義大利員工的個資、GDPR 與台灣總部系統

台灣公司多半有一套全公司共用的人資系統：員工資料、考勤、考績都在台北的伺服器或雲端上。聘了義大利員工後，第一個問題就是：可以直接把他的資料放進去嗎？

GDPR 適用於義大利員工  

義大利員工的個人資料受歐盟一般資料保護規則（GDPR）保護。不論資料存在哪裡、由誰處理，只要涉及在歐盟受僱的人，就要遵守 GDPR。違規罰款很高，員工也可以向義大利個資主管機關申訴。

台灣個資法與 GDPR 不同  

台灣有個人資料保護法，觀念相近，但 GDPR 在幾個地方更嚴格：處理資料要有明確的法律依據、要告知員工、要限制目的與保存期間，以及資料傳輸到歐盟以外時需要額外保障。

把資料傳回台灣或香港  

把義大利員工的資料傳到台灣或香港，屬於「跨境傳輸」。在沒有歐盟適足性認定的情況下，通常要用標準契約條款等機制，並評估傳輸風險。[confirm current EU adequacy status for Taiwan and Hong Kong]

實務上，建議只傳回總部真正需要的資料：姓名、職稱、部門、聯絡方式、成本總額。薪資明細、健康資料、家庭狀況等敏感資料，留在歐盟處理即可。

我們如何處理  

透過名義雇主（EOR），員工的薪資、稅務與保險資料由我們在歐盟境內的伺服器處理。您收到的是處理所需的摘要，而不是完整的人事檔案。這本身就降低了跨境傳輸的範圍。

常見的系統問題  

• 考勤與打卡：義大利對員工監控有嚴格限制，不能任意用軟體追蹤螢幕或位置；
• 通訊軟體：用 LINE 或 WeChat 群組傳送員工個資，很難符合 GDPR；
• 考績資料：可以由總部管理，但要告知員工並限制存取；
• 病假證明：義大利的病假證明直接送到 INPS，雇主只看到期間，不看到診斷，這是刻意設計的。

員工的權利  

義大利員工有權知道哪些資料被處理、要求更正，在某些情況下要求刪除。若員工提出請求，我們會協助回應。

檢查清單  

1. 列出總部系統會存放哪些義大利員工資料；
2. 刪除不需要的欄位；
3. 確認跨境傳輸的法律機制；
4. 給員工一份清楚的隱私告知；
5. 限制可存取的人員。

我們的資料都存放在歐盟，詳見 關於我們 。