今年早些時候有個熱鬧的消息，各個網站都有大動作要求訂閱戶重新確認，並明確授權個人資料的分享，到底發生了什麼事呢？

事實上，原來是基於保護自然人的基本權利和自由，尤其是個人資料（以下簡稱「個資」）保護的權利，並為有效因應新興科技就個資使用的變化，歐洲聯盟（European Union）（「歐盟」）於2016年通過「一般性個資保護規則（General Data Protection Regulation, GDPR）。[1]

這部新規定於2018年5月25日開始全面施行，是為了取代1995年通過的舊有個資保護指令（以下簡稱「95指令」）。[2]

GDPR的立法目的乃在設立關於「蒐用（process，相當於臺灣個人資料保護法所規範之蒐集、處理、利用）」自然人個資時的保護規則。另為兼顧衡平在歐盟境內的個資自由流通所帶來的利益，避免一昧為了保護資料主體的權利，就使得個資流通受到過度限制或禁止。[3]

此外，為了確保整個歐盟對自然人個資保護的一致性，並防止保護規範的歧異，而阻礙個資在內部市場的自由流動，歐盟認有必要制定一部規則，為經濟經營者（包括微型與中小型企業）提供明確且透明的規範，並給予會員國內之自然人法律上同樣程度可執行的權利，也讓個資蒐用者或保護者負起一定義務與責任，確保對個資蒐用行為能受到一致的監督。[4]

GDPR規範「誰」的行為？

過往個資保護的規範方式，不夠契合數位網路時代下跨境個資流通的保護需求，例如Google和Facebook等網路科技巨擘即曾不斷爭執他們不受歐盟各國的個資保護法律規範，理由是他們並未在當地設立公司，儘管他們的確在當地蒐用其產品或服務使用者之個資。[5]

此次GDPR擴張適用範圍的變革，反映了解決此類歐盟管轄爭議的想法。也就是說，GDPR的規範對象除了考量「個資蒐用者的『設立地域』」外，也同時考量「個資被蒐用者（或網路使用者）」的觀點。由保護歐盟境內人民的個資觀點來看，縱使蒐用歐盟境內人民個資的公司設立在歐盟境外，該個資蒐用行為仍有可能受到規範。

承上思考，GDPR規範的個資蒐用活動如後：

規範「設立在歐盟境內」的資料管控者或蒐用者

GDPR規範設立在歐盟境內進行個資蒐用活動的資料管控者（controllers）或蒐用者（processors）[6]，不論該個資蒐用活動是否發生於歐盟境內。[7]按照GDPR前言第18點說明：

所謂「設立於歐盟境內」的要求，乃以資料管控者是否透過穩定的安排，有效且確實地開展活動；至於「安排」的法律形式，無論是通過分支機構（分公司）或是具有法人資格的子公司，都不是判斷此點的決定性因素。

規範「設立於歐盟境外」之資料管控者或蒐用者之可能

依GDPR第3條第2項規定，GDPR除了規範設立在歐盟境內進行個資蒐用活動的資料管控者外，亦可能在下列三種情形下，擴及規範設立於歐盟境外的資料管控者：

・基於提供商品或服務所需，針對歐盟境內之資料主體進行個資蒐用行為

設立於歐盟境外的資料管控者，基於提供商品或服務所需（無論提供資料的人是否需要付款購買此商品或服務[8]），針對資料主體進行個資蒐用行為，仍須受到GDPR規範。[9]

至應如何判斷資料管控者的個資蒐用行為，是為了提供歐盟境內資料主體「商品或服務」所需？

按GDPR前言第23點所述，應該要確認是否可以「明顯」看到資料管控者欲向一個或多個歐盟會員國內之資料主體提供服務；例如資料管控者是否提供一種或多種歐盟會員國通常使用的語言或貨幣選擇，令其得以訂購商品和服務的可能性，或提供之內容提及居住於歐盟境內的客戶或用戶之情形，皆可能符合「明顯性」的判斷。

・基於「監控」歐盟境內自然人行為所需，對資料主體進行個資蒐用行為

設立於歐盟境外的資料管控者，基於「監控」發生在歐盟境內之自然人行為所需，而針對資料主體所為的個資蒐用，仍須受到GDPR規範。[10]

在判斷該個資蒐用活動是否構成「監控」資料主體之行為時，應確認：該自然人是否在網路上被追踪，包括利用個資處理技術對於個資的潛在後續使用，例如包括「描繪（建檔）」（profiling）[11]自然人，尤其為了做出與他有關的決定，或分析或預測他的個人偏好，行為和態度。[12]

・進行個資蒐用行為的資料管控者雖非設立於歐盟境內，但所設立之處依據國際公法適用歐盟會員國法律，亦適用GDPR。[13]

分析歐盟的規定後，讓我們回到台灣的脈絡。

與臺灣個人資料保護法規範「境外（域外）效力」之比較

按臺灣個人資料保護法（以下稱「個資法」）第52條第2項規定：公務機關及非公務機關[14]，在臺灣領域外對臺灣人民個人資料蒐集、處理或利用者，亦適用本法。公務機關理當指「我國」之公務機關，則依論理解釋，非公務機關亦應指設立於臺灣之非公務機關或臺灣國民。

循此，則個資法得發生境外效力之情形即針對：設立於我國或具備我國籍之資料管控者，於臺灣境外蒐用臺灣國民個資之行為。此項規定乃延續傳統立法常見就「境外效力」的規範思維，以「國籍」作為境外效力發生的聯繫因素。