本法用詞，定義如下： 一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。 二、個人資料檔案：指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合。 三、蒐集：指以任何方式取得個人資料。 四、處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。 五、利用：指將蒐集之個人資料為處理以外之使用。 六、國際傳輸：指將個人資料作跨國（境）之處理或利用。 七、公務機關：指依法行使公權力之中央或地方機關或行政法人。 八、非公務機關：指前款以外之自然人、法人或其他團體。 九、當事人：指個人資料之本人。
重點摘要個資法第 2 條定義 9 項用詞，核心是「直接或間接方式識別」的個人資料概念，把行為資料納入保護範圍。
Q · 什麼樣的資料才算個資？沒名字也算嗎？
能間接識別到個人的都算，不一定要有名字
依個資法第 2 條第 1 款，個人資料不只是姓名、身分證、電話這些直接識別資料，連 IP 位址、裝置 ID、位置軌跡、瀏覽偏好等行為資料，只要單獨或結合其他資料能識別到特定自然人，就屬於個資。1999 年修法把「足資識別」擴大為「直接或間接方式識別」，就是要把大數據時代的行為資料全部拉進保護範圍。
打開這條的清單看一次，你會重新理解什麼叫「個資」。不只是姓名、電話、身分證，還包括指紋、基因、性生活、健康檢查、犯罪前科、社會活動。而真正殺的是最後那句「其他得以直接或間接方式識別該個人之資料」。你在網路上的購物偏好、位置軌跡、點擊紀錄，單獨看好像是匿名的，但拼起來就能識別你是誰，這一拼就變成個資。企業做行銷常踩這條線：我沒存你的身分證號碼，但我存了你的 IP、裝置識別碼、瀏覽歷史。這些看似「行為資料」其實已經是個資。民國 99 年全文修正時立法者意識到這個問題，把舊法的「其他足資識別」擴大為「直接或間接方式識別」，就是為了抓住這些行為資料。這條不只是定義，它是整部個資法的射程範圍：定義越廣，法律射程越遠。
個人資料保護法第 2 條為整部法律的核心定義條文，明列 9 款用詞解釋：個人資料、個人資料檔案、蒐集、處理、利用、國際傳輸、公務機關、非公務機關、當事人。其中第 1 款採取「列舉 + 概括」結構，並以「直接或間接方式識別該個人之資料」涵蓋大數據時代的行為資料，劃出整部法律的保護射程。
是。即使它是「公司.tw」開頭的職務信箱，只要能識別出特定自然人（例如 [email protected] 可識別是陳約翰），就屬於本條第 1 款的個人資料。公司發送的行銷 Email 到個人職務信箱，也適用個資法。內行人提示：B2B 行銷最容易在這裡踩坑，誤以為「企業間資料」不受個資法管，其實只要指向個人仍在保護範圍。
病歷、醫療、基因、性生活、健康檢查、犯罪前科屬於「特種個資」，依第 6 條原則上禁止蒐集處理利用，例外允許的要件非常嚴格（法律明文規定、公共利益研究、當事人書面同意等）。違反時罰則也比一般個資重。內行人提示：很多公司的員工體檢報告儲存方式就踩了這條紅線，合規檢視時這類是第一批要處理的項目。
要看去識別化的程度。如果仍能透過技術手段或結合其他合理可得資料還原為可識別個人，仍是個資；如果已經達到「不可逆」的去識別化（例如統計性聚合數據），則脫離本條保護範圍。分界判斷是技術問題也是法律問題。內行人提示：企業宣稱「已去識別化」時，要求對方提出去識別化方法的書面說明，沒有書面說明的基本上都不達標。
明列 9 項用詞：個人資料、個資檔案、蒐集、處理、利用、國際傳輸、公務/非公務機關、當事人。是整部個資法的射程範圍定義。
自然人之姓名、身分證號、特徵、指紋、病歷、聯絡方式、社會活動及其他得以直接或間接方式識別該個人之資料，含 18 種列舉類型。
單獨看資料無法識別特定人，但結合其他合理可得資料能指向特定自然人之識別方式。IP+ISP 名單、軌跡起點+終點都是典型。
公務機關是依法行使公權力之中央/地方機關或行政法人，非公務機關是其他自然人、法人或團體。私人企業屬非公務機關。
兩步：先看是否屬第 1 款列舉的 18 類型；不屬於則檢驗能否直接或間接識別特定自然人，能即屬個資。
技術上達不可逆狀態（無法透過任何手段或結合其他合理可得資料還原），並保留書面去識別化方法說明備查。
屬第 6 條特種個資，原則禁止保存。要保存需符合法定例外（如職業安全法強制規定）+ 限定特定目的 + 設安全保護措施。
拆解本條第 1 款各款對應公司持有資料 → 找出特種個資（第 6 條）→ 檢視蒐集處理利用法源（第 15/19 條）→ 設定保護措施。
個資是單筆可識別資料，個資檔案是「依系統建立而得以檢索整理」的集合。Excel 名單是檔案，但隨手寫的便條紙不是。
| title |
|---|
| 蒐集 vs 處理 vs 利用 |
| 公務機關 vs 非公務機關 |
AI 輔助整理之對應參考，非官方對照，以各國原文為準
個人資料之保護，依本法之規定。但其他法律另有規定者，依其規定。
立法理由一、明定本法與其他法律之適用順序。 二、至於個人資料應保密者，例如銀行法第四十八條第二項規定：銀行對於顧客之存款、放款或匯款等有關資料，除其他法律或中央主管機關另有規定者外，應保守秘密。醫療法第四十九條規定：醫療機構及其人員因業務而知悉或持有他人之秘密，不得無故洩漏。此等規定均應優先本法而適用。
本法用詞，定義如下： 一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。 二、個人資料檔案：指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合。 三、蒐集：指以任何方式取得個人資料。 四、處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。 五、利用：指將蒐集之個人資料為處理以外之使用。 六、國際傳輸：指將個人資料作跨國（境）之處理或利用。 七、公務機關：指依法行使公權力之中央或地方機關或行政法人。 八、非公務機關：指前款以外之自然人、法人或其他團體。 九、當事人：指個人資料之本人。
立法理由一、條次變更，本條為原條文第三條移列。 二、將序文「如左」修正為「如下」，以符合法制用語。 三、本法所保障之法益為人格權，惟個人資料種類繁多，第一款關於「個人資料之定義」，除原條文例示之日常生活中經常被蒐集、處理及利用之個人資料外，另增加護照號碼、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式等個人資料，以補充說明個人資料之性質。此外，因社會態樣複雜，有些資料雖未直接指名道姓，但一經揭露仍足以識別為某一特定人，對個人隱私仍會造成侵害，爰參考一九九五年歐盟資料保護指令（95/46/EC）第二條、日本個人資訊保護法第二條，將「其他足資識別該個人之資料」修正為「其他得以直接或間接方式識別該個人之資料」，以期周全。 四、為配合本法將非經電腦處理之個人資料納入規範之修正意旨，爰修正第二款關於「個人資料檔案」之定義。 五、由於蒐集個人資料之行為態樣繁多，有直接向當事人蒐集者；有間接從第三人取得者，為落實保護個人資料隱私權益，爰參考德國聯邦個人資料保護法第三條規定，修正第四款「蒐集」之定義。 六、配合本法保護客體放寬之修正意旨，爰將原條文第三款「電腦處理」中「電腦」二字刪除，並將款次移列至第四款。另原條文「電腦處理」之定義包括資料之傳遞，易遭誤解為傳遞給外部之第三人，而與「利用」行為發生混淆。爰將「傳遞」修正為「內部傳送」，以資明確。 七、原條文第五款對於「利用」之定義，係將保有之個人資料檔案為內部使用或提供當事人以外之第三人。惟直接對當事人本人使用其個人資料（如對當事人從事行銷行為），是否屬本法所稱之利用行為，滋生疑義。準此，爰參考德國聯邦個人資料保護法第一條規定，並將文字予以精簡，修正「利用」之定義。 八、原條文第九條、第二十四條規定之「國際傳遞」究屬機關內部之「資料傳送」？抑或為「提供當事人以外第三人之利用」？易滋生疑義。爰將各該條規定之「國際傳遞」一語修正為「國際傳輸」，並增訂第六款「國際傳輸」定義規定。不論是機關內部之資料傳送（屬資料處理），例如：總公司將資料傳送給分公司、公務機關將資料傳送給國外辦事處等；或將資料提供當事人以外第三人（屬資料利用），例如：母公司將資料提供給子公司或他公司、公務機關將資料傳送給他公務機關，只要該資料作跨國（境）之傳輸，不論是屬處理或利用行為，皆屬本法所稱之「國際傳輸」。 