網站經營者的個資法須知：隱私權政策、表單與 Cookie 怎麼處理

只要網站蒐集到能夠直接或間接識別個人的資料，例如聯絡表單的姓名與電話、會員註冊的電子郵件、電商訂單的地址，就屬於個人資料保護法規範的範圍。對網站經營者來說，最基本的三件事是：蒐集時依規定告知蒐集目的與相關事項、只在特定目的必要範圍內使用、採取適當的安全措施並處理當事人的行使權利請求。放一份隱私權政策是常見的告知方式，但內容必須與實際作法一致，不能直接複製別人的。本文是一般性說明，不構成法律意見，涉及個案請諮詢律師，並以全國法規資料庫的現行條文與主管機關公告為準。

哪些網站資料算個人資料

個人資料包含姓名、出生年月日、身分證統一編號、聯絡方式、財務情況、社會活動等可以直接或間接識別特定個人的資料。網站常見的蒐集情境包括：

另外，病歷、醫療、基因、性生活、健康檢查與犯罪前科等屬於特種個人資料，原則上不得蒐集、處理或利用，除非符合法律規定的例外，如果你的網站涉及這類資料，務必先諮詢專業人士。

蒐集時的告知義務

依個資法的規定，向當事人直接蒐集個人資料時，應明確告知下列事項（細節與例外請以條文為準）：

1. 公務機關或非公務機關名稱。
2. 蒐集的目的。
3. 個人資料的類別。
4. 個人資料利用的期間、地區、對象及方式。
5. 當事人依法可以行使的權利及方式。
6. 當事人可以自由選擇提供個人資料時，不提供將對其權益的影響。

實務上，常在表單旁放置簡短的告知說明並連結到完整的隱私權政策。另外，蒐集的目的要具體，並且使用範圍不能超出告知範圍，如果想用在其他用途（例如原本是客服聯絡，後來用於行銷），需要另外取得同意或符合法定要件。

隱私權政策應該寫什麼

一份有用的隱私權政策，應該根據你實際的作法撰寫。至少包含：

• 你是誰：網站經營者的名稱與聯絡方式。
• 蒐集什麼資料：列出實際蒐集的資料類別。
• 為什麼蒐集：具體的使用目的。
• 怎麼使用與分享：是否提供給第三方（例如物流、金流、郵件服務），以及原因。
• 保存多久：保存期間或判斷標準。
• 如何保護：基本的安全措施說明。
• 當事人的權利：查詢、閱覽、複製、補充或更正、停止蒐集處理利用、刪除的方式與窗口。
• Cookie 與追蹤技術：使用的工具與用途。
• 政策的更新：修改時如何通知。

不要直接複製他人的隱私權政策。內容與實際不符，反而可能構成誤導。可以參考範本結構，再依實際情況修改，必要時請律師審閱。

委外製作網站時的責任

很多人以為把網站交給廠商做，個資問題就由廠商負責。依個資法的架構，蒐集個人資料的是你，委託他人蒐集、處理或利用個人資料時，委託人對受託者應為適當監督。因此簽約時建議：

1. 明定廠商只能依你的指示處理個人資料，不得為其他目的使用。
2. 要求廠商採取適當的安全維護措施，並在專案結束後刪除或交還資料。
3. 限制廠商將資料交給再委託的第三方，或要求事先同意。
4. 約定發生外洩事件時的通知義務與責任分擔。
5. 清楚規定網站的資料庫存放位置，與誰能存取。

Cookie 與流量分析工具

台灣目前沒有像歐盟一樣針對 Cookie 專門的統一規範，但是如果 Cookie 或追蹤技術所蒐集的資料能夠識別特定個人，仍可能適用個資法。實務上多數網站會在隱私權政策說明使用的 Cookie 與用途，並在使用廣告或行銷追蹤時，更清楚地告知與提供選擇。若你的網站也服務歐盟或其他地區的訪客，可能還要考慮當地法規。建議使用流量分析與廣告工具時，閱讀各工具的條款與設定選項，只啟用必要的功能。

安全維護與事件處理

依個資法，非公務機關保有個人資料檔案者，應採取適當的安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。對一般小型網站，可以做到的基本措施包括：

• 使用 HTTPS，並加密保存密碼。
• 限制後台帳號權限，使用強密碼與雙重驗證。
• 定期更新系統與外掛，並備份資料。
• 只蒐集必要的資料，不再需要時刪除。
• 建立外洩事件的處理流程，包含通知當事人與主管機關（若依規定需要）。

若個資遭外洩，非公務機關若違反個資法，造成當事人權利受損，可能需負損害賠償責任，並有行政處罰的可能，金額與條件請以現行條文為準。個資保護的主管機關與制度近年有調整的討論與修法動向，請以全國法規資料庫與數位發展部等官方公告確認最新狀態。

表單設計的實用原則

最簡單也最有效的個資保護，是「少蒐集」。設計表單時可以逐欄自問：沒有這個欄位，我能不能完成目的？若只是接受詢問，通常姓名、聯絡方式與詢問內容就足夠，不需要生日、身分證字號或完整地址。欄位越多，個資管理的責任越重，也會降低訪客填寫的意願。

其次是保存期間。詢問表單的資料，在處理完畢後不需要永久保存，可以訂一個合理期限定期清理。第三是存取權限：能看到表單資料的人要有限制，並避免用個人通訊軟體或一般電子郵件反覆轉寄含個資的內容。最後，若表單通知信會寄到多位同事的信箱，要確認離職人員的信箱已經移除。

何時需要專業協助

蒐集特種個資、跨境傳輸資料、大量蒐集會員資料，或發生個資外洩事件時，請諮詢律師或資安專業人士。一般小型網站，也建議至少請專業人員檢視一次隱私權政策與資料流程。

常見問題

小型網站也要符合個資法嗎？

是的。只要蒐集到可識別個人的資料，不論規模大小，都需要符合個資法的基本要求，例如告知義務與安全維護。

隱私權政策可以找範本改嗎？

可以參考範本結構，但內容必須依你實際的蒐集與使用狀況修改。範本若與實際作法不符，可能產生誤導與風險。

聯絡表單需要打勾同意嗎？

告知是基本要求，是否需要勾選同意則視蒐集的法律依據而定。很多網站會放置告知文字與勾選項，以保留紀錄，個案建議諮詢專業人士。

顧客要求刪除他的資料，一定要刪嗎？

當事人有請求停止蒐集、處理、利用及刪除的權利，但法律有例外，例如為執行業務所必須或依法需要保存。收到請求時應評估並在期限內回覆。

資料來源

• 全國法規資料庫 — 個人資料保護法及施行細則原文
• 數位發展部 — 數位政策與資料治理資訊
• 國家發展委員會 — 個資保護相關說明與資源