作者：蕭永蔚，Wei Hsiao。現職為個人資料保護管理制度(PIMS)暨資訊安全管理系統(ISMS)企業管理顧問。興趣為研究音樂｜娛樂｜文創相關法律並寫成文章分享給產業小夥伴們。經營粉絲專頁「音律 MUSIC LAW」。

2021年5月15日，台灣新冠肺炎疫情升級三級警戒，5月19日行政院即舉行記者會推出「1922簡訊實聯制」，純就效率來說，值得為政府機關拍拍手。

「1922簡訊實聯制（以下稱簡訊實聯制）」的運作機制，是讓民眾使用智慧型手機掃描QR code後，直接開啟手機簡訊功能，並同時建置「進入場所代碼」的訊息內容，待發送至收訊號碼「1922」即可完成登記；若民眾使用的不是智慧型手機、沒有辦法掃描QR code，還是可以手動編寫簡訊，並傳送到號碼「1922」。

這樣的設計，是在民眾被確診新冠肺炎時，能夠以其手機號碼所發送的簡訊，向電信公司調取該確診者所經過的場所，藉此整理相關資訊，提醒民眾是否經過該等場所，或警告民眾應避免前往。

而在實聯制的使用過程中（註），可能會有什麼法律問題呢？

簡訊內容算是蒐集個資？實務見解分歧

依我國《個人資料保護法》規定，所謂個人資料就是「自然人之姓名、出生年月日、……社會活動及其他『得以直接或間接方式識別該個人之資料』。」而我們送出去的手機簡訊中，並沒有提到自己的姓名，僅有傳送手機號碼給電信業者，這樣個資算有洩漏嗎？

首先，關於「行動電話的號碼」算不算個人資料，我國法院曾經出現兩則意見歧異的判決。

否定手機號碼為個人資料的意見認為：手機號碼僅係10個阿拉伯數字所組成，無法直接或間接識別某一特定人，不具直接或間接識別性，充其量僅為「資料」，而非個人資料（參照臺灣臺北地方法院103年度訴字第212號判決、臺灣臺北地方法院104年度再微字第1號判決）。

肯定手機號碼為個人資料的意見認為：一般使用者為避免變更號碼後聯絡困難，通常不太會變更自己的手機號碼，又該號碼之持有人僅有一人，可將該號碼與持有人作出連結，也就能夠識別出特定個人（參照臺灣高等法院臺南分院105年上易字第393號判決）。

這可傷腦筋，連法院都出現意見不同，更不用說一般民眾了。筆者身為個人資料保護管理顧問，最常被客戶問的問題就是：「這到底是不是個資？」

實聯制簡訊應可識別個人，為個人資料

簡單說，從簡訊實聯制的簡訊內容來看，無論就其發送的「手機號碼」，或是由手機號碼所帶出的「位置資訊」來解讀，都具有辨識個資當事人的功能，應認定為個人資料。所以，蒐集、處理、利用那些簡訊內容的時候，就應符合個人資料保護法的規範。

另外在主要國家的做法上，歐盟規定的GDPR（General Data Protection Regulation，國家發展委員會譯：歐盟資料保護一般規則），即明確將「位置資訊」甚至是「IP位置資訊」都列為個人資料的範疇。

筆者觀察，目前我國個人資料保護法的修法方向可能將與GDPR趨於一致。也就是說，有高度可能會把「位置資訊」明確定義為個人資料。

實聯制簡訊可以拿去調查刑案或員工狀況嗎？

依照我國《個人資料保護法》規定，在蒐集個人資料以前應該要進行明確的告知，告知被蒐集個資的當事人：什麼個資會被蒐集、「蒐集之目的」，以及個資會被利用的期間、地區、對象及方式等；再者，依照同法規定，個人資料的蒐集、處理或利用應「不得逾越特定目的之必要範圍」。