資料持有者

Data-holder 是 EU Data Act（2024年正式生效，2025年12月起全面適用）所定義的法律主體，指因產品或服務的設計、製造、銷售或提供，而對使用者生成數據（non-personal data）擁有實質控制能力的實體，包括 IoT 設備製造商、軟體服務商及平臺營運商。根據 GDPR 第4條，個人資料的控制者（Controller）與 Data-holder 的概念存在差異，後者更側重於技術性控制能力。在 ISO/IEC 27701 個人資料保護管理體系的框架下，Data-holder 必須明確界定其數據資產的邊界，並確保其技術架構允許使用者依法獲取數據，而非僅依賴廠商自訂的 API 或專有格式，這直接影響企業的合規風險等級。此概念在 2024 年後已成為全球 IoT 產品設計的關鍵考量指標。

企業導入 Data-holder 合規管理需執行以下三個步驟：第一步，盤點產品與服務的數據流，識別哪些數據屬於使用者生成數據，並依 EU Data Act 第13條要求評估數據可訪問性的技術可行性；第二步，建立數據治理框架，確保產品設計符合「預設可訪問」原則，避免因技術限制導致無法履行數據分享義務；第三步，建立數據請求處理機制，確保用戶可透過機器可讀格式（如 JSON、XML）獲取其數據，並符合 ISO/IEC 27701 的存取控制要求。實務上，臺灣 IoT 設備出口廠商若未在產品上市前完成此設計，將面臨產品召回、重新設計及最高 4% 年營業額罰款的雙重衝擊，預估合規成本約佔產品研發預算的 15-25%。

臺灣企業在 Data-holder 合規方面面臨三大挑戰：首先是技術債問題，許多現有 IoT 產品採用封閉式架構，無法快速提供數據導出功能，建議採取「漸進式開放」策略，先從高風險產品線開始升級；其次是法律解釋不確定性，EU Data Act 對「實質控制」的定義仍有灰色地帶，建議諮詢專業法律顧問，並參考 NIST 數據安全框架進行預先評估；第三是跨部門協作斷層，技術團隊與法務團隊往往缺乏共同語言，企業應建立跨職能的 Data-Holder Task Force，由 CTO 與 CISO 共同主導。建議企業在 2025 年前完成現有產品的數據流盤點，並預留 12-18 個月進行技術改造，以確保在 EU Data Act 全面生效後不致陷入市場准入危機。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Data-holder相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact