“一位台湾教授说，人们往往急着享受科技带来的便利，而忽视它所带来的问题。个人资料①保护法就是落实资讯时代隐私权保护的最重要机制。”[1]
自 20 世纪 70年代第一部个人信息保护法诞生以来的近半个世纪，全球已有90多个国家（地区）制定了个人信息保护法。[2]
我国台湾地区早在 1995 年就制定了 《电脑处理个人资料保护法》（下文称“旧个资法”），随着信息化的发展，台湾法务部自 2001 年起积极进行修法， 由于争议问题颇多，直到 2010 年才正式通过了范围更为广泛的《个人资料保护法》（下文称“新个资法”）。而因为对部分条款的争议，该法直到 2012 年 10 月 1 日才施行，即便如此，目前施行的法律中仍保留了第 6 条敏感个人信息保护以及第 54 条修正该法前收集行为告知义务履行这两条争议条款尚未生效。总体上看，新个资法并没有改变旧个资法的内容框架和结构， 只是适应信息时代个人资料保护的普遍性需要，在个人资料内涵、规范对象的范围以及法律责任和救济方面进行了推进。[3]
台湾地区个人资料保护立法的进程以及内容模式的选择体现了信息时代个人信息保护的复杂情势。 由于文化同源， 介绍并评析台湾地区个人资料保护的立法保护价值、立法框架、内容设计等，会对我国大陆地区个人信息立法提供有益的借鉴。从旧个资法到新个资法，台湾地区个人资料立法保护的特点主要有如下几个方面。
1 不彻底的个人隐私权立法保护价值取向
隐私权是台湾民法 195 条所明订的特别人格权的一种， 并已从私法权利延伸为可积极请求公法保障的权利。[4]（P217;P700-702）台湾地区旧个资法在立法理由中说明：“电脑处理个人资料保护法之法理观念系源自隐私权之保护。 电脑处理个人资料保护法改变传统隐私权之消极性质 （即将传统隐私权仅限于保护私生活不许公开之消极性质转变为积极的控制自己资讯之隐私权）， 而保护之重心由事后之损害赔偿转向事先之防止，且保护之对象，系所有个人全部资料而非仅限于隐私部分。 ”[5]
新个资法沿袭了这一价值取向。 台湾个资法是通过保护个人资讯自决权来实现个人隐私权保护的，但由于台湾个资法中的资讯自决权范围狭窄，无法完整实现个人隐私权保护的价值目标。
资讯自决权的保护重点， 在于资讯主体在决策形成过程中参与与自主控制之可能性， 是一种外在行动的自由，因此只要该可能性未受到外在的压抑、限制与阻碍，当事人的资讯自主权便已受到保障。[6]（P174）其具体保护范围则可及于知的权利 （the right to know）及自我决定之权利（right to self-determination）。[7]（P252）台湾新个资法第 3 条明确了当事人的查询及请求阅览、请求制给复制本、请求补充或更正、请求停止收集、处理或利用及请求删除的权利， 且不得预先抛弃或以特约限制等权利，并在第 15-20 条中规定了当事人同意作为开启个人资料收集利用的程序性条件。 上述个人资料主体的知情权和参与决定权构成了资讯自决权的内容。
但是，通读台湾个资法第 15-20 条，①公务机关以及非公务机关收集利用个人资料， 除了个人书面同意这一条件外，还有很多平行规定的其他条件，比如“执行法定职务必要范围内”、“法律明文规定”、“为维护国家安全或增进公共利益”、“为免除当事人生命、 身体、自由或财产上之危险”、“为防止他人权益之重大危害”、“对当事人权益无损害”、“有利于当事人权益”、基于公共利益或学术研究而有必要者、契约关系等，这些条件与个人同意的并列存在， 实质上是对个人同意这一条件的否定。通常认为，“当事人同意最高性”对于资讯自决的实现具有关键意义， 上述台湾个资法的规定恰恰否定了这一点， 由此难免招致对于个人资讯自决权保护不充分的批评。[8]（P152）个人资讯自决权的实现固然需要与公共利益、他人利益等进行平衡，但是，如果限制过多，资讯自决权容易沦为空置。