九、由於執行公務爾後將不限中央或地方機關，行政法人之組織型態亦將成為其中之一，爰將原條文第六款公務機關之定義，納入行政法人，以期周全，並改列款次為第七款。 十、為配合本法放寬規範主體之修正意旨，爰修正原條文第七款非公務機關之定義，並改列款次為第八款。 十一、本條係定義規定，而「特定目的」及「資料類別」之指定，並非屬定義事項，爰將原條文第九款之「特定目的」及原條文第十條第二項之「資料類別」予以合併規定，並移列至第六章附則第五十三條規定。
一、明定本法與其他法律之適用順序。 二、至於個人資料應保密者，例如銀行法第四十八條第二項規定：銀行對於顧客之存款、放款或匯款等有關資料，除其他法律或中央主管機關另有規定者外，應保守秘密。醫療法第四十九條規定：醫療機構及其人員因業務而知悉或持有他人之秘密，不得無故洩漏。此等規定均應優先本法而適用。
一、條次變更，本條為原條文第三條移列。 二、將序文「如左」修正為「如下」，以符合法制用語。 三、本法所保障之法益為人格權，惟個人資料種類繁多，第一款關於「個人資料之定義」，除原條文例示之日常生活中經常被蒐集、處理及利用之個人資料外，另增加護照號碼、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式等個人資料，以補充說明個人資料之性質。此外，因社會態樣複雜，有些資料雖未直接指名道姓，但一經揭露仍足以識別為某一特定人，對個人隱私仍會造成侵害，爰參考一九九五年歐盟資料保護指令（95/46/EC）第二條、日本個人資訊保護法第二條，將「其他足資識別該個人之資料」修正為「其他得以直接或間接方式識別該個人之資料」，以期周全。 四、為配合本法將非經電腦處理之個人資料納入規範之修正意旨，爰修正第二款關於「個人資料檔案」之定義。 五、由於蒐集個人資料之行為態樣繁多，有直接向當事人蒐集者；有間接從第三人取得者，為落實保護個人資料隱私權益，爰參考德國聯邦個人資料保護法第三條規定，修正第四款「蒐集」之定義。 六、配合本法保護客體放寬之修正意旨，爰將原條文第三款「電腦處理」中「電腦」二字刪除，並將款次移列至第四款。另原條文「電腦處理」之定義包括資料之傳遞，易遭誤解為傳遞給外部之第三人，而與「利用」行為發生混淆。爰將「傳遞」修正為「內部傳送」，以資明確。 七、原條文第五款對於「利用」之定義，係將保有之個人資料檔案為內部使用或提供當事人以外之第三人。惟直接對當事人本人使用其個人資料（如對當事人從事行銷行為），是否屬本法所稱之利用行為，滋生疑義。準此，爰參考德國聯邦個人資料保護法第一條規定，並將文字予以精簡，修正「利用」之定義。 八、原條文第九條、第二十四條規定之「國際傳遞」究屬機關內部之「資料傳送」？抑或為「提供當事人以外第三人之利用」？易滋生疑義。爰將各該條規定之「國際傳遞」一語修正為「國際傳輸」，並增訂第六款「國際傳輸」定義規定。不論是機關內部之資料傳送（屬資料處理），例如：總公司將資料傳送給分公司、公務機關將資料傳送給國外辦事處等；或將資料提供當事人以外第三人（屬資料利用），例如：母公司將資料提供給子公司或他公司、公務機關將資料傳送給他公務機關，只要該資料作跨國（境）之傳輸，不論是屬處理或利用行為，皆屬本法所稱之「國際傳輸」。 九、由於執行公務爾後將不限中央或地方機關，行政法人之組織型態亦將成為其中之一，爰將原條文第六款公務機關之定義，納入行政法人，以期周全，並改列款次為第七款。 十、為配合本法放寬規範主體之修正意旨，爰修正原條文第七款非公務機關之定義，並改列款次為第八款。 十一、本條係定義規定，而「特定目的」及「資料類別」之指定，並非屬定義事項，爰將原條文第九款之「特定目的」及原條文第十條第二項之「資料類別」予以合併規定，並移列至第六章附則第五十三條規定。
以全國法規資料庫公告為準
登入後可與所有讀者共筆，標重點、寫心得，一起把這條讀透。
登入開始共筆原始資料來源：全國法規資料庫、立法院法學系統。AI 加值內容僅供理解輔助，法律效力以原文為準。
以下各句為自含語境之客觀事實描述；引用請以全國法規資料庫為準。