GDPR Article 35

GDPR Article 35，即「資料保護衝擊評估（DPIA）」，是歐盟一般資料保護規則（General Data Protection Regulation）要求企業在進行高風險資料處理前必須執行的風險評估機制。其核心目的在於預先識別、分析並降低處理活動對自然人權利與自由的潛在威脅。根據GDPR第35條第1項，當處理活動涉及系統性監控、大規模處理敏感資料或自動化決策時，DPIA為強制性要求。此外，ISO/IEC 29134:2018提供了執行DPIA的國際標準化方法論，協助企業系統性地識別隱私威脅。DPIA與GDPR第32條的技術性安全措施相輔相成：第32條要求「保護措施」，而第35條則要求「評估這些措施是否足夠」。這意味著DPIA不僅是法律文件，更是風險管理體系中動態的風險評估工具。台灣個資法第27條亦要求企業應定期檢視個資保護措施，與GDPR第35條的精神高度一致。企業若未依第35條執行DPIA，面臨最高1,000萬歐元或全球營業額4%的罰鍰風險。

GDPR Article 35的實務應用可分為四個關鍵步驟：第一步「觸發情境判斷」，企業需依據GDPR第35條第1項及歐洲資料保護委員會（EDPB）清單判斷處理活動是否屬於高風險情境，如大規模處理生物辨識資料或追蹤個人位置。第二步「風險識別與分析」，企業應參照ISO/IEC 29134的七階段方法論，評估處理活動對資料主體的具體衝擊，包括法律、財務、社會及心理層面的損害。第三步「控制措施設計」，針對識別出的風險，企業需設計對應的技術性（如加密、去識別化）與組織性控制措施。第四步「文件化與審查」，DPIA必須以文件形式記錄，並在必要時諮詢監管機關（如台灣主管機關）。以2020年德國Corona-Warn-App為例，其DPIA因僅關注App本身而忽略基礎設施風險，被學界批評為不完整。企業應將DPIA整合進ISO 27701管理框架，確保每次系統更新或新業務導入前均進行動態評估，而非一次性文件。實務上，完整導入DPIA流程的企業可降低60%的個資外洩法律風險，並提升客戶信任度。

台灣企業導入GDPR Article 35主要面臨三項挑戰。第一項是「風險評估能力不足」，許多企業缺乏專業法務與資訊安全人才同時具備法律解釋與技術風險評估能力。建議透過跨職能團隊（法務、IT、業務）建立協作機制，並參考ENISA（歐盟網路安全局）的技術指引。第二項是「供應鏈合規管理難度高」，台灣企業多為供應商，需評估海外客戶的資料處理要求。企業應建立供應商管理系統，要求供應商提交DPIA報告，並在合約中明確界定責任邊界。第三項是「台灣個資法與GDPR的差異困惑」，台灣個資法第27條雖要求定期檢視個資保護措施，但未明確要求DPIA的觸發條件與文件格式。企業應以GDPR第35條為最高標準建立內部標準作業程序（SOP），確保同時符合台灣個資法第27條與GDPR第35條的雙重要求。建議企業在導入初期投入6-12個月進行人才培訓與流程建立，優先針對高風險處理活動（如員工監控、客戶行為追蹤）進行DPIA，逐步擴及全體業務。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業GDPR Article 35相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact