GDPR 合法依據有哪 6 種？同意與合法利益怎麼選
GDPR 第 6 條第 1 項列出 6 種合法依據：同意、契約、法定義務、重大利益、公共利益與合法利益，每一項處理活動至少要符合其中一種。實務上最常猶豫的是「同意」和「GDPR 合法利益」，而且它們沒有誰比較保險的問題，要看處理目的與當事人的合理預期。
實務上，習慣什麼都請客戶勾同意的企業，到了 GDPR 反而可能出問題。下面依序說明 6 種依據、兩種常見依據的條件，再用 5 個步驟選出適合的依據。如果公司已有歐盟客戶或員工，需要逐項檢視，可參考我們的 GDPR 合規顧問 服務。
GDPR 的 6 種合法依據是什麼？
GDPR 的 6 種合法依據之間沒有優先順序，但各有適用條件。下表的例子是台灣企業面對歐盟當事人時較常遇到的情境，實際仍要逐案判斷。
| 依據 | 條文 | 什麼時候用 | 常見例子 |
|---|---|---|---|
| 同意 | 第 6 條第 1 項 (a) | 當事人對特定目的給予同意 | 非必要 Cookie、訂閱電子報 |
| 契約 | (b) | 為履行與當事人的契約，或應其要求締約前所必要 | 處理訂單、出貨 |
| 法定義務 | (c) | 為遵守歐盟或成員國法律的義務 | 歐洲子公司依當地法保存帳務資料 |
| 重大利益 | (d) | 保護生命等重大利益 | 緊急醫療狀況 |
| 公共利益 | (e) | 執行公共利益任務或行使公權力 | 民間企業少見 |
| 合法利益 | (f) | 為追求合法利益所必要，且未被當事人權利凌駕 | 防止詐欺、網路與資訊安全 |
有一點常被台灣企業忽略：依第 6 條第 3 項，(c) 與 (e) 的依據必須來自歐盟法或成員國法。只因台灣法令要求保存的資料，不能直接主張 (c)。實務上，這類情況要評估能否以合法利益處理，並確認 GDPR 其他原則也符合。
同意要符合哪些條件才有效？
有效的同意必須出於自由意願、具體、知情且明確，並由企業負舉證責任。預先勾選、綁在服務條款裡，或拒絕就不能用服務，都可能讓同意無效。
第 7 條再加了幾項要求：企業要能證明當事人已同意；同意與其他事項放在同一文件時要明顯區分；撤回必須和給予一樣容易，也要事先告知可以撤回。第 7 條第 4 項則要求判斷服務是否以「同意非必要處理」為條件。
歐洲資料保護委員會（EDPB）第 05/2020 號指引也明確指出，必須接受 Cookie 才能瀏覽的 cookie wall 不算真正的選擇。網站實作可參考 Cookie 同意 的做法。
選擇同意的代價常被低估：當事人隨時能撤回，撤回後就不能再依此處理。如果業務流程少了這份資料就走不下去，同意通常不是合適的依據。
GDPR 合法利益是什麼？平衡測試怎麼做？
GDPR 合法利益（legitimate interest）是第 6 條第 1 項 (f)，要同時通過三個條件：追求的利益合法、處理確實必要、當事人的權利未凌駕該利益。EDPB 第 1/2024 號指引（2024 年 10 月 8 日通過，公眾諮詢版）要求企業在處理前評估並留下紀錄。
EDPB 也提醒，合法利益既不是最後手段，也不該因為看起來比較寬鬆就自動選用。評估紀錄一般稱為 LIA（Legitimate Interest Assessment），可以依下表撰寫：
| 步驟 | 要回答的問題 | 要留下的內容 |
|---|---|---|
| 1. 利益 | 利益是否合法、具體、真實且現存？ | 利益的明確描述，不寫「改善服務」這種空泛目的 |
| 2. 必要性 | 有沒有侵害較小、一樣有效的方法？ | 考慮過的替代方案與排除原因 |
| 3. 平衡 | 當事人能否合理預期？影響多大？資料多敏感？是否涉及兒童？ | 影響分析、額外保護措施與結論 |
第 47、49 號前言提供了判斷方向：嚴格必要的防止詐欺，以及嚴格必要且合比例的網路與資訊安全，都屬於合法利益；直接行銷則「可以」視為合法利益。但電子郵件行銷還要符合各國的電子通訊規定，常常仍需事先同意，EDPB 的指引就舉過這類例子。
商業利益也不是不行。歐盟法院 2024 年 10 月 4 日的 C-621/22（KNLTB）案指出，商業利益只要不違法，就可能屬於合法利益，但處理必須嚴格必要。該案是網球協會把會員資料有償提供給贊助商，法院提到協會其實可以先詢問會員是否願意，這種侵害較小的做法，正是必要性檢驗要問的。
選擇這項依據還有一個後果：當事人依第 21 條可以提出反對，企業除非能證明有更重大的正當理由，否則要停止處理；反對直接行銷時則必須直接停止，沒有例外。
