個人資料保護法 - 常見問答
個人資料保護法宣導之常見問題
資料來源：教育部提升校園資訊安全服務計畫(101至102年)、NII產業發展協進會
個資法施行後，學校張貼榮譽榜，一律需隱匿學生姓名？
學校為達成教育或訓練行政目的，於其必要範圍內所為獎勵學生行為，如張貼榮譽榜揭示姓名，符合個資法第16條、第20條利用規定，無需過度遮掩姓名，否則有違個資法第1條規定所稱「促進個人資料之合理利用」意旨。
私立學校於實施教育之範圍內，為個人資料保護法所稱公務機關或非公務機關？
個資法所定之公務機關，係指依法行使公權力之中央或地方機關或行政法人。因此，公立學校如係各級政府依法令設置實施教育之機構，而具有機關之地位，應屬個資法之公務機關。至於私立學校，雖然由法律在特定範圍內授與行使公權力，惟私立學校在適用個資法時，為避免其割裂適用個資法，並使其有一致性規範，私立學校應屬個資法所稱之非公務機關。
(摘自「法務部102年6月24日法律字第10200571790號書函」-本函全文可於本部全球資訊網點選「法務部主管法規查詢系統」查詢）
若當事人尚未成年，請問個人資料蒐集需要取得當事人或監護人同意嗎？
- 民法規定，滿20歲為成年。未成年人包括：
- 未滿七歲，無行為能力人：應由法定代理人代表意思代表，並帶受意思表示。 滿七歲以上，為限制行為能力人，其為意思表示及受意思表示，原則上應得法定代理人之 允許。
- 依民法規定，未成年人為書面同意，應由法定代理人代為書面同意，或得到法定代理人之允許。
- 雖有上述限制，但民法規定，已經結婚之未成年人，有行為能力。 換言之，已經結婚只未成年人，可以自行為書面同意，並無法定代理人代為書面同意或允 許之問題。
學生找工作時，公司會要求學校提供該學生在學成績等資料，學校是否可以提供？
學校無從判斷學生是否有到某公司謀職，應由學生向學校提出申請，並由學生或學校直接提供給公司。
學生入學新生訓練時，是否是恰當時機，讓學生知道學校可能利用其資料的狀況，並在新生訓練或註冊時，取得同意的「授權」？
- 除非學校使用個人資料有可能超過教育行政之特定目的，不然是不需要學生額外授權。
- 不過因為新法增加了"告知"義務，在學生入學時就要立刻履行告知義務，詳述學校使用個人資料之範圍用途等等，如果學校或做超過特定目的之利用,就應該及早告知學生並取得"書面同意"。
學生入學後，學校可以如何使用其資料？例如：學校相關活動（含社團等）是否可以透過信件寄發給所有學生？ 誰有資格寄發或使用？
- 學校、社團辦活動可透過信件寄發通知給學生。
- 學校辦活動之單位及社團都可以寄並使用學生的個人資料，此符合學校教育以及成立社團之特定目的，但若學校所辦活動其實是廠商的行銷活動，則有爭議。
- 學校不可以把學生的資料給合辦活動的廠商使用，這部份請學校評估學校使用學生個人資料之用途與目的，是否符合學校教育興學之目的。
若當事人自行公開其特種個人資料，是否可以蒐集與傳播？
已公開的特種資料雖然可以蒐集，但是蒐集及利用仍須依個資法織特定目的範圍，也不能任意傳播。
在公告欄公告曠課學生名單（學生姓名、學號）有違反個資嗎？
有關獎懲之作法，應符合學校辦理教育行政之目的，公佈應不違反個人資料保護法。
學校為了保護學生，收集學生病史、健康、身份（低收入戶）資料等，有涉及特種個資嗎？
有關病史、健康檢查部分，要看教育部的法規有沒有允許。
低收入戶並非特種個資。
網頁上的學生家長區，家長可以查詢學生之個人曠課、操行嗎？
- 學校將學生的缺曠課資料及操行成績提供家長查詢，似為學校執行法定職務必要範圍，且與蒐集之特定目的（教育行政）相符。
- 惟大學生瞭解自己的缺曠課資料及操行成績，依其 年齡及身份，應為其日常生活必需，且滿20歲之大學生已為成年人，不論其為意思表示或 受意思表示，均無須法定代理人（家長）之允許，因此大專院校是否有必要將學生缺曠課 資料及操行成績提供給家長查詢，使能達到教育行政指目的？恐有疑義，
- 建議教育部應與法務部會同對此作出統一解釋，以便學校之所遵循，避免學生質疑。
學務處提供家長查詢學生考試成績或學習紀錄，使用方式是以「學生的身分證字號」登入為查詢依據，請問學務處可以提供家長查詢嗎？若可以，可以提供到什麼程度？另外針對己成年的學生或未成年的學生是否有不一樣的處理方式。
應區分成年和未成年，成年學生的家長應無法查詢，除非有學 生授權。未成年的家長是學生的法定代理人，應該都能看才對。
導師是否可以知道班上同學的學習狀況，導師可以知道同學修課成績嗎？
如果導師取得學生的修課成績，是為了瞭解學生的學習狀況， 此為執行法定職務必要範圍（公立學校）或因學校與學生間之契約關係（私立學校），為了特定目的（教育或訓練行政）所為，符合個資法的規定。
教師公告學生成績於公佈欄，是否合法？
對於學生的獎懲、成績等公告，在解釋上由於可能是為了獎勵、鼓勵、警惕等教學及管理上的理由，應該都可以認為屬於「學生資料管理」的目的內利用，因此只要確認利用的方式符合比例原則，例如，對於成績的公告是否僅需出現學號與成績即已足夠，而不需要公告全部姓名，以合於特定目的且適於比例性的方式公告學生個資，即屬個資法上合法的利用行為。
