law-gdpr-pdpa

数据隐私合规（GDPR 与 Taiwan PDPA）

概述

数据隐私法规范组织如何收集、处理、存储和共享个人数据。GDPR（欧盟）是全球基准；Taiwan 的 PDPA（個人資料保護法）在当地适用。两者共享核心原则，但在适用范围、执法和具体要求方面有所不同。

框架

IRON LAW: No Collection Without Legal Basis

You CANNOT collect or process personal data just because you want to.
Every data processing activity requires a legal basis:
- GDPR: 6 legal bases (consent, contract, legal obligation, vital interests, public task, legitimate interests)
- Taiwan PDPA: Specific purposes listed in the act, with consent as primary basis

"We need this data for analytics" is NOT a legal basis.

GDPR 与 Taiwan PDPA 对比

方面	GDPR	Taiwan PDPA
适用范围	任何处理欧盟居民数据的组织	任何在 Taiwan 处理个人数据的组织
合法依据	列明的 6 项依据	以同意为核心 + 特定目的限制
同意标准	自由给予、具体、知情、明确、主动选择	处理敏感数据须取得书面同意；非敏感数据可采用默示同意
数据主体权利	访问、更正、删除、可携带、限制处理、反对	访问、更正、删除、停止处理
跨境传输	充分性决定、SCC、BCR	需要主管机关核准或具备充分保护
泄露通知	72 小时内通知主管机关	向主管机关报告 + “不得延迟”地通知受影响个人
处罚	最高 2,000 万欧元或全球营业额的 4%	每次违规最高 NT$500K（也可能受到刑事处罚）
是否要求任命 DPO？	是（特定情况下）	未明确要求

合规评估步骤

1. 数据盘点：你收集、处理和存储哪些个人数据？
2. 合法依据审查：每项处理活动的合法依据是什么？
3. 目的限制：数据是否仅用于声明的目的？
4. 数据最小化：你是否只收集必要的数据？
5. 存储限制：数据保留多久？是否有删除政策？
6. 安全措施：是否采取了适当的技术和组织措施？
7. 权利落实：你能否响应数据主体的权利请求？
8. 跨境传输：数据是否离开所在司法辖区？依据何种机制？
9. 泄露响应：是否有泄露通知程序？

输出格式

# Privacy Compliance Assessment: {Organization}

## Data Inventory
| Data Category | Types | Legal Basis | Purpose | Retention |
|-------------|-------|-------------|---------|-----------|
| {category} | {specific fields} | {basis} | {why collected} | {period} |

## Compliance Gaps
| Requirement | Status | Gap | Priority |
|------------|--------|-----|----------|
| Legal basis | ✓/✗ | {detail} | H/M/L |
| Consent mechanism | ✓/✗ | ... | ... |
| Data subject rights | ✓/✗ | ... | ... |
| Breach notification | ✓/✗ | ... | ... |
| Cross-border transfer | ✓/✗ | ... | ... |

## Remediation Plan
1. {action} — priority: {H/M/L} — timeline: {X weeks}

示例

正确应用

场景： 为一家向欧盟客户销售商品的 Taiwan 电商网站进行隐私评估

• 适用法规：PDPA（Taiwan 客户）和 GDPR（欧盟客户）均适用
• 发现的问题：Cookie 同意横幅只写着“使用本网站即表示你同意使用 Cookie” → 不符合 GDPR（并非自由给予，也不够具体，且未提供针对非必要 Cookie 的退出选项）。必须实施精细化的 Cookie 同意机制，让用户主动选择接受营销 Cookie ✓
• 发现的问题：在没有跨境传输机制的情况下，将客户数据共享给中国的物流合作伙伴 → 同时违反 GDPR（没有充分性决定／SCC）和 PDPA（没有主管机关核准）

错误应用

• “我们是 Taiwan 公司，GDPR 不适用于我们” → GDPR 适用于任何处理欧盟居民数据的组织，无论组织位于何处。如果你向欧盟客户销售商品或监控欧盟用户的行为，GDPR 就适用。

注意事项

• 同意并非总是最佳合法依据：根据 GDPR，对于某些处理活动（例如防范欺诈），“合法利益”可能比同意更合适。同意可以撤回，会增加运营复杂性。
• “匿名”数据可能并不匿名：如果可以通过与其他数据集结合来重新识别数据，那么它属于假名化数据，而非匿名数据，仍受隐私法约束。
• Taiwan PDPA 涵盖公营和私营部门：与主要针对私营部门的 GDPR 不同，PDPA 也适用于政府机构。
• 从设计之初考虑隐私，而非事后补救：GDPR 和最佳实践都要求在系统设计阶段考虑隐私，而不是之后再补上相关功能。
• 这是教育性指导，并非法律建议：隐私合规需要熟悉适用司法辖区的合格数据保护专家。

参考资料

• GDPR 逐条参考，请参阅 references/gdpr-articles.md
• 台湾 PDPA 实施指南，请参阅 references/taiwan-pdpa.md