跳到內容
公司學 101

個資保護與數位服務義務的地區差異

個資保護與數位服務義務的地區差異

Section titled “個資保護與數位服務義務的地區差異”

比較範圍與時點

Section titled “比較範圍與時點”

本頁比較 Taiwan、United Kingdom、European Union 與 United States（以 California 為代表）四個法域的官方個人資料保護入口，查核日為 2026-07-31。比較對象限於一般營利事業在日常經營與線上服務中處理個人資料的義務：哪一個機關主管這件事、什麼樣的處理才是合法的、當事人有哪些可主張的權利、資料外洩要在什麼情況下通報誰與多久內通報、跨境傳輸要走什麼機制、在使用者裝置上存取資訊（cookie 與各種追蹤技術）要滿足什麼條件、兒童資料有沒有特別規則，以及有沒有登記、指定人員或事前評估的義務。

不涵蓋的範圍要先講清楚：受管制產業（金融、醫療、電信、博弈）的專門個資規則、公部門與情報機關的處理、電子監控與執法取證、國家層級的資通安全與關鍵基礎設施法制、網路內容管理與平台責任、電子簽章與電子支付、人工智慧的專門立法、以及任何個案的合法性判斷或訴訟策略。本頁不替讀者判斷某一次處理是否合法，也不是法律意見。

有一件事必須放在最前面，因為它決定了本頁的寫法。這是 fact：個資領域的具體數字——通報時限、罰鍰上限、適用門檻、費率——更新頻率遠高於教材更新頻率，而且在本次查核中，四個法域裡有兩個正處於制度轉換的中途（台灣的主管機關條文已修正但尚未施行；英國的跨境傳輸條文已於 2026 年 2 月被國內法刪除改寫）。這是 inference：在這種狀態下，一份看似完整的義務清單比一份誠實的查核路徑更危險，因為它會讓讀者以為自己已經查過了。因此本頁把重心放在「哪個機關訂這件事、去哪一頁查、要問什麼問題」，只寫出作者在查核日親自開啟官方頁面並確認內容確實呈現的條文與數值，其餘一律標示為未知／需查證，並指名應該去問哪一個機關。

還有一項刻意的取捨要說明。本頁原本規劃納入 Singapore，但在查核日 Singapore Statutes Online 對本次擷取回傳 403，Personal Data Protection Commission 的說明頁只回傳頁首與導覽而未呈現正文，其外洩通報指引的 PDF 則無法擷取文字。依本專案的來源紀律，不得改用律師事務所摘要、新聞報導或合規廠商頁面補上，因此 Singapore 已自本頁比較範圍中移除，並記入下方的查核失敗紀錄。這是結果，不是省略——讀者若要處理新加坡的個資義務，應直接向該地主管機關查核。

通用原理不會因國名改變。隱私與資安 談的「先盤點你到底持有什麼資料、為什麼持有、持有多久」在四地都成立；預設隱私 的思路也不會因為法律不同而失效。但「誰是主管機關、什麼理由算合法、外洩幾天內要通報誰、資料能不能送出境」必須逐地查。員工個資與工作監看的部分請另見 僱傭與承攬的地區比較；實體登記與代表權層面請見 成立與治理的地區比較。

共同比較框架

Section titled “共同比較框架”

對每個候選法域、每一個你實際持有當地居民個人資料的地點，建立同一張表。先填來源與日期，再填答案；填不出來的格子留白並標為未知，不要用印象補。這張表的每一列都對應一個「答錯會被裁罰、被要求刪除資料，或被客戶依約求償」的問題。

  1. 適用範圍： 這部法律依什麼連結點適用到你身上——實體登記地、營業所在地、資料主體所在地，還是提供服務的對象所在地？沒有當地實體是否仍然適用？有沒有指定當地代表的義務？
  2. 主管機關： 誰是這件事的主管機關？它在哪裡公告規則、受理通報與申訴？現在是不是正在移轉權責？（這一格最容易被忽略，也最容易在轉換期填錯。）
  3. 保護客體： 什麼算個人資料？識別性的判準是什麼？有沒有一類「敏感／特種」資料受更嚴格的規範，清單包含哪些項目？去識別化到什麼程度才不再受規範？
  4. 合法性基礎： 什麼理由才能合法蒐集與處理？是列舉式清單還是概括原則？同意是唯一路徑還是眾多路徑之一？同意的形式要件是什麼（書面、明示、可撤回）？
  5. 告知義務： 向當事人蒐集時必須主動講什麼？必須在什麼時點講？免告知的情形有哪些？
  6. 當事人權利： 有哪些權利（查詢、閱覽、複製、更正、刪除、停止處理、拒絕行銷、可攜、反對全自動化決策）？回應期限是多久？可否收費？可否預先以契約排除？
  7. 外洩通報： 什麼樣的事件構成應通報事件？通報給誰（主管機關、當事人、目的事業主管機關）？期限以小時、日還是「合理期間」計？有沒有以受影響人數為門檻的額外通報？留存紀錄的義務是什麼？
  8. 跨境傳輸： 送出境要有什麼依據（適足性認定、標準契約條款、拘束性企業規則、當事人同意、其他例外）？主管機關有沒有限制特定接受國的權力？使用境外雲端服務算不算傳輸？
  9. 裝置端存取與追蹤： 在使用者終端裝置存放或讀取資訊（cookie、SDK、像素、指紋辨識）要不要同意？哪些用途豁免？豁免的判準是「嚴格必要」還是別的？
  10. 兒童資料： 有沒有年齡門檻？門檻以下需要誰的同意？有沒有針對兒童的設計義務或行銷限制？
  11. 組織性義務： 要不要登記或報備？要不要指定資料保護人員（data protection officer）？要不要做事前風險評估？要不要維持處理活動紀錄？要不要訂定安全維護計畫？
  12. 契約傳導： 你的客戶或供應商在合約裡加了什麼個資條款？那些條款是否引用了你尚未查核過的法域？違約的後果是什麼？

每一格都標上 fact（官方頁面明文）、inference（作者依官方文字推得）或未知。把「官方頁面有寫」和「我認為適用於我」分開記，是這張表唯一真正的價值。填完之後，把「未知」欄位的數量當成風險指標：未知越多，在該地開始蒐集資料前需要的專業協助就越多。第 12 列尤其值得單獨追蹤，因為它是唯一一列的內容不是由法律決定，而是由你自己簽下的合約決定——而合約可以讓你承擔比法律更重的義務。

各地差異

Section titled “各地差異”

一層共同的詞彙，但沒有一層共同的法律

Section titled “一層共同的詞彙，但沒有一層共同的法律”

