資料保護中的 LIA 與 DPIA 是什麼？

在《一般資料保護規則》（GDPR）以及西班牙的 LOPDGDD 架構下，光是「出發點良好」或「使用公開資料」並不夠。只要你處理個人資料，就必須能說明為什麼這麼做、目的為何、可能對當事人造成什麼影響，以及你採取了哪些措施來保護他們的權利。

用來記錄這項分析的常見工具有兩種：LIA（合法利益評估）與 DPIA（資料保護影響評估）。

什麼是 LIA（Legitimate Interest Assessment）

LIA 是一種分析，當組織打算以合法利益作為資料處理的法律依據時使用。它的目的是以書面方式證明，這項利益可以優先於受影響當事人的權利與自由，而且該處理方式合理且符合比例原則。

LIA 有什麼用

LIA 能讓你以有憑有據的方式回答以下這類問題：

• 具體追求的合法利益是什麼？
• 為了達成這個目的，真的有必要處理個人資料嗎？
• 這項處理對當事人有什麼影響，他們又可以合理期待什麼？
• 採取了哪些保護措施來降低影響（清楚的告知、拒絕權、資料最小化等）？

什麼情況下通常需要 LIA

當資料處理既不是基於同意，也不是基於契約，而是打算以合法利益來證明其正當性時，LIA 通常就派得上用場。實務上，它常見於 B2B 商務開發、使用專業聯絡資料，或利用公開來源上發布的資訊等活動，前提是要有正當理由並採取適當措施。

重要： 合法利益並非理所當然成立。它取決於情境、資料類型、目的、與當事人的關係，以及你所採取的減輕風險措施。

什麼是 DPIA（Data Protection Impact Assessment）

DPIA（資料保護影響評估）是一種更深入的分析，當某項資料處理可能對個人的權利與自由造成高風險時進行。它的目標是在開始處理之前，找出風險、評估其嚴重程度與發生機率，並訂定具體措施加以降低。

DPIA 有什麼用

DPIA 可以幫助你：

• 清楚描述資料處理的內容（資料、目的、流向、接收者、保存期限等）。
• 評估資料處理的必要性與比例性。
• 找出對當事人的風險（失去控制權、歧視、資料外洩曝光、身分冒用等）。
• 訂定技術性與組織性措施來降低這些風險。
• 在採取這些措施之後，判定剩餘風險。

什麼情況下 DPIA 可能是強制的

當資料處理特別具侵入性或高強度時，DPIA 可能是強制的，例如（僅供參考）：

• 大規模的資料處理。
• 對個人進行會產生重大影響的剖析或系統性評估。
• 使用影響尚不確定的新技術。
• 結合大量資料或多個來源。
• 系統性的觀察或監控。

重要： 並不存在一體適用於所有情況的通用規則。是否必須進行 DPIA，取決於情境與風險程度，通常需要針對個案分析。

LIA 與 DPIA 的主要差異

• LIA： 重點在於證明以合法利益作為法律依據是正當的。
• DPIA： 重點在於找出並降低資料處理的高風險。

在某些專案中，兩者可能都需要：以 LIA 證明法律依據，並在資料處理較敏感或強度較高時，以 DPIA 記錄風險管理。

關於「範本」的實用提醒

即使有參考用的範本或架構，LIA 與 DPIA 都不該被當成走個過場的手續。想讓它們真正有價值（並且在 DPO 或主管機關面前站得住腳），就必須反映具體的資料處理、其目的、涉及的資料，以及所採取的措施。

本內容僅供參考，不構成個別化的法律建議。

如果你的情況是陌生開發信

如果你的業務包含透過電子郵件進行商務開發（例如陌生開發信），那麼把適用的法律依據，以及透明度、資料最小化和尊重拒絕權的措施記錄清楚，就格外重要。而如果你想執行陌生開發信活動，可以用 Mailerfind 來做。