當20萬筆個資流向海外，我國的管轄權還剩多少？

今天公部門會議，花半天以上檢視會議資料，然後半天開會，一天就這樣過去了，這是很常見的狀況。

但覺得這是對國家有幫助的事情，當然還是很樂意。

早上本來要寫「酷澎（Coupang）個資外洩」的新聞（見留言），現在才有時間整理。有幾點值得注意：

1.數據境內外的監管？怎麼管？

法律上，我們都很瞭解，不論境內外企業，只要有針對台灣用戶蒐集個資，就有台灣的《個資法》適用。但「商業現實」是，就像這次主管機關遇到的困境：當伺服器跟核心資料都在海外，政府要進行行政檢查、要求說明甚至開罰，執行難度都極高。政府都是如此了，更不用講民間企業對境外公司要做個資法所要求的委外監督管理。

2. 企業該有的 Risk Sense

因此，如果你的公司是使用跨境雲端服務（SaaS），或你是準備出海的新創，這其實是個X-factor。不要覺得「把資料放在國外大廠」就等於免責。當外洩事件發生，第一線面對消費者怒火和信任崩盤的，還是品牌自己。

至少在簽署供應商合約時，即使無法拿到資安稽核權，但底限的個資及資安自評、資料外洩時的通報機制，甚或是損害賠償條款都仍重要。

3. 資料主權的國際風向變化

過去講求資料流動，大家看的是基礎建設等硬條件，但這幾年因為 AI 崛起跟國安考量，「資料主權」的概念越來越強勢。未來跨國營運的「合規成本」絕對只會越來越高，特別是歐盟，大家在估算商業擴張的 ROI 時，務必要把這塊風險予以權衡（包括糾紛及事故處理成本等）。