law-gdpr-pdpa

asgard-ai-platform ｜ 安全護欄 ｜ 原文 ｜ MIT

分析 GDPR 和台灣個資法的隱私合規要求與跨境傳輸風險

---
name: "law-gdpr-pdpa"
description: "分析 GDPR、台灣《個人資料保護法》（PDPA）及相關法規下的資料隱私合規要求。當使用者需要評估資料隱私義務、設計合規的資料處理流程、評估跨境資料傳輸風險，或理解資料當事人的權利時使用，即使他們說的是「我們符合 GDPR 嗎」「我們可以蒐集這項資料嗎」「我們有什麼隱私義務」或「在台灣要怎麼處理使用者資料」也適用。"
metadata:
  category: "WP-20 法學院"
  tags: ["law", "gdpr", "pdpa", "data-privacy"]
---

# 資料隱私合規（GDPR 與台灣 PDPA）

## 概述

資料隱私法規範組織如何蒐集、處理、儲存與分享個人資料。GDPR（歐盟）是全球的標竿；台灣的 PDPA（個人資料保護法）適用於國內。兩者共享核心原則，但在範圍、執法與具體要求上有所不同。

## 框架

```
鐵律：沒有法律依據，就不能蒐集

你「不能」只因為你想要，就蒐集或處理個人資料。
每一項資料處理活動都需要有法律依據：
- GDPR：6 種法律依據（同意、契約、法律義務、重大利益、公共任務、正當利益）
- 台灣 PDPA：法條中列舉的特定目的，以同意為主要依據

「我們需要這些資料做分析」「不是」法律依據。
```

### GDPR 與台灣 PDPA 的比較

| 面向 | GDPR | 台灣 PDPA |
|--------|------|-------------|
| 範圍 | 任何處理歐盟居民資料的組織 | 任何在台灣處理個人資料的組織 |
| 法律依據 | 6 種列舉的依據 | 以同意為核心 + 特定目的限制 |
| 同意標準 | 自由給予、具體、知情、明確、選擇加入（opt-in） | 敏感資料需要書面同意；非敏感資料可能允許默示同意 |
| 資料當事人權利 | 近用、更正、刪除、可攜、限制、反對 | 近用、更正、刪除、停止處理 |
| 跨境傳輸 | 適足性認定、標準契約條款（SCC）、有拘束力的企業守則（BCR） | 需要中央主管機關核准，或有適當的保護 |
| 外洩通報 | 72 小時內通報主管機關 | 向主管機關通報，並「立即」通知受影響的個人 |
| 罰則 | 最高 2,000 萬歐元或全球營業額的 4% | 每次違規最高新台幣 50 萬元（可能有刑事責任） |
| 是否需要 DPO？ | 需要（在特定情況下） | 沒有明確要求 |

### 合規評估步驟

1. **資料盤點**：你蒐集、處理、儲存哪些個人資料？
2. **法律依據稽核**：每項處理活動是依據什麼法律依據？
3. **目的限制**：資料是否只用於所述的目的？
4. **資料最小化**：你是否只蒐集必要的部分？
5. **儲存限制**：資料保存多久？有沒有刪除政策？
6. **安全措施**：是否有適當的技術與組織措施？
7. **權利履行**：你能回應資料當事人的權利請求嗎？
8. **跨境傳輸**：資料有離開司法管轄區嗎？依據什麼機制？
9. **外洩回應**：有沒有外洩通報程序？

## 輸出格式

```markdown
# 隱私合規評估：{組織}

## 資料盤點
| 資料類別 | 類型 | 法律依據 | 目的 | 保存期間 |
|-------------|-------|-------------|---------|-----------|
| {類別} | {具體欄位} | {依據} | {為何蒐集} | {期間} |

## 合規落差
| 要求 | 狀態 | 落差 | 優先順序 |
|------------|--------|-----|----------|
| 法律依據 | ✓/✗ | {細節} | 高/中/低 |
| 同意機制 | ✓/✗ | ... | ... |
| 資料當事人權利 | ✓/✗ | ... | ... |
| 外洩通報 | ✓/✗ | ... | ... |
| 跨境傳輸 | ✓/✗ | ... | ... |

## 補救計畫
1. {行動}：優先順序：{高/中/低}；時程：{X 週}
```

## 範例

### 正確的應用
**情境：** 一個賣給歐盟客戶的台灣電商網站的隱私評估

- **適用**：PDPA（台灣客戶）「以及」GDPR（歐盟客戶）都適用
- **發現的落差**：Cookie 同意橫幅只寫「使用本網站即表示您同意 cookie」 → 不符合 GDPR（不是自由給予、不具體、非必要 cookie 沒有拒絕選項）。必須實作細緻的 cookie 同意，行銷 cookie 要選擇加入 ✓
- **發現的落差**：客戶資料分享給中國的物流夥伴，卻沒有跨境傳輸機制 → 同時不符合 GDPR（沒有適足性/SCC）與 PDPA（沒有主管機關核准）

### 不正確的應用
- 「我們是台灣公司，GDPR 不適用於我們」 → GDPR 適用於「任何」處理歐盟居民資料的組織，不管組織位於何處。只要你賣給歐盟客戶，或監控歐盟使用者的行為，GDPR 就適用。

## 常見陷阱

- **同意不一定是最好的法律依據：** 在 GDPR 下，對某些處理（例如防止詐欺），「正當利益」可能比同意更適當。同意可以被撤回，會造成營運上的複雜度。
- **「匿名」資料不一定是匿名的：** 如果資料能與其他資料集結合而被重新識別，它就是假名化，不是匿名，仍然受隱私法規範。
- **台灣 PDPA 涵蓋公部門與私部門：** 不像 GDPR 主要針對私部門，PDPA 也適用於政府機關。
- **隱私要從設計開始，不是事後補強：** GDPR 與最佳實務都要求在系統設計階段就考慮隱私，不是之後再硬加上去。
- **這是教育性指引，不是法律意見：** 隱私合規需要熟悉適用司法管轄區的合格資料保護專家。

## 參考資料

- GDPR 逐條參考，見 `references/gdpr-articles.md`
- 台灣 PDPA 實施指南，見 `references/taiwan-pdpa.md`

---
name: "law-gdpr-pdpa"
description: "Analyze data privacy compliance requirements under GDPR, Taiwan's Personal Data Protection Act (PDPA), and related regulations. Use this skill when the user needs to assess data privacy obligations, design compliant data handling processes, evaluate cross-border data transfer risks, or understand data subject rights — even if they say 'do we comply with GDPR', 'can we collect this data', 'what are our privacy obligations', or 'how do we handle user data in Taiwan'."
metadata:
  category: "WP-20 法學院"
  tags: ["law", "gdpr", "pdpa", "data-privacy"]
---

# Data Privacy Compliance (GDPR & Taiwan PDPA)

## Overview

Data privacy law governs how organizations collect, process, store, and share personal data. GDPR (EU) is the global benchmark; Taiwan's PDPA (個人資料保護法) applies domestically. Both share core principles but differ in scope, enforcement, and specific requirements.

## Framework

```
IRON LAW: No Collection Without Legal Basis

You CANNOT collect or process personal data just because you want to.
Every data processing activity requires a legal basis:
- GDPR: 6 legal bases (consent, contract, legal obligation, vital interests, public task, legitimate interests)
- Taiwan PDPA: Specific purposes listed in the act, with consent as primary basis

"We need this data for analytics" is NOT a legal basis.
```

### GDPR vs Taiwan PDPA Comparison

| Aspect | GDPR | Taiwan PDPA |
|--------|------|-------------|
| Scope | Any org processing EU residents' data | Any org processing personal data in Taiwan |
| Legal bases | 6 enumerated bases | Consent-centric + specific purpose limitation |
| Consent standard | Freely given, specific, informed, unambiguous, opt-in | Written consent required for sensitive data; implied consent possible for non-sensitive |
| Data subject rights | Access, rectification, erasure, portability, restriction, objection | Access, correction, deletion, cessation of processing |
| Cross-border transfer | Adequacy decision, SCCs, BCRs | Requires central authority approval or adequate protection |
| Breach notification | 72 hours to authority | Report to authority + notify affected individuals "without delay" |
| Penalties | Up to €20M or 4% global turnover | Up to NT$500K per violation (criminal penalties possible) |
| DPO required? | Yes (in certain cases) | Not explicitly required |

### Compliance Assessment Steps

1. **Data inventory**: What personal data do you collect, process, and store?
2. **Legal basis audit**: What legal basis justifies each processing activity?
3. **Purpose limitation**: Is data used only for the stated purpose?
4. **Data minimization**: Are you collecting only what's necessary?
5. **Storage limitation**: How long is data retained? Is there a deletion policy?
6. **Security measures**: Are appropriate technical and organizational measures in place?
7. **Rights fulfillment**: Can you respond to data subject rights requests?
8. **Cross-border transfers**: Does data leave the jurisdiction? Under what mechanism?
9. **Breach response**: Is there a breach notification procedure?

## Output Format

```markdown
# Privacy Compliance Assessment: {Organization}

## Data Inventory
| Data Category | Types | Legal Basis | Purpose | Retention |
|-------------|-------|-------------|---------|-----------|
| {category} | {specific fields} | {basis} | {why collected} | {period} |

## Compliance Gaps
| Requirement | Status | Gap | Priority |
|------------|--------|-----|----------|
| Legal basis | ✓/✗ | {detail} | H/M/L |
| Consent mechanism | ✓/✗ | ... | ... |
| Data subject rights | ✓/✗ | ... | ... |
| Breach notification | ✓/✗ | ... | ... |
| Cross-border transfer | ✓/✗ | ... | ... |

## Remediation Plan
1. {action} — priority: {H/M/L} — timeline: {X weeks}
```

## Examples

### Correct Application
**Scenario:** Privacy assessment for a Taiwanese e-commerce site selling to EU customers

- **Applies**: Both PDPA (Taiwan customers) AND GDPR (EU customers)
- **Gap found**: Cookie consent banner only says "By using this site you agree to cookies" → Fails GDPR (not freely given, not specific, no opt-out for non-essential cookies). Must implement granular cookie consent with opt-in for marketing cookies ✓
- **Gap found**: Customer data shared with logistics partner in China without cross-border transfer mechanism → Fails both GDPR (no adequacy/SCC) and PDPA (no authority approval)

### Incorrect Application
- "We're a Taiwan company, GDPR doesn't apply to us" → GDPR applies to ANY organization processing EU residents' data, regardless of where the organization is located. If you sell to EU customers or monitor EU users' behavior, GDPR applies.

## Gotchas

- **Consent is not always the best legal basis**: Under GDPR, "legitimate interests" may be more appropriate than consent for some processing (e.g., fraud prevention). Consent can be withdrawn, creating operational complexity.
- **"Anonymous" data may not be anonymous**: If data can be re-identified by combining with other datasets, it's pseudonymous, not anonymous, and still subject to privacy law.
- **Taiwan PDPA covers public and private sector**: Unlike GDPR which primarily targets private sector, PDPA applies to government agencies as well.
- **Privacy by design, not afterthought**: Both GDPR and best practice require considering privacy at the system design stage, not bolting it on later.
- **This is educational guidance, not legal advice**: Privacy compliance requires a qualified data protection specialist familiar with applicable jurisdictions.

## References

- For GDPR Article-by-article reference, see `references/gdpr-articles.md`
- For Taiwan PDPA implementation guide, see `references/taiwan-pdpa.md`