依個資法傳送檔案，基本原則是：只傳必要的個人資料、採取適當的安全措施（例如加密與密碼）、只讓對方在需要的期間內存取，發生外洩時依法通知當事人。台灣的《個人資料保護法》並不認證任何工具，而是規範蒐集、處理與利用個資的機關與企業；選對服務，只是讓這些義務更容易做到。
本文整理傳送履歷、薪資單、病歷、客戶名單、認得出人物的照片等檔案時，個資法中最相關的條文（以全國法規資料庫 law.moj.gov.tw 的官方條文為準），並介紹歐盟 GDPR 的對應規定，最後整理成實用的檢查清單。內容為截至 2026 年 10 月的一般資訊，不構成法律意見；具體情況請諮詢律師或公司的個資管理窗口。
傳送檔案時，什麼情況適用個資法？
只要檔案裡有個人資料就要注意。個資法第 2 條所稱的個人資料，是指自然人的姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動等，以及其他得以直接或間接方式識別該個人的資料。一份有姓名和地址的合約、一張客戶清單、一份身分證影本、一張認得出人的照片，都算在內。把這些檔案傳給他人，以及傳輸服務暫時保存檔案，都屬於個資法規範的處理或利用行為。
個資法與檔案傳送最相關的條文
| 條文 | 內容摘要 | 對傳送檔案的意義 |
|---|---|---|
| 第 2 條 定義 | 可直接或間接識別個人的資料，都是個人資料 | 先判斷檔案裡有沒有個資 |
| 第 27 條 安全維護 | 非公務機關保有個資檔案，應採行適當之安全措施，防止個資被竊取、竄改、毀損、滅失或洩漏 | 加密、密碼、存取控管、核對收件人 |
| 第 12 條 通知當事人 | 違反本法致個資被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人 | 檔案寄錯人時，要有處理流程 |
| 第 21 條 國際傳輸 | 特定情形下，主管機關得限制非公務機關的國際傳輸 | 確認服務商把檔案存在哪裡 |
| 第 41 條 刑責 | 意圖不法利益或損害他人利益而違反特定規定，足生損害者，處 5 年以下有期徒刑，得併科新臺幣 100 萬元以下罰金 | 刑責針對有不法意圖的違法行為 |
| 第 48 條 罰則 | 未採行適當安全措施：新臺幣 2 萬元以上 200 萬元以下罰鍰並限期改正，屆期未改正按次處 15 萬元以上 1,500 萬元以下 | 安全措施不到位，代價很高 |
第 27 條「適當之安全措施」：傳檔時可以怎麼做？
第 27 條要求保有個資檔案的企業「採行適當之安全措施」，並讓中央目的事業主管機關可以指定業者訂定「個人資料檔案安全維護計畫」，標準由各主管機關以辦法規定。所以，你所在的行業可能另有更具體的要求，請一併確認。
條文沒有指定一定要用哪種技術，但放在檔案傳送的情境中，常見的做法很明確：傳輸與儲存都要加密；敏感檔案加上密碼並另行告知；設定到期日，讓檔案不會永久留在網路上；限制下載次數；以及在傳送前核對收件人。連服務商都讀不到內容的端對端加密，是其中保護最強的一種。
個資外洩怎麼辦？第 12 條的通知義務
檔案寄錯人或連結外流時，先立刻撤銷連結（刪除傳輸或縮短到期日），確認檔案是否已被下載，再評估對當事人的影響。依現行第 12 條，若是違反個資法導致個資被竊取、洩漏、竄改或其他侵害，必須查明後以適當方式通知當事人。
如果檔案中包含歐盟居民的個資，還要留意 GDPR 第 33 條：可能對當事人權利造成風險的外洩，應在知悉後不無故遲延地、可行時於 72 小時內通知監管機關。預防方法請看檔案安全傳送檢查清單。
個資法罰則與刑責：2023 年修法提高罰鍰
很多人搜尋「個資法 罰則」，是因為 2023 年 5 月 31 日的修正大幅提高了罰鍰。依現行第 48 條，非公務機關違反第 27 條第 1 項的安全維護義務，或未依規定訂定安全維護計畫，處新臺幣 2 萬元以上 200 萬元以下罰鍰並限期改正，屆期未改正者，按次處 15 萬元以上 1,500 萬元以下罰鍰；情節重大者，直接處 15 萬元以上 1,500 萬元以下罰鍰。這項修正自公布日施行。
至於「個資法41條」的刑責，針對的是意圖為自己或第三人不法之利益、或損害他人之利益，而違反特定規定且足生損害於他人的行為，最重可處 5 年以下有期徒刑，得併科新臺幣 100 萬元以下罰金。一般的作業疏失和刑事責任之間差距很大，個案是否構成，請交由律師判斷。
