台灣總公司要使用韓國客戶的聯絡方式與訂單資料，須確認蒐集目的、總公司角色及跨境移轉依據。使用線上表單與雲端系統時，應依實際資料流向檢查韓國法上的要求。
誰蒐集資料，又要用來做什麼？
展覽報名、產品詢價與共用客戶系統，經常會蒐集姓名、電話及電子郵件。即使是企業間交易，可識別聯絡人的資料仍可能屬於個人資料。應先釐清蒐集者是韓國法人或台灣總公司，以及資料用於報價、配送、售後服務或廣告。
同意並非唯一的蒐集、利用依據；為履行與客戶的契約而處理，也可能有法律依據。但為回覆詢價取得聯絡方式後，再交由總公司用於其他行銷，仍須另行判斷。表單欄位應限於實際需要。 [1]
集團內部共享，也要區分委外與第三人提供
總公司依韓國法人指示處理客服，與為自身銷售或分析目的使用名單，可能適用不同規則。應看實際目的、指示監督關係及使用權限，並另行確認跨境移轉要求。 [2] [3] [4]
| 資料流向 | 先確認什麼 |
|---|---|
| 總公司代辦韓國法人的客服 | 是否為委外處理，以及契約、範圍與監督要求 |
| 總公司自行利用名單推廣產品 | 第三人提供及利用目的的合法依據 |
| 海外雲端儲存或從海外查閱 | 儲存地、接收者、海外權限與移轉依據 |
| 台灣業者直接向韓國客戶蒐集 | 直接蒐集及韓國法適用；後續提供另行判斷 |
跨境移轉也包括從海外查閱
韓國《個人資訊保護法》第28條之8涵蓋向海外提供、委託處理及儲存，並明文將海外查閱納入提供範圍。伺服器設在韓國，仍不能因此略過台灣總公司存取資料的問題。 [4]
除另行取得同意外，法律也設有其他移轉依據，但條件並不相同。例如，為締結或履行與資料當事人的契約所必要的海外委外處理、儲存，在依法公開或通知必要事項等條件下，可能不必另取同意。僅因韓國法人與總公司訂有契約，不能直接套用此項規定；涉及第三人提供時，也須符合該部分要求。 [2] [4]
讓表單與隱私權政策反映真正的資料流向
若以同意作為移轉依據，須告知資料項目、移轉國家、時間及方式、接收者名稱和聯絡方式、目的與保存期間，以及拒絕方式、程序和效果，並另行取得同意。僅寫服務名稱或籠統的「海外關係企業」，不足以取代具體說明。 [4]
應查閱表單與雲端服務的條款及處理契約，確認簽約主體、儲存位置、再委託業者與實際存取範圍。平台品牌本身不能證明資料存在哪裡或處理是否合法。已經發生的處理問題，也不會因更新隱私權政策就自動解決。
契約、存取權限與刪除機制要一起安排
委外處理應以書面約定禁止目的外利用及保護措施等事項，並檢查委外事項與受託者的公開、管理監督義務。總公司與外部業者使用哪些帳號、是否再委託，都應列入確認。 [3]
可按工作內容設定權限，收回離職人員帳號，管理存取紀錄及安全傳輸。保存期間屆滿或目的完成後已無必要的資料，原則上應即銷毀；依法須保留的資料應分開管理。總公司的複本與下載檔案也應納入。 [5] [6]
已在共享資料，先從現有流程查起
將現用表單、同意畫面、隱私權政策、委外契約和權限清單放在一起，比對從蒐集到刪除的流程。若海外存取或目的外利用缺乏明確依據，應先判斷是否須停止或限制該處理，再補足適法依據與作業安排。
韓國個人資訊保護委員會區分海外業者直接蒐集韓國客戶資料，與跨境移轉的情況。直接蒐集者仍可能適用韓國法；其後交給其他海外業者，則可能適用跨境移轉規定。不能只改表單名稱，仍要確認真正的蒐集者與後續流向。 [7]
常見問題
資料放在韓國，台灣總公司就可以直接看嗎？
不能只看儲存地。海外查閱也包含在跨境提供範圍內，仍須確認接收者、存取方式與合法移轉依據。 [4]
由台灣總公司直接蒐集，就不受韓國法規範嗎？
不一定。直接蒐集本身與跨境移轉不同，但對韓國客戶提供服務等情況，仍可能適用韓國法。後續提供、委外或儲存給海外第三人，也須另行檢查。 [7]
表單只收公司名稱，也算個人資料嗎？
應區分法人本身的資訊與可識別個人的資料。要看是否涉及個人事業者，或與其他欄位結合後可辨識聯絡人，不能只憑欄位名稱判斷。
準備實際表單、同意及告知文件、總公司與外部業者分工、儲存地和權限資料，才能具體判斷哪些欄位不必蒐集，以及哪些跨境共享方式需要調整。
