跨境交易個資合規盤點：台灣、新加坡、香港與歐盟怎麼比
同一筆客戶資料在台灣、新加坡、香港與歐盟遇到的要求並不相同。從資料流盤點起手，比較四地跨境個資傳輸的基本立場、所需文件與最常見的誤解。
跨境交易的個資合規盤點，是把同一筆個人資料流放進各相關法域，逐一確認傳輸立場、適用規則、所需文件與合約缺口的工作。
企業談跨境交易，常先看交易架構與價格，個人資料則留到簽約前才處理。到那時，團隊才發現一句「個人資料得由關係企業處理」根本不夠：哪些關係企業會收到資料？人在哪個國家？系統又在哪裡？依據什麼安排傳送？如果答不出來，合約寫得再完整，也只是在替未確認的假設背書。
本文只談一件事：個人資料跨境傳輸。原因很簡單。同一批客戶或員工資料，從台灣傳到新加坡、由香港供應商處理，並讓歐盟團隊存取時，四地的基本立場並不相同。盤點的價值，就是把這些差異放在同一張工作底稿上。
先畫資料流，不要先抄法規
一個具體情境：台灣公司收購新加坡服務商
假設台灣公司收購一家新加坡服務商。交割後，雙方打算整併客戶支援系統：台灣團隊可以查看新加坡客戶紀錄，香港外包商處理客服工單，歐盟業務團隊偶爾存取同一套系統。
交易文件寫「關係企業」，不等於盤點完成
這裡最容易出錯的不是法律，是假設。交易文件常把接收方寫成「買方及其關係企業」，卻沒有列出實際接收者、資料類型、傳輸方向、處理目的與系統位置。合規盤點要先把這些事實補齊，再去判斷各法域的要求。順序反過來，研究結果很容易答非所問。
同一筆資料，四個法域怎麼看
台灣、新加坡、香港與歐盟的立場對照
| 法域 | 基本立場 | 實務上要準備什麼 | 最常見的誤解 |
|---|---|---|---|
| 台灣 | 原則允許國際傳輸；主管機關在法定情形下得限制 | 傳輸目的、接收國、接收者及保護安排的清楚紀錄，並追蹤主管機關限制與修法狀態 | 把台灣直接當成歐盟式的原則禁止架構 |
| 新加坡 | 受 PDPA 的 Transfer Limitation Obligation 規範 | 依傳輸限制義務及 PDPC 指引檢查接收方安排與文件 | 只要集團內部傳送就不必盤點 |
| 香港 | 第三十三條尚未生效；目前仍由六項資料保障原則規範 | 對收集目的、新目的使用及資料保安留存判斷；視需要採用 PCPD 建議合約條款 | 把尚未生效的第三十三條當成現行許可制度 |
| 歐盟 | 先判斷 GDPR 是否因據點活動、商品或服務提供、或行為監控而適用 | 釐清處理者角色、資料主體所在與實際處理活動，再據適用性整理後續文件 | 公司未在歐盟設立，就認為 GDPR 一定不適用 |
台灣：不要硬套歐盟答案
個人資料保護法第二十一條不是「原則禁止、符合機制才可傳輸」。它採的是原則允許、主管機關得限制的架構。限制情形包括國家重大利益、國際條約或協定另有規定、接受國保護不足而可能損害當事人權益，以及以迂迴方式規避本法。
這個差異會直接改變盤點寫法。台灣欄位要記錄兩件事：主管機關有沒有下限制，以及交易安排有沒有踩到法定情形。複製一份歐盟檢核表就結案，是不夠的。修法已通過但施行日期未定，也應列入持續追蹤，而不是先當成現行法操作。
新加坡：把傳輸限制義務放回具體安排
新加坡 PDPA 設有 Transfer Limitation Obligation，PDPC 另有專門指引。實務上不能只寫「符合新加坡法令」。要把資料由誰交給誰、接收方怎麼處理、相關文件有哪些，全部放進同一列，當地律師才有辦法確認安排夠不夠。
香港：不要把未生效條文當現行程序
香港 PDPO 第三十三條自制定後從未生效，也沒有官方施行時間表。現階段應回到資料保障原則，特別檢查收集目的、是否作新目的使用及資料保安。
PCPD 於 2022 年 5 月發布建議標準合約條款（Recommended Model Contractual Clauses, RMC），共分兩套，分別適用於 Data User to Data User 與 Data User to Data Processor。RMC 屬自願性、非拘束性安排，其使用有助於履行第 33(2)(f) 條在日後生效時的 due diligence requirement。但 PCPD 已明確說明，RMC 不等同 EU SCC，也不能用來滿足 GDPR 要求。把 RMC 當成萬用通行證，是實務上常見的錯誤。
歐盟：先問適不適用，再問怎麼傳
