[個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰
個人資料保護不只是法律議題，更是對個人在數位環境中自主的保障。
本文重點
每天，你的姓名、電話、地址、消費紀錄、瀏覽軌跡、生物特徵、健康資料，都在被各種機構蒐集、儲存、分析、傳輸。個人資料保護法就是這些活動背後的法律規則。本文是「個資與隱私法」系列的開篇，從個資法的核心架構、當事人權利、GDPR 與我國法的對照、企業合規的實務路徑，到我國法制的最新進展，建立進入個資法世界的整體框架。
個資法的當代意義:從合規到尊嚴
為什麼個資不只是法律議題
結論先說：個資保護保護的不只是資料，而是人。個資法第 1 條開宗明義，立法目的是「避免人格權受侵害，並促進個人資料之合理利用」。
個資保護過去常被當成單純的合規負擔：填表、設密碼、做稽核。但健康資料能預測疾病、消費紀錄能描繪偏好、社群關係能反推政治立場；保護個資，就是保護一個人在數位環境裡的自主。
2012
我國個資法施行年
前身為民國 84 年「電腦處理個人資料保護法」，99 年全文修正，101 年 10 月 1 日施行
2018
歐盟 GDPR 全面適用
全球影響力最大的個資規範，具廣泛域外效力
4%
GDPR 最高罰鍰比例
全球年營業額 4% 或 2,000 萬歐元，取其較高者
個資法的三段式架構
蒐集、處理、利用：規範整個生命週期
結論先說：判斷一件事合不合法，先問它落在哪個階段。個資法把個資的生命週期分成蒐集、處理、利用三段，每段的要求不同。
「蒐集」是以任何方式取得個資；「處理」是為建立或利用個資檔案所為的記錄、輸入、儲存、編輯、更正、複製、檢索、刪除等內部作業；「利用」是把個資用在處理以外的用途，例如對外提供（個資法第 2 條）。
STAGE I
蒐集 Collection
須有特定目的，並符合第 19 條第 1 項八款事由之一。違反者可處行政罰鍰（第 47 條）；意圖不法利益且足生損害於他人者，另有刑責（第 41 條）。
STAGE II
處理 Processing
儲存、編輯、檢索、刪除等內部作業，同受第 19 條規範。保有個資檔案者，應採行適當安全措施（第 27 條）。
STAGE III
利用 Use
原則上限於蒐集的特定目的必要範圍內，目的外利用須符合第 20 條第 1 項但書七款事由之一。
三階段在實務上不是絕對切割，但很適合當分析工具。企業遇到個資爭議，第一步就是釐清：這是蒐集的問題（有沒有法定事由、目的是否明確），處理的問題（安全措施夠不夠），還是利用的問題（是否目的外利用、是否國際傳輸）。
蒐集原則
特定目的 + 法定事由
- ·個資法第 19 條第 1 項列八種事由（非公務機關）
- ·法律明文規定、契約或類似契約關係、當事人自行公開或已合法公開、學術研究、經當事人同意、增進公共利益所必要、取自一般可得之來源、對當事人權益無侵害
- ·八種事由都要與「特定目的」連結
- ·目的應具體明確，不宜泛稱「業務需要」
利用原則
目的範圍內 + 例外列舉
- ·個資法第 20 條第 1 項：原則上限於蒐集的特定目的必要範圍內
- ·目的外利用的例外：法律明文規定、增進公共利益、免除當事人生命身體自由財產危險、防止他人權益重大危害、學術研究、經當事人同意、有利於當事人權益
- ·當事人表示拒絕行銷時，應即停止利用其個資行銷（第 20 條第 2 項）
- ·AI 訓練是目前最受關注的目的外利用問題
「目的拘束」是個資法的根本精神：蒐集時的目的，限制了後續利用的範圍。以「客戶服務」目的蒐集的個資，能否拿去「訓練 AI 模型」，就是目前最大的爭議。本所另有「AI 與個資法」專文分析此一議題。
當事人五項權利 · 完整鏈
查詢、複製、更正、停止、刪除：個資自主的五個面向
結論先說：當事人對自己的個資有五項權利，而且「不得預先拋棄或以特約限制」（個資法第 3 條）。企業在契約裡寫「放棄查詢權」，這種約定無效。
每一項權利都對應企業的義務，也都有回覆期限：查詢、閱覽、複製本的請求，15 日內准駁；更正、補充、停止、刪除的請求，30 日內准駁；必要時各可延長一次，並應書面通知原因（第 13 條）。
當事人請求的准駁期限
| 請求類型 | 准駁期限 | 延長 | 法源 |
|---|---|---|---|
| 查詢、閱覽、製給複製本 | 15 日內 | 必要時得延長，不得逾 15 日，並書面通知原因 | 第 10 條、第 13 條第 1 項 |
| 補充、更正、停止、刪除 | 30 日內 | 必要時得延長，不得逾 30 日，並書面通知原因 | 第 11 條、第 13 條第 2 項 |
個資法當事人五項權利 · 完整鏈
查詢或請求閱覽權
第 3 條第 1 款 · 第 10 條
當事人可以查詢、閱覽企業蒐集的自己的個資。企業應於 15 日內准駁，必要時得延長，延長不得逾 15 日。
請求製給複製本權
第 3 條第 2 款 · 第 10 條
當事人可以取得自己個資的複製本。企業得酌收必要成本費用（第 14 條）。
請求補充或更正權
第 3 條第 3 款 · 第 11 條第 1 項
個資不正確時，當事人可要求補充或更正。企業本來就有維護個資正確的義務。
請求停止蒐集、處理或利用權
第 3 條第 4 款 · 第 11 條第 2 項至第 4 項 · 第 20 條第 2 項
個資正確性有爭議、特定目的消失或期限屆滿、或屬違法蒐集時，當事人可請求停止；表示拒絕行銷時，企業應即停止行銷利用。
請求刪除權
第 3 條第 5 款 · 第 11 條第 3 項、第 4 項
特定目的消失、期限屆滿，或違法蒐集、處理、利用時，當事人可請求刪除。GDPR 另有「被遺忘權」的明文規定。
實務上爭議最多的是第四權（停止）與第五權（刪除）。第 11 條第 3 項但書允許企業在「執行職務或業務所必須」時不刪除，界線常有爭執。
AI 時代還多了技術難題：資料一旦被吸收進模型權重，要怎麼「徹底」刪除？我國個資法沒有「被遺忘權」的名稱，但第 11 條第 3 項、第 4 項已經規定特定目的消失或違法蒐集時應刪除，功能上有相近之處。
個資的四級保護分級
從敏感個資到去識別化：不同等級不同保護
結論先說：法律上只分「特種個資」與「一般個資」兩級，但實務上可以再細分成四級，安全措施的強度跟著等級調整。以下第 2 至第 4 級是本所建議的管理分級，不是法定分類。
個資的四級保護分級
LEVEL 1
特種個資（法定）
病歷、醫療、基因、性生活、健康檢查、犯罪前科。第 6 條原則上不得蒐集、處理或利用，只有法律明文規定、執行法定職務或履行法定義務、當事人自行公開、學術研究、協助公務機關、經當事人書面同意等六款例外。
LEVEL 2
高度識別性個資（實務分級）
身分證統一編號、護照號碼、信用卡號、生物特徵。外洩後果嚴重，建議採高強度安全措施（加密、存取控制、稽核）。
LEVEL 3
一般識別性個資（實務分級）
姓名、聯絡方式、消費紀錄，以及能與其他資料連結而識別個人的 IP 位址、Cookie 等。適用一般的蒐集、處理、利用規範。
LEVEL 4
去識別化資料（實務分級）
已無從直接或間接識別特定個人的資料，不屬個資法所稱個資，可較寬鬆運用。但「無從識別」的標準嚴格，判斷要保守。
分級的實務意義是：不同等級的個資，採不同強度的安全措施與內部控管。特種個資應加密儲存、嚴格限制存取、定期稽核；去識別化資料則可較寬鬆運用於統計與研究。
