資安長看 ISO 27701 與 GDPR：跨國個資與 72 小時通報怎麼管？

跨國客戶的個資與員工個資，GDPR、APEC／Global CBPR、ISO 27701 各用哪一套、怎麼分工？

歐盟不是 CBPR 參與者：CBPR 認證不能作為 GDPR 第 46 條的傳輸工具。

歐盟子公司把員工資料傳回台灣總部的 HR 或資安系統，算不算跨境傳輸？

EDPB 指引 05/2021（2023 年 2 月 14 日第 2 版）以三個累積條件判斷：輸出者就該處理受 GDPR 規範；輸出者以傳送或其他方式揭露個資；輸入者位於第三國，不論其本身是否受 GDPR 規範。

• 同集團公司可以是各自獨立的控制者或處理者；指引範例中，子公司把員工資料提供給第三國母公司，屬於傳輸。
• 員工出差時遠端存取自家公司資料，範例認定不屬傳輸，因為存取者是員工、不是另一個控制者。
• 屬於傳輸時，台灣目前沒有歐盟適足性決定，要依第 46 條採適當保障措施，例如標準契約條款或拘束性企業規則（BCR，第 47 條）。

個案判斷由法律顧問依資料流決定。

不同國家的子公司各有個資法令，怎麼用一套制度同時滿足？

做法是「共同底層＋各國差異清單」。共同底層一次建、各國共用：處理活動紀錄與資料流圖、隱私風險評估與 DPIA、處理者契約、外洩應變。差異逐國列出並指定負責人：

差異清單要隨修法更新：台灣個資法 2025 年 11 月 11 日公布的部分修正條文，施行日由行政院定之。

發生個資外洩，資安長怎麼趕上 GDPR 72 小時與其他通報時限？

GDPR 第 33 條第 1 項：無不當延遲，可行時於知悉後 72 小時內通報主管機關（不太可能造成風險者除外）。資安長要先準備三件事：

• 角色：公司是處理者時，依第 33 條第 2 項，知悉外洩後無不當延遲通知控制者。
• 受理機關：在歐盟沒有據點，就沒有單一窗口，要事先列出可能涉及的成員國監管機關。
• 多重時限：同一起事件可能同時觸發 NIS2、DORA、EU CRA，起算點與受理機關各不相同，由同一個事件分類步驟判斷。

上市櫃公司可把這條路徑加進管控指引第 34 條的應變程序；非公開發行公司不受此指引規範，可以自願參考。

有 ISO 27701 證書算 GDPR 合規嗎？資安長、法務與 DPO 怎麼分工？

不算。27701 證明隱私管理制度存在，不會自動產生 GDPR 的法定程序。分工建議：

• 資安長：加密、存取控制、外洩偵測等技術控制；72 小時通報要能實際執行並保留演練紀錄。
• 法務或法律顧問：第 27 條歐盟代表、SCC 模組選擇、DPIA 是否強制，這些是 27701 不處理的法律判斷。
• 資料保護長（DPO）：依第 37 條第 1 項，公務機關處理、核心活動需大規模定期系統性監控、或大規模處理特殊類別或刑事資料時必須指定；其他情況可自行決定。

已有 ISO 27001，擴充 27701 要多久？ESG 評鑑 S-13 能用什麼證據？

服務頁所列：GDPR 基礎合規建制通常 2–3 個月；整合 ISO 27701 驗證 5–8 個月，已有 27001 者可縮短到 3–5 個月。ISO/IEC 27701:2025 於 2025 年 10 月 14 日發布，沒有 27001 也能單獨驗證；持 2019 版證書者過渡期預計至 2028 年 10 月。已有 27001 者，內部稽核與管理審查可以合併進行。

證交所 ESG 評鑑 S-13 問是否制定個資保護政策並揭露內容及實施情形；27701 運作留下的政策與紀錄可作說明素材，能否對應仍須逐項對照當年度指標。非公開發行公司不受此評鑑規範，可以自願參考。

積穗科研怎麼協助資安長處理 ISO 27701 與 GDPR？

• 先畫資料流：確認 GDPR 適用、必要機制與 27701 範圍。
• 一套骨架：以 27701 為骨架，把每一條 GDPR 義務掛到對應控制上，缺口由專案補齊，再一起過驗證。
• 四個入口：27701 導入與驗證、GDPR 跨境傳輸機制、臨床試驗與健康資料 DPIA、外部 DPO 與歐盟代表，可獨立成案。
• 演練：建立 72 小時個資外洩通報演練與年度複查機制。
• 分工：積穗科研是輔導顧問、不發證；副總、董事級顧問全程親自輔導、不外包。
• 具名客戶：超核心健身中心（Hypercore）、卓元科健、金融聯合徵信中心（JCIC）、Lativ。

延伸閱讀：ISO 27701、GDPR、ISO 27701 顧問怎麼選、GDPR 顧問怎麼選。申請免費機制診斷