信息主體的權利及行使方式
【個人信息保護專題】
No.3 信息主體的權利及行使方式
歐盟General Data Protection Regulation與我國台灣地區《個人資料保護法》對信息主體可主張的權利及權利行使的方式進行了規定。
信息主體的權利
GDPR對信息主體的權利進行了以下規定：
我國台灣地區《個人資料保護法》對資料主體的權利進行了以下規定：
信息主體權利行使的方式
GDPR
總體要求：GDPR第12條規定，信息使用者應當採取適當方式，提供13-22條以及34條規定應當提供的信息，並要求信息使用者應當以簡明、直白易懂和易於查閱的方式處理個人信息相關事項。同時本條也規定要注意未成年人的特殊情況。對於第13、14條提出的申請，信息控制者應當提供標準化圖標，以便於信息主體對預期的處理有清晰的理解。
方式：一般來說，可以用書面或者電子等方式提供信息。經信息主體要求，信息控制者也可以口頭提供相關資料，但信息主體的身份信息需被其它方法認證。若信息主體以電子方式提出請求，則信息控制者盡量應以電子方式提供信息（信息主體另有要求除外）。
時間：在時間上，第12條也進行了規定。信息控制者在收到信息主體的請求（第15-22條）後一個月內採取必要行動，特殊情形下可以延長2個月，但信息控制者必須在收到信息主體請求的一個月內說明延長的內容和原因，並儘快向監管機關提出申訴並尋求司法補救。
費用：申請信息控制者對信息主體根據13、14條及15-22條的任何申請均應免費。對於信息主體的重複、無理由、超權利申請，信息控制者可以收取合理費用及相關行政費用或拒絕信息主體的要求。
補充申請材料：信息控制者在合理懷疑下，可以要求信息主體補充申請材料。
我國台灣地區《個人資料保護法》
我國台灣地區《個人資料保護法》對信息主體權利行使方式沒有明確規定，但是根據《行政程序法》第35條，「當事人依法向行政機關提出申請者，除法規另有規定外，得以書面或言辭為之」，即信息主體向行政機關提出申請時當然可以選擇口頭或者書面。當對象非行政機關時法律並沒有規定。若出於保護個人信息的目的，為了減少信息主體主張權利的障礙，應當規定信息主體可在口頭和書面擇一行使。
費用上，個資法第14條規定了「查詢或請求閱覽個人資料或制給副本者，公務機關或非公務機關得酌收必要成本費用」。
時間上，個資法第13條規定，請求人申請查詢、閱覽、複製時，被申請人應在15日作出准駁的決定，必要時可最多延長15日，且應將原因書面通知請求人。請求人申請補充、更正、刪除、停止處理／利用時，被申請人應在30日作出准駁的決定，必要時可最多延長30日，且應將原因書面通知請求人。
問題討論
對於未成年人的個人信息權應當如何行使，我國台灣地區適用民法關於行為能力的規定，父母作為未成年人的法定代理人，在比如代子女申請向醫院查詢病歷等情況下，父母應可以代理未成年人行使同意權以彌補未成年人行為能力的不足（法務部門法律字第10203504660號）。當子女成年後，父母需要依《個人資料保護法》的規定收集、處理和使用子女的個人信息。
對於成年人的個人信息權是否可由代理人行使的問題，筆者認為，個人信息權是人格權之一，具有人身性，成年人作為個人信息主體，其權利無法由他人代理行使。另外，成年人信息主體若將權利交與一般授權的代理人行使，則信息主體決定對於該個人信息被何人如何處理等事項持放任的態度，如此一來，則有人格權預先拋棄之疑。
當機構委託另一機構收集處理利用信息主體的個人信息時，信息主體應向委託人還是被委託人主張權利呢？由於被委託人是向信息主體收集、處理、利用個人信息的直接相對人，似乎信息主體向被委託人申請更為便捷。而民法和行政法上規定，委託人為權責歸屬人，向委託人主張權利也並非無道理。筆者認為，考慮到被委託人在委託範圍內代委託人收集、處理、使用個人信息，被委託人和委託人並非有許可權回應信息主體提出的所有申請，是故規定信息主體可以同時向委託人和被委託人申請，或者完善相應的通知、移交、移送程序，應是較妥善解決方案。
感謝閱讀，懇請各位批評指正！
TAG:TMT法律評論 |