跨國個資合規：台灣、韓國、香港、越南與歐盟個資法一次比較
跨國個資合規沒有一部法可以通用：台灣、韓國、香港、越南與歐盟在同意方式、跨境傳輸、外洩通報與罰則上都不同。最有效率的做法是建立一套共通制度，再針對各地加上少數在地要求，而不是每地各做一套。
對在多地設點的台灣企業來說，最常見的情況是員工與客戶資料集中回台灣總部處理，一個系統就同時落入好幾部法律。下面用一張表比較五地差異，再說明如何設計共通架構。需要依公司實際據點盤點義務時，可以參考我們的 個資法顧問 服務。
一句話結論：用 GDPR 等級建立共通制度，再補上韓國單獨同意、越南文件送件與台灣告知等在地項目；只有一地業務的企業，先做當地法就好。
資訊截至 2026 年 11 月，各地法規仍在變動。本文為比較整理，個案適用仍應確認當地法令。
跨國個資合規為什麼不能只看一部法？
因為適用與否取決於資料當事人與業務所在地，不是公司登記在哪裡。一家台灣公司可能同時受 個資法、韓國與越南法律規範。
適用範圍的寫法也各不相同。台灣個資法第 51 條第 2 項規定，在境外處理中華民國人民的個資也適用；GDPR 第 3 條涵蓋向歐盟境內的人提供商品服務或監控其行為；越南第 91/2025/QH15 號法涵蓋涉及越南公民個資處理的境外組織；韓國 PIPC 指引則認為對韓國當事人提供服務的海外業者也可能適用。香港條例雖然沒有明文域外條款，但從香港控制個資處理的業者就會落入規範。
實務上，子公司與總部之間的資料往來，往往才是風險最大的部分。
五地個資法比較表
五地最大的差異集中在跨境傳輸與外洩通報：韓國與越南有明確程序，香港目前最寬鬆。下表僅列重點，細節以法條與主管機關公告為準。
| 比較項目 | 台灣 | 韓國 | 香港 | 越南 | 歐盟 |
|---|---|---|---|---|---|
| 法律 | 個人資料保護法 | 個人資訊保護法（PIPA） | 個人資料（私隱）條例（PDPO） | 第 91/2025/QH15 號法 | GDPR |
| 處理依據 | 特定目的＋法定情形（第 19 條） | 同意須逐項分開，另有法定依據 | 6 項保障資料原則 | 同意須逐項目的（第 9 條）等 | 6 種合法依據 |
| 跨境傳輸 | 原則可傳，主管機關得限制（第 21 條） | 原則禁止，符合 5 種情況才可（第 28 條之 8） | 第 33 條尚未實施 | 建立評估文件，60 日內送交（第 20 條） | 適足性、SCC 等（第五章） |
| 外洩通報 | 查明後通知當事人（第 12 條），部分產業 72 小時通報 | 72 小時內通知當事人；達 1,000 人等情形通報主管機關 | 無法定義務，公署建議通報 | 72 小時內通報專責機關（第 23 條） | 72 小時內通報主管機關（第 33 條） |
| 最高行政處罰 | 新臺幣 1,500 萬元（按次，第 48 條） | 全部營業額 3%，重大情形 10% | 違規直接促銷等屬刑事，最高港幣 100 萬元及監禁 5 年 | 跨境違規為前一年營收 5% | 2,000 萬歐元或全球營業額 4% |
| 專責人員 | 非公務機關無一體適用規定 | 須指定 CPO | 未強制，公署建議 | 須指定人員或委外（第 33 條） | 符合條件須設 DPO（第 37 條） |
台灣的部分要留意：2025 年修正條文施行日期尚未公布，施行後非公務機關的事故通報與主管機關都會改變。
同意與合法依據，差在哪裡？
GDPR 把同意視為 6 種依據之一，韓國與越南則對同意的形式要求更細。同一份同意書直接翻譯到各國，通常行不通。
韓國個資法 要求同意逐項分開取得，敏感資訊與跨境傳輸需要單獨同意。越南個資法 第 9 條要求同意逐項目的取得，沉默或未回應不算同意。台灣個資法以特定目的與第 8、9 條告知為核心，第 19 條另列契約關係等法定情形，不一定需要同意。香港 個人資料(私隱)條例 則重在蒐集時告知與用途限制，直接促銷另要先取得同意。
GDPR 的合法利益在其他四地並沒有完全對應的設計。實務上，集團若以「歐盟可以用合法利益」為由套用到其他地區，就要逐地重新檢視。
跨境傳輸規定：傳回台灣總部要做什麼？
五地中有三地對傳回台灣有明確程序要求：歐盟通常要簽 SCC，韓國要符合 5 種法定情況之一，越南要建立跨境傳輸影響評估文件並送件。
| 傳輸方向 | 主要做法 | 容易忽略的地方 |
|---|---|---|
| 歐盟 → 台灣 | 台灣尚無適足性認定，多數企業簽標準契約條款（SCC） | 也要做傳輸影響評估，集團內傳輸同樣算 |
| 韓國 → 台灣 | 單獨同意或其他法定依據 | 讓境外人員查詢也算傳輸 |