GDPR 第 3 條處理的是域外效力。控管者或處理者在歐盟設有據點，且個人資料處理發生於該據點的活動範圍內，GDPR 即有適用。即使未在歐盟設立，只要處理行為與向歐盟境內資料主體提供商品或服務有關，或涉及監控其在歐盟境內的行為，也可能納入適用範圍。EDPB Guidelines 3/2018 on territorial scope 對此有詳細說明。
很多團隊直接跳到「要用什麼傳輸機制」，卻沒先回答 GDPR 到底有沒有適用。順序錯了，後面的文件很可能白做。以前述台灣公司收購新加坡服務商為例，歐盟業務團隊只是偶爾存取同一套客服系統，究竟是否因此觸發 GDPR，正是交易團隊應先釐清的問題。
同一張底稿，再跑其他義務
這張工作底稿不必停在個資，也可延伸至結合申報、勞動留用、制裁與支付篩查等事項。做法很直接：欄位不變，換一個義務再跑一次，逐一確認責任主體、觸發情境、現有證據與待補缺口，避免每遇到一項議題就從空白文件重來。
從資料流盤點，接到可複核的文件與法規工作
用 LexTable 把合約母體抽成同一組個資欄位
前面的資料流畫清楚後，LexGents 接手的是把事實、文件與查法結果整理成可複核的工作底稿。以台灣公司收購新加坡服務商為例，先用 LexTable 把資料室內全部客戶約與供應商約納入審閱，抽出相同的個人資料條款欄位，確認哪些合約涵蓋台灣團隊存取、新加坡客戶紀錄、香港客服外包商及歐盟業務團隊。涵蓋範圍可說明、可稽核、可重跑，而不是只看抽樣文件。
用 LexResearch 一次跑完四個法域的法規
接著，把同一組資料流事實交給 LexResearch，一次檢索台灣、新加坡、香港與歐美的法規及判決。團隊不必拆成各法域分別查詢。每段結論都有可點回原文段落的引用，內部法務與外部律師都能直接核對依據。
用 LexRisk 回測已簽合約與整併中的草稿
確認各地要求後，再將整理出的義務做成清冊，由 LexRisk 回測已簽署合約與整併中的草稿，找出尚未處理的義務，以及中英文版本之間的落差，讓修約與補件有明確順序。
資料安全與輸出定位
這套流程涵蓋台灣、新加坡、香港、美國與中英雙語工作，平台採 tenant isolation，客戶資料不用於訓練共享模型；資訊安全控制依 SOC 2 Type II 與 ISO 27001 架構設計，認證作業進行中。所有輸出均屬 decision-support，不構成法律意見，仍須由各法域具資格律師複核。
小結
同一筆客戶資料，在台灣、新加坡、香港與歐盟會遇到不同要求，不能直接套用同一張檢核表。真正的起點不是先找規則，而是先寫清楚誰在什麼地方、為了什麼目的，存取或處理哪一類資料。資料流的事實若沒有釐清，後面的法規研究與合約檢查很容易答非所問。把事實、依據與文件缺口放在同一條工作線上，才有辦法交給各地律師有效複核。
FAQs
香港的個資可以直接傳到台灣嗎？
香港 PDPO 規範跨境傳輸的第三十三條自制定後從未生效，也沒有官方施行時間表，因此不存在一套現行的傳輸許可程序。實務上仍須回到六項資料保障原則，檢查收集目的、是否屬新目的使用及資料保安，並視需要採用 PCPD 的建議標準合約條款。
公司沒有在歐盟設立，還要管 GDPR 嗎？
可能要。依 GDPR 第三條，控管者或處理者在歐盟設有據點而於該據點活動範圍內處理個人資料時適用；即使未於歐盟設立，若處理行為與向歐盟境內資料主體提供商品或服務有關，或涉及監控其在歐盟境內的行為，亦可能適用。應先釐清實際處理活動再下判斷。
集團內部傳資料也要盤點嗎？
要。集團內部傳送不等於允許。合約寫「個人資料得由關係企業處理」並不能取代盤點，你仍須說得出哪些關係企業、在哪些國家、處理什麼資料、依據什麼安排。每一個接收方所在法域都要各自判斷。
台灣的個資法跟 GDPR 差在哪裡？
最大的差別在基本立場。台灣個人資料保護法第二十一條採原則允許國際傳輸、主管機關於法定情形得限制的架構，而不是歐盟式的原則禁止、備妥傳輸機制才可傳輸。把歐盟檢核表直接套到台灣，常會得出錯的結論。
AI 可以直接判斷跨境傳輸是否合法嗎？
不應把 AI 輸出當成最終法律判斷。AI 適合整理資料流、橫向檢索法源、抽取合約欄位及找出缺口；適用性、事實爭議與風險取捨，仍要由熟悉交易背景且在相關法域具資格的律師複核。
參考來源
本文為實務說明，不構成法律意見。個案請洽各相關法域的法律顧問。本文法規狀態以 2026 年 9 月為準。