第三方資料

第三方資料（Third Party Data）是指企業從外部數據供應商或數據經紀人購買或交換而來的資訊，這些數據的原始收集者與數據主體（使用者）有直接互動，但購買該數據的企業則沒有。其核心特徵是數據處理者與數據主體之間缺乏直接關係，因此在取得合法處理基礎上極具挑戰性。 根據歐盟《一般資料保護規則》（GDPR）第6條，任何個人資料的處理都必須具備法律基礎，例如明確的同意。對於第三方資料，驗證其原始同意是否有效且涵蓋當前處理目的，是企業的重大合規義務。同樣地，台灣《個人資料保護法》第19條與第20條也嚴格規範了非經當事人同意的特定目的外利用。在ISO/IEC 27701隱私資訊管理系統中，對第三方資料來源的盡職調查與資料處理協議（DPA）是關鍵控制措施，用以管理供應鏈中的隱私風險，並與第一方資料（企業直接收集）及零方資料（使用者主動提供）做出明確區隔。

在企業風險管理中，管理第三方資料的風險需採取系統性方法。第一步是執行「供應商盡職調查」，依據ISO/IEC 27701標準，對數據供應商的合規性進行嚴格審查，包括其數據來源的合法性與使用者同意證明的完整性。第二步是簽訂「資料處理協議（DPA）」，這在GDPR第28條中是強制要求，用以法律形式約束供應商的數據處理行為與安全責任。第三步是落實「數據最小化與目的限制」原則，確保僅採購和處理達成特定業務目的所必需的資料。 例如，一家台灣的金融科技公司，過去依賴第三方信用資料進行風險評估。為符合個資法要求，該公司導入了上述流程，並建立數據資產清冊，追蹤所有第三方資料的來源、法律基礎與生命週期。此舉使其在金管會的金融檢查中合規率提升至99%，並因數據品質提高，壞帳風險預測準確率提升了5%。

台灣企業在處理第三方資料時，主要面臨三大挑戰。第一，「法規認知模糊」，特別是對《個資法》第9條關於間接蒐集個資的告知義務理解不足，常誤認購買來的資料可任意使用。第二，「供應商管理不善」，缺乏對數據來源進行盡職調查的標準流程，難以驗證其合法性，使自身暴露於法律風險中。第三，「技術能力落後」，無法有效追蹤第三方資料的生命週期，導致難以回應當事人的權利請求（如刪除權）。 為克服這些挑戰，建議企業優先建立內部法遵框架，在3個月內完成資料盤點並指派資料保護聯絡人。其次，應在6個月內建立供應商風險評估機制，對高風險供應商進行重新審核。最後，應規劃導入隱私強化技術（PETs），如資料假名化，並在9個月內完成關鍵系統的概念性驗證，以兼顧數據利用與法規遵循。