風控長看 GDPR：罰則暴險、集團跨境傳輸與外洩情境怎麼評估？

GDPR 罰則怎麼放進風險地圖的衝擊評估？

依《上市上櫃公司風險管理實務守則》第 18 條，GDPR 屬法遵風險。罰則上限是全球年營業額 4% 或 2,000 萬歐元（取其高者），可作為衝擊的下限參考。但罰則只是衝擊的一部分：客戶要求、市場准入與商譽損失通常比罰則更早發生，應一起放進衝擊評估。

此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。

我們在歐盟沒有據點，GDPR 會不會適用？風控長先判定什麼？

先判兩件事，判錯了後面的文件與合約都要重做：

1. 適用範圍：在歐盟沒有據點的台灣企業，只有在向歐盟境內的人提供商品或服務、或監控其在歐盟境內的行為（例如 Cookie 追蹤）時，GDPR 才適用（第 3 條第 2 項）。
2. 角色：每條業務線是控制者、共同控制者還是處理者（第 24、26、28 條），義務不同。

落入第 3 條第 2 項時，還要判斷是否須依第 27 條在歐盟指定代表。

歐盟子公司把員工資料傳給台灣母公司做人資管理，算不算跨境傳輸？

可能算。EDPB 第 05/2021 號指引列出構成「傳輸」的三個累積條件：輸出方就該處理受 GDPR 規範；輸出方把個資提供給另一個控制者或處理者（輸入方）；輸入方位於第三國。指引並說明，同一集團的企業可能是各自獨立的控制者或處理者，集團內的揭露可構成傳輸；其範例 9 中，愛爾蘭子公司把員工資料提供給第三國母公司，即屬第五章所稱的傳輸。相對地，員工出差在第三國遠端存取公司資料，不構成傳輸。

台灣目前沒有歐盟的適足性決定，屬傳輸時須採第 46 條保障措施（台灣企業最常用標準契約條款 SCCs）。個案是否構成傳輸，由法律顧問依個案判斷。

GDPR 沒有證書，風控長要向委員會呈現哪些證據？

GDPR 沒有官方證書，以下列紀錄自證：

• 處理活動紀錄（RoPA，第 30 條）
• 資料保護影響評估（DPIA，第 35 條）
• 處理者契約（第 28 條）
• 跨境傳輸機制（SCC／BCR）
• 外洩通報紀錄

ISO 27701 驗證可證明 GDPR 合規的系統化管理能力，但不等於法律上已符合 GDPR。ESG 評鑑 S-13（題型 A）另問是否制定個人資料保護政策並揭露內容及實施情形；ESG 評鑑對象是上市櫃公司，非公開發行公司不受此評鑑規範，可自願參考。

個資外洩的情境演練要測什麼？72 小時期限會改嗎？

第 33 條現行的通報期限是 72 小時。演練要測的是決策：誰判斷要不要通報、要通報哪些成員國的監管機關——在歐盟沒有據點，就沒有單一窗口。只是處理者時，發生外洩須通知控制者（第 33 條第 2 項）。

歐盟執委會 2025 年 11 月 19 日提出的數位綜合法案（2025/0360(COD)）擬將通報期限延長為 96 小時並提高門檻；提案仍在立法程序中，現行仍是 72 小時。

GDPR 合規要多久？

服務頁所列：基礎合規建制（RoPA＋隱私政策＋SOP）通常 2–3 個月；整合 ISO 27701 驗證則需 5–8 個月，已有 ISO 27001 基礎者可縮短至 3–5 個月。

五步驟：個資盤點與 RoPA 建立、DPIA 隱私影響評估、制度建立與文件製作、跨境傳輸機制與 DPO 設置、ISO 27701 認證準備與持續合規。

積穗科研怎麼協助風控長處理 GDPR？

• 一套制度：以 ISO 27701 PIMS 框架整合 GDPR 與台灣個資法，一套制度同時滿足，避免重複建制
• 跨境傳輸：協助審查 SCCs 合約條款、評估傳輸影響並建立完整跨境傳輸紀錄
• 演練與複查：建立 72 小時個資外洩通報演練與年度複查機制
• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 具名客戶（個人資料保護）：金融聯合徵信中心、Lativ、卓元科健、超核心健身中心

GDPR 歐盟個資法輔導、GDPR 顧問怎麼選、ISO 27701。申請免費機制診斷