十八條）
(八)為因應漸進達成非公務機關個人資料保護事務監督權限之一元化，增訂權限變動之過渡條款，明定主管機關得報請行政院公告一定範圍之非公務機關，於五年之過渡期間，仍暫時維持由中央目的事業主管機關或直轄市、縣（市）政府監管其個人資料保護事項，分階段將該監管權限逐步改由個資會管轄，及各該目的事業主管機關於過渡期間之相關執法配套機制。（修正條文第五十一條之一）
(九)配合個資會之成立及部分非公務機關監管權限之過渡機制，修正主管機關、中央目的事業主管機關及直轄市、縣（市）政府關於行政檢查之權限移轉相關規範。（修正條文第五十二條）
(十)配合個資會之成立，增訂對主管機關依本法所為之行政處分不服者，應逕提行政訴訟救濟，以符獨立機關特性。另針對過渡期間，規定提起訴願之相關機制，及本法本次修正施行前尚未提起或終結之訴願事件之處理。（修正條文第五十三條之一）

本次修正主要係為配合個人資料保護委員會成立，賦予個資會相關執法權限，包含對公務機關與非公務機關之行政監督，以及與公務機關之上級或監督機關、非公務機關之中央或地方目的事業主管機關之協力合作機制等配套規定；至於本法其他諸多修法議題，當由正式成立之個資會以本法主管機關之地位，賡續進行通盤修正研議及立法政策決定。爰擬具本法部分條文修正草案，說明如下：
(一)增訂主管機關召開個人資料保護政策推進會議之權限。（修正條文第一條之二）
(二)增訂公務機關或非公務機關遇有個人資料洩漏等事故，有採行應變措施、保存事故紀錄之義務，於符合一定通報範圍時並應通報主管機關，另修正事故機關應通知當事人之個人資料事故樣態。（修正條文第十二條）
(三)增訂公務機關應置個人資料保護長，負責統籌推動及督導考核機關內部及所屬之個人資料保護事務，並授權主管機關分別就相關人員之職掌、訓練等相關事項，及公務機關之個人資料檔案安全維護事項、管理機制等訂定辦法。（修正條文第十八條）
(四)有關非公務機關之個人資料檔案安全維護事項，授權主管機關就個人資料檔案安全維護事項、管理機制等相關事項訂定辦法。（修正條文第二十條之一）
(五)增訂情報機關以外公務機關個人資料保護事務之行政監督規定，包括主管機關得應每兩年定期或不定期稽核公務機關之個人資料保護管理事項實施情形，以及稽核之結果，應每年定期主動公開，另個人資料保護管理事項實施情形之提出、稽核、缺失改善、實地檢查、違法改正及公布違法情節、機關名稱，等權限。（修正條文第二十一條之一至第二十一條之五）
(六)修正對非公務機關之行政檢查，以主管機關為權責機關，增訂其發動檢查之要件，並授權就檢查作業之規劃、目的事業主管機關之協力等事項訂定辦法。（修正條文第二十二條）
(七)配合個人資料事故通報、應變措施及紀錄保存等義務之明文化，及非公務機關辦理個人資料檔案安全維護事項及過渡期間監督管理事項之修正，增訂非公務機關違反相關義務之罰則。（修正條文第四十八條）
(八)為因應漸進達成非公務機關個人資料保護事務監督權限之一元化，增訂權限變動之過渡條款，明定主管機關得報請行政院公告一定範圍之非公務機關，於六年之過渡期間，仍暫時維持由中央目的事業主管機關或直轄市、縣（市）政府監管其個人資料保護事項，分階段將該監管權限逐步改由個資會管轄，及各該目的事業主管機關於過渡期間之相關執法配套機制。（修正條文第五十一條之一）
(九)配合個資會之成立及部分非公務機關監管權限之過渡機制，修正主管機關、中央目的事業主管機關及直轄市、縣（市）政府關於行政檢查之權限移轉相關規範。（修正條文第五十二條）
(十)配合個資會之成立，增訂對主管機關依本法所為之行政處分不服者，應逕提行政訴訟救濟，以符獨立機關特性。另針對過渡期間，規定提起訴願之相關機制，及本法本次修正施行前尚未提起或終結之訴願事件之處理。（修正條文第五十三條之一）

自84年制定施行以來，歷經數次修正，惟隨科技變遷與資料應用型態的快速演進，現行法制在監督機制、資料安全預防、當事人權利實現等方面仍有明顯落差。在憲法法庭111年憲判字第13號判決中，已明確指出需建立獨立、有效的個人資料保護監督機制，確保人民資訊隱私權受到實質保障。面對AI、雲端、大數據快速成長的時代，個人資料保護不僅是法律規範，更是國家治理能力與民主韌性的重要指標。為此，應在原有修法基礎上進一步制度性工具與公民參與機制，讓個資保護不僅有監督、有處罰，更有風險預警、教育啟發與民眾實用的協助管道，爰擬具「個人資料保護法部分條文修正草案」。說明如下：
(一)建立事故揭露與統計制度：為提升個資事故的資訊透明度與社會監督能力，增訂主管機關應彙編年度統計報告。此舉可促使公私部門強化內部控管，亦有助當事人自主防護。
(二)高風險資料處理影響評估：針對大規模、自動化或涉及敏感個資之非公務機關，明定其有義務執行資料保護影響評估（DPIA），強化事前風險辨識與內部控管紀錄。主管機關得公告特定產業範疇，或依案件情況要求補充評估。
(三)建立權益協助與資料素養推廣平台：考量我國民眾對資料權益理解仍有限，申訴與救濟機制分散不清，爰增訂條文要求主管機關設立一站式的個資權益協助平台，提供法律諮詢、教育教材與諮詢資源，並推動將資料保護納入國民教育課程。

個人資料保護法（以下簡稱本法）於八十四年八月十一日制定公布，歷經三次修正，最近一次修正公布日期為一百十二年五月三十一日。考量個人資料之保護，除應以法律明確訂定蒐集、處理及利用個人資料之目的及要件外，並應對所蒐集之個人資料採取組織上與程序上必要之防護措施，以符憲法保障人民資訊隱私權之本旨；個人資料保護之獨立監督機制，即為上述組織上與程序上之重要關鍵制度，俾確保個人資料蒐集、處理及利用者，均符合本法規定，以增強個人資料蒐用之合法性與可信度。至於監督機制如何設置，則屬立法形成自由（憲法法庭一百十一年憲判字第十三號判決意旨參照）。
為落實前開憲法法庭判決所示應建立個人資料保護獨立監督機制之意旨，一百十二年五月三十一日增訂本法第一條之一，已考量本法需監督之對象廣泛、監督職權複雜且涉及公權力行政事項，爰明定設立獨立機關之個人資料保護委員會（以下簡稱個資會）擔任本法之主管機關。鑒於我國歷來從未有個人資料保護獨立監督機關，應正視其草創伊始，職務資源與量能尚難以立即、有效及於全體公務機關及非公務機關之現實情況。
本次修正依循前開憲法法庭判決意旨，在研議如何建構獨立監督機制之立法形成自由空間下，考量目前公務機關係自行管理，本法現行規定尚無明定外部監督機制，對於原本全然缺乏外部監督機制之公務機關，將優先由個資會進行全面監管，此亦為前開憲法法庭判決原因案件特別關注之重點所在；非公務機關部分，因目前係由各中央及地方目的事業主管機關就其營運活動一併監督其個人資料保護事務，個資會將優先納管尚無明確目的事業主管機關之非公務機關，至於已有明確目的事業主管機關之非公務機關，則明定過渡條款，於過渡期間內暫時維持監管現況，並分階段將各該目的事業主管機關之監管權限逐步移轉予個資會，俾漸進達成個人資料保護事務監督一元化之立法政策目標。
此外，個資會亦將訂定共通版之個人資料保護管理辦法供非公務機關及其目的事業主管機關有所依循，召開「個人資料保護政策推進會議」，與各該目的事業主管機關建立協調聯繫平台，並在過渡期間受理訴願案件，對目的事業主管機關之行政處分進行適法性及妥適性之審查，構築實質有效之獨立監督機制，以符合前開憲法法庭判決意旨。
綜上，本次修正主要係為配合個資會成立，賦予個資會相關執法權限，包含對公務機關與非公務機關之行政監督，以及與公務機關之上級或監督機關、非公務機關之中央或地方目的事業主管機關之協力合作機制等配套規定；至於本法其他諸多修法議題，當由正式成立之個資會以本法主管機關之地位，賡續進行通盤修正研議及立法政策決定。爰擬具本法部分條文修正草案，說明如下：
(一)增訂主管機關召開個人資料保護政策推進會議之權限。（修正條文第一條之二）
(二)增訂公務機關或非公務機關遇有個人資料洩漏等事故，有採行應變措施、保存事故紀錄之義務，於符合一定通報範圍時並應通報主管機關，另修正事故機關應通知當事人之個人資料事故樣態。（修正條文第十二條）
(三)增訂公務機關應置個人資料保護長，負責統籌推動及督導考核機關內部及所屬之個人資料保護事務，並授權主管機關分別就相關人員之職掌、訓練等相關事項，及公務機關之個人資料檔案安全維護事項、管理機制等訂定辦法。（修正條文第十八條）
(四)有關非公務機關之個人資料檔案安全維護事項，授權主管機關就個人資料檔案安全維護事項、管理機制等相關事項訂定辦法。（修正條文第二十條之一）
(五)增訂情報機關以外公務機關個人資料保護事務之行政監督規定，包括個人資料保護管理事項實施情形之提出、稽核、缺失改善、實地檢查、違法改正及公布違法情節、機關名稱等權限。（修正條文第二十一條之一至第二十一條之五）
(六)修正對非公務機關之行政檢查，以主管機關為權責機關，增訂其發動檢查之要件，並授權就檢查作業之規劃、目的事業主管機關之協力等事項訂定辦法。（修正條文第二十二條）
(七)配合個人資料事故通報、應變措施及紀錄保存等義務之明文化，及非公務機關辦理個人資料檔案安全維護事項及過渡期間監督管理事項之修正，增訂非公務機關違反相關義務之罰則。（修正條文第四十八條）
(八)為因應漸進達成非公務機關個人資料保護事務監督權限之一元化，增訂權限變動之過渡條款，明定主管機關得報請行政院公告一定範圍之非公務機關，於六年之過渡期間，仍暫時維持由中央目的事業主管機關或直轄市、縣（市）政府監管其個人資料保護事項，分階段將該監管權限逐步改由個資會管轄，及各該目的事業主管機關於過渡期間之相關執法配套機制。（修正條文第五十一條之一）
(九)配合個資會之成立及部分非公務機關監管權限之過渡機制，修正主管機關、中央目的事業主管機關及直轄市、縣（市）政府關於行政檢查之權限移轉相關規範。（修正條文第五十二條）
(十)配合個資會之成立，增訂對主管機關依本法所為之行政處分不服者，應逕提行政訴訟救濟，以符獨立機關特性。另針對過渡期間，規定提起訴願之相關機制，及本法本次修正施行前尚未提起或終結之訴願事件之處理。（修正條文第五十三條之一）