系所或系科主任希望知道各老師教學狀況，以做為老師的教學評量、教學評鑑使或其它考核用途，請問相關單位該如何因應、處理？
依個資法第15條及第19條規定，公務機關或非公務機關對個人資料之蒐集或處理，應有特定目的，並符合該法條所列之情形（例如公務機關執行法定職務必要範圍內，非公務機關與當事人有契約或類似契約之關係），同法第16條及第20條規定，公務機關對個人資料之利用，應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符；非公務機關對個人資料之利用，應於蒐集之特定目的必要範圍內為之。課務組提供老師教學狀況給系所或系科主任，作為教學評量、評鑑或其他考核用途，屬於學校處理及利用老師個人資料的行為，應屬特定目的（教育或訓練行政）之必要範圍，符合個資法規定，因此是可以提供的。
畢業生紀念冊上的學生相關資料應該屬於個人資料？至於圖書館陳列的歷屆畢業紀念冊是否應該管理？
- 紀念冊上的學生資料是個人資料。
- 過去紀念冊的蒐集與公開並非違法行為，但是因為現在有販賣個人資料或是詐騙個人資料之行為，所以學校應改變個人資料之保管方式並加以控管，例如限制可以閱覽紀念冊的人員。
學校目前的畢業學生資料，如何是屬於合法使用？是否可以寄發活動通知？或者應該在學生畢業前，先取得畢業學生的同意授權？至於過去幾時年的畢業生資料如何使用與管理才能符合新的個人資料保護法的蒐集、利用之範圍？
- 學校使用校友的資料應該還是必須符合"教育行政"的特定目的，如果超過這個目的還是不能使用，可能需要在畢業前取得學生授權。
- 一般人並不會反對辦校友活動會超過特定目的，這個部分學校應該與教育部以及法務部溝通確保學校能繼續使用校友資料，學校還是應該要建立控管機制，避免校友資料外洩。料之行為，所以學校應改變個人資料之保管方式並加以控管，例如限制可以閱覽紀念冊的人員。
老師在幫學生寫介紹信前，會要求學校職員提供該學生多年的相關資料（個人資料與成績），該如何處理？職員提供該資料前，是否應取得學生之同意？
- 老師幫學生寫介紹信在美國教育體系下是老師的義務，若在 臺灣，幫學生寫介紹信已經成為教授或老師天經地義的工作， 則學校應該要提供給教授相關資料而無須取得學生同意。
- 重點在於，證明教授或老師是為了寫介紹信而不是為了其他目要求學校提供學生資料。
- 學校可考量要求教授或老師出示學生的申請書，或者是教授或老師要求學生自己向學校申請資料並由學校直接交給教授等，不同的做法。
學生借書紀錄，是否涵蓋在個資範圍內？老師擔心學生最近是否因閱讀某一些讀物而行為有一些偏差，所以向圖書館調閱學生的借書紀錄，請問圖書館是否可以提供？
- 學生借書紀錄包括學生姓名、社會活動或其他得以識別學生之資料，構成學生個資。
- 圖書館保存借書紀錄的目的是為了「圖書館管管理」之特定目的，而非為了讓老師檢查學生行為偏差是否與閱讀某些讀物有關之目的。
- 如有證據可合理懷疑某學生偏差行為與閱讀有相當關聯，老師為了進一步確認向圖書館調閱學生借書紀錄，固然可認為是學校內部「教育或訓練行政」目的，但仍應於該目的之必要範圍內為之，且應尊重當事人之權益。若老師在無任何證據情況下調取學生借書紀錄，恐被認為逾越「教育或訓練行政」目的之必要範圍，因而違反個資法的規定。
- 因此，「圖書館」是否可以將學生借書紀錄提供給老師，應視具體個案中老師可否提供合理之說明及證據來作決定。
學生成績預警制度，若有扣8分或扣16分的情形，是否可以寄給家長知道？
- 學校將學生預警制度扣分情形告知家長，似為學校執行法定職務必要範圍，且與蒐集之特定目的（教育或訓練行政）相符。
- 大學生收受成績預警制度之資料，依其年齡及身分，應為其日常生活所必需，且滿20歲之大學生已為成年人，不論其為意思表示或受意思表示，均無須法定代理人（家長）之允許，因此大專院校是否必要告知學生本人之成績預警資料，另行提供學生家長，始能達到教育或訓練行政之目的，恐有疑義。
系所或系科主任希望知道各老師教學狀況，以作為老師的教學評量、教學評鑑使或其它考核用途，請問課務組該如何因應處理？
教務處提供老師教學狀況給系所或系科主任，作為教學評量、評鑑或其他考核用途，屬於學校處理及利用老師個人資料的行為，應屬特定目的（教育或訓練行政）之必要範圍，符合個資法規定，因此是可以提供的。
「就業輔導處」針對學生畢業後，使用學生相關個人資料，是否邀簽署同意書？是否有時效問題（例如：5年或7年）？若資料須放更久，如何處理？
如學校已經在簽署同意書上說明特定目的與理由，則學校於符合特定目的之情況下，得於學生畢業後繼續使用學生之個人資料，不會受到期間的限制。
學校的推廣中心是否可以利用報名學校的甄/筆試的考生資料，寄給落榜生推廣學分班招生資料？
學校蒐集考生個人資料之特定目的為學生資料管理，而非行銷推廣中心之課程。推廣中心將招生資料寄給落榜生，構成利用考生個人資料之行為，逾越學生資料管理之特定目的，除非取得考生之書面同意，否則不得為之。