人資長看 GDPR 與 ISO 27701：員工個資、跨境傳輸與監控怎麼管？

歐洲子公司員工的資料傳回台灣總部的人資系統，算跨境傳輸嗎？

通常算。歐洲資料保護委員會（EDPB）指引 05/2021 說明，構成 GDPR 第五章「傳輸」要同時符合三個條件：輸出方就該處理受 GDPR 規範；輸出方把個資傳送或提供給另一個控制者或處理者；輸入方位於第三國。同一集團的公司可以是各自獨立的控制者或處理者，指引的例 9 就是歐盟子公司把資料提供給第三國母公司。

台灣目前沒有歐盟的適足性決定，所以要選一種保障措施：

GDPR 第 88 條第 2 項也要求會員國的僱用規則，特別考量集團內的個資傳輸。台灣總部是控制者還是處理者、選哪一種工具，由法律顧問依集團架構判斷。

台灣員工資料放到海外雲端，或傳給海外母公司，台灣個資法怎麼管？

台灣個人資料保護法對國際傳輸採「主管機關得限制」的架構。現行第 21 條規定，非公務機關為國際傳輸個人資料，而有法定情形之一者，中央目的事業主管機關得限制之；所列情形包括：

• 接受國對於個人資料之保護未有完善之法規，致有損當事人權益之虞
• 以迂迴方法向第三國（地區）傳輸個人資料規避本法

主管機關已有依此限制的例子，例如國家通訊傳播委員會 101 年令，通訊傳播事業不得將用戶個資傳遞至大陸地區。

人資要做三件事：查公司所屬產業的主管機關有沒有限制；傳輸範圍不得逾越特定目的之必要範圍（第 5 條）；在處理活動紀錄寫明傳輸對象與目的。2025 年 11 月 11 日公布的修正條文（含第 21 條）施行日由行政院定之，施行前以現行條文為準。

請員工簽個資同意書，就可以處理員工資料嗎？

不能只靠同意書。

• 歐盟：GDPR 前言第 43 點指出，當事人與控制者之間有明顯不對等時，同意不應作為有效的法律依據。EDPB 同意指引 05/2020 進一步說明，因為雇傭關係的從屬性，雇主依同意處理現職或未來員工的個資有問題；員工只有在例外情況下，也就是同不同意都完全不會有不利後果時，才能自由同意。
• 台灣：法務部 102 年 12 月 5 日書函就員工個資同意書指出，應先視有無違反就業服務法第 5 條第 2 項第 2 款，尚不得僅據該書面同意書而予以免責；也指出個資法並非硬性規定一律皆須簽署同意書。

實務做法是逐項寫出每類員工資料的目的與依據，例如 GDPR 第 88 條第 1 項所列的招募、履行勞動契約、職場健康安全；同意只留給員工真正可以自由選擇的項目。依據是否成立，由法律顧問判斷。

員工監控（郵件、上網紀錄、DLP、門禁影像）要注意什麼？

判斷框架分兩地：

• 歐盟：GDPR 第 88 條讓會員國以法律或團體協約訂定更具體的僱用規則，並須特別考量處理透明度與工作場所監控系統。歐盟法院 2023 年 3 月 30 日 C-34/21 判決指出，不符合第 88 條第 2 項條件的國內規定，不能構成「更具體規則」。所以歐洲子公司的監控，要依當地規則逐國判斷。
• 台灣：個人資料保護法第 5 條要求，蒐集、處理或利用不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。

上線前先寫清楚：監控目的、對象與資料範圍、事前怎麼告知員工、保存多久、誰能調閱。資安與營業秘密需要的日誌，可以和 ISO 27001 的日誌管理共用規則。是否需要做資料保護影響評估（DPIA），由法律顧問判斷。

招募時可以要求應徵者提供哪些資料？背景調查、信用與犯罪紀錄可以要嗎？

台灣先看就業服務法第 5 條第 2 項第 2 款：雇主不得違反求職人或員工之意思，要求提供非屬就業所需之隱私資料。施行細則第 1 條之 1 要求，雇主要求提供隱私資料，不得逾越基於經濟上需求或維護公共利益等特定目的之必要範圍，並應與目的間具有正當合理之關聯。法務部 102 年書函說明，隱私資料包括個人生活資訊，例如信用紀錄、犯罪紀錄、懷孕計畫或背景調查。

實務做法：

• 逐欄檢視履歷表、面試表與背景調查表，刪掉與職位無關的欄位
• 只對真正需要的職位要求特定資料，並寫下理由
• 未錄取者的資料，訂好保存與銷毀期限

應徵者在歐盟時，GDPR 第 88 條第 1 項把招募列為會員國可訂定更具體規則的目的，要一併確認當地規則。個案是否違法，由法律顧問判斷。

對董事會與 ESG 評鑑，人資要拿出什麼？ISO 27701 值得做嗎？

• ESG 評鑑 S-13（115、116 年度文字相同）：公司是否制定個人資料保護政策，並揭露內容及其實施情形。員工資料的處理活動紀錄、跨境傳輸紀錄、監控告知與外洩演練紀錄，都可以是實施情形的佐證。評鑑對象是上市櫃公司；非公開發行公司不受此規範，可自願參考。
• ISO/IEC 27701:2025：2025 年 10 月 14 日發布，沒有 27001 也能建立並驗證隱私資訊管理系統（PIMS），讓客戶稽核與問卷有證據可回應。證書不等於法律上已符合 GDPR；第 27 條歐盟代表、SCC 模組選擇、DPIA 是否強制，都是 27701 不處理的法律判斷。
• 時程（服務頁所列）：GDPR 基礎合規通常 2–3 個月；整合 ISO 27701 驗證 5–8 個月，已有 27001 者可縮短到 3–5 個月。

積穗科研怎麼協助人資長處理 GDPR 與 ISO 27701？

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。

• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 盤點員工資料：盤點個資類型、來源、目的、保存期限與共享對象，判定 GDPR 適用範圍與控制者、處理者角色
• 一套制度：以 ISO 27701 為骨架，把每條 GDPR 義務掛到對應控制，同時對應台灣個資法
• 跨境傳輸：協助審查標準契約條款、評估傳輸影響，並建立跨境傳輸紀錄
• 72 小時通報：建立個資外洩通報演練與年度複查機制
• 分工：法律意見由合作律師出具；驗證由第三方驗證機構執行，我們陪同、不代審
• 具名案例：客戶授權公開的個人資料保護輔導客戶包括金融聯合徵信中心、Lativ、卓元科健、超核心健身中心

深入：GDPR 歐盟個資法輔導、ISO 27701 導入輔導、GDPR 顧問怎麼選、ISO 27701 預算、資安長角色頁