GDPR 合法依據怎麼選？5 步驟決策
先把處理活動拆開，再依序問下面五題，大多數情況都能找到合適的依據。這是實務上的判斷流程，不是法條規定的順序，也不代表依據之間有高低之分。
- 拆開目的：同一份客戶資料，出貨、寄電子報和分析行為是三項活動，要分別判斷。
- 問法律：是否為遵守歐盟或成員國法律所必要？是就用 (c)。保護生命的緊急情況用 (d)；民間企業很少需要 (e)。
- 問契約：少了這項處理，就無法履行與當事人的契約嗎？是才用 (b)，對企業有用不算。
- 問預期：當事人能合理預期、影響不大，而且企業接受對方可以反對嗎？是就用 (f)，並完成 LIA。
- 其餘情況用同意：影響較大、當事人難以預期，或法律明定要同意（如非必要 Cookie），就請當事人選擇，並做好撤回機制。
選定後要落實到文件：依第 13 條在隱私權政策告知依據，採合法利益時也要說明追求的利益，並寫進 RoPA。處理健康資料等特殊類別資料時，除了第 6 條，還要符合第 9 條的條件。
各步驟最常見的錯誤
多數問題不是選錯條文，而是在流程中省略了判斷或紀錄。下面幾種情況最值得先自查：
什麼都用同意
實務上常見於習慣個資法同意書的企業。只要當事人沒有真正的選擇，同意就可能無效，撤回時也可能影響業務。
對員工用同意
EDPB 指出，雇傭關係中員工難以拒絕，多數職場資料處理不應以同意為依據。只有拒絕不會帶來不利影響時，例如是否入鏡公司宣傳影片，才可能成立。
把行銷塞進契約
愛爾蘭資料保護委員會（DPC）2024 年 10 月對 LinkedIn 開罰 3.1 億歐元，認定其行為分析與精準廣告不能依契約必要處理，主張的合法利益被當事人權利凌駕，第三方資料的同意也不符要件。詳細案例可參考 GDPR 罰則 的整理。
同意被撤回後改用其他依據
EDPB 第 05/2020 號指引明確表示，企業不能從同意改用其他依據，也不能事後以合法利益補救。一開始就要選對。
做了判斷卻沒留下 LIA
主管機關或歐洲客戶詢問時拿不出評估紀錄，就很難證明評估曾經做過。
合法依據對照表，從哪裡開始做？
先挑 5 項涉及歐盟當事人的處理活動，例如會員註冊、訂單出貨、電子報、網站分析與員工管理，依上面的步驟各寫下依據與理由。凡是依據是同意的，再檢查撤回機制；凡是合法利益的，補一份 LIA。
這份對照表也能直接併入處理活動紀錄。若企業只有少量歐盟客戶，通常不需要大工程，把這幾項做好就能解決多數問題。範圍較複雜時，可以了解我們的 GDPR 顧問 服務，或 先請顧問看一下現況。
GDPR 合法依據常見問題
可以同時用兩種依據嗎？
同一項處理活動，要依實際目的判斷適用的依據，不應為了保險同時列出多個依據，這會讓當事人搞不清楚自己的權利。不同目的則可以有不同依據，例如出貨依契約、電子報依同意。特別是同意不能當備案，被撤回後不能再改用其他依據。
員工資料用同意可以嗎？
多數情況不適合。EDPB 認為雇傭關係存在權力不對等，員工很難自由拒絕，所以職場上的多數處理應改以契約、法定義務或合法利益為依據。例外是拒絕完全不會造成不利影響的情境，例如自願參加的活動或拍攝。
合法利益要做評估嗎？
要。EDPB 指引要求企業在處理前評估並記錄三項條件是否成立，也就是一般說的 LIA。GDPR 沒有規定固定格式，但要能向主管機關說明判斷過程。若評估結果顯示處理屬於高風險，還要進一步確認是否需要依第 35 條做 DPIA。
參考資料
- Regulation (EU) 2016/679（GDPR） – 第 4、6、7、9、13、21 條及前言第 43、47、49 點。歐盟 · 2016 年
- Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR – 合法利益三條件與評估方式（1.0 版，公眾諮詢）。EDPB · 2024 年 10 月 8 日
- Guidelines 05/2020 on consent – 同意要件、雇傭關係、不得更換依據。EDPB · 2020 年 5 月 4 日
- C-621/22 Koninklijke Nederlandse Lawn Tennisbond – 商業利益與嚴格必要。歐盟法院 · 2024 年 10 月 4 日
- Irish Data Protection Commission fines LinkedIn Ireland €310 million – 同意、合法利益與契約依據均不成立。愛爾蘭 DPC · 2024 年 10 月 24 日