個人資料保護委員會：台灣個資主管機關的進度
2023 年的修法也增訂第 1 條之 1，規定本法的主管機關為「個人資料保護委員會」，施行日期由行政院定之。截至 2026 年 10 月，官方網站（pdpc.gov.tw）使用的名稱仍是「個人資料保護委員會籌備處」；第 53 條、第 55 條的業務，自 2024 年 1 月 1 日起已由國家發展委員會移交籌備處。在相關條文施行前，現行條文中的監督與裁罰，仍由各中央目的事業主管機關或直轄市、縣（市）政府負責。
2025 年 11 月 11 日公布的修正，則配合委員會調整多項條文：安全維護義務移到新增的第 20 條之 1，國際傳輸的限制改由主管機關行使（第 21 條），並加強對公務機關的監督。正式上路前，請以全國法規資料庫標示的施行狀態為準。
用國外的服務存放檔案可以嗎？第 21 條國際傳輸
個資法沒有全面禁止個資傳到境外。現行第 21 條規定，非公務機關國際傳輸個資時，若有下列情形之一，中央目的事業主管機關得加以限制：
- 涉及國家重大利益。
- 國際條約或協定有特別規定。
- 接受國對個人資料的保護未有完善的法規，致有損當事人權益之虞。
- 以迂迴方法向第三國傳輸個資，規避本法。
傳送含個資的檔案，更安心
預設存放於歐洲，免費方案就有到期日、密碼與端對端加密。
GDPR 是什麼？和台灣個資法有什麼不同
GDPR（歐盟一般資料保護規則，Regulation (EU) 2016/679）是歐盟的個資法規。台灣企業如果在歐盟設有據點，或向歐盟境內的人提供商品或服務，也可能適用 GDPR。它要求傳送個資的組織做到資料最小化、儲存期限限制、適當的安全措施（第 32 條明列加密）、與受託處理者簽訂契約（第 28 條），以及個資傳出歐洲經濟區時具備法律依據（第 44 至 49 條）。最嚴重的違規，罰款最高 2,000 萬歐元或全球年營業額的 4%。
截至 2026 年 10 月，台灣不在歐盟執委會的適足性認定名單上（日本、韓國、英國等在名單內），因此歐盟企業把個資傳給台灣的合作夥伴時，通常要另外依標準契約條款等機制辦理。
| 項目 | 台灣（個資法現行條文） | 歐盟（GDPR） |
|---|---|---|
| 安全義務 | 採行適當之安全措施（第 27 條） | 與風險相當的安全措施，明列加密（第 32 條） |
| 外洩後的通知 | 查明後以適當方式通知當事人（第 12 條）；通報主管機關的規定已修法，尚未施行 | 可行時 72 小時內通知監管機關（第 33 條），高風險時通知當事人（第 34 條） |
| 加密的效果 | 條文未明定 | 妥善加密時，可免通知當事人（第 34 條第 3 項 a 款） |
| 境外傳輸 | 原則允許，特定情形主管機關得限制（第 21 條） | 須有適足性認定、標準契約條款等依據（第 44 至 49 條） |
| 罰則 | 罰鍰最高新臺幣 1,500 萬元（第 48 條）；刑責最重 5 年（第 41 條） | 最高 2,000 萬歐元或全球年營業額 4%（第 83 條） |
歐盟方面，執委會在 2025 年 11 月提出「數位綜合法案」（Digital Omnibus），內容包括把通報期限改為 96 小時，但截至 2026 年 10 月尚未通過。
挑選傳檔服務的個資檢查清單
- 清楚的隱私權政策，企業客戶可取得資料處理條件與次處理者清單。
- 明確標示存放地區。
- 傳輸與儲存都有加密，敏感檔案可選擇端對端加密。
- 到期日與自動刪除、密碼與下載次數上限。
- 寄件端的存取控管：兩步驟驗證、團隊權限。
- 檔案寄錯人時，可以立即刪除傳輸。
傳送個資檔案的 6 個步驟
第 1 步
最少化
只傳收件人需要的文件與欄位，其餘刪除或遮蔽。
第 2 步
加上保護
設定密碼並用其他管道告知；病歷等敏感資料或身分證件，使用端對端加密。
第 3 步
限制時間
選擇較短的到期日，下載次數上限設為收件人人數。
第 4 步
核對收件人
逐字確認地址；寄錯人是個資外洩的典型原因。
第 5 步
清理副本
刪除不再需要的本機副本與寄件備份中的附件。
第 6 步
留下紀錄
把使用的工具與傳送規則寫成簡短文件，在公司內部公告。
各項功能的細節，請看安全檔案傳輸與端對端加密傳送檔案；到期日與密碼怎麼設，請看連結密碼保護與有效期限。