財產權理論

財產權理論（Property rights theory）源自新制度經濟學，由Coase、Barzel等學者奠定基礎，核心在於資源的「權利束」（bundle of rights）概念，而非單一所有權。這意味著同一資源可同時存在多種權利關係，如使用權、收益權、轉讓權等相互交織。在數位轉型背景下，IoT數據的「事實控制者」（de facto controller）通常是設備製造商，但根據GDPR第20條「數據可攜權」及EU Data Act第4條，用戶對自身產生數據擁有存取權。企業必須在技術設計階段就定義這些權利邊界，避免因權利不清導致ISO 27701個人資料保護管理系統的控制失效，或違反臺灣個資法第20條的處理原則。此理論在風險管理中用於評估數據資產的法律地位，是建立數據治理框架的起點。

實務導入通常分為三個步驟：第一步，盤點數據資產類型與權利束構成，區分個人數據（適用GDPR/臺灣個資法）與非個人數據（適用EU Data Act）；第二步，設計數據存取控制機制，確保技術設計符合「隱私設計」（Privacy by Design, ISO 27701要求）；第三步，建立數據分享協議，明確定義數據使用範圍、期限與商業化限制。例如，臺灣汽車資安廠商若採用ISO/SAE 21434標準，需在車輛生命週期中明確定義OEM、Tier 1供應商與車主之間的數據權利邊界。導入後，企業通常可提升數據合規率達40%，並減少因權利爭議導致的法律訴訟風險約30%。

臺灣企業主要面臨三個挑戰：首先是「數據所有權迷思」，許多企業誤以為數據由生產設備商擁有，忽略了GDPR第20條的用戶權利，建議導入ISO 27701進行系統性盤點；其次是「跨國法規差異」，臺灣企業同時面對臺灣個資法、GDPR與EU Data Act，必須建立統一的數據分類標準，優先以GDPR為最高合規基準；第三是「技術文件不足」，數據權利束的定義往往隱藏在技術文件而非法律文件，建議企業建立「數據資產清冊」（Data Asset Register），記錄每項數據的來源、權利人、使用限制與存取條件。建議在6個月內完成基礎盤點，12個月內建立完整治理機制，預期可降低數據相關違規風險60%。