研發長導入 ISO 27701 與 GDPR：產品與系統的隱私設計怎麼做？

GDPR 第 25 條隱私設計與預設，研發要放進開發流程的哪一關？

放在設計階段，而且持續到上線後。第 25 條第 1 項要求控制者「在決定處理方式時，以及處理當下」都採取適當的技術與組織措施，條文舉的例子就是假名化；第 2 項要求預設只處理每個特定目的所必要的個資，範圍涵蓋蒐集的數量、處理的程度、保存期間與可存取性。

實務上可以把四個欄位放進既有的設計審查檢核表：

歐盟個人資料保護委員會（EDPB）的第 25 條指引（Guidelines 4/2019）最終版為 2.0 版（2020 年 10 月 20 日），可作為設計審查的參考。

新功能什麼時候一定要做 DPIA？研發排程要放在哪裡？

依 GDPR 第 35 條第 1 項，處理（特別是使用新技術時）可能對自然人的權利與自由造成高風險，控制者必須在處理開始前完成資料保護影響評估（DPIA）。第 35 條第 3 項列出三種必須做的情形：

• 以自動化處理（含剖析）對個人進行系統性且廣泛的評估，並據以做出有重大影響的決定；
• 大規模處理第 9 條第 1 項特殊類別個資或刑事前科資料；
• 大規模、系統性監控公眾可進入的區域。

各成員國監管機關也依第 35 條第 4 項公布須做 DPIA 的處理類型清單；EDPB 已採認第 29 條工作小組的 DPIA 指引。

研發排程：在需求確認或設計審查關卡加一個 DPIA 觸發檢查，而不是上線前才補。是否屬強制 DPIA，是法律判斷，由法律顧問依個案確認；ISO 27701 不處理這項判斷。

研發測試能用真實個資嗎？假名化後就不算個資了嗎？

假名化後仍是個資。GDPR 第 4 條第 5 款把假名化定義為：不使用另外保存的額外資訊，就無法把個資歸屬到特定當事人；EDPB 假名化指引（Guidelines 01/2025，2025 年 1 月 16 日通過的公眾諮詢版）明確指出，假名化資料仍是與可識別自然人相關的資訊，因此仍是個資（GDPR 前言第 26 點），只有符合匿名條件時才可能成為匿名資料。

對研發的意義：

• 用真實資料（含假名化資料）做測試或除錯，仍在 GDPR 範圍內，要有目的、權限與保存期限。
• 假名化是降低風險的措施，也是第 25 條明列的例子，但 EDPB 指出單靠假名化通常不足。
• 還原用的對照金鑰要與測試環境分開保管、限制存取。

資料是否已達匿名，屬法律與技術的個案判斷，由法律顧問確認。

產品遙測與系統日誌含個資，研發要怎麼設計？

遙測與日誌常含裝置識別碼、帳號、IP 等可識別資料，同樣受 GDPR 原則約束：

• 資料最小化（第 5 條第 1 項 (c) 款）：適當、相關，且限於處理目的所必要。
• 儲存限制（第 5 條第 1 項 (e) 款）：可識別當事人的形式，保存不超過目的所需。
• 預設設定（第 25 條第 2 項）：預設只處理必要個資，涵蓋數量、處理程度、保存期間與可存取性。

工程上可以落實為：每個遙測欄位標註目的；識別碼在蒐集端假名化；日誌設定保存期限並自動刪除；存取依角色限制。這些處理也要寫進處理活動紀錄（RoPA，GDPR 第 30 條），ISO 27701 的處理紀錄可以共用同一份。

歐盟資料傳回台灣研發中心，或台灣工程師遠端除錯，算跨境傳輸嗎？

依 EDPB 跨境傳輸指引（Guidelines 05/2021，2.0 版於 2023 年 2 月 14 日通過），三個要件同時成立才是 GDPR 第五章的「傳輸」：

1. 輸出者（控制者或處理者）就該處理受 GDPR 規範；
2. 輸出者以傳送或其他方式，讓另一個控制者、共同控制者或處理者取得個資；
3. 輸入者位於第三國。

指引指出，從第三國遠端存取（例如支援或除錯）在三要件成立時也屬傳輸；同一控制者的員工出差時存取公司資料不算，因為員工不是另一個控制者；歐盟子公司把資料提供給第三國母公司則屬傳輸。

台灣目前沒有歐盟的適足性決定，構成傳輸時要採第 46 條保障措施（例如標準契約條款），並做傳輸影響評估。實際是否構成傳輸、選哪一種機制，由法律顧問依個案判斷。

ISO 27701 對研發流程要求什麼？要多久？

ISO/IEC 27701:2025（2025 年 10 月發布，第 2 版）規定建立、實施、維持與持續改善隱私資訊管理系統（PIMS）的要求，適用於個資控制者與處理者；沒有 27001 也能建立並驗證，2019 版證書過渡期預計至 2028 年 10 月。研發流程上，它和 GDPR 共用同一套底：

27701 證書不等於 GDPR 合規：DPIA 是否強制、歐盟代表、SCC 模組選擇都是它不處理的法律判斷。服務頁所列：GDPR 基礎建制通常 2–3 個月，整合 ISO 27701 認證 5–8 個月，已有 ISO 27001 基礎者 3–5 個月。

積穗科研怎麼協助研發長處理 ISO 27701 與 GDPR？

由副總、董事級顧問全程親自主導、不外包，以 27701 為骨架，把每一條 GDPR 義務掛到對應控制上，缺口由專案補齊，再一起過驗證。服務頁所列四個階段：

1. 適用性與資料盤點：判定 GDPR 適用與必要機制，盤點個資、資料流與跨境傳輸，產出 RoPA 初稿。
2. 制度建立：依 27701:2025 建立 PIMS 文件，掛上權利程序、處理者契約、外洩通報。
3. 法律機制落地：SCC 與 TIA、DPIA、DPO 與歐盟代表指定。
4. 內稽、管理審查與驗證陪伴。

具名客戶：超核心健身中心（Hypercore），ISO 27001 資訊安全管理與 ISO 27701 個人資料管理雙認證輔導。

深入：ISO 27701 導入輔導、GDPR 歐盟個資法輔導、ISO 27701 顧問怎麼選、GDPR 顧問怎麼選。申請免費機制診斷