宗教團體也得遵守 GDPR!挨家挨戶傳教就有可能違反史上最嚴個資法

【為什麼我們要挑選這篇文章】我們都有被傳教的經驗,但必須意識到,我們回答傳教者的問題,例如姓名、地址、宗教信仰,都是個資。今年,號稱史上最嚴個資法的 GDPR 實施了,宗教團體也得遵守規範,未經過同意,不能記錄被傳教者的個資。(責任編輯:郭家宏)

文 / 資策會科技法律研究所法律研究員 楊長蓉

「叮咚!叮咚!」正以為是郵差或快遞,急急忙忙從家裡沙發上起來,打開門卻是不認識的面孔也沒有包裹,開口第一句是「你知道天啟(apocalypse)要來了嗎?」

不知道大家是否都有在家中碰過傳教人員登門按鈴傳教的經驗?對方一邊聊天,一邊詢問私人問題,後面可能還會有人專責寫下你說的話和個資!如果不願意受訪,是否有因應之道呢?

涉及最近各界熱烈討論的最強資料保護法 – 歐盟一般資料保護規則(General Data Protection Regulation,GDPR),正好出現一個類似這樣議題的案例!歐盟法院(Court of Justice of the European Union,CJEU)針對某宗教團體挨家挨戶的傳教行為作出了判決:歐盟法院認為傳教人員必須事先取得當事人的同意,始得蒐集個資。這件事情的起源與發展是這樣的:

2013 年的時候,芬蘭資料保護委員會(tietosuojalautakunta;Data Protection Board,Finland)做出決議,禁止該宗教團體的成員於挨家挨戶傳教時,蒐集或處理個人資料,除非該宗教團體遵循芬蘭資料保護法。然而,該宗教團體的芬蘭會所(uskonnollinen yhdyskunta)不滿這個決議,而向芬蘭個資監管機關(tietosuojavaltuutettu, Data Protection Supervisor, Finland)申訴。之後由芬蘭法院向歐盟法院提起「先訴裁判」(preliminary ruling)程序,請求歐盟法院依據歐盟法相關規定,針對該宗教團體在登門傳教時,記錄個資的行為是否屬於歐盟資料保護法(*註)下之範疇做出解釋。(判決原文在 這裡

歐盟法院認為,該宗教團體在進行傳教時,必須取得被傳教者同意,始能做紀錄蒐集個資。歐盟資料保護法對個人資料的除外範圍並不包括這類宗教行為。此外,本案對於歐盟資料保護法發展至少有兩點相當重要的解釋:(a)宗教團體傳教時手寫筆記亦屬於歐盟資料保護法範圍,且該行為並不適用宗教團體除外條款;以及(b)該宗教團體與其會員屬於「資料控管者」(Data Controller)。

傳教行為受歐盟資料保護法所規範

由於該宗教團體在向不認識的人傳教的時候,會一邊詢問一邊做手寫紀錄(note-taking),這些紀錄可能包括對方姓名與地址,亦可能包括了其他敏感資訊,像是宗教信仰以及家庭狀況。(註: GDPR 就將宗教信仰列為敏感個資)這些手寫紀錄將作為傳教人員後續傳教時提醒之用(memory aids),也就是說,那些當初蒐集的資料,之後不管是原來的傳教人員再做後續拜訪,或是其他傳教人員去拜訪,都能在當事人不知情或是未同意的狀況下,被該宗教團體所使用。

這邊必須說明的是,該宗教團體的傳教方式乃是非常具有組織性與協調性的。該宗教團體通常會分組行動,去一般民眾家門口傳教前,組織內部還會依照地圖劃分負責區域,訂定各個傳教人員的傳教範圍。傳教人員在門口傳教所做的紀錄,亦將做事後處理與保管,團體所發送的出版品之數量與對象亦會記錄。此外,該宗教團體會將那些要求不要再來傳教的民眾做成一份清單,稱之為「拒絕者清單」(refusal register),這份清單上面亦會有個人資料,提供給該宗教團體成員做後續傳教之用途。

宗教團體屬於資料控管者(controller)

這類挨家挨戶傳教的宗教團體,屬於歐盟資料保護法下的資料控管者。宗教團體與其共同從事傳教的成員,在民眾門口傳教的行為若有蒐集處理到個資,即為資料控管者。這種情況下所進行的傳教活動因為有涉及蒐集處理個資,就必須遵守歐盟資料保護法。

歐盟資料保護法要求控管者必須符合合法要件(lawful basis)才能蒐集資料主體(data subject)的個人資料。常見的合法要件有「同意」,控管者必須合法取得資料主體之「知情同意」(informed consent)才能蒐集個人資料。這包括了傳教人員詢問個人「名字」、「地址」或「是否有信仰」這類屬於個人隱私之項目,若要蒐集,都必須取得當事人明確且知情的同意才行。

歐盟法院並對於資料控管者的概念做出下列幾項重要說明:

