資料可攜權

資料可攜權（Data Portability）是歐盟《一般資料保護規則》（GDPR）第20條所確立的關鍵個資主體權利。它賦予個人權利，能向資料控制者（企業）索取其提供的個人資料，並以「結構化、普遍使用、機器可讀」的格式接收，且有權將這些資料不受阻礙地傳輸給另一個資料控制者。此權利的核心目的在於打破數據孤島，增強個人的資料自主權，並促進服務提供者之間的公平競爭。在風險管理體系中，例如遵循ISO/IEC 27701（隱私資訊管理系統）的組織，必須建立流程以應對此類請求。它與「存取權」（Right of Access）不同，存取權僅要求提供資料副本，而可攜權更強調資料格式的「互通性」與「再利用性」，要求企業提供如JSON或CSV等易於處理的檔案格式，以便資料能無縫轉移。

在企業風險管理中，落實資料可攜權是降低法規遵循風險的關鍵措施。具體導入步驟如下：第一步，進行「資料盤點與映射」，識別哪些個人資料是基於用戶同意或契約關係而處理的，因為這類資料才適用可攜權。第二步，開發「技術實現機制」，建立安全的自動化流程，例如在用戶後台提供一鍵下載功能，或提供安全的API介接，以輸出JSON、CSV等標準格式的資料。第三步，建立「身份驗證與請求處理流程」，確保只有資料主體本人才能提出請求，並在法規時限內（如GDPR規定的一個月內）完成處理。台灣某大型電商平台為因應跨境業務，導入了此機制，不僅使其對歐盟客戶的服務符合GDPR，合規率提升至95%以上，更因流程透明化而增強了用戶信任。可量化的效益包括：避免高達全球年營業額4%的鉅額罰款、提升客戶滿意度約15%，並順利通過年度隱私保護稽核。

台灣企業導入資料可攜權主要面臨三大挑戰：首先是「技術債務與遺留系統」，許多企業的舊系統架構複雜，資料分散在不同資料庫，難以整合並輸出為統一的機器可讀格式。其次是「法規認知模糊」，台灣《個資法》第10條雖賦予當事人查詢或請求製給複製本的權利，但對「可攜性」的具體技術要求不如GDPR明確，導致企業在應對國際客戶時產生合規落差。第三是「資源與專業不足」，特別是中小企業，缺乏專職的法務與IT人員來規劃與執行相關技術與流程改造。為克服這些挑戰，建議的對策是：1. 針對技術債務，應進行資料保護衝擊評估（DPIA），優先改造處理敏感或大量個資的核心系統，並分階段導入API閘道器。2. 針對法規落差，應以GDPR等國際最高標準作為合規目標，建立統一的內部作業準則。3. 針對資源不足，可尋求外部專業顧問協助，導入符合ISO/IEC 27701標準的管理框架，預計在3至6個月內建立起有效的應對機制。