四地文件都會出現「個人資料」「同意」「當事人權利」「外洩通報」「跨境傳輸」這些看似對應的詞。它們指向類似的直覺，但涵蓋範圍、判準與後果都不同。本頁原本打算引用 OECD 的隱私原則作為一層跨法域的中性詞彙，但在查核日 OECD 的相關頁面對本次擷取回傳 403，其法律文件 PDF 亦無法擷取文字（見查核失敗紀錄），因此本頁不引用它，也不憑印象複述其內容。

可以誠實說出來的中性觀察只有一句，而且它是 inference 而非任何一部法律的明文：在下面四節逐條核實的內容裡，「目的必須先確定」「處理要限於必要範圍」「資料要保持正確」「要有安全措施」「當事人可以要求更正與刪除」這幾件事，在四個法域的官方文本中都以某種形式出現。這句話的用途是幫你組織問題，不是幫你回答問題——具體到「你這次處理合不合法」，四地的答案可以完全不同。

Taiwan（as-of 2026-07-31）

Section titled “Taiwan（as-of 2026-07-31）”

台灣把個資義務集中寫在一部法律裡，查核入口是全國法規資料庫的個人資料保護法。該法頁面標示修正日期為民國 114 年 11 月 11 日（即 2025-11-11）（fact，查核日 2026-07-31）。

先講最重要、也最容易填錯的一格：主管機關現在是誰，本頁標為未知／需查證。 該法第 1 條之 1 明文「本法之主管機關為個人資料保護委員會」（fact），但同一頁載明該條為民國 112 年 5 月 31 日增訂，且「一百十二年五月三十一日增訂之第1-1條條文，施行日期，由行政院定之」（fact）；查核日該頁標示此條尚未生效。第 56 條亦明文「本法施行日期，由行政院定之」（fact）。第 22 條（主管機關之檢查權）在查核日同樣標示為經 114 年 11 月 11 日修正、施行日期由行政院定之、最後生效日期未定（fact）。也就是說，個人資料保護委員會這個機關已經寫進法律，但本頁無法確認它在查核日是否已依行政院命令正式承接權責，因此「現在該向誰通報、向誰申訴」在台灣一格標為未知／需查證，應以行政院的施行日期命令與該委員會（或其籌備機關）的公告為準。這是本頁對台灣讀者最重要的一句提醒：不要因為法條寫了就假設它已經生效。

保護客體與敏感資料有明文。第 6 條原則上禁止蒐集、處理或利用「病歷、醫療、基因、性生活、健康檢查及犯罪前科」之個人資料，並列出法律明文規定、公務機關執行法定職務或非公務機關履行法定義務且有適當安全維護措施、當事人自行公開或已合法公開、學術研究且經去識別化、經當事人書面同意等例外（fact）。請注意最後一項的形式要件是書面同意，且該條另設有「不得逾越特定目的必要範圍」與「違反其他法律規定」之限制——特種資料在台灣不是「拿到同意就好」。

合法性基礎採列舉式，而且同意只是其中一款。第 19 條規定非公務機關對個人資料之蒐集或處理，除特種資料外，「應有特定目的」，並符合下列情形之一：「一、法律明文規定。二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。三、當事人自行公開或其他已合法公開之個人資料。四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。五、經當事人同意。六、為增進公共利益所必要。七、個人資料取自於一般可得之來源。……八、對當事人權益無侵害。」（fact）。「應有特定目的」是前提，八款是選項——兩者是「且」不是「或」，這一點常被誤讀成「只要符合八款之一就好」。

告知義務具體到項目層級。第 8 條規定依第 19 條向當事人蒐集個人資料時，「應明確告知當事人下列事項：一、公務機關或非公務機關名稱。二、蒐集之目的。三、個人資料之類別。四、個人資料利用之期間、地區、對象及方式。五、當事人依第三條規定得行使之權利及方式。六、當事人得自由選擇提供個人資料時，不提供將對其權益之影響。」（fact）。該條另設有六項免為告知之情形，包括法律規定得免告知、為免妨害公務機關執行法定職務、為免妨害公共利益、當事人明知應告知內容，以及非營利且對當事人無不利影響等（fact）。這六款的具體文字本頁未逐字核實，標為需查證。

當事人權利不得預先拋棄，這是台灣一個結構性強項。第 3 條規定「當事人就其個人資料依本法規定行使之下列權利，不得預先拋棄或以特約限制之：一、查詢或請求閱覽。二、請求製給複製本。三、請求補充或更正。四、請求停止蒐集、處理或利用。五、請求刪除。」（fact）。實務上的意義很直接：在使用條款裡寫「使用者同意放棄查詢與刪除權」在台灣沒有效力。回應這些請求的期限與得否收費本頁未核實，標為需查證，應向主管機關與該法施行細則查核。

資料正確性與刪除有主動義務。第 11 條規定應維護個人資料之正確，「並應主動或依當事人之請求更正或補充之」；正確性有爭議時應停止處理或利用，但執行職務或業務所必需或經當事人書面同意者不在此限；「個人資料蒐集之特定目的消失或期限屆滿時」應主動或依請求刪除、停止處理或利用；違反本法蒐集、處理或利用者應刪除並停止；因可歸責事由未更正之資料，更正後應通知曾提供利用之對象（fact，本頁依該頁呈現之條文結構整理，個別文句未逐字複製者標示為整理而非引用）。

外洩通報的結構值得逐字看，因為它把「通知」與「通報」分成兩件事。第 12 條規定：「公務機關或非公務機關知悉所保有之個人資料被竊取、竄改、毀損、滅失或洩漏時，應通知當事人。前項情形符合一定通報範圍者，公務機關或非公務機關應通報下列機關：一、公務機關：向主管機關及依第二十一條之一第一項規定收受其實施情形之機關通報。二、非公務機關：向主管機關通報。主管機關受理通報後，並轉知其目的事業主管機關。第一項情形，公務機關或非公務機關應採取即時有效之應變措施，防止事故之擴大，及記載相關事實、影響、已採取之因應措施，並保存相關紀錄，以備主管機關查驗。前三項應通知或通報之內容、方式、時限與通報範圍、應變措施、紀錄保存及其他相關事項之辦法，由主管機關定之。」（fact）。請注意最後一句：通報的時限與範圍不在法律裡，而在主管機關另訂的辦法裡。本頁未取得該辦法可逐字核實的官方頁面，因此台灣的外洩通報時限與一定通報範圍標為未知／需查證——這正是本頁最不願意讓讀者憑印象填的一格。

