香港與台灣個資合規差異比較：PDPO vs PIPA 電商業者必知

跨境電商同時經營香港與台灣市場時，最常踩到的不是稅務，而是個資。香港的 PDPO 走「原則導向＋刑事責任」路線，公署本身不能直接開罰款；台灣的 PIPA 則是「行為導向＋行政罰鍰＋刑責」，並要求特定產業 72 小時內通報。兩者的合規設計邏輯從根本上不同。

一句話總結：兩套法規的設計哲學差在哪？

香港 PDPO（《個人資料（私隱）條例》，第 486 章）建立在六項保障資料原則（Data Protection Principles, DPP1–DPP6）之上。違反原則本身不是罪行，私隱專員公署（PCPD）須先發出「執行通知」，業者不遵從才構成刑事罪。例外是直接促銷（第 VI A 部）與 2021 年新增的「起底」罪行——這兩類直接入刑。

台灣 PIPA（《個人資料保護法》）則對「蒐集、處理、利用」三個行為各自設下法定要件，違反可由中央目的事業主管機關或直轄市政府直接裁處罰鍰，意圖營利的不法蒐集另有刑責。2023 年 5 月 31 日修正公布後，罰鍰上限大幅提高（資料來源：全國法規資料庫）。

簡單說：香港罰的是「不聽話」，台灣罰的是「做錯事」。這一句話決定了你的合規預算該花在哪裡。

主管機關與執法模式有何不同？

香港：PCPD 的「通知—遵從—檢控」三段式

PCPD 自 1996 年條例全面生效起運作（資料來源：PCPD）。專員可進行循規審查、調查、發出執行通知，並就起底個案發出「停止披露通知」。但在一般個資違規上，PCPD 沒有直接罰款權——這點與歐盟 GDPR、新加坡 PDPA 截然不同。實務影響是：香港的合規壓力更多來自聲譽、上市公司披露義務與客戶投訴，而非行政裁罰風險。

台灣：多頭管理，2026 年前集中化

台灣目前採「中央目的事業主管機關」分業管理：電商零售歸經濟部與數位發展部，金融歸金管會，醫療歸衛福部。2023 年修法新增第 1 條之 1，要求在修正施行後三年內成立「個人資料保護委員會」；籌備處已於 2023 年 12 月掛牌運作（資料來源：個人資料保護委員會籌備處）。對跨境業者而言，這代表未來兩三年內台灣的執法會從分散走向集中、從形式檢查走向實質稽核。

對照組：APAC 其他市場的罰則強度

• 新加坡 PDPA：自 2022 年 10 月起，最高罰則為新加坡年度營業額 10% 或 100 萬坡元（以較高者為準）（資料來源：PDPC Singapore）。
• 澳洲 Privacy Act：2022 年修法後，嚴重或重複侵害的最高民事罰款為 5,000 萬澳元、不當利益三倍、或調整後營業額 30%（資料來源：OAIC）。

把香港與台灣放進這個光譜看，兩地的「帳面」罰則都偏溫和，但台灣修法後的上限（最高新臺幣 1,500 萬元按次處罰）已明顯向區域水準靠攏。

蒐集與告知義務：同意門檻的實質差距

香港 DPP1：合法、公平、必要

PDPO 要求蒐集須為與職能或活動直接相關的合法目的、方式公平、資料不超乎適度。蒐集時須向資料當事人提供「收集個人資料聲明」（PICS），說明用途、可能轉移的接收者類別、查閱及更正權利。PDPO 並未要求所有蒐集都取得明示同意——只要符合原始蒐集目的，使用即屬合法。

台灣第 8 條：法定告知事項逐項列舉

PIPA 第 8 條明列五款應告知事項：公務機關或非公務機關名稱、蒐集目的、個人資料之類別、利用之期間地區對象及方式、當事人依第 3 條得行使之權利及方式，以及不提供之影響。這是硬性清單，少寫一項就是違法。台灣的隱私權政策因此通常比香港同業的 PICS 更長、更結構化。

