9. 某公司擬將客戶個人資料傳輸至國外進行雲端儲存，依據《個人資料保護法》規定，下列哪一種情況下，中央目的事業主管機關有權對該 國際資料傳輸行為進行限制？
(A) 公司規模未達主管機關要求標準，管理能力存疑
(B) 公司曾發生個人資料外洩事件紀錄，造成用戶信任流失
(C) 傳輸資料包含當事人已公開資訊，但仍涉及隱私風險
(D) 接收國家之個人資料保護法規尚未完善，可能損害當事人權益

這題的正確答案是 (D) 接收國家之個人資料保護法規尚未完善，可能損害當事人權益。

這題考的是台灣《個人資料保護法》第 21 條關於「國際傳輸限制」的法定事由。

法律解析：個資法第 21 條

根據《個人資料保護法》第 21 條規定，非公務機關為國際傳輸個人資料，有下列情形之一者，中央目的事業主管機關得限制之：

1. 涉及國家重大利益。

2. 國際條約或協定有特別規定。

3. 接收國對於個人資料之保護法令不完善，致有損害當事人權益之虞。（即選項 D）

4. 以間接方法將個人資料傳輸至第三國（地區）以規避本法。

選項詳細說明

• (A) 公司規模未達標：錯誤。 個資法限制國際傳輸的重點在於「國家層級的保護力」或「規避法律行為」，而非公司自身的資本額或規模。

• (B) 公司曾有外洩紀錄：錯誤。 雖然外洩紀錄會導致公司被要求加強安全維護計畫（個資法第 27 條），但這不屬於第 21 條規定的「限制國際傳輸」之法定理由。

• (C) 包含已公開資訊但有風險：錯誤。 只要是合法蒐集的個資，無論是否曾公開，限制其「國際傳輸」的判斷標準依然是看接收國的法令完善度，而非資料本身的公開狀態。

• (D) 接收國法規不完善：正確。 這是實務上最常見的理由。如果資料預計傳輸到的國家（例如某些缺乏個資專法的國家）無法提供與台灣相當的保護水準，政府為了保護國民，有權禁止企業將資料傳出去。