跨境傳輸採「原則自由、例外限制」，方向與歐盟相反。第 21 條規定：「非公務機關為國際傳輸個人資料，而有下列情形之一者，主管機關得限制之：一、涉及國家重大利益。二、國際條約或協定有特別規定。三、接受國對於個人資料之保護未有完善之法規，致有損當事人權益之虞。四、以迂迴方法向第三國（地區）傳輸個人資料規避本法。」（fact）。這是條文結構層次的重要差異：台灣的預設是可以傳輸，主管機關在特定情形「得限制之」；下一節會看到，歐盟與英國的預設方向是必須先具備依據。主管機關現行針對特定國家或行業所發布之限制公告，本頁未核實，標為需查證。

行銷有專門的拒絕權。第 20 條規定非公務機關利用個人資料應於蒐集之特定目的必要範圍內，並列出得為特定目的外利用之例外情形；就行銷則明文「非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷」，且「非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用」（fact）。「並支付所需費用」這五個字值得記住：拒絕行銷的成本由發送方負擔，不能轉嫁給當事人。

台灣的以下項目本頁未取得可逐字核實的官方頁面，一律標為未知／需查證： 安全維護義務的現行條文位置與內容（第 27 條在查核日該頁顯示為「（刪除）」，且註明係經 114 年 11 月 11 日修正、施行日期由行政院定之，因此本頁無法確認查核日實際適用的是修正前或修正後版本）；外洩通報之時限與一定通報範圍；當事人權利請求之回應期限與收費規定；cookie 與線上追蹤技術之同意要求；兒童個資之年齡門檻與法定代理人同意規則；資料保護人員之指定義務；以及事前風險評估義務。這些應向該法之主管機關（依第 1 條之 1 為個人資料保護委員會，惟該條施行日期尚待確認）及各目的事業主管機關查核。

European Union（as-of 2026-07-31）

Section titled “European Union（as-of 2026-07-31）”

歐盟的規範核心是 Regulation (EU) 2016/679，全名為「Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)」（fact，EUR-Lex，查核日 2026-07-31）。它是 regulation 而非 directive，這個區別對讀者有實際意義：regulation 在成員國直接適用，不需要各國另行轉換立法，但成員國仍在若干條文上保有調整空間（下面的兒童年齡就是最明顯的例子）。

原則層採概括式，與台灣的列舉式形成對比。第 5 條第 1 項規定個人資料應「processed lawfully, fairly and in a transparent manner in relation to the data subject」（合法、公平、透明）；「collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes」（目的限制）；「adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed」（資料最小化）；「accurate and, where necessary, kept up to date」（正確性）；「kept in a form which permits identification of data subjects for no longer than is necessary」（儲存期限限制）；以及「processed in a manner that ensures appropriate security of the personal data」（完整性與機密性）（fact，EUR-Lex）。

合法性基礎是六款清單，同意只是第一款。第 6 條第 1 項規定處理僅在下列情形之一時為合法：「(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes; (b) processing is necessary for the performance of a contract; (c) processing is necessary for compliance with a legal obligation; (d) processing is necessary to protect the vital interests of the data subject; (e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority; or (f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party.」（fact，EUR-Lex）。第 (f) 款的 legitimate interests 是實務上最常被用、也最常被誤用的一款——它需要衡量，不是勾選；具體的衡量方法與舉證要求本頁未核實，標為需查證。

外洩通報有明確的小時數，而且它是本頁少數願意寫出具體數字的例外，因為它直接寫在條文裡而非下位辦法裡。第 33 條第 1 項規定：「In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of the personal data breach, notify the personal data breach to the supervisory authority unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons.」（fact，EUR-Lex）。三個限制要一起記：起算點是「having become aware」而不是事故發生時；七十二小時前面還有一個更嚴的「without undue delay」；而且低風險事件可以不通報——但判斷是否低風險的責任在你自己身上。

歐盟的以下項目本頁未能自 EUR-Lex 逐字核實（該頁在本次擷取中僅呈現前言與部分條文），一律標為未知／需查證： 第 8 條之兒童同意年齡門檻與成員國調整範圍、第 15 條至第 22 條各項當事人權利之具體內容與回應期限、第 35 條之資料保護影響評估要件、第 37 條之資料保護人員指定要件、第 44 條至第 49 條之跨境傳輸機制、以及裁罰上限。其中若干項目本頁改由英國版本核實（見下一節），但英國版本自 2021 年起已與歐盟版本分流，且在 2025 至 2026 年間經國內法大幅修正，不得反推歐盟現行內容。歐盟側應向 European Data Protection Board 與各成員國之 supervisory authority 查核。另外，各成員國依 GDPR 保留空間所訂之國內法（例如僱傭脈絡、國民識別碼、兒童年齡）本頁完全未涵蓋，一律標為需查證。

United Kingdom（as-of 2026-07-31）

Section titled “United Kingdom（as-of 2026-07-31）”

英國是本頁核實最完整的一節，原因很單純：legislation.gov.uk 對本次擷取正常回應，而 Information Commissioner’s Office（ICO）的指引頁在查核日回傳 403。這帶來一個必須明說的偏誤：本節寫的是法律條文，不是主管機關的執法見解。在個資領域，主管機關的指引往往決定條文在實務上怎麼被要求，因此本節的完整度不應被誤讀為「英國的部分你已經查完了」。

制度由兩層構成。Data Protection Act 2018（2018 c. 12）的頁面顯示為「Latest available (Revised)」版本，並載明「Data Protection Act 2018 is up to date with all changes known to be in force on or before 29 July 2026」，其 Part 標題依序為 PART 1 Preliminary、PART 2 General processing、PART 3 Law enforcement processing、PART 4 Intelligence services processing、PART 5 The Information Commissioner（fact，legislation.gov.uk，查核日 2026-07-31）。另一層是保留於英國國內法的 Regulation (EU) 2016/679，在 legislation.gov.uk 上以「United Kingdom General Data Protection Regulation」為名呈現，其第 33 條頁面載明「up to date with all changes known to be in force on or before 31 July 2026」（fact）。

原則層與歐盟同源但文字已有差異。第 5 條標題為「Principles relating to processing of personal data」，第 1 項各款包括「processed lawfully, fairly and in a transparent manner in relation to the data subject」、「collected (whether from the data subject or otherwise) for specified, explicit and legitimate purposes and not further processed by or on behalf of a controller in a manner that is incompatible with the purposes for which the controller collected the data」、「adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed」、正確性、儲存期限限制與安全性；第 2 項為「The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1」（fact，legislation.gov.uk）。請比對第 (b) 款：英國版本插入了「(whether from the data subject or otherwise)」與「by or on behalf of a controller」等文字，歐盟版本沒有。這是分流已經發生的具體證據，也是為什麼「查英國就等於查歐盟」是錯的。

外洩通報的時限相同、對象不同。第 33 條第 1 項規定：「In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the Commissioner, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons.」（fact）。歐盟版本寫的是「the supervisory authority」，英國版本直接寫「the Commissioner」——同一個七十二小時，通報對象是英國的 Information Commissioner。

兒童同意的年齡是十三歲，而且條文直接寫死。第 8 條第 1 項規定：「Where point (a) of Article 6(1) applies, in relation to the offer of information society services directly to a child, the processing of the personal data of a child shall be lawful where the child is at least 13 years old. Where the child is below the age of 13 years, such processing shall be lawful only if and to the extent that consent is given or authorised by the holder of parental responsibility over the child.」（fact，legislation.gov.uk）。請特別注意這一句的適用條件：它只在以同意為合法性基礎（point (a) of Article 6(1)）且直接向兒童提供 information society services 時才觸發。用其他合法性基礎處理兒童資料時，這條年齡門檻並不當然適用——這是實務上最常被略過的限制。歐盟版本的對應年齡與成員國調整範圍本頁未能核實，標為需查證；不要假設歐盟也是十三歲。

當事人權利的條文已被國內法改寫過。第 15 條標題為「Right of access by the data subject」，第 1 項規定資料主體有權向控制者取得其個人資料是否被處理之確認，並取得該資料及下列資訊：處理目的；資料類別；接受者或接受者類別，特別是第三國或國際組織之接受者；預計儲存期間或決定期間之標準；請求更正、刪除、限制處理或反對處理之權利；「the right to make a complaint to the controller under section 164A of the 2018 Act」；「the right to make a complaint to the Commissioner under section 165 of the 2018 Act」；資料非自資料主體蒐集時之來源資訊；以及「the existence of automated decision-making, including profiling, which is subject to the requirement to provide safeguards under Article 22C」及其邏輯、意義與預期後果之有意義資訊（fact，legislation.gov.uk）。這段有兩個訊號：條文已插入向控制者本身申訴的新權利（section 164A），且全自動化決策的規範已被移到 Article 22C 等新條號。英國全自動化決策條文（Article 22A 至 22D）之具體內容本頁未核實，標為需查證；本頁嘗試開啟第 22 條頁面時僅取得標題「Automated individual decision-making, including profiling」而未取得條文本文。

事前評估有明文門檻。第 35 條標題為「Data protection impact assessment」，第 1 項規定：「Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall, prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of personal data.」；第 3 項所列應辦理評估之情形包括「systematic and extensive evaluation of personal aspects relating to natural persons which is based on automated processing, including profiling, and on which decisions are based that produce legal effects concerning the natural person or similarly significantly affect the natural person」、「processing on a large scale of special categories of data referred to in Article 9(1), or of personal data relating to criminal convictions and offences referred to in Article 10」，以及「systematic monitoring of a publicly accessible area on a large scale」（fact）。

資料保護人員的指定義務有三款要件。第 37 條第 1 項規定於下列情形應指定 data protection officer：「(a) the processing is carried out by a public authority or body, except for courts and tribunals acting in their judicial capacity; (b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or (c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 or personal data relating to criminal convictions and offences referred to in Article 10.」（fact）。關鍵詞是 core activities 與 large scale——單純有員工資料或客戶名單，通常不會落入 (b) 或 (c)，但這句是 inference，不是條文明文，實際判斷應以主管機關指引為準（該指引頁在查核日回傳 403，標為需查證）。

跨境傳輸的架構在查核日正處於已變動的狀態，這是本節最重要的一項發現。 第 44 條（標題「General principle for transfers」）的頁面載明「Art. 44 omitted (5.2.2026) by virtue of Data (Use and Access) Act 2025」，亦即該條已於 2026 年 2 月 5 日被國內法刪除（fact，legislation.gov.uk）。第 46 條（標題「Transfers subject to appropriate safeguards」）第 1 項同樣顯示已於 2026 年 2 月 5 日被刪除，而其第 2 項所列之保障機制則包含公務機關間具法律拘束力且可執行之文件、依第 47 條核准之 binding corporate rules、由 Secretary of State 依 Article 47A(1) 以命令訂定之標準資料保護條款、由 Commissioner 依 2018 年法第 119A 條發布之標準資料保護條款、附有拘束性承諾之核准行為守則，以及附有拘束性承諾之核准驗證機制（fact）。可以誠實說的是：英國的跨境傳輸規則已被重寫，且新的判斷標準散落在被修正後的條文與 Secretary of State 的命令中。英國現行跨境傳輸的完整判斷架構本頁未核實，標為未知／需查證，應向 legislation.gov.uk 之最新版本與 Information Commissioner’s Office 查核。這一格是本頁最不建議讀者憑舊知識填答的地方——任何在 2026 年 2 月之前學到的英國傳輸規則，都必須重新確認。

裝置端存取（cookie 與追蹤）不在 UK GDPR 而在另一部法規，這是很多人找錯地方的一格。The Privacy and Electronic Communications (EC Directive) Regulations 2003 第 6 條規定：「Subject to Schedule A1, a person must not store information, or gain access to information stored, in the terminal equipment of a subscriber or user.」；同條並說明所謂儲存或存取「includes a reference to instigating the storage or access」，且存取「includes a reference to collecting or monitoring information automatically emitted by the terminal equipment」（fact，legislation.gov.uk，該頁顯示之最近修正日期為 2026-02-05）。「instigating」與「automatically emitted」兩個詞把第三方 SDK 與被動指紋辨識都拉了進來，這是條文文字本身的結果，不是解釋。

Schedule A1 是豁免清單，結構值得記住。該表所列之允許情形包括：使用者「is provided with clear and comprehensive information about the purpose of the storage or access, and gives consent to the storage or access」；為在電子通訊網路上傳輸通訊之唯一目的所為之技術性儲存或存取；為提供使用者所要求之 information society service 所「strictly necessary」者；以統計為唯一目的並提供清楚資訊與簡易退出機制之蒐集；為使網站外觀或功能「adapt to the preferences of the subscriber or user」並提供清楚資訊與退出權者；以及為提供緊急協助而接收緊急求助之情形（fact，legislation.gov.uk）。這裡的實務重點是：同意只是六、七條路徑之一，而其中兩條（統計與偏好設定）附帶的是「告知加退出」而非事前同意——把「所有 cookie 都要事前同意」當成通則，在英國會過度設計；把「反正都豁免」當成通則，則會直接違法。Schedule A1 各款之完整文字、條件細節與其相互關係本頁未逐條核實，標為需查證。

英國的以下項目本頁另標為未知／需查證： 主管機關之現行指引與執法立場（ICO 頁面回傳 403）、裁罰上限與計算方式、當事人權利請求之回應期限、處理者與控制者間之契約必要條款，以及登記或費用繳納義務。

United States（California，as-of 2026-07-31）

Section titled “United States（California，as-of 2026-07-31）”

美國沒有一部涵蓋全部民間部門的聯邦個資法，取而代之的是聯邦層級的分業立法加上各州自訂的綜合性法律。這個結構性事實決定了美國這一格的填法：問「美國怎麼規定」本身就是問錯問題，正確的問題是「你的資料主體住在哪一州、你的業務落在哪一部聯邦分業法之下」。本頁只核實 California，因為它是本次查核中官方頁面可讀取的州，並不代表它是最嚴格或最有代表性的州。其餘各州的綜合性個資法本頁完全未涵蓋，一律標為未知／需查證。

主管機關是專責機關，這在美國各州中並不普遍。California Privacy Protection Agency（CPPA）的頁面說明其所訂法規係為「operationalize new rights and concepts introduced by the CPRA to provide clarity and specificity to implement the law」，所實施之法律為 California Consumer Privacy Act（CCPA），並經 Consumer Privacy Rights Act of 2020（CPRA）修正（fact，cppa.ca.gov，查核日 2026-07-31）。

適用門檻以規模而非行為為主，這與前三個法域都不同。CPPA 頁面載明 CCPA 適用於符合下列門檻之營利事業：年度總營收達二千六百六十二萬五千美元以上（該頁註明此金額自 2025 年 1 月 1 日起生效，並連結至其消費者物價指數調整說明）；買賣或分享十萬名以上加州居民或家庭之個人資訊；或年度營收之百分之五十以上來自出售或分享加州居民之個人資訊（fact，cppa.ca.gov）。這一格的實務意義很大：在台灣、歐盟與英國，處理一筆個人資料就落入規範；在加州，小型企業可能完全不在 CCPA 之下——但這不代表它不受其他加州法律（例如下面的外洩通報條文）拘束。這兩套門檻適用不同的法律，不可互相推論。

消費者權利有六項，CPPA 以 LOCKED 六個字母編排：「Right to LIMIT the use and disclosure of sensitive personal information」、「Right to OPT–OUT of the sale of their personal information and the right to opt–out of the sharing of their personal information for cross–context behavioral advertising」、「Right to CORRECT inaccurate personal information that businesses have about them」、「Right to KNOW what personal information businesses have collected about them and how they use and share it」、「Right to EQUAL treatment. Businesses cannot discriminate against consumers for exercising their CCPA rights」、「Right to DELETE personal information businesses have collected from them (subject to some exceptions)」（fact，cppa.ca.gov）。與前三地對照，最值得注意的是「opt-out of sale or sharing」這一項：它預設允許出售與跨脈絡行為廣告分享，由消費者退出；歐盟與英國的架構則要求先有合法性基礎才能處理。方向相反，範本不能互換。

外洩通報寫在另一部法律裡，而且期限相當具體。California Civil Code section 1798.82 第 (a)(1) 款規定：「An individual or business that conducts business in California, and that owns or licenses computerized data that includes personal information, shall disclose a breach of the security of the system following discovery or notification of the breach in the security of the data to a resident of California whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person……」；第 (a)(2)(A) 款規定「Subject to subparagraph (B), the disclosure required by this subdivision shall be made within 30 calendar days of discovery or notification of the data breach.」；第 (a)(2)(B) 款則允許為配合執法之正當需要或為確定外洩範圍與回復資料系統之合理完整性而延後（fact，California Legislative Information，查核日 2026-07-31）。第 (f) 款另規定：「An individual or business that is required to issue a security breach notification pursuant to this section to more than 500 California residents as a result of a single breach of the security system shall electronically submit a single sample copy of that security breach notification, excluding any personally identifiable information, to the Attorney General within 15 calendar days of notifying affected consumers of the security breach.」（fact）。

這一段有三個對照重點。第一，通報對象的預設不同：加州的第一順位是通知受影響的居民，向 Attorney General 送件是超過五百人時的附加義務；歐盟與英國的第一順位是通報主管機關。第二，觸發條件不同：加州以「未加密之個人資訊被未經授權者取得」為判準，歐盟與英國以「是否對權利與自由造成風險」為判準——後者需要判斷，前者相對機械。第三，起算與期限的單位不同：加州是三十個日曆日與十五個日曆日，歐盟與英國是七十二小時。把任何一地的事故應變劇本直接搬到另一地，時間軸會全錯。

美國的以下項目本頁未取得可讀取的官方頁面或未予核實，一律標為未知／需查證： 聯邦層級對兒童線上個資之規範（本頁嘗試開啟 Federal Trade Commission 之兒童隱私頁面時回傳 403，因此不引用其內容，亦不憑印象複述年齡門檻或義務）；金融、健康、教育、通訊等分業聯邦法之適用；加州以外各州之綜合性個資法；加州 CCPA 下之跨境傳輸規則（美國法制一般不以資料出境本身為管制對象，但此為 inference，本頁未核實，不應據以行動）；cookie 與線上追蹤之同意要求；資料保護人員指定義務；以及裁罰金額與私人訴權範圍。這些應分別向 California Privacy Protection Agency、California Attorney General、Federal Trade Commission 及各州主管機關查核。

不可直接互換的答案

Section titled “不可直接互換的答案”

以下是一個很常見的 failed alternative，也是 抄來的合規範本 想講的同一件事的地區版本。一個團隊在台灣把個資作業做得相當紮實：告知事項齊全、拒絕行銷機制可用、當事人權利不預先拋棄。接著他們把 App 開放給歐洲與加州使用者下載，並把中文的隱私權政策翻成英文上架，事故應變手冊裡寫的是「發生外洩時立即通知當事人並依主管機關辦法通報」。

它當時看似合理，因為四地確實都有「個人資料」「同意」「當事人權利」「外洩通報」這些對應概念，而且台灣的作法在許多項目上並不寬鬆。它失效的假設有四個，每一個都可以從上面逐條核實的內容直接讀出來。

第一，合法性基礎的結構不同，翻譯不會改變結構。 台灣第 19 條是「特定目的加上八款之一」；歐盟第 6 條第 1 項是六款清單且 legitimate interests 需要衡量；加州的 CCPA 則根本不用這個框架，而是以規模門檻加上消費者退出權運作。把一份以台灣八款寫成的隱私權政策翻成英文，在歐盟不會自動產生一個有效的合法性基礎。

第二，外洩通報的時間軸與對象完全不同。 歐盟與英國是知悉後七十二小時內通報主管機關，且前面還有「without undue delay」；加州是三十個日曆日內通知受影響居民，超過五百人時再於通知後十五個日曆日內向 Attorney General 送樣本；台灣則是法律要求通知當事人、符合一定通報範圍時通報主管機關，而時限與範圍寫在主管機關另訂的辦法裡（本頁未核實）。一本寫著「立即通知當事人」的應變手冊，在英國會漏掉七十二小時的主管機關通報，在加州會漏掉 Attorney General 的送件。

第三，兒童資料的年齡門檻不能靠記憶。 本頁只核實了英國：以同意為基礎且直接向兒童提供 information society services 時為十三歲。歐盟的門檻與成員國調整範圍、台灣的規則、美國聯邦層級的規則，本頁全部標為需查證。這是本頁最堅持不填的一格——一個記錯的年齡門檻，會讓整個註冊流程從第一天起就違法，而且是對兒童違法。

第四，跨境傳輸的預設方向相反，而且會變。 台灣第 21 條的預設是可以傳輸、主管機關「得限制之」；歐盟與英國的架構是必須先具備依據。更要緊的是，英國的第 44 條已於 2026 年 2 月 5 日被國內法刪除、第 46 條第 1 項同日被刪除——也就是說，即使你三年前查對過英國的傳輸規則，今天也必須重查。

預警訊號很具體，而且不需要法律背景就能看出來：隱私權政策只有一個語言版本加上翻譯，沒有「適用法律」「主管機關」「查核日」三欄；事故應變手冊裡只有一個時限數字；註冊流程只有一個年齡門檻；以及最常見的一個——資料處理清冊裡沒有「資料主體位於哪裡」這一欄。第四項本身就足以說明問題：如果你不知道你的使用者住在哪裡，你就無法知道哪一部法律適用於你。這一步屬於 風險登錄與處理 的盤點功夫，不是法律功夫。

決策與專業協助

Section titled “決策與專業協助”

可以自行研究並且應該自行完成的，是「把表填好」這件事：畫出資料地圖（你持有哪些個人資料、從誰蒐集、為什麼、存在哪裡、誰能存取、保存多久、傳給誰）、對每一個資料主體所在地從官方入口逐格填入主管機關、合法性基礎、告知義務、當事人權利、外洩通報、跨境傳輸、裝置端追蹤、兒童資料與組織性義務、記下每一格的來源網址與查核日、並把填不出來的格子明確標為未知。這一步不需要付費，也沒有人能代替你做，因為只有你知道你的系統裡實際存了什麼。

同樣可自行完成的還有例行執行面：把「新增一個蒐集點就更新一次資料清冊」變成流程而不是靠記憶；為每一個法域準備一份分開的事故應變時間軸（歐盟與英國七十二小時、加州三十個日曆日與十五個日曆日、台灣依主管機關辦法待查），並在演練時實際計時；在每次改版隱私權政策時同步更新查核日；把供應商與雲端服務的所在地列入清冊；以及用 合約與內部控制 把這些檢查點固定成可稽核的紀錄，而不是散落在個人記憶裡。保險、執照與專業協助 討論的「什麼時候該把風險移轉出去」在這裡同樣適用：資料外洩是典型的低機率、高衝擊風險，不適合只用期望值排序。

以下情況應在做出承諾或開始蒐集之前尋求當地合格的個資法律師或資料保護顧問，不要只靠自行研究：

  • 在一個新的司法管轄區開始蒐集個人資料。 只要你的服務對當地居民開放並實際取得他們的資料，就可能觸發當地法律，即使你在當地沒有任何實體。第一個蒐集點會決定告知文字、同意流程與保存政策，而這些一旦寫定，之後每一個使用者都會複製同一個錯誤。
  • 任何一次疑似外洩。 不要等到確認才找人。四地的起算點都與「知悉」或「發現」有關，而不是與「查清楚」有關；在調查期間時鐘已經在走。同時要注意通報對象不只一個：可能同時包含主管機關、當事人、目的事業主管機關與 Attorney General。
  • 任何一次跨境傳輸。 包含使用境外雲端、境外客服外包、境外分析工具，以及把資料庫備份放在另一個地區。英國在 2026 年 2 月的條文變動就是最好的理由：這一格的答案有保鮮期。
  • 任何涉及兒童資料的功能。 包含年齡分級、家長同意流程、以及「我們沒有針對兒童但可能有兒童使用」這種灰色情形。本頁刻意只核實了一個法域的年齡門檻，就是為了讓讀者不要憑印象填這一格。
  • 任何影響個人的全自動化決策。 包含自動核准或拒絕、自動定價、自動風險評分與自動內容處分。英國的相關條文已被重新編號至 Article 22A 至 22D，歐盟的對應規定本頁未核實——這一格在多數法域都有專門規範，且往往附帶說明義務與人工介入的要求。
  • 任何在客戶合約裡加入的資料保護義務，而你尚未驗證自己做得到。 這是最容易被業務壓力推著簽下去的一項。合約可以讓你承擔比法律更重的義務（更短的通報時限、更廣的稽核權、更嚴的子處理者限制），而違約的後果是契約責任，不需要主管機關介入就會發生。簽之前先確認每一條你都能執行、能舉證、且能在你的供應鏈中傳導下去。

諮詢時帶事實，不要只問「這樣可以嗎」。準備好：你的資料清冊與資料流向圖、每一類資料的蒐集目的與法律依據草案、現行的告知文字與同意介面截圖、保存期限政策、供應商與其所在地清單、你已經填好的那張查核表（含未知欄位），以及客戶合約中的個資條款。要求顧問明確區分「法律明文」「主管機關指引」與「依風險提出的建議」，並要求每項建議標註依據與適用時點。若顧問給的答案與官方頁面不一致，請他們指出依據的條文、命令或指引編號。當這件事牽涉到的是真實使用者交給你的資料時，這份紀律不是形式主義，而是最低限度的誠實。

更新紀錄與資料來源

Section titled “更新紀錄與資料來源”

以下逐項記錄本次查核（2026-07-31）中，每個來源實際支持的主張，以及來源自身標示的更新日期。

  • 2026-07-31： 首次查核。全國法規資料庫個人資料保護法總覽頁（頁面標示修正日期為民國 114 年 11 月 11 日）支持該法之名稱、第 2 條個人資料與蒐集、處理、利用之定義，並確認該法為本頁引用之台灣個資主法。
  • 2026-07-31： 個人資料保護法第 1 條之 1 頁面支持「本法之主管機關為個人資料保護委員會」之條文文字，同時支持該條係民國 112 年 5 月 31 日增訂且其施行日期由行政院定之、查核日尚未生效之事實。本頁據此將台灣現行主管機關標為未知／需查證。
  • 2026-07-31： 個人資料保護法第 3 條頁面支持當事人五項權利不得預先拋棄或以特約限制之規定。
  • 2026-07-31： 個人資料保護法第 6 條頁面支持特種個人資料之類別（病歷、醫療、基因、性生活、健康檢查及犯罪前科）與其例外情形包含經當事人書面同意。
  • 2026-07-31： 個人資料保護法第 8 條頁面支持向當事人蒐集時應告知之六款事項；該頁另列有免為告知之情形，本頁未逐字核實而標為需查證。
  • 2026-07-31： 個人資料保護法第 11 條頁面支持資料正確性之主動維護義務、特定目的消失或期限屆滿時之刪除或停止利用義務，及更正後通知曾提供利用對象之義務。
  • 2026-07-31： 個人資料保護法第 12 條頁面支持外洩時應通知當事人、符合一定通報範圍時之通報對象、應變措施與紀錄保存義務，以及「應通知或通報之內容、方式、時限與通報範圍……之辦法，由主管機關定之」。本頁據此將台灣之通報時限與一定通報範圍標為未知／需查證。
  • 2026-07-31： 個人資料保護法第 19 條頁面支持非公務機關蒐集或處理應有特定目的並符合八款情形之一。
  • 2026-07-31： 個人資料保護法第 20 條頁面支持行銷時當事人表示拒絕即應停止，及首次行銷時應提供拒絕方式並支付所需費用。
  • 2026-07-31： 個人資料保護法第 21 條頁面支持國際傳輸之四款主管機關得限制情形。
  • 2026-07-31： 個人資料保護法第 22 條頁面支持主管機關之檢查權存在，同時支持該條經民國 114 年 11 月 11 日修正且最後生效日期未定之事實。
  • 2026-07-31： 個人資料保護法第 27 條頁面於查核日顯示為「（刪除）」，並註明係經民國 114 年 11 月 11 日修正、施行日期由行政院定之。本頁據此無法確認查核日實際適用之安全維護義務條文版本，標為未知／需查證。
  • 2026-07-31： 個人資料保護法第 56 條頁面支持「本法施行日期，由行政院定之」，並支持該頁標示部分條文尚未生效。
  • 2026-07-31： EUR-Lex 之 Regulation (EU) 2016/679 頁面支持該規則之完整名稱與日期、第 5 條第 1 項各項原則、第 6 條第 1 項六款合法性基礎，及第 33 條第 1 項之七十二小時通報規定。該頁在本次擷取範圍內未呈現第 8 條、第 15 條至第 22 條、第 35 條、第 37 條與第 44 條以下之條文本文，本頁據此將歐盟側之對應項目標為需查證。
  • 2026-07-31： legislation.gov.uk 之 Data Protection Act 2018 目次頁（頁面標示 up to date with all changes known to be in force on or before 29 July 2026）支持該法名稱、章號與五個 Part 之標題，及 Information Commissioner 之守則制定職掌。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 5 條頁面支持該條標題與第 1 項各款文字（含英國版本特有之插入文字）及第 2 項之課責規定。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 8 條頁面支持以同意為基礎且直接向兒童提供 information society services 時之十三歲門檻與未滿十三歲須由親權人同意或授權。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 15 條頁面支持查閱權之範圍與應提供之資訊清單，並支持條文已引用 2018 年法第 164A 條與第 165 條，及全自動化決策已移至 Article 22C。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 33 條頁面（頁面標示 up to date with all changes known to be in force on or before 31 July 2026）支持第 1 項之七十二小時通報規定及通報對象為 the Commissioner。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 35 條頁面支持該條標題、第 1 項之高風險事前評估義務，及第 3 項所列三種應辦理評估之情形。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 37 條頁面支持第 1 項三款應指定 data protection officer 之情形，並支持 (a) 款中「and tribunals」係由 Data (Use and Access) Act 2025 於 2025 年 8 月 20 日插入。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 44 條頁面支持該條標題為 General principle for transfers 且已於 2026 年 2 月 5 日依 Data (Use and Access) Act 2025 被刪除。
  • 2026-07-31： legislation.gov.uk 之 UK GDPR 第 46 條頁面支持該條標題、第 1 項已於 2026 年 2 月 5 日被刪除，及第 2 項所列之保障機制清單（含 Secretary of State 依 Article 47A(1) 訂定之標準條款與 Commissioner 依 2018 年法第 119A 條發布之標準條款）。
  • 2026-07-31： legislation.gov.uk 之 Privacy and Electronic Communications (EC Directive) Regulations 2003 第 6 條頁面（該頁顯示之最近修正日期為 2026-02-05）支持不得於使用者終端裝置儲存或存取資訊之原則、Schedule A1 之保留，及「instigating」與「automatically emitted」之擴張定義。
  • 2026-07-31： 同一法規之 Schedule A1 頁面支持所列之允許情形，包括告知加同意、為傳輸通訊之技術性儲存或存取、為提供所要求之 information society service 所嚴格必要者、統計目的並提供簡易退出機制者、網站外觀或功能適應使用者偏好並提供退出權者，及緊急協助情形。各款完整文字未逐條核實，標為需查證。
  • 2026-07-31： California Legislative Information 之 Civil Code section 1798.82 頁面支持第 (a)(1) 款之通知義務與觸發要件、第 (a)(2)(A) 款之三十個日曆日期限、第 (a)(2)(B) 款之延後事由，及第 (f) 款超過五百名加州居民時應於通知後十五個日曆日內向 Attorney General 送交樣本之義務。
  • 2026-07-31： California Privacy Protection Agency 之 FAQ 頁面支持 CCPA 之三項適用門檻（年營收二千六百六十二萬五千美元、十萬名以上加州居民或家庭、營收百分之五十以上來自出售或分享）及 LOCKED 六項消費者權利之文字；該頁註明營收門檻金額自 2025 年 1 月 1 日起生效。
  • 2026-07-31： California Privacy Protection Agency 之 CCPA 法規頁面支持該機關為 CCPA（經 CPRA 修正）之法規制定機關；該頁未呈現消費者權利清單或適用門檻，本頁改由前一項來源支持。
  • 2026-07-31： 查核失敗紀錄。以下官方頁面在查核日無法讀取或未呈現所需內容，其可能支持之主張一律未被本頁採用，亦未以任何次級來源（律師事務所摘要、新聞報導、合規廠商頁面）替代：
    1. https://sso.agc.gov.sg/Act/PDPA2012（Singapore Statutes Online，403）。
    2. https://sso.agc.gov.sg/Act/PDPA2012?ProvIds=P1XA-（Singapore Statutes Online，403）。
    3. https://www.pdpc.gov.sg/report-data-breach/before-you-report-a-data-breach-3/info（僅回傳頁首與導覽，正文未呈現；頁面標示 24 Jul 2026）。
    4. https://www.pdpc.gov.sg/overview-of-pdpa/the-legislation/personal-data-protection-act/data-protection-obligations（僅回傳頁首與導覽，正文未呈現）。
    5. https://www.pdpc.gov.sg/overview-of-pdpa/the-legislation/personal-data-protection-act（僅回傳頁首與導覽，正文未呈現）。
    6. https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/other-guides/guide-on-managing-and-notifying-data-breaches-under-the-pdpa-15-mar-2021.pdf（PDF 無法擷取文字）。
    7. https://legalinstruments.oecd.org/public/doc/114/114.en.pdf（PDF 無法擷取文字）。
    8. https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0188 及其小寫路徑變體（僅回傳頁首，正文未呈現）。
    9. https://www.oecd.org/en/publications/oecd-guidelines-on-the-protection-of-privacy-and-transborder-flows-of-personal-data_9789264196391-en.html（403）。
    10. https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/（403）。
    11. https://www.ftc.gov/business-guidance/privacy-security/childrens-privacy（403）。
    12. https://oag.ca.gov/privacy/ccpa（網域名稱解析失敗）。
    13. https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679（僅回傳前言與 recitals，條文本文未呈現）。
    14. https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations_en（僅為導覽頁，未呈現實質條文內容）。
    15. https://www.legislation.gov.uk/eur/2016/679/article/22（僅回傳條文標題，第 1 項本文未呈現）。