| 越南 → 台灣 | 建立評估文件，首次傳輸起 60 日內送交正本 | 用境外平台處理當地蒐集的個資也算 |
| 香港 → 台灣 | 目前無事前程序 | 仍要符合告知、用途與保安原則 |
| 台灣 → 海外 | 原則可傳，留意主管機關限制 | 第 21 條限制命令與產業辦法 |
實務上可以先畫一張資料流向圖：哪些系統、哪些國家的資料、由誰從哪裡存取。少了這張圖，以上所有文件都很難寫對。起點是完整的 個資盤點。
外洩通報期限怎麼一起管？
一次外洩可能同時啟動多地通報，歐盟、韓國與越南都有 72 小時的期限，但起算點、通報對象與門檻各不相同。應變流程要事先把這些差異寫進去，而不是出事才查。
歐盟從控管者知悉起算，通報主管機關；韓國要在 72 小時內通知當事人，達 1,000 人以上等情形也要通報 PIPC 或韓國網路振興院；越南從發現起算，通報專責機關。台灣現行法要求查明後通知當事人，部分產業另有 72 小時通報主管機關的規定；香港沒有法定義務，但公署建議通報。
實務上，建議以最短的 72 小時作為全集團內部時限，並預先備妥一張各地通報表：對象、窗口、語言與範本。各步驟的處理順序可參考 個資外洩怎麼辦。
罰則差異有多大？
歐盟與韓國依營業額計算，越南對跨境違規也以營收計算，台灣與香港則是固定金額或刑事責任。對大型集團來說，以營業額計算的罰則通常才是主要風險。
計算基礎也不同：GDPR 是全球年營業額的 4%；韓國是全部營業額 3%，並扣除無關部分，再犯或大規模受害等 3 種重大情形可達 10%；越南跨境違規的基數是前一年營收的 5%。台灣個資法未採安全措施可處新臺幣 2 萬元以上 200 萬元以下，屆期未改正可按次處 15 萬元以上 1,500 萬元以下，詳見 個資法 罰則。
共通合規架構：一套制度對應多地
共通架構的做法是把共同要求做成集團標準，再用附件處理各地差異。這樣更新時只要改附件，不必維護五套制度。
| 模組 | 集團共通標準 | 在地附件 |
|---|---|---|
| 資料盤點 | 統一清冊與資料流向圖 | 歐盟 RoPA 欄位；越南處理影響評估 |
| 告知與同意 | 共通隱私權政策架構 | 韓國單獨同意、越南逐項同意、歐盟依據標示 |
| 跨境傳輸 | 集團內資料傳輸協議 | 歐盟 SCC、韓國依據、越南評估文件 |
| 事故應變 | 72 小時內部時限與單一指揮 | 各地通報表與範本 |
| 當事人權利 | 統一受理窗口 | 各地回覆期限 |
| 專責人員 | 集團個資主管 | 韓國 CPO、越南人員、歐盟 DPO 或代理人 |
導入順序建議看風險與期限：先處理已有明確送件或通報義務的地區，再補其他地區。如果只有台灣與香港業務，這套架構多半用不到，直接依兩地法規處理即可。
集團的個資合規從哪一步開始？
先列出每個據點處理哪些人的資料、資料存在哪裡、誰從哪裡存取，再對照上面的比較表標出缺口。這份對照表不必一次完美，只要足以排出優先順序就能開始。
若需要依集團架構設計共通制度與在地文件，可以了解我們的 個資法合規 服務，或 預約一次免費諮詢。
跨國個資合規常見問題
以最嚴格的 GDPR 為標準就夠了嗎？
不夠，但是很好的基礎。GDPR 等級的制度能涵蓋多數原則性要求，卻無法取代在地程序，例如越南的評估文件送件、韓國的單獨同意與國內代理人。GDPR 允許的合法利益，也不一定能直接套用到其他地區，所以仍需要在地附件。
集團內傳輸也要簽合約嗎？
要看來源地。歐盟資料傳到台灣母公司，即使是同一集團，通常也要簽 SCC 或採拘束性企業規則（BCR）；韓國與越南同樣不因集團關係而免除要求。香港目前沒有事前程序，但建議以集團協議約定用途與保安責任。
各地都要設 DPO 嗎？
不一定。GDPR 只在特定條件下要求 DPO；韓國 PIPA 下的個資處理者要指定 CPO；越南要求指定個資保護人員或委外；香港未強制；台灣目前對非公務機關沒有一體適用的規定。同一人能否兼任，要依各地要求確認。
參考資料
- 個人資料保護法 – 第 8、9、12、19、21、48、51 條。全國法規資料庫
- 개인정보 보호법（韓國個人資訊保護法） – 第 28 條之 8、第 64 條之 2 等。韓國法制處
- 第 486 章《個人資料(私隱)條例》 – 保障資料原則、第 33、39 條。香港電子版香港法例
- 越南第 91/2025/QH15 號《個人資料保護法》條文摘要 – 第 8、9、20、23、33 條。越南國會 · 2025 年
- Regulation (EU) 2016/679（GDPR） – 第 3、6、33、37、44 至 49、83 條。歐盟 · 2016 年
