诈骗无所不在 如何保障传销商及消费者个资安全

 

使用电子商务平台有助于扩大业者的销售额，并及时调整以满足市场需求。因此，建立良好的电子商务平台使用体验，对提升业者的市场竞争力至关重要，而业者也应该加强相关保护措施，以保障消费者和传销商的个人资料安全。

 

随著智慧手机和网路的进步，直销产业的销售策略也跟著转型，越来越多地利用网路科技拓展销售通路。其中，使用电子商务平台进行产品销售，已成为普遍的方式。透过业者所设计的网站或手机应用程式，直销商和消费者可以在任何时间和地点浏览所需商品，并快速获取相关资讯。

 

购物的整个过程省去了时间和成本，让人们感到更加便利和轻松。此外，业者还可以利用网站记录消费者的偏好，并根据市场反应进行调整。使用电子商务平台有助于扩大业者的销售额，并及时调整以满足市场需求。因此，建立良好的电子商务平台使用体验，对提升业者的市场竞争力至关重要。

 

以电子商务平台为核心

然而，使用电子商务平台也存在著资讯安全和个人资料外泄的风险。此商业模式的运作需要收集消费者和传销商的个人资料，如姓名、地址、电话、电子邮件地址等。如果这些资料外泄，将对传销商和消费者的隐私带来严重威胁，并可能损害业者的信誉和利益。因此，业者应该加强相关保护措施，保障消费者和传销商的个人资料安全，以避免外泄事件的发生。

 

通常电子商务平台系由前台网站系统、ERP或后台管理系统以及金流服务系统等介接架构，传销商与消费者的个人资料便是在这些架构中透过前台网站系统搜集，透过后台管理系统及金流服务系统处理及利用。此种与消费行为高度相关的个人资料，常被不法人士用作电话诈骗等用途[1]。

 

通常直销业者会将系统建置与维护委托给系统商即资讯服务业者进行，或甚至自行维运。若资安能力不足或个人资料管理不当，则将有高度可能发生个人资料外泄事件，对此政府研拟若干专案，强调个人资料保护系业者及政府责无旁贷的任务。

 

有关个人资料保护规范，直销业者应注意「个人资料保护法」、「个人资料保护法施行细则」，以及「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」等有关于个人资料保护适当安全措施之相关规范。以下分别就「直销业者自行维运电子商务平台」及「直销业者委托资讯服务业者维运电子商务平台」之案型，分别简述各自在个人资料保护规范下之义务，以及实际执行之可能作法。

 

直销业者自行建置、维运电子商务平台

如电子商务平台系由直销业者所自行建置及维运，除依个人资料保护法第27条应采行适当安全措施，相关资讯安全措施，包括规划阶段之「配置管理之人员及相当资源[2]」、「界定个人资料之范围[3]」、「个人资料之风险评估及管理机制[4]」、「事故之预防、通报及应变机制[5]」，以及实际执行时之「个人资料搜集、处理及利用之内部管理程序[6]」、「资料安全管理[7]及人员管理[8]」、「认知宣导及教育训练」、「设备安全管理[9]」、「资料安全稽核机制[10]」、「使用记录、轨迹资料及证据保存」、「个人资料安全维护之整体持续改善」等安全维护措施。

 

直销业者亦应注意「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」有关电子商务服务[11]系统之资讯安全措施之特别规定，该规定于2022年3月份新增相关之资讯安全措施，包含「使用者身分确认及保护机制」、「个人资料显示之隐码机制」、「网际网路传输之安全加密机制」、「个人资料档案及资料库之存取控制与保护监控措施」、「防止外部网路入侵对策」、「非法或异常使用行为之监控与因应机制」等，如有违反者，其将面临新台币2万元至20万以下罚锾之行政责任[12]。

 

针对上述适切的安全维护措施，建议业者可以「文件化记录」方式，记录各该措施之规划与执行情形，若不幸发生资安事件，可借由留存之文件，快速找到资安漏洞或事件成因，做为责任厘清及个人资料维护计划之改善参考。

 

直销业者委托资讯服务业者维运电子商务平台

依个人资料保护法第4条规定，若受公务机关或非公务机关委托搜集、处理或利用个人资料者，于本法适用范围内，视同委托机关。易言之，当直销业者委托资讯服务业者建置、维护系统时，若有涉及个人资料的搜集、处理及利用，该资讯服务业者如有违法，则其于个人资料保护法之适用上，视同直销业者，也就是说直销业者可能因为由于资讯服务业者所致的个资外泄事件负担法律责任[13]。因此，依照个人资料保护法施行细则第8条第一项，委托他人搜集、处理或利用个人资料时，委托机关应对受托者为适当之监督。

