| 第一條 為規範兒童網路個人資料之蒐集、處理及利用，以保護兒童網路個人資料安全、促進兒童身心健全發展，並使其不受有害資訊之侵害，特制定本法。
兒童網路個人資料之保護應依本法規定，本法未規定者，適用其他法律之規定。 |
一、明定本法之定位與立法目的。
二、有鑑於兒童墜入網路不良資訊陷阱，衍生沉迷網路、網路戀情（網聚/網愛）、誘拐詐騙、性侵害、戀童癖等嚴重社會問題，實有必要立法保護兒童網路個人資料之蒐集、處理及利用，以保護其網路個人資料安全、促進兒童身心健全發展，並使其不受有害資訊之侵害。
三、本法性質上為個人資料保護法之特別規定，兒童網路個人資料之保護原則上應依本法之規定處理，但本法所未規定者，仍適用個人資料保護法等其他法律之規定，始為妥適。 |
| 第二條 本法用詞，定義如下：
一、兒童：指未滿十二歲之人。
二、兒童網路個人資料：指透過網際網路蒐集、處理及利用兒童個人資料，包括網路帳號、電子郵件、兒童之法定代理人個人資料，以及其他得經由網際網路以直接或間接方式識別該兒童之個人資料。
三、網路經營者：指任何在網際網路以商業目的經營網址或其他網路服務，或透過該網址或網路服務銷售產品或服務者。
四、揭露：指網路經營者以可辨識之形式發佈任何兒童個人資料，或透過網際網路或針對兒童之網路服務蒐集任何兒童個人資料，或確知該資料來自兒童，而將該個人資料以可辨識之形式透過公開發佈之方式，以網際網路、網站主頁、交友服務、電子郵件服務、留言版及聊天室等形式，使公眾得獲取該等資訊。但該等資料是為提供予特定人，或僅透過網路經營者之網址內部操作使用者，不在此限。 |
一、參考兒童及少年福利與權益保障法、少年事件處理法、兒童及少年性交易防制法等規定，明定本法所指兒童應係未滿十二歲之人。
二、網際網路無遠弗屆，打破傳統壁壘分明之電信、廣播、電視界線，而網路服務提供者概念上區分為網路連線服務提供者（Internet
Access Provider, IAP）、網路平台服務提供者（Internet
Platform Provider, IPP）、網路內容提供者（Internet
Content Provider,
ICP）。從而，為有效規範上開情形，爰就本法所用名詞定義規範如左，以減少本法適用時所可能衍生之疑義。 |
| 第三條 網路經營者向兒童之法定代理人蒐集兒童網路個人資料前，應以符合當代科技之合理方式告知，並確保兒童之法定代理人知悉並應於電腦網站公開下列事項：
一、網路經營者名稱、聯絡地址、電話號碼及電子郵件。
二、蒐集之目的。
三、兒童網路個人資料之類別。
四、兒童網路個人資料利用及揭露之期間、網址、對象及方式。
五、法定代理人依個人資料保護法第三條規定得行使之權利及方式。
六、法定代理人得自由選擇提供兒童網路個人資料時，不提供將對其權益之影響。
前項之告知事項如有變更時，網路經營者應再為告知。
前二項之告知除法律規定得免告知者外，不得免除。 |
一、按個人資料保護法第八條第一項雖已針對向當事人蒐集個人資料時，所影明確告知之事項。惟查，網際網路無遠弗屆，打破傳統壁壘分明之電信、廣播、電視界線，因此個人資料於網路揭露時之影響，亦非一般公示方法可以比擬，其告知自應以符合當代科技之合理方式，確保兒童之法定代理人知悉並應於電腦網站公開告知事項。
二、其次，考量兒童網路個人資料涉及兒童個人資料安全之保護、促進兒童身心健全發展，並使其不受有害資訊之侵害等目的，告知事項如有變更時，網路經營者應再為告知，且有關第八條第二項免為告知之情形自不宜與一般個人資料相同，而應限於依法律規定得免為告知之情形，俾使兒童之法定代理人能確實知悉蒐集兒童個人資料前所應受告知之事項，以落實前揭立法目的。
三、綜此，爰參考美國政府於一九九八年制定兒童網路隱私保護法（Children's
Online Privacy Protection Act of 1998，簡稱COPPA）之規範，訂定本法第三條規定如左。 |
| 第四條 兒童網路個人資料之蒐集、處理及利用，僅限於該受書面同意之網路經營者始得為之，該網路經營者不得以任何方式將兒童網路個人資料揭露予第三者。但依前條規定告知並經法定代理人書面同意或法律另有規定者，不在此限。