要特別注意的是，透過大量資料交叉比對，看似去識別化的資料仍可能被重新識別。一旦能重新識別，就又回到個資的範圍。
我國個資法 vs. GDPR · 國際對照
跨國服務必須掌握的差異地圖
結論先說：只要服務歐盟或美國加州的用戶，就不能只看我國法。歐盟 GDPR 有廣泛的域外效力，美國加州 CCPA 是美國最具影響力的州級個資法，兩者都可能適用到台灣企業。
我國個資法 vs. GDPR vs. CCPA
| 面向 | 我國個資法 | 歐盟 GDPR | 美國加州 CCPA |
|---|---|---|---|
| 施行 | 101 年 10 月 1 日施行（99 年全文修正） | 2018 年適用 | 2020 年適用 |
| 適用範圍 | 我國境內；在境外蒐集、處理、利用我國人民個資者，亦適用（第 51 條第 2 項） | 在歐盟境內設立據點，或向歐盟境內的人提供商品服務、監控其行為者 | 加州居民個資，且企業達法定門檻 |
| 同意要求 | 告知後同意；告知後當事人未表示拒絕並已提供個資，推定同意（第 7 條第 3 項） | 須自由、特定、知情、明確，且可撤回 | 以選擇退出為主，特定情形須選擇加入 |
| 當事人權利 | 查詢閱覽、複製本、補充更正、停止、刪除（第 3 條） | 上述權利外，另有資料可攜權、被遺忘權、反對自動化決策等 | 知悉權、刪除權、選擇退出權、不受歧視權等 |
| 國際傳輸 | 原則容許，中央目的事業主管機關得於法定情形限制（第 21 條） | 須有適足性決定或適當保護措施（如標準契約條款） | 無一般性跨境限制 |
| 違反罰則 | 罰鍰依態樣而定，違反安全維護義務且情節重大者最高 1,500 萬元；另有刑責與民事賠償（第 41 條、第 47 條、第 48 條） | 最高 2,000 萬歐元或全球年營業額 4%，取其較高者 | 依違反次數計罰，故意違反罰額較高；資料外洩另有消費者訴訟權 |
| 資料保護長 | 現行法未強制；114 年修正條文要求公務機關設置個人資料保護長（尚未施行） | 特定情形強制設置 DPO | 無明確要求 |
我國個資法：非公務機關罰則一覽（現行條文）
| 違反情形 | 處罰 | 法源 |
|---|---|---|
| 違法蒐集、處理或目的外利用；違反國際傳輸限制 | 5 萬至 50 萬元，並令限期改正，屆期未改正按次處罰 | 第 47 條 |
| 未履行告知、通知義務，未處理當事人請求或未依限准駁，未停止行銷 | 限期改正，屆期未改正按次處 2 萬至 20 萬元 | 第 48 條第 1 項 |
| 未採行適當安全措施或未訂安全維護計畫 | 2 萬至 200 萬元，並令限期改正；屆期未改正按次處 15 萬至 1,500 萬元 | 第 48 條第 2 項 |
| 同上，情節重大 | 15 萬至 1,500 萬元，並令限期改正，屆期未改正按次處罰 | 第 48 條第 3 項 |
| 意圖不法利益違法蒐集、處理、利用，足生損害於他人 | 5 年以下有期徒刑，得併科 100 萬元以下罰金 | 第 41 條 |
| 代表人未能證明已盡防止義務 | 與企業受同一額度罰鍰 | 第 50 條 |
三套法律最大的差異在域外效力與罰鍰嚴厲程度。GDPR 對向歐盟境內的人提供服務的企業也適用，即使企業設在台灣；最高罰鍰為全球年營業額 4% 或 2,000 萬歐元，取其較高者。
對台灣的 SaaS、電商、平台、AI 服務業者來說，只要有歐盟用戶，GDPR 合規就不是選項，而是必須。
企業個資合規 · 持續循環的四階段
從盤點到稽核：合規不是專案，是常態