若是有多個或共同(jointly)資料控管者參與個資蒐集處理的情況,像是宗教團體與傳教人員的傳教行為,並不需要每一個人都有資料存取權(data access),才能被稱為控管者,或是承擔控管者歐盟資料保護法下的責任。由於這些行為人可能在不同階段蒐集處理個資,程度也可能都不一樣,因此,其個別的責任程度需要依據個案的相關情狀來判定。也就是說,判定因素為控管者在「決定處理個資之目的與手段」之控制程度。

此外,控管者對個資蒐集處理的目的與手段,並不一定要透過明文指引或指示的方式。歐盟資料保護法的範圍涵蓋手寫紀錄或筆記。

本案不適用歐盟資料保護法下宗教團體的除外規定

在本案中,該宗教團體主張傳教的行為是個人宗教行為,而且手寫紀錄應被認為是個人的,而不應適用歐盟資料保護法之相關規範。此外,該宗教團體亦主張,宗教行為應受到《歐洲聯盟基本權利憲章》(Charter of Fundamental Rights of the European Union)第 10 條宗教自由權之保護。

GDPR 第 IX 章中規定,會員國可以針對特定的資料蒐集處理行為提供除外(exemptions)或豁免(derogations)規定。例如對於員工資料、保密義務以及教堂或宗教團體(churches and religious associations)等等。

不過歐盟法院並不認為傳教行為屬於宗教團體除外範疇。宗教團體除外條款乃是適用在「組織內部成員間」的行為,這是因為彼此之間已經有一定的「關係」存在,例如,某個人已經是你教會成員,或者是你籃球隊中的志工,便不需要他們的同意即可在組織內部使用其基本個人資料。這些所謂組織內部成員可能包括了現任成員、先前成員以及常有接觸的人(regular contacts)。

至於本案的情形,歐盟法院認為,這種門口挨家挨戶的形式已經是負責傳教的成員對「組織外部人員」的行為了,故而不在除外範疇之內。也就是說,由於傳教人員在民眾門口傳教的行為,因為是蒐集處理「非宗教團體內部成員」的個人資料,並不屬於宗教團體內部間的資料蒐集與溝通行為,故不適用歐盟資料保護法的宗教團體除外條款。而在《歐洲聯盟基本權利憲章》的宗教自由部分,亦不包括這類行為,第 10 條宗教自由權應是限於純個人或是家庭行為。

傳教人員蒐集處理的個人資料是否屬於檔案系統(filing system)的一部分

由於歐盟資料保護法的規範客體主要限於「全部或部分以自動化方式蒐集、處理或利用的個人資料」的部分,而若是透過手動(manual),即非自動的方式(automatic means)蒐集處理個資,例如本案中的手寫紀錄,則必須「構成檔案系統一部分,或『為』構成檔案系統一部分而蒐集、處理或利用的個人資料」才會適用歐盟資料保護法。

在這部分歐盟法院認為,「檔案系統」的概念,涵蓋了宗教團體透過門口傳教所取得的個人資料,包括姓名、地址以及其他被接觸的人之資料,特別是若是這些資料蒐集的方式有依照特定模式蒐集,而使得之後實踐上要做處理利用容易使用的情形。因此,即使蒐集得來的個人資訊並非放置於常見的中央檔案系統(filing system),例如資料庫(databases)的形式,這仍然是歐盟資料保護法所涵蓋的範圍。

歐盟法院說明,檔案系統的概念下,不一定要有表單(data sheets)、特定清單或是搜尋方式。亦即,宗教團體在門口傳教的行為必須符合歐盟資料保護法的相關規範。

下次再碰到傳教人員,可以直接跟他們說,你問我信什麼宗教或是信仰屬於個人隱私,你再問下去可能會違反個資法喔!

(*註)這邊歐盟資料保護法(EU Data Protection Law)主要是指舊法《歐盟個人資料保護指令》(Data Protection Directive 95 / 46 / EC),由於本案發生時點 GDPR 尚未通過,故歐盟法院係適用舊法歐盟個人資料保護指令作出判決。然而, 2018 年 5 月後歐盟正式施行 GDPR 取代舊指令,在舊指令相關適用條文與 GDPR 相同概念的部分,歐盟法院針對舊指令的解釋亦採用與 GDPR 相同的概念。惟須注意的是歐盟資料保護法不只包括 GDPR ,尚有其他相關法律,例如「歐盟執法機關之個資保護指令」(Directive (EU) 2016 / 680,Data Protection Directive for Police and Criminal Justice Authorities)等等。

(本文經合作夥伴 資策會科法所 授權轉載,並同意 TechOrange 編寫導讀與修訂標題,原文標題為 〈連宗教團體都要遵守的 GDPR! 保護個資最佳利器!〉 首圖來源:Youtube。)

更多關於個資的文章

Google 社交平台大漏洞:超過 50 萬用戶個資外洩,發現後第一時間還刻意隱瞞

LINE Pay 一卡通爆漏洞:未加密網址暴露使用者個資,這樣的資安標準你接受嗎?

GDPR 成駭客勒索「神助攻」幫手:錢交出來,不然我就公開公司個資害你受罰


《TO》品牌活動「CONNECT」登場!

本周主打「Marketing Intelligance」專題,看企業如何激發數據無限錢力! 馬上報名 獲取最新深度報導。    

點關鍵字看更多相關文章: