GDPR 是什麼？它是歐盟的一般資料保護規則（General Data Protection Regulation），規範組織如何蒐集、使用與保存個人資料。它不只管設在歐盟的公司：依第三條第二項，沒有在歐盟設立據點的企業，若向歐盟境內的人提供商品或服務，或監控他們在歐盟境內的行為，也可能適用。對企業網站來說，重點落在五件事：處理資料要有合法基礎、同意要符合條件、讓資料主體能行使權利、Cookie 的事先同意，以及資料傳出歐盟時的保護措施。以下是概念整理，實際適用請以歐盟官方文本或專業意見為準。
GDPR 中文名稱與幾個關鍵名詞
GDPR 的中文常譯為「一般資料保護規則」，也有人譯為「通用資料保護規則」，指的是同一部歐盟規則。先掌握幾個名詞：
- 個人資料：第四條定義為與已識別或可識別的自然人有關的任何資訊。前言第三十點提到，自然人可能透過裝置提供的線上識別碼被連結，例如 IP 位址與 Cookie 識別碼。
- 資料主體：個人資料所指的那個人，例如填寫詢價表單的訪客。
- 控管者：決定處理目的與方式的人或組織，經營網站、決定要蒐集哪些資料的企業就是控管者。
- 處理者：代表控管者處理個人資料的人或組織，例如替你寄送電子報的平台。
- 同意：第四條第十一款定義為資料主體自由給予、具體、知情且明確的意思表示。
台灣企業網站什麼時候可能適用 GDPR
GDPR 對歐盟以外的企業有兩條主要的連結點。第三條第一項規定，在歐盟設有據點、而處理行為與該據點的活動相關時適用；同條第二項則規定，未在歐盟設立的企業，處理歐盟境內資料主體的個人資料，且與下列活動相關時適用：
- 向歐盟境內的資料主體提供商品或服務，不論是否需要付費。
- 監控資料主體在歐盟境內的行為。
前言第二十三點說明，只是能在歐盟瀏覽網站，不足以認定有意提供商品或服務；使用成員國通用的語言或貨幣並可據以訂購，或提到歐盟境內的顧客或使用者等因素，則可能顯示這種意圖。前言第二十四點則把網路上的追蹤與建立個人輪廓，列為判斷是否監控行為的情形。
| 網站情境 | 判斷方向 |
|---|---|
| 只有中文內容、只服務台灣客戶 | 僅因歐盟能瀏覽，不足以認定提供服務 |
| 以歐元報價、接受歐洲訂單 | 可能屬於向歐盟提供商品或服務 |
| 對歐盟訪客做再行銷或個人化推薦 | 可能涉及監控行為 |
| 在歐盟設有子公司或分公司 | 依據點相關的處理活動判斷 |
適用第三條第二項時，第二十七條第一項要求以書面指定歐盟代表；第二項另訂例外，但要同時符合偶發性處理、不涉及大規模處理特殊類別或犯罪相關資料，以及不太可能對個人權利自由造成風險等條件。
處理個人資料要有合法基礎
第六條第一項列出六種合法基礎，處理行為至少要符合其中之一：資料主體同意、履行契約或應資料主體要求在締約前採取的步驟、履行法定義務、保護重大利益、執行公共利益任務，以及控管者或第三方的正當利益。網站上的常見情境可以這樣對應：
- 回覆詢價、處理訂單：可能屬於契約或締約前步驟。
- 寄送行銷電子報：可能以同意為基礎，要能證明對方確實同意。
- 網站安全與防詐：可能主張正當利益，但要和資料主體的權利自由權衡。
- 依法保存交易紀錄：可能屬於法定義務。
第十三條要求直接向資料主體蒐集時，告知處理目的與法律依據，所以合法基礎要在處理之前決定，並寫進英文版的隱私權政策。
同意的條件與 Cookie 的事先同意
以同意為基礎時，條件比一般想像嚴格。前言第三十二點說明，沉默、預先勾選的方框或不作為都不構成同意；第七條第三項規定資料主體有權隨時撤回同意，而且撤回應與給予同意一樣容易。預設打勾的訂閱選項，或只有「同意」沒有「拒絕」的橫幅，都要重新檢查。
Cookie 另有一層規範。歐盟電子隱私指令第五條第三項規定，在使用者的終端設備儲存資訊或讀取已儲存的資訊，原則上要取得同意，例外是僅為傳輸通訊所需，或為提供使用者明確要求的服務所嚴格必要者。實務上常見的做法是：分析與廣告用途的 Cookie 在訪客同意後才寫入或讀取；而 Cookie 識別碼可能屬於個人資料，同意本身也要符合上述條件。同意橫幅與 Google 同意聲明模式的運作，見網站 Cookie 是什麼。