實務落差

一份香港電商的 PICS 直接搬到台灣站點，最常缺的是「利用之期間、地區、對象及方式」四個維度，以及「不提供個資對當事人權益之影響」這一句。反過來，台灣業者把隱私政策搬到香港，則常漏掉 DPP3 要求的「新目的使用須取得訂明同意」的機制設計。

直接行銷規範：香港明顯比台灣嚴

這是兩地差距最大的一塊，也是電商最容易出事的一塊。

香港：第 VI A 部，違者即為刑事罪

• 首次使用個資作直接促銷前，須通知當事人並取得其明示同意或不反對的表示（opt-in 架構）。
• 違反相關規定，最高罰款港幣 500,000 元及監禁 3 年。
• 若為獲益而向第三者提供個資作直接促銷，最高罰款港幣 1,000,000 元及監禁 5 年（資料來源：PDPO 第 486 章）。

注意這是刑事責任，落在董事與相關管理人員身上，不是公司付錢了事。

台灣：第 20 條，首次行銷時提供拒絕方式即可

PIPA 第 20 條第 2、3 項規定，非公務機關利用個資行銷時，當事人表示拒絕後應即停止；首次行銷時應提供當事人表示拒絕的方式並支付所需費用。架構上接近 opt-out，門檻明顯低於香港。

對電商 CRM 架構的影響

同一套 Klaviyo 或 Braze 的訂閱流程，在台灣可以用「結帳時預勾選＋可取消」設計；在香港這種做法風險極高。實務上建議以香港標準為基準設計全站同意流程，再以地區參數放寬台灣站的 UI 文案，而不是反向處理。

1// 跨市場同意紀錄最小資料結構（建議寫入不可竄改的 append-only log）
2{
3  "consent_id": "c_01HX9ZQ2",
4  "customer_ref": "sha256:9f2a...",      // 不存明文 email
5  "jurisdiction": "HK",                  // HK | TW | SG | AU
6  "purpose": "direct_marketing_email",
7  "basis": "explicit_opt_in",           // TW 站可為 opt_out_offered
8  "pics_version": "hk-pics-2026-01",
9  "ui_surface": "checkout_step_3",
10  "ip_region": "HK",
11  "captured_at": "2026-01-14T08:21:33Z",
12  "withdrawn_at": null
13}

保留 pics_version 這一欄是關鍵：香港 PCPD 與台灣主管機關在查核時，問的都是「當時那位客戶看到的是哪一版聲明」。沒有版本對應，同意紀錄等於沒有。

跨境傳輸：台灣有法可限，香港條文未生效

香港：第 33 條至今未生效

PDPO 第 33 條限制將個資轉移至香港以外地區，但該條文自 1995 年立法至今仍未實施。PCPD 以指引與建議合約範本（Recommended Model Contractual Clauses，2022 年 12 月發布）鼓勵業者自願採用（資料來源：PCPD）。實務上香港是 APAC 少數對資料出境幾乎無硬性限制的成熟市場——這正是不少歐美品牌把亞洲資料中樞設在香港或新加坡的原因之一。

台灣：第 21 條授權主管機關個案限制

PIPA 第 21 條規定，非公務機關國際傳輸個資，中央目的事業主管機關於四種情形下得予限制，包括涉及國家重大利益、國際條約或協定有特別規定、接受國對個資保護未有完善法規致有損當事人權益之虞，以及以迂迴方式向第三國傳輸規避本法。歷史上已有針對特定產業向特定地區傳輸的限制命令。

對架構的實質意義

如果你的 Shopify Plus 或 Shopware 站點把台灣訂單資料同步到美東的資料倉儲，再由越南或菲律賓團隊處理客服工單——這在法律上可行，但你必須能說明接收地的保護水準、合約條款與再傳輸限制。Branch8 在為一家透過經銷網絡銷售的製造業客戶建置跨境訂單平台時，採取的做法是在資料層先做地區標記與欄位級加密，讓台灣與香港的個資在同一套 PostgreSQL 架構中物理同庫、邏輯隔離，營運團隊依角色取得不同解密範圍。

1-- 以 row-level security 區隔管轄區，避免跨境團隊誤觸
2ALTER TABLE customers ENABLE ROW LEVEL SECURITY;
3
4CREATE POLICY tw_operator_scope ON customers
5  FOR SELECT
6  TO crm_operator
7  USING (
8    jurisdiction = current_setting('app.operator_region', true)
9    OR current_setting('app.operator_region', true) = 'GLOBAL_DPO'
10  );

資料外洩通報：72 小時 vs 自願機制

台灣：特定產業已有 72 小時硬性規定

PIPA 第 12 條要求事故發生後「查明後以適當方式通知當事人」。真正的時限來自分業辦法——數位發展部 2023 年發布的《數位經濟相關產業個人資料檔案安全維護管理辦法》，要求適用業者（包含電商零售、第三方支付、網路資訊供應服務等）於知悉事故後 72 小時內通報中央目的事業主管機關（資料來源：數位發展部）。經濟部亦有針對零售業的對應辦法。

香港：目前仍為自願通報

PDPO 下的資料外洩通報屬自願性質，PCPD 提供線上通報表格與《資料外洩事故的處理及通報指引》。香港政府自 2020 年檢討條例起即多次表示有意引入強制通報機制，但截至 2026 年初仍未完成立法（資料來源：PCPD）。另需注意：香港《保障關鍵基礎設施（電腦系統）條例》已於 2025 年通過並自 2026 年 1 月 1 日起實施，對指定的關鍵基礎設施營運者另有事故通報義務——一般電商不在適用範圍，但若你同時經營支付或大型物流基建，須另行評估。

落地建議

以台灣的 72 小時為全組織統一門檻設計 incident runbook，而非為兩地各寫一套。原因很簡單：香港未來立法幾乎必然向國際水準靠攏，現在把流程做低標，兩年後要重做。

罰則與責任比較：誰的代價比較高？

香港 PDPO

• 違反執行通知：最高罰款港幣 50,000 元及監禁 2 年，另加每日罰款。
• 直接促銷違規：最高港幣 500,000 元及監禁 3 年；為獲益提供第三方作直銷，最高港幣 1,000,000 元及監禁 5 年。
• 起底罪行（2021 年修訂）：循公訴程序定罪最高罰款港幣 1,000,000 元及監禁 5 年。
• 無行政罰鍰制度，但當事人可依第 66 條提民事索償。

台灣 PIPA（2023 年修正後）

• 違反第 27 條安全維護義務且屆期未改正：罰鍰新臺幣 2 萬元以上 200 萬元以下；情節重大者，得處新臺幣 15 萬元以上 1,500 萬元以下並按次處罰（資料來源：全國法規資料庫）。
• 第 41 條：意圖營利違法蒐集、處理或利用個資，處 5 年以下有期徒刑，得併科新臺幣 100 萬元以下罰金。
• 第 29 條：非公務機關違法致當事人受損害應負損害賠償，單一事件最高總額新臺幣 2 億元；得由財團法人或公益社團提起團體訴訟。

判定

以財務風險論，台灣較高——按次處罰與團體訴訟機制讓單一事件可累積放大。以個人責任論，香港較重——直銷與起底的刑責直接指向經辦人員與管理層。兩地都不是「罰一次了事」的環境。

電商落地檢查清單：同一套架構怎麼跑兩地？

以下是 Branch8 在 Shopify Plus、Shopware 與自建 headless 架構上反覆使用的最小合規基線：

1. 分區同意採集：以 jurisdiction 參數驅動結帳頁的行銷訂閱元件，香港站強制 opt-in 且預設不勾選，台灣站至少提供明確拒絕途徑與免費退訂連結。
2. PICS / 隱私政策版本控管：每一版隱私聲明進 Git，部署時寫入版本號，並與同意紀錄關聯。
3. 資料保留排程：PDPO DPP2 與 PIPA 第 11 條都要求目的消失後刪除或停止處理。為訂單、客服工單、行銷名單各自設定保留期，並以排程任務實際執行，不要只寫在政策裡。
4. 當事人權利請求（DSAR）流程：香港 PDPO 要求在 40 日內回覆查閱要求；台灣第 13 條要求查詢或閱覽請求於 15 日內處理（得延長 15 日）。以較短者（台灣 15 日）為內部 SLA。
5. 第三方與再委託管理：台灣第 4 條將受委託者視同委託機關，委託方須盡監督義務（施行細則第 8 條列有監督事項）。香港 DPP2(3)、DPP4(2) 同樣要求以合約方式管控資料處理者。
6. 跨境團隊存取控制：若客服在馬尼拉、資料工程在胡志明市、行銷在雪梨，角色權限必須按管轄區切，不能只按職能切。

1# 以 CI 檢查隱私聲明版本與同意元件是否同步部署
2npx tsx scripts/verify-consent-config.ts \
3  --regions HK,TW,SG,AU \
4  --require-explicit-optin HK \
5  --max-dsar-sla-days 15 \
6  --fail-on-missing-pics-version

AI 與自動化帶來哪些新的合規缺口？

2026 年多數電商團隊已把 LLM 接進客服、商品文案與再行銷分群。三個最常被忽略的風險：

• 客服工單餵進外部模型：工單內含姓名、地址、訂單號，等同個資的國際傳輸與目的外利用。台灣第 20 條的「特定目的外利用」要件、香港 DPP3 的「新目的須取得訂明同意」都會被觸發。解法是在送出前做 PII 遮罩，而非事後補同意。
• 自動化分群與側寫：以瀏覽行為推估健康狀況、財務狀況或宗教傾向，可能落入台灣第 6 條的特種個資（病歷、醫療、基因、性生活、健康檢查、犯罪前科）範圍，原則禁止蒐集處理利用。香港 PDPO 沒有獨立的敏感資料類別，但 DPP1 的「必要且不超乎適度」仍可構成限制。
• AI 生成內容的留存：模型輸出若包含個資，同樣是個人資料檔案，需納入保留與刪除排程。

台灣在 2024 年起由數位發展部推動 AI 相關治理規範與《人工智慧基本法》立法程序，香港則由數字政策辦公室與 PCPD 於 2024 年發布《人工智能：個人資料保障模範框架》（資料來源：PCPD）。兩地方向一致：AI 不是個資法的例外。

最終判定：你該以哪一邊為基準建置？

若你同時經營港台兩地，請以「台灣的程序＋香港的行銷門檻」為合規基線。

• 台灣的 72 小時通報、15 日 DSAR 回應、第 8 條告知清單、第 27 條安全維護計畫，是程序面的較高標準。
• 香港的直接促銷 opt-in 與刑事責任，是行銷面的較高標準。

把兩者的高標疊起來做一次，你同時滿足港台，並且離新加坡 PDPA 與澳洲 Privacy Act 的要求只差一小段距離。反過來，若先做香港的寬鬆版本再補台灣，等於同一套 CRM、同意流程與資料倉儲要改兩次——這是最貴的做法。

對歐美品牌而言，還有一個常被低估的戰略面：香港在資料出境上幾乎無硬性限制、台灣則有明確的分業管理與技術人才密度。把 APAC 的資料中樞與營運團隊分開設計——中樞放在出境限制較低的管轄區，在地處理團隊放在貼近市場的管轄區——通常比把所有東西塞進單一國家來得穩健。

Branch8 總部設於香港，在台灣、新加坡、越南、馬來西亞、印尼、菲律賓與澳洲設有交付團隊，熟悉港台兩地個資法在電商技術架構上的實際落差。若你正在規劃跨境站點、CDP 整合或 AI 客服導入，歡迎與我們談談如何把合規要求直接寫進架構，而不是事後補丁。

Sources

• 香港個人資料私隱專員公署（PCPD）
• 香港電子版香港法例 — 個人資料（私隱）條例（第486章）
• 全國法規資料庫 — 個人資料保護法
• 個人資料保護委員會籌備處
• 數位發展部
• Personal Data Protection Commission Singapore (PDPC)
• Office of the Australian Information Commissioner (OAIC)
• International Association of Privacy Professionals (IAPP)