處理的合法性

處理的合法性（Lawfulness of Processing）是資料保護的核心原則，要求個人資料處理活動必須有明確的法律依據。根據GDPR第6條，處理必須符合以下至少一項條件：當事人同意、契約履行、法律義務、保護重大利益、公共任務或正當利益。台灣《個人資料保護法》第19條亦規定，蒐集、處理或利用個人資料應符合特定目的，並應告知當事人。此原則在ISO/IEC 27701中被納入隱私控制措施的核心要求。若企業無法證明處理活動具備合法基礎，將面臨高額罰鍰（GDPR最高4%年營業額或2000萬歐元）及聲譽損害。這與「處理的合法性」相呼應，是所有隱私活動的起點，而非後續操作的補充說明。企業必須在處理前進行合法性評估，確保每項處理活動都能追溯至具體的法律依據。

實務導入通常分為三步驟：第一步，盤點所有個人資料處理活動及其現有法律基礎，建立處理活動清冊（ROPA）。第二步，針對每一項處理活動進行「合法性測試」，例如當企業主張「正當利益」時，須進行平衡測試（Legitimate Interest Assessment, LIA），評估企業利益是否優於當事人權利。第三步，建立動態監控機制，當法律環境改變（如台灣個資法修正或新法規出台）時，即時更新合法性基礎評估。以台灣零售業為例，某企業在會員資格計畫中同時使用「同意」與「契約履行」作為合法基礎，透過系統標記每筆資料的合法性來源，使合規率提升30%，並在年度個資保護審計中通過率達95%。

台灣企業常見挑戰包括：第一，法規解讀模糊，尤其是「正當利益」的邊界難以界定，建議企業應諮詢法律專業意見並建立內部指引。第二，系統設計與法規脫節，許多企業的資料處理流程在系統設計時未將合法性標記嵌入資料庫，建議導入ISO/IEC 27701標準的隱私設計（Privacy by Design）原則。第三，員工意識不足，導致員工在未獲授權下處理資料。對策應包括：建立員工隱私意識培訓計畫、定期進行個資保護影響評估（DPIA）、以及建立資料處理活動的完整文件化記錄。預計導入期為6-12個月，初期應優先處理高風險處理活動，如大規模客戶資料處理。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Lawfulness of Processing相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家企業。申請免費機制診斷：https://winners.com.tw/contact