西班牙RGPD與LOPDGDD企業指南：資料保護義務全解析

如果你在西班牙經營事業或處理西班牙居民的個人資料，RGPD（即EU GDPR的西班牙名稱）和LOPDGDD（《個人資料保護及數位權利保障組織法》）是必須遵守的法律。LOPDGDD於2018年12月生效，將EU GDPR本地化為西班牙國內法。

2025年，西班牙資料保護局AEPD正在加強對AI資料處理和Cookie追蹤的執法力度。

RGPD與LOPDGDD的關係

面向	RGPD（EU GDPR）	LOPDGDD（西班牙法）
適用範圍	整個EU	西班牙
法律性質	EU法規（直接適用）	國內法（補充）
最高罰款	2000萬EUR或營業額的4%	與GDPR一致
監管機構	各國DPA	AEPD

企業的6項核心義務

1. 同意管理

收集個人資料時需要明確、自願的同意。預勾選的核取方塊不構成有效同意。

2. 資料保護長（DPO）任命

LOPDGDD要求公共機構、醫療教育金融機構、大規模資料處理企業、保險和電信公司必須任命DPO。

3. 處理活動紀錄

即使員工不足50人，處理敏感資料或定期處理個人資料的企業也必須維護紀錄。

4. 資料外洩通知（72小時）

發生個人資料外洩後，必須在72小時內通知AEPD。

5. 資料保護影響評估（EIPD）

在開始高風險處理活動之前，必須進行影響評估。

6. 數位權利

LOPDGDD規定了GDPR未涵蓋的數位權利：員工數位斷線權、職場錄影監控規範、未成年人資料保護加強。

AEPD 2025年執法重點

• AI與自動化處理：要求自動化決策的透明度
• Cookie合規：檢查Cookie橫幅的同意有效性
• 國際資料傳輸：驗證EU境外傳輸的保護措施

中小企業工具：Facilita RGPD

AEPD為低風險資料處理的中小企業提供免費線上工具Facilita RGPD，回答簡單問題即可自動產生基本合規文件。

安全共享合規文件

影響評估報告、處理活動紀錄、外洩應變計畫等內部文件本身可能包含敏感資訊。透過LINE或電子郵件傳送這些文件會帶來額外風險。

使用LOCK.PUB，你可以透過密碼保護的備忘錄連結安全共享合規文件，並設定到期時間，避免敏感資料長期暴露。

罰款架構

違規等級	最高罰款
輕微違規	40,000 EUR
嚴重違規	300,000 EUR
非常嚴重違規	2000萬EUR或全球年營業額的4%

西班牙的資料保護合規不是選擇題。使用上述清單檢查現況，並利用LOCK.PUB等安全工具管理合規文件。