網站要放隱私權政策嗎？

很多老闆覺得「我的網站又沒有賣東西，應該沒有收集客人的資料吧」。只要網站上有一個聯絡表單，請客人留下姓名、電話、Email，就是在蒐集個人資料，網站也就需要一份隱私權政策。

蒐集個人資料，就要遵守個人資料保護法（以下簡稱個資法）。這篇整理網站要注意的幾件事，從「哪裡在收資料」開始，到「收了之後怎麼保管」。

先看看：你的網站在哪裡收資料

把網站上會留下客人資料的地方列出來：

• 聯絡表單、詢價表單：姓名、電話、Email、需求內容。
• 會員註冊、登入：帳號、密碼、生日、地址。
• 購物車訂單：收件人、地址、電話、發票資料。
• 電子報訂閱、活動報名、預約。
• 留言、評論。
• 流量分析和廣告追蹤：Google Analytics、Facebook 像素這類工具，會在客人的瀏覽器放 Cookie，記錄瀏覽行為。

列完通常會發現，比自己以為的多。這份清單就是後面寫隱私權政策的基礎。

個資法要你告訴客人 6 件事

個資法第 8 條規定，直接向當事人蒐集個人資料時，要明確告訴對方：

1. 誰在蒐集：你的公司或店家名稱。
2. 蒐集的目的：例如回覆詢問、處理訂單、寄送電子報。
3. 蒐集哪些類別的資料：姓名、聯絡方式、地址等。
4. 資料會用多久、在哪裡用、給誰用、怎麼用：例如訂單資料會交給物流公司配送。
5. 客人有哪些權利、怎麼行使：查詢、閱覽、要求更正、停止使用、刪除。
6. 不提供會有什麼影響：例如不填電話就無法安排配送。

網站上最常見的做法，是把這些寫成一頁「隱私權政策」，在每個表單旁邊放連結，讓客人送出前看得到。

隱私權政策要寫什麼

照上面的 6 件事寫，再補上網站特有的部分：

• 網站用了哪些 Cookie 和分析工具：例如用 Google Analytics 分析瀏覽人數。
• 資料保存多久：例如詢問紀錄保存兩年後刪除。
• 會不會交給第三方：物流、金流、雲端服務、電子報平台。
• 聯絡窗口：客人要查詢或刪除資料時找誰。
• 政策更新的方式：修改時會在網站上公告。

不要直接複製別人網站的隱私權政策。 一方面別人的文字有著作權，另一方面別人的網站收的資料、用途和你不一樣，照抄等於寫了不符合事實的內容。

Cookie 同意視窗要不要做

很多國外網站一打開就跳出「本網站使用 Cookie，是否同意」的視窗，老闆常會問台灣的網站要不要也做一個。

• 歐盟的規定比較明確：網站在訪客的裝置放置「非必要」的 Cookie（例如廣告追蹤）之前，原則上要先取得同意。如果你的客人有歐盟的人，或網站針對歐洲市場，就要照歐盟的規定做。
• 台灣目前沒有針對 Cookie 同意視窗的明文規定，但如果透過 Cookie 蒐集的資料能識別到特定的人，仍然適用個資法。
• 實務上的建議：只服務台灣客人的網站，至少在隱私權政策裡寫清楚用了哪些 Cookie、做什麼用、怎麼關閉；有會員、購物、廣告追蹤的網站，可以考慮加上簡單的提示或同意視窗。

收了資料之後：保管比收集更重要

• 只收用得到的：詢價表單不需要身分證字號，就不要放這個欄位。收得越少，風險越小。表單欄位怎麼設計，在〈網站聯絡表單怎麼設計？〉。
• 限制誰看得到：網站後台、信箱、試算表，只開給需要的人。員工離職要把帳號收回，做法在〈網站後台多人管理〉。
• 網站本身要安全：網址要有 https，系統和外掛要更新，後台密碼不要太簡單。網站被駭，資料也可能一起外洩，相關說明在〈網站被駭怎麼辦？〉。
• 用完要刪：超過保存期限的資料，定期刪除。

萬一外洩了

依個資法第 12 條，個人資料被竊取、洩漏、竄改時，要查明後通知當事人；法務部和國發會的解釋是，發現了就要迅速通知，不用等責任確定。民國 114 年 11 月的修法，把這一條改成「知道保有的個人資料被竊取、竄改、毀損、滅失或洩漏時，就要通知當事人」，並加上符合一定範圍要向主管機關通報、要採取應變措施和保存紀錄；新規定的施行日期由行政院另外決定。

不管新規定什麼時候施行，平常就把「誰保管哪些資料」記下來，真的發生事情時，才知道要通知誰、怎麼處理。

不同功能，注意的重點不同

• 電子報：要對方自己訂閱，並且隨時可以退訂。做法在〈電子報怎麼開始？〉。
• 會員網站：密碼不要用明碼存放，忘記密碼要走重設流程。相關說明在〈會員制、付費內容網站怎麼做？〉。
• 用社群帳號登入：社群平台會要求你的網站要有隱私權政策頁。

正威網路行銷是 25 年經驗的基隆網頁設計工作室，也服務台北和全台灣的客戶。這篇是一般性的整理，不是法律意見；收集的資料比較敏感（例如健康、財務資料），或客人來自國外，請教律師。想檢查網站上的表單和隱私權政策，歡迎免費諮詢。