法定代理人於同意兒童網路個人資料得揭露予第三者後，得隨時對網路經營者或第三者行使個人資料保護法第三條之權利，其行使權利之方式網路經營者應公開於電腦網站，或以其他適當方式使法定代理人知悉。 |
一、參諸個人資料保護法第七條等相關規定，所謂個人資料蒐集、處理及利用之書面同意，係指當事人經蒐集者告知法定應告知事項後，所為允許之書面意思表示。從而，為保護兒童網路個人資料安全、促進兒童身心健全發展，並使其不受有害資訊之侵害，解釋上得依書面同意蒐集、處理及利用個人資料者，應僅以該書面同意之相對人為限。為此，爰明定就兒童網路個人資料之蒐集、處理及利用，除非已依前條規定告知並經法定代理人書面同意或法律另有規定者外，僅限於該受書面同意之網路經營者始得為之，該網路經營者不得以任何方式將兒童網路個人資料揭露予第三者。
二、按個人資料保護法第三條雖明定：「當事人就其個人資料依本法規定行使之下列權利，不得預先拋棄或以特約限制之：一、查詢或請求閱覽。二、請求製給複製本。三、請求補充或更正。四、請求停止蒐集、處理或利用。五、請求刪除。」。惟為避免兒童網路個人資料於揭露予第三人後，法定代理人對該第三人行使個人資料保護法第三條所明定之權利有所窒礙，爰明定縱使法定代理人曾同意兒童網路個人資料得揭露予第三者，仍得隨時對「網路經營者」或「第三者」行使個人資料保護法第三條之權利，其行使權利之方式網路經營者應公開於電腦網站，或以其他適當方式使法定代理人知悉。 |
| 第五條 網路經營者於未依第三條規定為告知，並依個人資料保護法規定經法定代理人書面同意前，不得向兒童或其法定代理人為兒童網路個人資料之蒐集、處理及利用。但兒童網路個人資料係一次性直接用於回應兒童或其法定代理人之具體要求，且網路經營者未以可恢復之形式保存者，不在此限。 |
一、明文禁止網路經營者於未依本法第三條規定為告知，並依個人資料保護法規定經法定代理人書面同意前，不得向兒童或其法定代理人為兒童網路個人資料之蒐集、處理及利用。
二、為兼顧網路經營者於經營時所必要之資訊取得權，爰明定兒童網路個人資料如係一次性直接用於回應兒童或其法定代理人之具體要求，且網路經營者未以可恢復之形式保存者，得例外准許網路經營者於未依本法第三條規定為告知，並依個人資料保護法規定經法定代理人書面同意前，向兒童或其法定代理人為兒童網路個人資料之蒐集、處理及利用。 |
| 第六條 網路經營者不得以讓參加遊戲、有獎徵答或其他任何形式之活動為條件，要求兒童之法定代理人同意提供超過實際特定目的之兒童個人網路個人資料。 |
一、按個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯，個人資料保護法第五條定有明文。從而，兒童網路個人資料之蒐集、處理或利用，亦當遵循本條規定，始符法制。
二、準此，為有效落實本法之立法目的，爰明文禁止網路經營者假舉辦線上遊戲、活動之名義，藉機誘使法定代理人同意提供超過實際特定目的之兒童個人網路個人資料。 |
| 第七條 網路經營者應主動採取合理之保護程序，以確保兒童網路個人資料之隱密性、安全性與完整性。如因違反本法而致生損害於兒童或其法定代理人者，應賠償損害額十倍之懲罰性賠償金。 |
一、明文要求網路經營者應依本法及實際需要制定自律規範（Self-regulatory
guidelines），同時強調符合隱私權保障原則，提供網路使用者安心安全之信賴使用機制，以確保兒童個人資訊之隱密性、安全性和完整性。
二、為有效落實本法之規範，爰明定網路經營者如因違反本法而致生損害於兒童或其法定代理人者，應賠償損害額十倍之懲罰性賠償金。 |
| 第八條 網路經營者或第四條所定兒童網路個人資料揭露之第三者，於兒童網路個人資料之蒐集、處理及利用有違反本法之規定者，主管機關得依違反之情節及影響，處以新臺幣一萬元以上三十萬元以下之罰鍰，如經處罰後仍未改善者，得連續處罰之。 |
一、明文規定網路經營者或本法第四條所定兒童網路個人資料揭露之第三者，於兒童網路個人資料之蒐集、處理及利用有違反本法之規定者之處罰，以收實效。
二、本法之處罰重在有效落實改善，處罰並非本法之立法目的，然為恐處罰過輕而難以落實本法之規範，爰明定網路經營者獲第三者如經處罰後仍未改善者，仍得予連續處罰。 |
| 第九條 本法自中華民國○年○月○日施行。 |
本法之審議及通過日期尚無法確切掌握，爰授權於本院三讀時始加入明確施行日期。 |
