許多網路新創事業的階段目標為等待獲得併購退場，其擁有的會員名單之數量及品質，則往往攸關公司資產價值的估算。在企業併購過程中，該如何將客戶個資提供給併購方查閱評估，才符合個資保護要求？而企業併購後取得的客戶個資，又是否能直接加以利用？
客戶固然是網路新創事業的重要資產，客戶的個資亦為個資法保護的對象。在企業併購的交易中，除了須兼顧買賣雙方的利益，也應注意客戶個資保護的議題。
許多網路新創事業燒錢拉客就等著將來被富爸爸併購而獲利出場。提供免費優質的服務是獲取客戶加入的最佳手段，至於提供何種服務以吸引客戶，則八方英雄各顯神通。一旦累積龐大的客戶群之後，如遇到適當的買家，通常會以客戶數來作價計算，類似有線電視系統業者併購案，亦係以客戶數作為出價的主要參考。
雅虎過往即透過併購手段擴展版圖，其於2000年收購台灣當時第一大的入口網站奇摩，隔年合併為雅虎奇摩網站，嗣於2007年間收購無名小站，奇摩與無名賣相好的主要原因就是擁有眾多的會員客戶。特別是網路平台多具備「網路效應」（Network Effect），其價值隨著客戶增多而增長，客戶越多，就會吸引更多客戶加入，而能獲得廣告商的青睞。擁有眾多客戶者，就成為併購標的之首選，每名客戶都是計價單位，此時有名勝無名。
企業併購模式
企業併購之目的可能是特別看中目標公司掌握之客戶、人才、技術或其他資產，也可能是各種資源結合起來的綜效，類似一種化學變化，創造出1+1大於2的效益。
企業併購模式可簡單分為「收購」與「合併」兩大類。就收購而言，其標的可能為公司之股權、資產或營業。收購之對價可能為現金、股權、兩者之結合或其他得作價之資產。至於合併，係兩家以上公司合而為一，可能併入其中一家既存公司，也可能併入新設公司，原有公司則因合併而解散，由合併後之公司概括承受其權利義務。
企業併購有如男女交往結婚一般由追求到結合，主要可分為評估查核、協商簽約及履約交割等三個階段。然而在評估查核時，併購方可否查閱目標公司的客戶個資呢？一旦履約交割後，併購方就其取得併購方的客戶個資是否負有告知的義務呢？
評估查核與個資保護
在企業併購的評估查核階段，併購方會先自行或委託專業顧問於市場尋找收購標的。找到適合收購之目標公司後，併購方尚須取得更多關於該公司的資訊以評估交易之可行性及標的股權之合理價值。通常在簽署保密協議書（NDA）之後，出賣方才願意提供目標公司之內部資訊。
等到雙方就交易條件有初步共識之後，可能會先簽署意備忘錄（MOU）作為未來正式合約的藍圖，併購方在簽署NDA或MOU之後，通常即可派員對目標公司就財務、法務及稅務等方面進行查核（Due Diligence，DD），供併購方之決策者評估目標公司之價值以及併購交易的風險。
企業併購的評估查核階段也會涉及個資保護議題，例如報載今年（2015）間美國黑石集團（Blackstone）有意收購頂新集團持有約37％的台北101股權，台北101有條件同意黑石集團派員進行實地查核，條件包括不得違反相關法令、須維護商業機密及客戶個資等。但對於黑石集團來說，以商業出租為本業的台北101與其客戶所定的租約內容，會影響對101獲利的估計以及出價的金額，故希望能查閱所有租約。但由於其中可能涉及客戶個資，雙方乃積極協商解決之道。
類此問題的解決方案是將查核文件中所有涉及客戶個資的部分都加以掩蓋。但如果客戶本身的相關資訊會影響評估時，如網路資訊事業的會員屬性，則可考慮採取去識別性的匿名措施，僅留下供統計參考用的性別、年齡、職業等資訊。又如果客戶到底是誰，具有交易上的重要性，此時有名勝無名，則目標公司若將該客戶個資提供給併購方查閱，即應依個資法規定告知客戶並獲得其同意，但可能造成拖延併購程序，增加時間及作業成本。
併購後利用客戶個資
併購方於併購案履約交割後，就其取得目標公司的客戶個資，是否會被認為是間接蒐集個資而應依個資法第9條規定負有告知當事人的義務呢？
對此問題，法務部曾表示：「企業間依企業併購法或金融機構合併法進行併購，如轉讓之資產包含被併購公司與第三人間之契約及相關權利義務，則如企業併購前該被併購公司蒐集、處理及利用該第三人（即契約相對人）之個人資料，已符合個資法第19條第1項第2款『與當事人有契約或類似契約之關係』之要件，嗣因被併購公司上開契約之權利義務事項業由併購公司承受，併購公司即得於原蒐集之特定目的內為處理、利用個人資料，存續之併購公司取得消滅之被併購公司合法保有之個人資料，非屬『由第三人提供個人資料』之情形。」（參見法務部102年11月19日法律字第10203512780號函釋）可資參照。
由上可知在資產或營業收購與合併的案型，因目標公司（即被收購公司）與第三人客戶的權利義務概由併購方承受，故法務部認為並非間接蒐集個資的情形而無需踐行告知程序。但在股權收購的案型，因併購方僅取得目標公司的股權，並未概括取得目標公司與客戶的權利義務，故併購方就其取得之目標公司的客戶個資，屬於個資法第9條規範的間接蒐集案型，應於處理或利用前，向當事人告知個資來源及個資法第8條所列應告知事項即：1.蒐集機關名稱；2.蒐集之目的；3.個資之類別；4.個資利用之期間、地區、對象及方式；5.當事人依個資法第3條規定得行使之權利及方式；6.當事人得自由選擇提供個資時，不提供將對其權益之影響。
由於企業併購會涉及上述個資保護議題，因此網路新創事業如預期將來會以併購方式獲利出場，可考慮在與客戶間簽訂之使用契約中特別約定客戶同意事業主將來於進行併購交易時得提供或轉讓客戶個資予併購方，以節省時間及作業成本。但為兼顧客戶權益，宜賦予客戶選擇不同意的權利，並協助客戶備份資料及搬家移往他處等事宜，方能建立客戶的信賴。
＜本文作者：陳佑寰，目前為執業律師。國立台灣大學法學碩士，美國賓夕法尼亞大學法學碩士。專攻領域為智慧財產權法、高科技產業議題及資訊法等。＞