 

从上述见解可以知悉，虽然系统系委由第三人营运，但是直销业者仍需负担个人资料保护法之责任，因此该电子商务平台应同时符合个人资料保护法及「多层次传销业订定个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」之规范，不会因为委托第三人搜集、处理及利用个人资料即可免除相关责任。

 

现行实务常见的方式是借由契约约定责任分摊或约定以定期或不定期稽核之方式，要求受托维运电子商务平台之系统商应确保其所提供之系统符合上述个人资料保护规范之要求。

 

综上所述，对于透过电子商务平台增加销售额之直销业者，无论系自行建置或委托系统业者代为管理电子商务平台，都应遵守「个人资料保护法」、「个人资料保护法施行细则」，以及「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」等规范，并建立适切之安全措施，避免个人资料被窃取、窜改、毁损、灭失或泄漏，不会因为将相关个人资料搜集、处理及利用事宜委托他人而可免除相关责任。

 

电子商务平台之兴起，除了感叹日益科技的进步所带来的便利，吾人亦应对日新月异之骇客行动与资讯安全攻击事件有所警惕。建议业者应对相关资讯安全之风险有所管控，透过计划（Plan）、执行（Do）、查核（Check）、行动（Act）即「PDCA循环式管理」之方式，规划、执行及改善个人资料保护计划，是直销业者以电子商务平台作为销售管道之重大课题。

 

[1] 常见手法是诈骗集团成员利用退款问题或订单异常等问题，向消费者确认消费行为细节以降低消费者戒心，进而导引消费者汇款至其指定帐户，导致消费者陷入错误而导致财损。

[2] 建议可由专人管理个人资料之搜集、处理及利用事宜，该职位并具有相关资源并能影响个人资料保护政策之权责。

[3] 清楚界定该电子商务平台于营运中所涉及之个人资料，可能包含传销商、消费者之姓名、地址、电话以及其他消费资讯等。

[4] 基于个人资料界定之结果，就个人资料被窃取、窜改、毁损、灭失或泄漏之风险进行评估。

[5] 包含「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」第3条第二项「多层次传销事业应于发现个人资料外泄后72小时内填列个人资料侵害事故通报与纪录表通报公平会及以适当方式通知当事人。」之通报义务。

[6] 例如检视搜集、处理个人资料之特定目的，及是否符合免告知之事由，以符合个资法第八条及第九条关于告知义务之规定；利用个人资料为行销时，倘当事人表示拒绝行销后，立即停止利用其个人资料行销，并周知所属人员；于首次行销时，提供当事人免费表示拒绝接受行销之方式。详细请参照「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」第4条。

[7] 包括运用电脑或自动化机器相关设备搜集、处理或利用个人资料时，订定使用可携式设备或储存媒介物之规范、适当加密机制、个人资料媒介物（载体）之管理，详细请参照「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」第6条。

[8] 例如检视各相关业务流程涉及搜集、处理及利用个人资料之负责人员，详细请参照「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」第7条。

[9] 例如保有个人资料存在于纸本、磁碟、磁带、光碟片、微缩片、积体电路晶片、电脑或自动化机器设备等媒介物之环境，依据作业内容之不同，实施适宜之进出管制方式，详细请参照「多层次传销业订立个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法」第8条。

[10] 可分为内部稽核与聘雇第三方稽核业者进行个人资料保护计划之实施情形。

[11] 系指透过网际网路进行有关商品或服务之广告、行销、供应及订购等各项商业交易活动。

[12] 业者仍可能因为具体情形而有刑事、民事责任。

[13] 相同见解可参法务部法律字第 10403513240 号函释：「公务机关委托私人公司搜集、处理或利用高速公路电子收费系统行车纪录资料，于个人资料保护法适用范围，该公司行为视同公务机关，公司于委托关系消灭后应将交还资料库，并将持有资料删除，若该公司于处理该资料违反个人资料保护法，应由公务机关负国家赔偿责任；另车辆通过读取设备而取得之资讯，若有连结生存自然人可能，仍有个人资料保护法适用。」