GDPR 下的個人資料是什麼？

如果你從事名單開發、行銷或銷售，很可能想過這樣的問題：

「只要資料在網路上、人人都看得到……我不就能拿來用嗎？」

簡短的答案是：視情況而定。原因很簡單：GDPR 關注的不是一筆資料是「公開」還是「私密」，而是這筆資料是否識別（或能夠識別）一個人。

讓我們用真實的例子把它講清楚，不說術語，也不繞圈子。

首先：GDPR 所說的「個人資料」是什麼？

個人資料是指任何與已識別或可識別的自然人有關的資訊。

重點在於「可識別」。你不需要寫上「身分證字號」或「護照號碼」。只要你能透過這筆資料，直接或間接找到特定的某個人，GDPR 就會適用。

簡單（也很常見）的例子

• 姓名
• 電子郵件（沒錯，即使是工作用的也算）
• 電話號碼
• Instagram 使用者名稱，只要它能讓人辨識出身分
• 大頭貼照片，只要拍的是某個人
• IP 位址（在許多情況下）
• 位置資料

還要留意：有些資料單獨來看無法識別個人，也可能屬於個人資料，因為只要與其他資料結合，就能識別出某個人。

那麼，資料「公開」又代表什麼？

資料可供大眾取得（例如發布在網站或社群平台上），並不會消除它身為個人資料的性質。

「公開」說明的是資料在哪裡，而不是它是什麼，也不是它可以怎麼使用。

用一個簡單的比喻來想：

• 房子的門開著，並不代表這間房子就「誰都能進」。
• 電子郵件在網路上看得到，並不代表這個電子郵件「沒有任何規則」。

工作資料：也是個人資料嗎？

是的，很多時候都是。這一點是最常被誤解的地方之一。

像 nombre@empresa.com 這類電子郵件，通常會連結到特定的人（姓名加姓氏，或名字加職稱）。這使得它在實務上就是一項個人資料。

即使電子郵件比較通用（例如 info@empresa.com），也要看情境：如果背後有可識別的人，或是使用這筆資料最終會影響到某個特定的人，就可能落入 GDPR 的適用範圍。

經驗法則

如果你最後會說出「這項資訊是這個人的」，就把它當作個人資料來處理。

那公司資料呢？GDPR 適用嗎？

GDPR 保護的是個人，而不是公司本身。但在現實中，許多「公司」資料都與人綁在一起：

• 一個寫著「聯絡人：Laura Gómez」的企業網站
• 一位自由工作者的 Instagram 檔案
• 一封寫有姓名的業務人員電子郵件

只要資料與可識別的個人產生關聯，它就不再「只是公司」了。

最大的迷思：「既然是公開的，我就可以用」

這是個經典的說法，也是開發客戶時引發問題（和投訴）的元兇。

資料是公開的，確實可能影響某些判斷（例如所採用的法律依據，或當事人的合理期待），但這並不是通行證。

處理個人資料時，即使資料是公開的，仍有一些原則始終重要：

• **目的：**清楚知道你拿它來做什麼
• **最小化：**只使用必要的資料
• **透明度：**不要玩文字遊戲，隱瞞你是誰、為什麼聯絡對方
• **尊重權利：**例如妥善處理反對權

快速檢查清單：這是個人資料嗎？

如果拿不定主意，問問自己這些問題：

• 這筆資料是否指向一個真實的人？
• 它是否能直接或間接識別出某個人？
• 它是否能與其他資料結合來進行識別？
• 我對這筆資料的使用，是否可能影響到特定的人？

如果有一題以上的答案是「是」，就把它當作個人資料來處理。

為什麼你做名單開發，就需要了解這些？

因為大多數法律上的「驚嚇」，並不是來自使用技術，而是來自在缺乏最基本判斷標準的情況下使用資料。

在名單開發中，風險通常不在於「使用一個電子郵件」，而是：

• 使用超出必要範圍的資料、
• 在缺乏透明度的情況下聯絡對方、
• 沒有妥善處理反對權、
• 或是無法說明處理行為的法律依據。

結語：一個能幫你避開錯誤的實用觀念

**在 GDPR 中，「個人資料」不等於「機密資料」。**它指的是「與某個人產生連結的資料」。

從這裡出發，重要的不只是你從哪裡取得，還有你如何使用、為了什麼目的，以及你採取了哪些保障措施。

本文僅供參考，不構成個人化的法律建議。