個人資料保護法

This law is established to regulate the collection, processing, and use of personal data.

The Personal Data Protection Commission is the competent authority for this Act.

中央及地方政府要配合推動本法目的的措施，並確保其所轄公務機關和所管非公務機關在執行職務與業務時遵守本法。主管機關得召開個人資料保護政策推進會議，相關運作辦法由主管機關訂定。

公務機關或非公務機關原則上要依當事人請求，對其蒐集的個人資料回覆查詢、提供閱覽或給複製本；但在列明的三種情況下可以不提供。

公務機關或非公務機關必須維護個人資料正確，並在當事人請求時更正或補充；在資料有爭議、蒐集目的消失或已違法蒐集處理利用時，還可能需要停止處理、停止利用、刪除，並在更正或補充後通知曾受提供利用的對象。

公務機關或非公務機關知悉個人資料遭竊取、竄改、毀損、滅失或洩漏時，應通知當事人；在符合一定通報範圍時，還要向主管機關等機關通報，並採取即時有效的應變措施及保存紀錄。

公務機關或非公務機關受理當事人依第十條或第十一條提出的請求後，必須在法定期限內作出准駁決定；必要時可以延長，但延長期間有限，且要書面通知理由。

公務機關或非公務機關可以就個人資料查詢、閱覽或取得複製本，酌收必要成本費用。

公務機關蒐集或處理個人資料時，原則上須有特定目的，且要符合列出的三種情形之一；第六條第一項所規定的資料不在此限制內。

公務機關利用個人資料，原則上必須在法定職務必要範圍內，並符合蒐集時的特定目的；符合列舉情形時，才可以作特定目的外利用。

公務機關必須公開特定個人資料檔案相關事項，並供公眾查閱；內容變更時也要同樣處理。

公務機關要指定個資保護與安全維護人員、配置資源，主管機關並負責相關訓練與辦法訂定；機關也不得因人員依法執行個資保護職務而給予不利處分或管理措施。

Non-public entities may collect or process personal data only for a specific purpose and only if one of the listed legal conditions is met; if processing is later prohibited under the seventh item’s proviso, the data must be deleted or processing/use must stop.

This provision defines key terms used in the law, including personal data, personal data files, collection, processing, use, international transfer, public agencies, non-public agencies, and the data subject.

非公務機關使用個人資料，原則上只能在蒐集目的的必要範圍內；符合列舉情形時，才可以超出目的使用。若用於行銷，當事人拒絕後要立即停止，首次行銷時也要提供拒絕方式並負擔必要費用。

非公務機關若保有個人資料檔案，必須辦理安全維護事項，以防止個人資料被竊取、竄改、毀損、滅失或洩漏。

主管機關可以限制非公務機關的個人資料國際傳輸。

公務機關每年要向上級機關、監督機關或指定機關報告個人資料保護管理事項的實施情形，並對所屬或所轄機關進行督導與稽核。

主管機關要定期或不定期稽核公務機關的個資保護管理執行情形；受稽核機關如有缺失，應提出改善報告；參與稽核的人員負保密義務。

主管機關在懷疑公務機關違反本法時，可以要求提供資料、說明或進行實地檢查；公務機關及相關人員原則上要配合，依法需保密者除外。

公務機關違反本法時，主管機關可命其限期改正；機關需按期完成改正並書面回覆。

本節規定不適用於情報機關。

主管機關在認有必要時，得對非公務機關進行檢查；受檢者及相關人員不得無正當理由規避、妨礙或拒絕，參與檢查的人員也負保密義務。

Seized items or copies should be sealed or otherwise marked and handled appropriately; if they are hard to move or store, someone may be ordered to guard them or the owner or another suitable person may keep them. If retention is no longer necessary, or if no punishment or forfeiture is ordered, they must be returned, unless they must be forfeited or kept for another case.

不服前二條的要求、強制、扣留或複製時，相關人可以向主管機關聲明異議。

非公務機關違反本法時，主管機關可裁罰鍰並採取禁止蒐集、命令刪除、沒入或銷毀資料，以及公布違法情形等處分。

主管機關在依第二十二條檢查、且未發現違法情事並取得該非公務機關同意後，得公布檢查結果。

（刪除）

公務機關違反本法造成個人資料被不法蒐集、處理、利用或其他權利侵害時，原則上要負損害賠償責任；但若損害是因天災、事變或其他不可抗力造成，則不在此限。

非公務機關違反本法造成個人資料被不法蒐集、處理、利用或其他侵害時，原則上要負損害賠償責任；若能證明自己沒有故意或過失，則不在此限。

當事人就其個人資料享有查詢、閱覽、複製、更正補充、停止蒐集處理利用，以及刪除等權利，且不得事先放棄或以特約限制。

損害賠償請求權在知道損害和賠償義務人後2年未行使，或自損害發生後逾5年，會消滅。

關於損害賠償，公務機關適用國家賠償法，非公務機關適用民法。

財團法人或公益社團法人要依本章規定提起訴訟，須符合特定要件。

This provision assigns exclusive venue for damage-claim lawsuits: against a public agency, the district court where that agency is located has jurisdiction; against a non-public entity, the district court where its principal office, main business office, or residence is located has jurisdiction.

符合條件的財團法人或公益社團法人，可以用自己名義提起損害賠償訴訟；當事人也可在言詞辯論終結前撤回授權。

當事人撤回訴訟實施權授與後，該部分訴訟程序停止；該當事人應立即聲明承受訴訟，法院也可以依職權命其承受訴訟。

各當事人就第三十四條第一項、第二項的損害賠償請求權，時效要分別計算。

財團法人或公益社團法人在受授訴訟實施權的案件中，可以進行一切訴訟行為；但當事人可以限制其不得為捨棄、撤回或和解。

不服第三十四條訴訟判決的當事人，得在上訴期間屆滿前撤回訴訟實施權之授與，並依法提起上訴；財團法人或公益社團法人收到判決書正本後，應立即通知當事人結果，並在七日內書面告知是否上訴。

財團法人或公益社團法人在第三十四條訴訟取得賠償後，應先扣除必要訴訟費用，再把賠償交付給受授與訴訟實施權的當事人；若是提起第三十四條第一項訴訟，則不得請求報酬。

受委託蒐集、處理或利用個人資料者，在本法適用範圍內，視同委託機關。

依本章提起訴訟的財團法人或公益社團法人，必須委任律師代理訴訟。

A person who acts to gain unlawful benefit or harm another’s interests, and violates the listed provisions or international-transfer restrictions that cause harm, may be imprisoned for up to 5 years and may also be fined up to TWD 1 million.

Anyone who illegally alters, deletes, or otherwise unlawfully handles a personal data file for unlawful gain or to harm another person, causing the file’s accuracy to be impaired and resulting in harm, is subject to punishment.

This provision says the prior two criminal provisions also apply when a Republic of China national commits those offenses outside the Republic of China against a Republic of China national.

公務員如果假借職務上的權力、機會或方法犯罪，刑罰可加重至二分之一。

Crimes in this chapter generally require a complaint, with exceptions for offenses under Article 41 and offenses under Article 42 committed against a public agency.

If conduct is an offense under this chapter, any heavier punishment rule in other laws applies.

非公務機關若違反特定規定，主管機關可處新臺幣5萬元以上50萬元以下罰鍰，並命其限期改正；逾期未改正的，還可以按次處罰。

非公務機關違反列出的資料保護規定時，主管機關可命其限期改正，並處罰鍰；逾期未改正的，還可按次加罰。

If a non-public agency violates Article 22, paragraph 4, the competent authority may impose a fine.

個人資料的蒐集、處理或利用，必須尊重當事人權益，依誠實信用方法進行，不得超過特定目的所必需的範圍，並且要與蒐集目的有正當合理關聯。

非公務機關的代表人、管理人或其他有代表權人，在該機關因前3條被處罰鍰時，原則上也要受同額罰鍰處罰；若能證明已盡防止義務，則例外。

This provision excludes some personal-data activities from the law, but applies the law extra-territorially when public or non-public agencies collect, process, or use Taiwanese people’s personal data outside Taiwan.

主管機關在成立後六年內，要報請行政院公告部分非公務機關仍由原主管機關管轄；之後每二年還要檢討調整。中央目的事業主管機關也可以指定這些非公務機關訂定個資安全維護計畫或業務終止後的個資處理方法。

主管機關及地方機關在一定範圍內可以把部分執行權限委託、委辦或委任給其他機關、行政法人或公益團體；受託或受任者對知悉或持有的資料負保密義務，公益團體不得以自己名義提起損害賠償訴訟。

主管機關應訂定特定目的及個人資料類別，供公務機關及非公務機關參考。

This provision sets the appeal route for certain administrative dispositions under the Act, including when to file a petition with the competent authority or go directly to administrative litigation.

If personal data was not provided by the data subject and is processed or used after the 2015-12-15 amendment takes effect, notice must be given to the data subject before processing or use, with an alternative of giving notice together with the first use after that date.

主管機關負責訂定本法的施行細則。

本法的施行日期由行政院决定；另有一项关于删除条文及修正条文的规定，自公布日起施行。

Sensitive personal data about medical records, health, genetics, sex life, health checks, and criminal records generally may not be collected, processed, or used, unless one of the listed exceptions applies.

This provision defines “consent,” sets a presumption of consent in one situation, and places the burden of proof on the collector.

公務機關或非公務機關在依第十五條或第十九條蒐集個人資料時，原則上要明確告知當事人指定事項；但符合列舉情形時，可以免告知。

機關或非公務機關蒐集非由當事人提供的個人資料時，原則上要在處理或利用前通知當事人資料來源及相關事項。

This chapter is titled “General Provisions.”

Chapter heading for rules on public agencies’ collection, processing, and use of personal data.

This chapter concerns how non-public entities collect, process, and use personal data.

This provision is a chapter heading for Administrative Supervision.

This section is about supervision of government agencies.

Section heading: supervision of non-public agencies.

This chapter covers damages and class actions.

This chapter is the penalties chapter.

This provision is a chapter heading for the supplemental provisions chapter.