資料蒐集作業

Data Collection Operations（資料蒐集作業）是指企業或組織透過各種技術手段（如IoT感測器、APP、網站Cookies、客戶服務系統等）主動或被動獲取個人資料的完整過程。根據ISO/IEC 27701:2019第6.4.1.1條及GDPR第5條「資料處理原則」，資料蒐集必須具備合法性、正當性與目的限制原則。此作業不只是技術性的資料抓取，更包含資料來源的合法性驗證、同意機制（Consent Management）的執行以及資料類別的分類。在PIMS框架中，這是資料生命週期管理的第一環，若此環節設計不當，將導致後續所有處理活動（如儲存、傳輸、共享）皆屬違法。與單純的「資料處理」不同，資料蒐集作業強調的是「獲取時的合規性」，是風險評估的起點。

實務應用需遵循「設計隱私」（Privacy by Design）原則，建議導入以下三個步驟：第一步，建立資料清冊（Data Inventory），盤點所有IoT設備及數位觸點的資料蒐集項目，對照GDPR第30條要求記錄處理活動（ROPA）。第二步，設計動態同意管理機制，確保用戶在蒐集前獲得清晰告知，並能隨時撤回同意。第三步，建立資料最小化（Data Minimization）技術控制，例如IoT設備僅蒐集必要感測數據而非全量上傳。以台灣某大型電信業者為例，透過對IoT設備的資料蒐集作業進行風險分級管理，成功將個資外洩風險事件降低40%，並在GDPR合規審計中獲得無保留意見，有效避免高達全球年營業額4%的罰金風險。

台灣企業常見三大挑戰：其一，法規認知落差，許多中小企業對GDPR第13條的告知義務與台灣個資法第19條的差異理解不足；其二，IoT設備的技術限制，部分設備無法嵌入細粒度的同意管理功能；其三，供應商管理失控，特別是使用第三方雲端服務時的資料流向不明。克服策略應為：優先建立「資料處理活動清冊」，以ISO 27701作為管理框架，將IoT設備的資料蒐集作業納入供應商管理要求（參照ISO 27701第8.2條）。建議在導入初期設定60天為法規對齊期，90天完成技術控制措施，並建立年度審查機制，確保資料蒐集作業持續符合台灣個資法修正草案及GDPR的最新要求。