【快訊】入場前量測體溫，構成個資處理行為嗎？ —比利時DPA發布防疫目的體溫量測指引
編譯：許 斌 博士／特約研究員
審閱：葉奇鑫 律師
王慕民 律師
全文約1100字，閱讀約需4分鐘
進入車站、賣場等公共場所前先量測體溫，已成為新冠肺炎疫情影響下民眾生活的「新常態」。有些人流量較大的場所為提升效率，使用體溫熱顯像儀等技術裝置，卻被曝有透視效果，引發民眾對於隱私的疑慮（註1）。縱使不採用透視方式，測量或記錄體溫是否構成個資處理行為？防疫與隱私保障如何平衡？比利時資料保護署（Data Protection Authority, DPA）日前發布為防疫目的量測體溫之指引（註2），協助釐清這些問題。
比利時DPA首先分析入場前量測體溫之行為是否構成個資處理，認為應視具體情形判斷。若使用體溫計人工測量，不以任何方式記錄測量結果，且不記錄組織對當事人的應對方式（例如是否允許當事人進入其場所），則不構成GDPR規範的個資處理行為。
相較之下，若採用體溫熱顯像儀等技術裝置測量體溫，或將測得結果、對當事人之應對方式等作成紀錄，則構成GDPR規範的個資處理行為，屬於對健康資料之處理，須符合GDPR第9條之規定。
比利時DPA進而檢視處理體溫資料的法律依據。依據GDPR第9條，非有該條第2項列明之例外情形，健康資料等特種個資原則上禁止處理。相關例外情形共計10種，其中包括：
1、資料主體已明確同意為一個或多個特定目的處理特種個資；
2、依歐盟或會員國法律，為重大公共利益目的而進行必要且符合比例原則之處理，但須符合資料保護權利之本質，且提供適於保障資料主體基本權利和自由之明確措施。
比利時DPA認為，當體溫測量作為一種防疫措施時，資料主體之「同意」幾乎不可能有效。原因在於，若體溫符合標準是進入場所之前提條件，當事人對於體溫量測無真正的反對權，因而無法自主（freely）給予同意。若組織（資料控管者）與當事人間為僱傭關係，由於僱主與受僱人之權利義務本就不平等，受僱人亦很難給予自主同意。
比利時DPA還指出，目前比利時法律並未授權組織進行系統性體溫量測。雖然僱主有義務確保工作場所之健康與安全，但此一義務過於廣泛，尚不足以作為防疫目的處理健康資料之法律依據。比利時DPA因此呼籲立法者盡快採取行動，填補當前之法律空白。
疫情大流行期間，防疫與隱私保障之平衡成為一道難題，各國之因應策略並不相同。對於體溫量測活動之適法性問題，法國「國家資訊自由委員會」（Commission Nationale de l'Informatique et des Libertés, CNIL）與英國資訊委員辦公室（Information Commissioner Office, ICO）針對工作場所體溫量測等防疫措施發布指引（註3），與比利時DPA之見解一致。
另一方面，受疫情影響較為嚴重的國家，則可能有不同立場。例如，西班牙資料保護局（Agencia Española de Protección de Datos, AEPD）認為特定條件下入場前測量體溫符合GDPR之要求（註4）。未來歐盟機構及其他會員國將對此問題如何反應，達文西個資暨高科技法律事務所將為大家持續關注。
______________________________
註1：相關報導請見：
https://www.cna.com.tw/news/firstnews/202005080266.aspx。
註2：比利時DPA指引原文請見：
註3：法國CNIL指引原文請見：
英國ICO指引原文請見：
註4：西班牙AEPD指引原文請見：
※歡迎註明出處後轉載。