ISO/IEC TS 27560:2023 隱私權同意紀錄與收據

ISO/IEC TS 27560:2023 是由 ISO/IEC JTC 1/SC 27 技術委員會發布的技術規範（Technical Specification），專門定義「同意紀錄（Consent Record）」的資訊結構，以及用於確認同意意圖的「收據（Receipt）」機制。其核心目標是讓不同組織間的系統能夠以機器可讀（Machine-Readable）的方式交換同意狀態，解決傳統紙本或非結構化同意文件無法自動驗證的問題。此標準與 ISO/IEC 29184（隱私通知）及 GDPR 第7條（同意的條件）相輔相成，在 ISO 27701 隱私資訊管理系統（PIMS）框架中扮演「同意管理技術底層」的角色。相較於傳統文件化同意，ISO/IEC TS 27560:2023 提供可驗證的數位證據鏈，使企業在面對監管機構稽核時，能即時產出同意狀態的機器可讀證明。

實務導入可分為三個階段：第一階段為「資料清冊盤點」，企業需依 ISO/IEC 27701 要求盤點所有個人資料處理活動（DPIA），識別哪些活動需要取得用戶同意；第二階段為「技術架構設計」，導入 ISO/IEC TS 27560:2023 定義的資料結構，設計同意紀錄的資料格式（如 JSON 或 XML），並建立收據產生機制；第三階段為「系統整合與測試」，確保前端用戶介面（Consent UI）能正確寫入後端資料庫，並能向第三方系統輸出驗證收據。以電商平台為例，導入此標準後，客戶退款或撤回同意時，系統可自動更新機器可讀的同意狀態，將人工處理時間降低80%，同時將個資違規風險降低40%，並在 GDPR 稽核中提供可追溯的數位證據。

台灣企業導入此標準主要面臨三大挑戰：首先是「法規解讀落差」，許多企業將 GDPR 與台灣個資法混淆，不清楚哪些情境必須使用機器可讀同意。建議採取「分層導入策略」，優先針對高風險處理活動（如 AI 訓練資料使用）導入 ISO/IEC TS 27560:2023。其次是「技術人才不足」，機器可讀同意需要 IT 與法務團隊協作，建議透過跨職能工作小組（Cross-functional Team）建立共同語言。第三是「系統整合成本」，舊有 ERP 或 CRM 系統難以直接支援新格式，建議採用 API 中間層（Middleware）方式逐步轉接。建議企業在導入前先進行 ISO/IEC 27701 差距分析，預計 60 天完成現況評估，120 天完成技術實作，以確保投資報酬率（ROI）。