結論先說：個資合規不是一次性專案。新業務上線、新合作夥伴加入、員工流動、法規修正，都會讓上次的盤點過時，所以合規必須是持續循環的常態工作。
四階段中，個資盤點最基礎，也最常被低估。很多企業以為「有隱私政策」就等於合規；但如果不知道自己掌握哪些個資、存在哪裡、誰能存取、流向何方，後續的合規工作都沒有根基。
建議至少每年完整盤點一次，新業務上線時再做局部更新。
我國個資法律的演進
從 1995 到 2025：三十年的法制建構
結論先說：我國個資法正處在新一輪大修的過渡期。112 年確立個人資料保護委員會為主管機關，114 年 11 月再大幅修正，但個資會尚未正式成立，114 年的修正條文也還沒施行。
我國個資法律發展 · 30 年演進
84 年（1995）
電腦處理個人資料保護法
84 年 8 月 11 日公布，我國首部個資專法，對非公務機關只規範特定行業
99 年（2010）
全文修正並更名為個人資料保護法
99 年 5 月 26 日公布，適用範圍擴及所有行業與個人
101 年（2012）
個人資料保護法施行
101 年 10 月 1 日施行（第 6 條、第 54 條除外），我國進入全面個資保護時代
104 年（2015）
部分修正
104 年 12 月 30 日公布、105 年 3 月 15 日施行，修正第 6 條特種個資、第 41 條刑責等規定
112 年（2023）
部分修正
112 年 5 月 31 日公布：增訂第 1 條之 1，主管機關為個人資料保護委員會；修正第 48 條，提高違反安全維護義務的罰鍰
112–113 年
個人資料保護委員會籌備處
112 年 9 月發布籌備處暫行組織規程；113 年 1 月 1 日起，原屬國家發展委員會的個資法權責改由籌備處管轄。個資會本身尚待正式成立
114 年（2025）
大幅修正
114 年 11 月 11 日公布：外洩事故須通報主管機關、公務機關設置個人資料保護長、建立稽核與監督機制等；施行日期由行政院定之
個資會是我國個資保護的重要里程碑。過去個資法的執法分散在各中央目的事業主管機關（例如醫療歸衛生福利部、金融歸金融監督管理委員會），統合度不足。
依第 1 條之 1 的設計，個資會成立後將統一管轄這些權責；114 年修正條文另設有過渡期，個資會成立後六年內，可由行政院公告一定範圍的非公務機關仍由原機關監督（第 51 條之 1）。本系列第 12 篇將深入此議題。
結語:個資是當代法律的長期戰場
本系列的編寫立場
個資保護是演化最快的法律領域之一，也是企業最容易忽視風險的領域之一。當技術讓蒐集個資變得像呼吸一樣自然，法律就必須提供清楚的規則，讓「個人」這個主體不被「資料」這個客體吞噬。
附 記
個資保護的核心承諾是「個人對自己資料的自主控制」。本系列接下來將深入三段式架構、當事人權利、跨境傳輸、資料保護長制度、GDPR 域外效力、外洩處理 SOP 等專題，構成完整的個資合規地圖。對企業而言，個資合規不是事件式的應急，而是長期治理的累積：每一份合理的告知與同意、每一次妥善的權利處理、每一場有紀錄的內部稽核，都是企業在數位時代的信任資本。
常見問題
Q. 我國個資法保護的「個資」範圍有多大？
A. 依個資法第 2 條第 1 款，個資是指「自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料」。重點在最後一句：IP 位址、Cookie、消費紀錄、瀏覽軌跡等，只要能單獨或與其他資料對照、連結而識別特定個人，就可能屬於個資。企業判斷時宜採較寬的立場。
Q. 企業違反個資法會被處罰多重？
