我們在歐洲沒有據點，GDPR 會管到我們嗎？總經理要先確認哪幾件事？
在歐盟沒有據點的台灣企業，只有在兩種情況下受 GDPR 規範（第 3 條第 2 項）：向歐盟境內的人提供商品或服務，或監控其在歐盟境內的行為。
總經理要請業務與法務先確認三件事：
- 哪些業務落在第 3 條第 2 項：例如歐盟電商、歐洲客戶的會員系統。
- 每條業務線的角色：公司是控制者、共同控制者還是處理者，義務不同（第 24、26、28 條）；判定錯了，後面的文件與合約都要重做。
- 要不要指定歐盟代表（第 27 條）。
判斷結果，由熟悉 GDPR 的法律顧問確認。
違反 GDPR 的罰鍰與賠償有多大？主管機關怎麼決定金額？
罰鍰：最高 2,000 萬歐元或全球年營業總額 4%，取其高者。歐盟執委會說明，監管機關決定金額時會考量違反的性質、嚴重程度與持續期間，是故意或過失，是否已採取減輕當事人損害的措施，以及配合程度。
賠償：當事人可就違反 GDPR 造成的損害請求賠償，但歐盟法院 2023 年 5 月 4 日判決指出，單純違反 GDPR 並不當然產生賠償請求權，當事人須證明實際受有損害；非財產上損害則不以達到一定嚴重程度為限。
總經理能做的：讓「已採取減輕措施」與「配合調查」有紀錄可證明。是否需估列負債準備或揭露或有負債，由簽證會計師與法律顧問依個案判斷。
歐洲子公司員工的資料傳回台灣總公司的人資系統，算跨境傳輸嗎？
通常算。歐洲資料保護委員會（EDPB）指引 05/2021 說明，構成第五章「傳輸」要同時符合三個條件：輸出方就該處理受 GDPR 規範；輸出方把個資傳送或提供給另一個控制者或處理者；輸入方位於第三國。同一集團的公司可以是各自獨立的控制者或處理者，集團內的揭露也可能構成傳輸；指引的例 9 就是歐盟子公司把資料提供給第三國母公司。
台灣目前沒有歐盟的適足性決定，所以要選一種保障措施：
| 工具 | 適合 |
|---|---|
| 標準契約條款（SCC） | 個別傳輸關係 |
| 拘束性企業規則（BCR） | 跨國集團內大量傳輸 |
| 第 49 條例外 | 例外性質，只能最後才考慮 |
選哪一種，由法律顧問依集團架構判斷。
個資外洩時，72 小時內要不要通報由誰拍板？總經理要扮演什麼角色？
GDPR 第 33 條規定，控制者知悉個資外洩後，除不太可能造成風險者外，應無不當延遲、可行時於 72 小時內通報監管機關。在歐盟沒有據點的公司，沒有單一窗口，可能要通報多個成員國的監管機關。
總經理要事先決定的是：
- 誰判斷要不要通報：授權給誰、夜間與假日由誰代理
- 誰對外送出：通報內容與對當事人的說明由誰核定
- 演練：72 小時通報要能實際執行，並保留演練紀錄
歐盟執委會 2025 年 11 月 19 日提出的數位綜合法案提案，擬將期限延長為 96 小時並提高通報門檻；提案仍在立法程序中，現行仍是 72 小時。
ISO 27701 值得投資嗎？對客戶與 ESG 評鑑有什麼幫助？
ISO/IEC 27701:2025 於 2025 年 10 月 14 日發布，沒有 27001 也能建立並驗證隱私資訊管理系統（PIMS）。它的價值是把 GDPR 的義務建成可稽核的管理制度，讓客戶稽核與問卷有證據可回應。
證書的界線：取得 ISO 27701 驗證不等於法律上已符合 GDPR；第 27 條歐盟代表、SCC 模組選擇、DPIA 是否強制，都是 27701 不處理的法律判斷。
對上市櫃公司，證交所 ESG 評鑑 S-13 檢視「是否制定個人資料保護政策，並揭露內容及其實施情形」。ESG 評鑑對象是上市櫃公司；非公開發行公司不受此規範，可自願參考。
服務頁所列時程：GDPR 基礎合規通常 2–3 個月；整合 ISO 27701 驗證 5–8 個月，已有 27001 者可縮短到 3–5 個月。
GDPR 和台灣個資法要做兩套制度嗎？
不必。以 ISO 27701 隱私資訊管理系統為框架，一套制度可以同時對應 GDPR 與台灣個資法：
- 處理活動紀錄：依 GDPR 第 30 條建立，同時對應台灣個資法的蒐集、處理與利用。
- 特定目的與法律依據：台灣個資法第 19、20 條要求蒐集、處理與利用要有特定目的與法律依據，和 GDPR 的合法依據可以在同一份盤點裡記錄。
- 外洩通報：同一套應變程序，並列 GDPR 72 小時與其他適用的通報要求。
要留意：台灣個人資料保護法 2025 年 11 月 11 日公布的部分修正條文，施行日由行政院定之；施行前不能當作已生效的義務來規劃。
積穗科研怎麼協助總經理處理 GDPR 與 ISO 27701？
積穗科研由副總、董事級顧問全程親自輔導、不外包。
- 適用範圍與角色：盤點個資類型、來源、目的、保存期限與共享對象，判定 GDPR 適用範圍與控制者、處理者角色。
- 一套制度：以 ISO 27701 為骨架，把每條 GDPR 義務掛到對應控制，同時對應台灣個資法。
- 跨境傳輸：協助審查標準契約條款、評估傳輸影響，並建立跨境傳輸紀錄。
- 72 小時通報：建立個資外洩通報演練與年度複查機制。
- 具名案例：客戶授權公開的個人資料保護輔導客戶包括金融聯合徵信中心、Lativ、卓元科健、超核心健身中心（超核心完整案例）。
其他角色怎麼看這項服務
同一角色的其他服務
- 總經理導入 ERM：董事會、內控聲明與個人責任要先釐清什麼？
- 總經理看 ISO 37001：海外代理商行賄，公司與個人要負什麼責任？
- 總經理看 ISO 27001：客戶要證書、董事會要報告，先決定什麼？
- 總經理看 ISO 22301：廠區停擺幾天還撐得住？RTO 由誰拍板？
- 總經理看營業秘密保護：員工帶料跳槽，公司要先證明什麼？
- 總經理看 EU CRA：歐洲訂單、罰則與誰負責，現在要決定什麼？
- 總經理看 NIS2：第 20 條管理機構責任、罰則與歐洲客戶要求
- 總經理看 EU AI Act 與 ISO 42001：員工用 AI、罰則與責任
- 總經理看 TISAX：歐洲車廠訂單、評估等級、時程與投資怎麼決定？
- 總經理推數位轉型：投資效益、租稅優惠、資安與營運中斷怎麼管？
- 總經理推 AI 轉型：第一個場景、投資效益與責任歸屬怎麼決定？
官方來源
- Regulation (EU) 2016/679 GDPR（EUR-Lex）
- EDPB：Guidelines 05/2021 on the interplay between Article 3 and Chapter V（v2.0）
- EDPB：International data transfers（SME guide）
- European Commission：Adequacy decisions
- European Commission：Enforcement and sanctions
- Court of Justice of the EU：Press release No 72/23（C-300/21）
- 全國法規資料庫：個人資料保護法
- 臺灣證券交易所公司治理中心：ESG 評鑑