因上述失敗，本頁做了兩項範圍調整，均為結果而非省略：Singapore 自比較範圍中移除，其個資義務應直接向該地主管機關查核；OECD 之隱私原則不被引用，本頁因此不提供任何宣稱跨法域通用的原則清單。

本頁明確標示為未知／需查證的項目如下，重新查核時應優先處理：

  1. 台灣個人資料保護法第 1 條之 1 之施行日期，及查核日實際承接主管機關權責之機關（向行政院公告與該委員會或其籌備機關查核）。
  2. 台灣外洩事件之通報時限與「一定通報範圍」（依第 12 條授權由主管機關另訂之辦法查核）。
  3. 台灣安全維護義務於查核日之現行條文位置與內容（第 27 條顯示為刪除且施行日期未定，向主管機關查核）。
  4. 台灣第 8 條免為告知之六款情形的完整文字（向全國法規資料庫該條逐款查核）。
  5. 台灣當事人權利請求之回應期限與得否收費（向該法施行細則與主管機關查核）。
  6. 台灣 cookie 與線上追蹤技術之同意要求（向主管機關查核）。
  7. 台灣兒童個資之年齡門檻與法定代理人同意規則（向主管機關查核）。
  8. 台灣資料保護人員指定義務與事前風險評估義務（向主管機關查核）。
  9. 台灣主管機關現行針對特定接受國或行業所發布之國際傳輸限制公告（向主管機關查核）。
  10. 歐盟 GDPR 第 8 條之兒童同意年齡與成員國調整範圍（向 EUR-Lex 條文本文與各成員國 supervisory authority 查核）。
  11. 歐盟 GDPR 第 15 條至第 22 條各項權利之內容與回應期限（向 EUR-Lex 與 European Data Protection Board 查核）。
  12. 歐盟 GDPR 第 35 條、第 37 條之要件與第 44 條至第 49 條之跨境傳輸機制（向 EUR-Lex 查核；不得以本頁英國版本反推）。
  13. 歐盟 legitimate interests（第 6 條第 1 項第 (f) 款）之衡量方法與舉證要求（向 European Data Protection Board 查核）。
  14. 歐盟各成員國依 GDPR 保留空間所訂之國內法（向各成員國 supervisory authority 查核）。
  15. 歐盟與英國之裁罰上限與計算方式（向各主管機關查核）。
  16. 英國全自動化決策條文 Article 22A 至 22D 之內容（向 legislation.gov.uk 查核）。
  17. 英國現行跨境傳輸之完整判斷架構（第 44 條已於 2026-02-05 刪除，向 legislation.gov.uk 最新版本與 Information Commissioner’s Office 查核）。
  18. 英國主管機關之現行指引與執法立場、當事人權利回應期限、控制者與處理者間契約必要條款，及登記或費用繳納義務（向 Information Commissioner’s Office 查核；該站於查核日回傳 403）。
  19. 英國 PECR Schedule A1 各款之完整文字與相互關係（向 legislation.gov.uk 逐款查核）。
  20. 美國聯邦層級對兒童線上個資之規範（向 Federal Trade Commission 查核；該站於查核日回傳 403，本頁不複述任何年齡門檻或義務）。
  21. 美國金融、健康、教育、通訊等分業聯邦法之適用（向各該聯邦主管機關查核）。
  22. 美國加州以外各州之綜合性個資法（向各州主管機關與各州 Attorney General 查核）。
  23. 美國加州之 cookie 與線上追蹤同意要求、資料保護人員指定義務、跨境傳輸規則、裁罰金額與私人訴權範圍（向 California Privacy Protection Agency 與 California Attorney General 查核）。
  24. Singapore 之全部個資義務（向該地主管機關查核；本次查核之官方頁面均無法讀取）。
  25. 跨法域通用之隱私原則清單（原擬引用 OECD，查核失敗；不應以任何次級來源替代）。

以上來源均為主管機關、官方法規資料庫或官方立法入口頁面。更新本頁時應先重開同一官方入口，核對頁面更新日、條文版本與施行狀態；若官方說明與本頁不同，一律以當期法律與主管機關資訊為準。特別提醒：本頁的兩個法域在查核日處於制度轉換中途（台灣的主管機關條文尚待施行、英國的跨境傳輸條文已被重寫），這兩格的答案有明確的保鮮期，任何涉及具體個人資料的決定都不應僅以本頁為依據。