控制者與處理者

依GDPR第4條定義，控制者（Controller）是決定個人資料處理目的與手段的自然人或法人，而處理者（Processor）則是受控制者委託進行處理的對象。GDPR第26條規定，若雙方共同決定處理目的與手段，則構成「共同控制者」（Joint Controller），須簽署共同控制協議。臺灣個資法第27條亦要求委託處理者時，應訂定書面契約，明確約定處理目的、範圍、安全維護及違約賠償責任。ISO 27701:2019進一步將這些概念整合進隱私資訊管理系統（PIMS）的控制措施中。理解此區分是企業建立資料保護機制的第一步，直接影響法律責任的歸屬與風險承受能力。若企業未能釐清自身角色，可能面臨雙重執法機關的重複處罰。

實務導入通常分為三個步驟：第一步，進行資料處理活動盤點（Data-at-Rest/Motion Inventory），識別哪些情境下企業扮演控制者角色，哪些為處理者。第二步，依GDPR第28條或臺灣個資法第27條要求，與所有委託方（客戶）及供應商（雲端服務商、物流、薪資代發等）簽署資料處理協議（DPA），明確定義各自的技術與組織安全措施。第三步，建立監控機制，定期審查處理者的合規性。以臺灣電商企業為例，若委託第三方物流公司處理客戶地址與電話，電商企業為控制者，物流公司為處理者，電商企業需在DPA中要求物流公司提供每年至少一次的資安稽覈報告。導入此機制後，企業可將個資外洩的潛在賠償風險降低40-60%，並提升客戶信任度。

臺灣企業常見挑戰包括：第一，法規認知不足，許多中小企業仍以「委託」概念替代「處理」概念，導致DPA條款過於簡略，無法滿足GDPR第28條要求。第二，供應鏈管理能力薄弱，無法有效要求供應商提供ISO 27701或ISO 27701認證。第三，內部角色混淆，同一部門可能同時扮演控制者與處理者角色，導致責任邊界模糊。克服方法應從三方面著手：首先，建立統一的供應商管理政策（Vendor Management Policy），要求所有委託方簽署標準化DPA；其次，導入ISO 27701框架，將控制者與處理者的責任對應至具體控制措施；最後，建立年度合規審查機制，優先針對高風險處理活動（如跨境傳輸、大規模敏感資料處理）進行專案式稽覈。建議企業在90天內完成基礎框架建立，並以6個月為週期進行滾動式優化。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Controller and Processor相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合ISO 27701與GDPR要求的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact