個人資料保護法 第 4 條

算。透過 Google 表單蒐集個人資料時，Google 為受託處理者。如果 Google 伺服器出問題導致資料外洩，依個資法第 4 條視同原則，委託公司仍須負責。企業版 Google Workspace 的服務條款有資料處理附約 (DPA) 應確認簽署。免費版 Google 表單的服務條款對資料保護承諾遠低於企業版，拿免費工具處理客戶個資法律風險較高。

可以但順序很重要。當事人依個資法告委託方時，不能用「去找受託方」來擋。必須先對當事人負責（賠償或處理），再依委託合約向受託方求償。合約裡沒寫清楚連帶責任和違約金條款，追討難度會非常高。實務作法：在委託合約中約定受託方應投保資訊安全責任險，萬一出事保險公司會幫忙處理一大塊求償程序。

個人資料保護法第 4 條建立「委託處理視同」原則：受公務或非公務機關委託蒐集、處理或利用個人資料者，於本法適用範圍內視同委託機關。受託方在個資法面前的法律地位等同委託方，無獨立責任主體地位。當事人遭遇個資外洩時，可直接向委託機關求償。

六大必備條款：1) 資料範圍與類別 2) 使用目的限制 3) 安全維護措施要求（依個資法施行細則第 12 條 11 款） 4) 稽核權與監督機制 5) 違約賠償金與連帶責任 6) 合約終止後資料銷毀或返還條款。實務作法：再加上「受託方應投保資訊安全責任險」與「資料外洩通知義務 24 小時內」兩款。

GDPR Art. 28 賦予 Processor 獨立法律責任，當事人可同時向 Controller 與 Processor 求償，強制簽署 DPA 並列舉 8 項必約定事項。台灣個資法第 4 條採完全視同原則，受託方無獨立責任主體地位，當事人只能向委託方求償。跨國企業若同時受 GDPR 與台灣個資法管轄，必須以較嚴格的 GDPR 標準設計委託合約。

受委託蒐集、處理或利用個資的廠商，在個資法面前法律地位等同委託方，無獨立責任主體地位。當事人只能向委託方求償。

雲端 SaaS 服務商、行銷外包公司、薪資代辦會計、IT 維護廠商、物流業者、客服 BPO，所有碰到客戶個資的第三方都算。

第 4 條決定責任歸屬（誰負責），第 27 條決定安全義務內容（要做什麼）。委託方依第 4 條負責，依第 27 條落實安全維護。

1) 直接向委託機關發存證信函要求說明與賠償 2) 依個資法第 28 條（公務）或第 29 條（非公務）提民事訴訟 3) 大規模外洩可依第 32 條提團體訴訟 4) 不需追查實際洩漏的受託方。

順序是先賠當事人再追受託方。1) 蒐集委託合約稽核條款相關證據 2) 黃金 72 小時內取得受託方日誌與存取紀錄 3) 依合約違約金條款或民法 184 條求償。合約沒寫清楚追討難度極高。

1) 列出所有處理客戶資料的系統與工具（CRM、雲端硬碟、客服、行銷自動化） 2) 確認每個服務商的服務條款是否有 DPA 3) 檢查既有委託合約是否含六大條款 4) 建立個資處理活動紀錄表（PIA / ROPA）。

GDPR 賦予 Processor 獨立法律責任，當事人可同時向 Controller 與 Processor 求償，強制 DPA 並列舉 8 項必約定事項。台灣 4 條採完全視同，受託方無獨立責任。跨國企業以較嚴的 GDPR 為標準設計合約。