EP135系統是外包的，出包就不干我的事？個資的日常紅線：蒐集、處理、利用與委外（中）

（本集單口，收聽如留言連結）

Pi拍錢包（拍付國際）個資外洩，約350萬名用戶受影響，官方端出的補償，是每戶一張500元的超商飲品優惠券。消息一出，網路上罵聲一片。

如果您就是那350萬分之一，這張券您收得下去嗎？

大家對個資外洩都很敏感，也很容易動氣（當然）。不過，如果把鏡頭換到企業主、主管這一側，您會發現一件事：很多時候踩到個資法紅線，不是因為駭客太厲害，而是內部的『日常手滑』。像是客服忘了把『拒絕行銷』的標籤更新到會員主檔，業務隔天照樣發簡訊；或是寄研討會通知，疏忽把整份報名清冊夾在附件裡送出去。這些聽起來像日常小錯，在個資法上，嚴重的甚至是必須通報的『個資事故』。

這集是個資法系列的中集。上集我們談了個資法這兩年的修法動態、和為什麼對個人和企業都很重要，中集我們把視角從法規條文拉回日常業務，走一遍個資的『一生』：從蒐集的最小化原則、處理的法人格邊界，到利用時最容易出事的利用『目的外利用』及『違法行銷』。同時，也把『當事人權利』講清楚：給對方拒絕行銷、請求刪除的管道是義務，不過這不等於企業得無條件照單全收。

再來，這集我也特別把商業上最常見的的『委外』行為，做個資的適法分析介紹。很多老闆有個錯覺：『系統是外包的，出包當然算廠商的。』但在個資法上，受託廠商闖的禍，是直接『視為業主自己的行為』。北投一家溫泉酒店、還有誠品線上的裁罰案例，都在講同一件事：外包，不是卸責的擋箭牌。真正能拿來自保的，只有把選商、合約資安條款、定期稽核並留記錄這幾件事做實。

這集內容，我們實際的從個資保護管理制度的作法予以介紹，希望對各位有所幫助。

個資合規，管的不是你有沒有壞心，而是你每個動作有沒有守規矩。

本集時間軸

01:23 Pi拍錢包外洩：優惠券補償引民怨，企業面臨法律和公關雙重風險

03:35 監管升級：修法把罰鍰最重1,500萬，通報義務和行政檢全面收緊

05:36 業務防雷：漏標拒絕行銷、誤夾名單，都是可能通報的個資事故

07:56 釐清定義：連得到人就算個資，貫穿個資生命週期核心是特定目的

10:28 最小化原則：沒必要就別蒐集身分證，丟掉『先拿再說』的舊心態

12:48 告知義務：隱私權政策門面，目的少列一項，後續是重新取得同意成本

15:48 降低爭議：告知做足是尊重當事人自主權，充分知情下的同意才站得住

17:10 品牌信任：和雲租車曾把個資分享給整個集團，條款開太寬，流失客戶信任

18:20 舉證防線：告知方式沒有法定形式，但同意的軌跡要留，這是遵法護城河

20:29 合法事由：蒐集個資事由：契約關係或當事人同意，主張『我沒侵害』不穩

21:39 電商實務：只要充分告知，當事人沒拒絕又提供了資料，法律上是推定同意

23:25 集團迷思：同一法人內部流通算『處理』，傳給獨立法人子公司就踩線

25:12 行銷地雷：保固名單不能拿去行銷，目的外利用最重可能碰到刑事責任

27:30 法定權利：當事人有權請求刪除、索取複本，這些不能要求預先拋棄

29:38 被遺忘權：米迪亞暴龍假球案的主角，曾想用它要求媒體下架不利報導

30:52 權利行使：管道要給，但不代表當事人一開口就得無條件照辦

33:00 委外地雷：外包不是擋箭牌，受託廠商出包，法律上視同業主違法

35:10 連帶賠償：委外系統遭駭，法院判酒店和系統商都得負賠償責任

37:10 委外防禦：選商、合約資安條款、定期稽核三件事做實，堵住外部死角

39:10 日常盲點：寄錯信、夾錯檔案都算個資事故，防護不能只盯著防駭客

40:00 總結

個資系列還有下集，我們會把『出事之後』的通報、應變到責任處理走完，歡迎各位持續追下去。