A. 依現行條文，非公務機關違法蒐集、處理或目的外利用，處新臺幣 5 萬至 50 萬元罰鍰，並令限期改正，屆期未改正按次處罰（第 47 條）；違反告知、當事人權利等規定，經限期改正而未改正，按次處 2 萬至 20 萬元（第 48 條第 1 項）；未採行適當安全措施，處 2 萬至 200 萬元，屆期未改正按次處 15 萬至 1,500 萬元，情節重大者直接處 15 萬至 1,500 萬元（第 48 條第 2 項、第 3 項）。企業受罰時，代表人除能證明已盡防止義務，也要受同一額度罰鍰（第 50 條）。意圖不法利益而違法蒐集、處理、利用，足生損害於他人者，處 5 年以下有期徒刑，得併科 100 萬元以下罰金（第 41 條）。民事上，被害人難以證明實際損害時，可請求每人每一事件 500 元至 2 萬元；同一原因事實的合計總額以 2 億元為限，但所涉利益更高者以該利益為限（第 28 條、第 29 條）。114 年 11 月修正的罰則條文施行後，額度與要件會有調整。
Q. 我們是中小企業，真的有必要建立完整個資合規架構嗎？
A. 視個資處理的量與敏感度而定。只處理少量基本聯絡資料（姓名、電話）的，可以採簡化做法：基本告知、安全儲存、員工教育。處理大量客戶資料、特種個資或有跨境業務的，就需要完整架構：個資盤點、隱私政策、權利處理機制、定期稽核。判斷標準不是企業規模，而是資料的敏感度與風險。至少要完成告知同意、安全措施、權利處理三項，也為日後爭議留下證據。
Q. 我們的網站使用 Cookie 與分析工具，需要哪些合規動作？
A. 三件事。第一，Cookie 政策：揭露使用 Cookie 的類型、目的與第三方接收者。第二，同意機制：非必要 Cookie 應先徵詢同意，服務歐盟用戶時，歐盟法要求事前取得同意。第三，權利處理：提供關閉 Cookie、撤回同意的方式。我國個資法沒有專門的 Cookie 條文，但 Cookie 資料能識別特定個人時，同樣適用告知、蒐集事由與當事人權利的規定。
Q. AI 訓練可以使用客戶個資嗎？
A. 要重新評估。原本以「客戶服務」為目的蒐集的個資，拿去「訓練 AI 模型」，可能屬於目的外利用，須符合第 20 條第 1 項但書的事由，例如法律明文規定、增進公共利益、學術研究（資料須無從識別特定當事人）、經當事人同意。這裡的同意，須明確告知目的外的利用目的、範圍及同意與否的影響後，由當事人單獨表示（第 7 條第 2 項）。實務建議：在告知時明確列入 AI 訓練用途；提供分項同意；既有資料要新增 AI 訓練用途時，應取得新的同意，或處理到無從識別特定個人。本所另有「AI 與個資法」專文深入分析。
個資與隱私法系列(規劃中,陸續上線)
- [個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰(本文)
- [個資與隱私法 2] 蒐集、處理、利用三段式架構與當事人同意
- [個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除
- [個資與隱私法 4] 跨境傳輸的法律地圖
- [個資與隱私法 5] 資料保護長(DPO)制度與企業治理
- [個資與隱私法 6] GDPR 域外效力與台灣企業合規
- [個資與隱私法 7] 資料外洩的緊急處理 SOP
- [個資與隱私法 8] 員工個資與雇主監控的邊界
- [個資與隱私法 9] 醫療、金融、教育的特別個資規範
- [個資與隱私法 10] 兒童與未成年人個資特別保護
- [個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界
- [個資與隱私法 12] 個資保護委員會與監理動態