鑑於憲法法庭一百十一年憲判字第十三號判決，政府應建立個人資料保護之獨立監督機制，並依據法律獨立行使職權，而不受其他機關指揮監督。另為漸進調整我國個人資料保護之監督管理體系，以達事權劃一之目標，爰擬具「個人資料保護法部分條文修正草案」。

為符憲法保障人民資訊隱私權之本旨，並落實憲法法庭一百十一年憲判字第十三號判決意旨所示應建立個人資料保護獨立監督機制，爰擬具「個人資料保護法第十二條、第二十七條及第四十八條條文修正草案」，增訂公務機關或非公務機關遇有個人資料洩漏等事故，有採行應變措施、保存事故紀錄之義務，於符合一定通報範圍時並應通報主管機關，另修正事故機關應通知當事人之個人資料事故樣態；修正有關非公務機關之個人資料檔案安全維護事項，授權主管機關就個人資料檔案安全維護事項、管理機制等相關事項訂定辦法；及配合個人資料事故通報、應變措施及紀錄保存等義務之明文化，及非公務機關辦理個人資料檔案安全維護事項及過渡期間監督管理事項之修正，增訂非公務機關違反相關義務之罰則。
参、與會委員於聽取說明及詢答後，咸認本案有修正之必要應予支持，對法案進行逐條審查及縝密討論，並將全案併案審查完竣，擬具審查報告，提報院會討論；院會討論前，須交由黨團協商。院會討論本案時，由經濟委員會召集委員蔡易餘補充說明。
肆、檢附條文對照表乙份。