資料主體的權利與網站要提供的資訊
第十三條列出直接蒐集時要提供的資訊，包括控管者的身分與聯絡方式、處理目的與法律依據、資料的接收者或接收者類別、是否打算傳輸到第三國，以及資料保存期間。資料主體的權利則規定在第十五條至第二十二條：
- 查閱權（第十五條）、更正權（第十六條）
- 刪除權，也稱被遺忘權（第十七條）
- 限制處理權（第十八條）、資料可攜權（第二十條）
- 反對權（第二十一條）、不受僅基於自動化處理（含建立個人輪廓）的決定拘束（第二十二條）
網站要提供明確的請求管道，例如專用信箱或表單，並建立確認身分、在期限內回覆的內部流程，第十二條對回覆的方式與期限有規定。中文政策的段落架構可參考隱私權政策範本的檢查清單，英文版再依上述項目補齊。
跨境傳輸、委外處理與資料外洩
第五章規範把個人資料傳到歐盟以外的條件。例如歐洲經銷商或子公司把客戶資料傳回台灣，或歐盟的資料存放到歐盟以外的雲端服務：
- 適足性認定（第四十五條）：歐盟執委會認定某國保護程度足夠時，資料可以傳往該國而不需額外保護措施，名單可在執委會網站查詢。
- 適當保護措施（第四十六條）：沒有適足性認定時，可以採用執委會預先核准的標準契約條款等機制。
委託廠商處理資料時，第二十八條對控管者與處理者之間的契約內容有要求。發生個人資料外洩時，第三十三條要求控管者無不當延遲地通知監管機關，第三十四條則規定可能對個人權利自由造成高風險時，也要通知資料主體。依處理規模與性質，還可能涉及資料保護影響評估（第三十五條）與指定資料保護長（第三十七條）。
企業網站的 GDPR 檢查清單
- 依目標市場、語言與貨幣、廣告投放對象、是否有歐盟據點，判斷是否可能適用。
- 盤點表單、會員、電子報與追蹤代碼，逐項寫出處理目的與合法基礎。
- Cookie 橫幅在同意前不載入分析與廣告代碼，拒絕和同意一樣容易，並可隨時撤回。
- 英文隱私權政策涵蓋第十三條要求的資訊，英文網站的規劃可參考英文網頁設計規劃。
- 建立權利請求窗口與處理流程。
- 檢查委外廠商的契約與資料傳輸機制。
- 確認是否需要指定歐盟代表，並準備資料外洩的應變流程。
以上只是檢查方向，正式判斷請以歐盟官方條文、監管機關公告或專業意見為準。
常見問題
網站有英文版，就一定要遵守 GDPR 嗎？
不一定。英文在許多國家通用，單憑英文版不足以認定以歐盟為對象。要綜合報價幣別、配送地區、行銷與廣告投放對象等因素，依實際的目標市場評估。
用電子郵件開發歐洲客戶，會涉及 GDPR 嗎？
可能會。開發信會處理對方的姓名與電子郵件，對象在歐盟時要確認處理的合法基礎與退訂方式；第十四條對不是直接向本人取得的資料，另有告知要求。
只用 Google Analytics 看流量，也需要訪客同意嗎？
分析用途是否屬於嚴格必要的例外，請以當地監管機關見解或專業意見為準。保守的做法是在訪客同意後才載入分析代碼，並在隱私權政策中說明用途。
GDPR 和台灣個資法有什麼不同？
兩者都要求告知與尊重當事人權利，但架構不同，例如 GDPR 明列六種合法基礎，並規定資料可攜權與跨境傳輸機制。符合其中一部，不代表另一部的要求已經滿足，面對兩地客戶要分別檢查。
小公司也要遵守 GDPR 嗎？
是否適用看的是處理誰的資料、在什麼情境下處理，條文沒有因為公司規模而全面排除。部分義務，例如處理活動紀錄，對規模較小的組織另有例外條件，要逐條確認。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
如果網站正準備經營歐洲市場，建議先依本文的檢查清單盤點表單、追蹤代碼與英文隱私權政策，再請熟悉歐盟法規的專業人士確認適用範圍。京采的英文／跨國 Google SEO 服務在規劃英文網站與海外曝光時，會一併整理 Cookie 同意設定、表單告知位置與政策頁的架構，讓網站上線前就把這些環節準備好。想討論你的海外網站規劃，歡迎與我們聯繫。