资讯自决权是从信息主体角度进行的权利设定，但是因为个人信息通常会在脱离信息主体的掌控下被处理，所以，个人隐私权价值目标的实现还取决于信息处理主体的义务履行。为实现隐私权保护目标，通常立法时会设定特定目的利用原则， 即在收集个人数据信息资料时，目的应该是特定的，在收集后利用时也不得与最初收集的目的相抵触， 目的变更时也受特定原则限制。[9]（P54）目的特定原则的规定，使得义务主体不侵犯的个人资料权利不限于个人资讯自决权， 而扩展为包括更宽泛的资讯隐私权。 资讯隐私权虽然也是以个人资讯之保护为其权利之外显样态，但关切的是特定个人资讯与个人之人格（personhood）或主体性（subjectivity）之间的紧密关联性， 尤其是在当事人无法自行保有并控制资讯时，有能力或有责任管理资讯之人，应确保资讯在收集、储存、处理、使用、传输等过程中，受到完善的管理，不会发生毁损、灭失、外泄、或遭窃取等导致个人人格图像暴露之情况， 以保护个人内在人格形成之弹性空间。[10]（P28-29）但是，反观台湾个资法第 15-20 条并列列举的个人资料收集利用条件， 显然突破了收集的特定目的性， 这使得台湾个资法仅保护狭窄的个人资讯自决权的局限非常明显。
台湾学者认为， 资讯自决权是由一般人格权的自我决定权衍生而来，[11]（P208）资讯自决权的实现依靠的是信息主体对个人信息的掌控，而个人隐私权的实现更重要的则在于信息主体与个人资讯分离时的人格权保障。
世界范围看，注重主体性的资讯自决权保护是早期个人资料立法保护的目标，但是随着信息化的发展，尤其是在大数据时代，多数情况下个人资料的处理是在本人不能参与或不知情的情况下进行，这就要求个资法的立法价值必须向更宽泛的一般隐私权保护倾斜，否则无法实现人格权保护的价值目标。 对个人参与与决定权的承认是对资讯自决权的保护，而适应信息化社会的发展，特定目的以及限制利用等义务的设定则是保护个人隐私权不受侵犯的要求。 因此，台湾地区个资法的价值目标偏向应该向一般隐私权保护转移，台湾学者也因此直接针对个资法的具体规定提出批评。[10]（P41-41）目前在我国大陆地区， 由于隐私权的法律保护尚不明确， 关于个人信息的法律属性尚存在于学理讨论中。 大陆学者有四种较为典型的主张，即“所有权客体说”、“隐私权客体说”、“人格权客体说”和“基本人权客体说”.[12]
这四种主张主要是个人信息民法保护和基本法保护位阶之争，以及个人信息的财产权、[13]（P70）人格权、[14]隐私权[15]（P32）属性之争。 从上述台湾的立法经验看，从基本人权的高度保护个人隐私权，也即，无论公权力还是私人权利行使都不能侵犯个人隐私权， 是信息社会个人资料（信息）立法保护的基本价值取向，尤其是在主体已经很难直接掌控个人信息的大数据时代，在主体不知情情况下，仅用资讯自决权来对抗信息收集、处理行为显然已不足够，必须保护更宽泛的个人隐私权才能实现。
2 追求完整的保护对象设定
个人资料保护法的保护对象自然是个人资料，但是面对信息化的发展， 个人资料却是一个很难界定的概念。台湾旧个资法确立了保护电脑处理的个人资料，后经新法修改，突破电脑处理的限制，着眼于社会中广泛存在的个人资料，并力图明确完整的保护对象。具体规定有两个方面：一是个人资料含义的界定；二是个人资料范围的划定。
