企業採購要求個資委託條款怎麼辦？資料角色、保存、刪除與次處理者怎麼寫

企業採購線上課程進到法務或資安審查時，很常突然多出一份文件：

「請簽個資委託條款，或提供資料處理協議。」

很多講師第一反應是：

「我只是提供課程，為什麼還要簽這個？」

但只要企業把員工姓名、公司電子郵件、部門、職稱、課程進度或作業資料交給你，而你要為了開通、交付、客服或報表去處理這些資料，就可能進入個資委託的範圍。

這時最容易犯的錯，不是少寫一條法律術語，而是連自己到底拿到哪些資料、交給哪些服務商、保存多久都說不清楚。

先釐清：企業、課程業者、雲端服務商分別在做什麼

台灣《個人資料保護法》第 4 條規定，受公務機關或非公務機關委託蒐集、處理或利用個人資料者，在個資法適用範圍內視同委託機關。

放到企業課程情境，可以先用實際工作理解：

實際法律角色仍要看契約與資料處理事實，不能只靠角色名稱判斷。

因此企業問你「你是不是我們的資料處理者？」時，不要只回答是或不是，應先把資料流與實際服務範圍對清楚。

台灣法規對委託監督，至少已經列出 6 類重點

《個人資料保護法施行細則》第 8 條規定，委託他人蒐集、處理或利用個資時，委託方應對受託者做適當監督。

至少包含：

1. 預定處理的個資範圍、類別、特定目的與期間。
2. 受託者應採取的安全措施。
3. 有複委託時，相關受託者的約定。
4. 違反個資法或相關規範時，通知事項與補救措施。
5. 委託方保留指示的事項。
6. 委託終止或解除時，資料載體返還與受託者持有資料的刪除。

這六類幾乎就是企業個資委託條款的骨架。

所以如果對方丟來二十頁合約，不需要先被頁數嚇到；先檢查這六個核心有沒有清楚，再看企業是否另外增加產業、跨境、稽核或資安要求。

第一條要寫清楚：到底會處理哪些資料

不要只寫：

「乙方得處理甲方提供之個人資料。」

這太寬。

企業課程實務上可以列得更清楚：

• 姓名。
• 公司電子郵件（Email）。
• 部門、職稱或員工編號。
• 帳號與課程權限。
• 登入與學習進度。
• 測驗、作業或證書紀錄。
• 客服與必要的技術紀錄。

如果你根本不需要身分證字號、私人住址或其他敏感資料，就不要因為合約模板寫得很大而一起收進來。

個資法本身就要求蒐集、處理與利用不得逾越特定目的必要範圍。

第二條要寫清楚：資料只能拿來做什麼

對企業課程來說，常見目的可能是：

• 建立與驗證學員帳號。
• 提供課程與會員權限。
• 寄送必要的課程通知。
• 處理客服與技術問題。
• 記錄學習進度與作業。
• 提供企業培訓成果報表。
• 維護系統安全與稽核紀錄。

條款最好不要出現：

「乙方得基於營運需要自由使用資料。」

這種寫法太寬，也和受託者只能在委託方指示範圍內處理資料的原則衝突。

第三條：保存多久，不要只寫「合作期間及必要期間」

「必要期間」如果沒有任何判斷方式，實際執行很容易變成永久保存。

可以依資料種類分開：

個資法第 11 條也明定，特定目的消失或期限屆滿時，原則上應刪除、停止處理或利用；若因執行職務或業務所必須等情形，才可能有例外。

企業授權到期後資料怎麼處理，可以延伸看 企業課程授權到期後怎麼辦？續約、停權、資料保留與學習紀錄怎麼處理。

第四條：安全措施要寫「做得到的」，不要為成交承諾不存在的能力

企業可能要求：

• 存取權限控管。
• 管理員最小權限。
• 密碼與登入安全。
• 備份與復原。
• 日誌。
• 更新與弱點管理。
• 事故處理。

這些都可以談，但不能因為客戶要求，就直接簽：

「乙方保證任何情況下資料絕不外洩。」

安全管理應該是具體措施、責任與事件處理，而不是無限結果保證。

合約寫的安全措施，也要和網站實際做到的狀況一致。

第五條：「次處理者」和台灣法規的「複委託」要分清楚

企業採購文件常用次處理者（Subprocessor）這個詞，例如指課程業者再使用雲端主機、寄信、影音或備份供應商處理部分客戶資料。

但台灣《個人資料保護法施行細則》第 8 條的文字使用的是「複委託」。

兩者在企業契約實務上可能談到相近問題，但不要把英文採購用語直接說成台灣法條原文。

實務上應先問：

• 這個供應商會不會實際接觸企業員工資料？
• 會處理哪些資料？
• 用途是什麼？
• 是否還會再交給其他服務商？
• 主要處理地點在哪裡？

企業課程的完整資料流，可以看 企業線上課程資料放在哪裡？影音、會員、作業、報表與次處理者怎麼說明。

企業要求「新增次處理者前要先取得書面同意」，能不能直接簽？

這要看你的實際供應鏈能不能做到。

如果你使用的雲端服務可能依法或依其服務機制調整底層供應商，而你根本無法保證每次變更前都取得企業個別書面同意，就不應為了成交直接簽下一個做不到的流程。

可以和企業討論：

• 列出目前重要供應商。
• 重大變更時通知。
• 企業在合理期間提出異議。
• 涉及高風險處理時再個別確認。

這就是契約談判的重點：先理解企業實際擔心的是什麼，再設計一個雙方能執行的控制方式，而不是只把對方模板全部照簽。

第六條：發生個資或資安事件，誰通知誰？多久通知？

施行細則第 8 條已要求，受託者或其受僱人違反個資法或其他個資保護規範時，應約定向委託方通知的事項與補救措施。

企業契約可以再具體化：

• 事件由誰接收。
• 什麼情況需要通知。
• 先提供哪些已知資訊。
• 後續多久更新一次。
• 如何保存調查紀錄。
• 誰負責對外或對當事人的通知。

不要寫成「任何異常五分鐘內提供完整根因報告」這種實際上很難做到的承諾。

事件剛發生時，先止血、確認影響與保存證據，完整根因分析通常需要時間。

完整事件流程可以搭配 企業課程發生資安事件怎麼辦？帳號外洩、服務中斷、通報與事後改善怎麼設計。

第七條：企業能不能要求你接受稽核？先把方式與範圍寫清楚

企業可能要求：

• 填資安問卷。
• 提供政策文件。
• 提供第三方證明。
• 接受遠端或現場稽核。

如果只是十幾席的課程採購，卻要求無限制現場稽核、原始系統存取或隨時調閱所有供應商契約，成本可能遠超過這筆案子。

比較合理的做法是先定義：

• 多久一次。
• 提前多久通知。
• 可提供哪些證明。
• 不能暴露哪些其他客戶資料與安全機密。
• 額外稽核成本由誰負擔。

第八條：合作結束後，「返還」和「刪除」不要只寫一句話

施行細則第 8 條特別把委託終止或解除後的資料載體返還，以及受託者持有資料的刪除列進監督事項。

企業課程可以把流程拆成：

1. 授權到期，停止新的課程使用。
2. 企業在約定期間匯出需要的學習報表。
3. 移除不再需要的企業管理權限。
4. 依契約處理會員、作業與相關資料。
5. 備份依既定保存週期淘汰。
6. 若依法或業務必要仍須保存，限制用途與存取。

這比一句「合約結束後立即刪除所有資料」更容易落實執行。

備份不能假裝不存在

《個人資料保護法施行細則》第 5 條明確把備份檔案也納入個人資料檔案範圍。

所以企業要求刪除資料時，要能說明：

• 正式系統何時刪除。
• 備份保留多久。
• 備份能不能被一般人員直接使用。
• 備份到期後如何淘汰。

不要承諾「按下刪除鍵後所有歷史備份同一秒全部消失」，除非你的系統真的做得到。

一份實用的個資委託條款，可以先有這 10 項

哪些條款不要沒看就直接簽？

特別注意：

• 要求「零風險、零事故」的絕對保證。
• 任何資安事件都要負無上限賠償。
• 新增任何供應商都要取得個別書面同意，但你的供應鏈無法做到。
• 要求永久免費保存企業所有資料。
• 要求無限制、無通知的現場稽核。
• 要求你承擔企業自己內部設備、帳號或網路造成的所有事故。

這不代表一定要拒絕企業，而是要把「對方想控制的風險」和「你實際能控制的範圍」談清楚。

最實用的做法：建立一份標準個資委託附件，再針對大型企業調整

如果每個企業案都從空白 Word 檔重新談，成本會很高。

可以先整理一份標準附件：

• 目前資料類型。
• 標準處理目的。
• 主要供應商類型。
• 安全措施。
• 資料保存原則。
• 事件窗口。
• 終止處理方式。

一般企業先使用標準版；大型企業、金融、醫療、政府或跨國集團有額外要求時，再由法務與資安依案件調整。

這樣個資條款就不只是成交最後一關，而會變成企業課程可複製的採購資產。

常見問題

企業把員工名單給課程業者，就一定是委託關係嗎？

要看實際契約與資料處理方式，不能只靠名單移轉一件事判斷。若企業決定培訓目的，而課程業者依其指示建立帳號、交付與提供報表，通常就更需要檢視個資委託規範。

「次處理者」是台灣個資法的正式名詞嗎？

企業契約常使用次處理者這個詞，但台灣《個人資料保護法施行細則》第 8 條的文字是「複委託」。撰寫合約時應把契約用語與適用法規對照清楚。

企業可以要求合作結束後全部資料立即刪除嗎？

可以協商終止處理方式，但要同時看備份週期、法令保存義務與業務必要性。比較好的條款是把正式資料、備份與依法必要保存的資料分開寫。

使用雲端主機、影音或寄信服務都要列出嗎？

應先確認哪些服務會實際接觸或處理企業／學員資料，再依契約與採購要求列出重要複委託或資料處理服務。

企業要求事故 1 小時內通知，可以簽嗎？

要看你是否有能力穩定做到。可先區分「初步事件通知」和「完整根因報告」，不要把尚未調查完成的資訊承諾成短時間內全部提供。

小型課程業者也需要準備個資委託文件嗎？

如果開始承接企業案，而且會處理企業員工資料，提前準備標準資料清冊、個資附件與資安回答，通常能大幅降低採購後段反覆來回。

結論：個資委託條款的重點不是寫得像律師，而是和實際資料流程一致

企業想確認的是：員工資料交給你之後，誰會碰到、拿來做什麼、放多久、再交給誰、出事怎麼通知，以及合作結束後怎麼收尾。

先把資料角色、目的、範圍、期間、安全措施、複委託與終止流程整理清楚，再去談企業的契約版本。

最需要避免的是「為了成交什麼都先答應」，結果合約寫了一套你根本無法執行的流程。

本文是企業課程營運與個資條款的實務整理，不是個案法律意見。若企業提出正式資料處理協議、跨境限制、特殊產業規範或高額責任條款，仍應依實際系統與契約內容，由合格法律或個資專業人員確認。

參考資料：
個人資料保護委員會籌備處｜個人資料保護法第 4、5、11、19、20 條。
個人資料保護委員會籌備處｜個人資料保護法施行細則第 5、7、8 條。
個人資料保護委員會籌備處｜個人資料保護法施行細則相關解釋與實務資料。