「個人資料保護法第二十一條、第二十九條及第三十二條條文修正草案」，請審議案。

本院委員邱志偉等22人，鑒於近期個資外洩事件頻傳，2023年初迄今，陸續發生華航、iRent、格上租車與微風集團等民間企業個資外洩之爭議，外洩規模從華航的60筆到微風集團的90萬餘，情節之重，影響公眾隱私與財產安全甚鉅。為解決現行個資問題及補足法律規定之闕漏，爰擬具「個人資料保護法第二十一條、第二十九條及第三十二條條文修正草案」。是否有當？敬請公決。

一、國發會於2023年4月通過「個人資料保護法」（以下簡稱本法）修正草案，修正非公務機關行政罰則，明定非公務機關違反安全義務，將處新臺幣2萬元以上200萬元以下之罰鍰，並成立個人資料保護委員會，作為個資保護之獨立機關，裨補過去個資保護分散監管、權責不明之憾。然而，國發會修法雖明確化未採行個資保護安全措施之罰鍰，但實務上個資外洩事件發生時，業者多半推託其設有個資管理辦法，便提出無故意或過失之主張，受害者往往無從確知，安全措施是否為業者所落實。可見，歸責之癥結並不在有無安全措施，在於是否透過無過失責任之約制，敦促業者落實安全措施。此外，個資外洩一旦發生，受害者通常為社會中不特定多數人，本法施行至今，團體訴訟未見成功之案例，顯見團體訴訟提出門檻，有再商榷之虞；另對於跨國傳輸特種個資之規定，不甚嚴謹，無以彰顯特種個資對人格法益之重要性。
二、修正第二十一條，特種個資進行國際傳輸時，應與一般個資做差異化規定，為強化特種個資的保護，爰比照第十九條、第二十條規定，將特種個資（第六條第一項）排除，統一特種個資之處理原則。
三、修正第二十九條，針對個資管理人與受害者之間舉證責任的分配，有失公平，爰比照消費者保護法第七條第三項規定，個資管理人須負無過失責任。
四、修正第三十二條，本法施行至今，團體訴訟未有成功案例，可見條文設計，實務上窒礙難行，爰參考消費者保護法第四十九條規定，將准予提起訴訟之法人成立年數，下修為兩年，並參考行政訴訟法第三十五條，增列公益例外之規定。