台湾个资法对个人资料含义的界定采用的是列举加概括的方式。旧个资法第 3 条规定，个人资料是指自然人之姓名、出生年月日、身份证统一编号、特征、指纹、婚姻、家庭、教育、职业、健康、病历、财务情况、社会活动及其他足资识别该个人之资料。 新个资法承继了这种界定方式，但在列举的个人资料中增列了“护照号码、医疗、基因、性生活、健康检查、犯罪前科、联络方式”等内容，而“足资识别该个人”的概括性规定被修改为“得以直接或间接方式识别该个人之资料”.修改后，列举内容的增加以及更为明确的 “直接或间接方式识别该个人” 的表述比原规定更为清楚明确界定了个人资料的范围和内容，尤其是用“识别性”作为个人资料概括界定的标准， 是目前世界范围内个人信息立法保护普遍采用的标准。 由于从 1995 年到 2010 年整个世界信息化的飞速发展， 台湾个资法试图尽量全面列举所有的个人信息， 但是列举的缺点是不能穷尽所有的项目，列举哪些、不列举哪些似有轻重怠慢之嫌，比如没有列入“指纹”信息就成为台湾新个资法遭受批评的地方。[3]（P3）所以，列举项目如何选择还值得讨论。 如果从法律适用的角度考察， 采用列举加概括规定的方式界定保护对象， 列举和概括规定的关系如何把握也是一个问题，一般列举事项是明确的保护对象，其他事项需要通过概括规定进行证明，如何证明？概括规定与已列举事项的关系如何协调？ 都会在法律实践中呈现出来。 虽然存在这样的问题，但是不难看出，台湾个资法对保护对象的界定力图完整概括、不无遗漏。
台湾个资法除了定义个人资料外， 还通过个人资料范围的划定，列出了对敏感个人信息的特别保护。台湾旧个资法并无“一般资料”与“特殊资料”之分。 但是与人格权保护目标相一致， 确有部分个人资料性质较为特殊或具有敏感性，比之一般的个人资料的收集、处理和利用更容易伤害当事人人格尊严或对当事人造成难以弥补之损害。 台湾新个资法专门规定了对敏感个人信息的保护，确立了敏感个人信息特殊保护原则。新个资法第 6 条规定，“医疗、基因、性生活、健康检查及犯罪前科”五类个人资料为特种资料，对于特种资料之收集、处理或利用应较一般资料更为严格，除符合“法律明文规定”、“公务机关执行法定职务或非公务机关履行法定义务所必要，且有适当安全维护措施”、“当事人自行公开或其他已合法公开之个人资料”、“公务机关或学术研究机构基于医疗、卫生或犯罪预防之目的，为统计或学术研究而有必要，且经一定程序所为收集、处理或利用之个人资料”所列要件之一外，不得收集、处理或利用，以加强保护个人之隐私权益。特种个人资料的保护应是考虑此种资讯易造成基本权或隐私侵害的敏感性，[6]（P183-184）[8]（P152）而采取的相对严格的规范，原则上不得收集、处理、使用，必须在符合法定要件情况下才能处理。
台湾个资法对于敏感个人资料的保护显然是借鉴欧盟个人数据保护立法的结果。1995 年欧洲议会和欧盟制定通过 《关于涉及个人数据处理的个人保护以及此类数据自由流动的指令》 第 8 条规定的特种数据为“成员国应当禁止泄露种族背景、政治观点、宗教或哲学信仰、 工会成员资格以及有关健康或性生活的个人数据处理。 ”对比来看，台湾个资法认可的特种个人资料主要是医疗、个人生理特征以及犯罪记录资料，并没有涉及欧盟指令中提到的种族、 政治以及信仰方面的个人资料。 这一差异显然代表了不同文化中的隐私需求，台湾的中华文化传统认知更值得大陆立法借鉴。敏感个人信息保护的主要目的是实现个人隐私利益，个人隐私保护注重的是个人自决权的行使， 欧盟法制对于敏感个人信息的保护主要采取的是个人同意并从个人隐私保护的实质需要出发， 各成员国可以排除个人同意设定敏感个人信息的明确保护范围。[10]（P42）而台湾对于敏感个人资料的保护原则是法律特别规定， 即符合法律规定的条件下不必考虑当事人意见即可收集、利用该种个人资料，如此，法定的敏感个人资料利用规定到底对于实现个人隐私保护有多大作用？ 法定利用的条件选择的标准到底是什么？都是值得讨论的问题。
由于敏感个人信息的范围设定以及保护原则存在争议很大，2012 年台湾地区新个资法生效时， 保护敏感个人信息的第 6 条并没有生效。
