法務長看 GDPR 與 ISO 27701：處理者契約、跨境傳輸與調查怎麼應對？

歐盟客戶要我們簽資料處理協議（DPA），法務長審約要看什麼？

• 第 28 條第 3 項 (h) 款：處理者要提供證明遵循本條義務所需的一切資訊，並允許及協助控制者或其指定的稽核人員進行稽核，包括檢查。
• EDPB 指引 07/2020：處理協議不應只是重述 GDPR 條文，要寫出具體怎麼做到；再委託其他處理者，要符合第 28 條第 2、4 項的條件；處理者要協助控制者履行第 32 至 36 條的義務。
• 第 33 條第 2 項：處理者知悉個資外洩後，應無不當延遲通知控制者。

審約時的判斷框架：稽核的方式、頻率與費用分擔；再委託名單與通知方式；外洩通知的時限是否寫成具體時數、公司做不做得到；責任上限與補償是否和實際控制一致。可接受的條件由法律顧問依個案判斷。

我們在歐盟沒有據點，GDPR 會管到嗎？要指定歐盟代表嗎？出事由哪一國監管？

• 適用：在歐盟沒有據點的台灣企業，只有在向歐盟境內的人提供商品或服務、或監控其在歐盟境內的行為時，GDPR 才適用（第 3 條第 2 項）。
• 歐盟代表：第 3 條第 2 項適用時，控制者或處理者應以書面在歐盟指定代表（第 27 條第 1 項，有例外）。
• 監管窗口：在歐盟沒有據點，就沒有單一窗口，外洩時可能要通報多個成員國的監管機關。
• 角色：每條業務線是控制者、共同控制者還是處理者，義務與合約都不同（第 24、26、28 條）。

是否落入第 3 條第 2 項、能否適用第 27 條的例外，屬法律判斷，ISO 27701 不處理，由法律顧問依個案判斷。

歐盟子公司或客戶的資料傳回台灣，法務要準備哪些傳輸文件？

1. 先判斷算不算傳輸：EDPB 指引 05/2021 的三個累積條件：輸出者就該處理受 GDPR 規範、以傳送或其他方式提供給另一方、輸入者位於第三國。集團內揭露也可能構成傳輸；直接向歐盟境內當事人蒐集，通常不算。
2. 台灣沒有適足性決定：歐盟執委會至今承認的適足國家與地區清單中沒有台灣。
3. 第 46 條保障措施：屬於傳輸時，要用標準契約條款（SCC）或拘束性企業規則（BCR），並做傳輸影響評估；CBPR 認證不能作為第 46 條的傳輸工具。
4. 第 49 條例外：性質是例外，不適合撐日常、重複的傳輸。
5. 台灣端：個人資料保護法第 21 條，中央目的事業主管機關得限制特定國際傳輸。

用哪一種 SCC 模組、是否需要 BCR，由法律顧問依個案判斷。

發生個資外洩，72 小時通報誰拍板？要留哪些紀錄才經得起調查？

• 時限：第 33 條，控制者知悉後應無不當延遲，可行時於 72 小時內通報監管機關；不太可能造成風險者除外。
• 紀錄：第 33 條第 5 項，控制者要記錄所有個資外洩，包括事實、影響與採取的補救措施，讓監管機關能據以查核遵循情形。不通報的判斷，也要留下紀錄。
• 事先決定：誰判斷要不要通報、夜間與假日由誰代理、通報內容與對當事人的說明由誰核定。

歐盟執委會 2025 年 11 月 19 日提出的數位綜合法案提案，擬將期限延長為 96 小時並提高通報門檻；提案仍在立法程序中，現行仍是 72 小時。台灣個人資料保護法 2025 年 11 月 11 日公布的部分修正條文，施行日由行政院定之，施行前以現行條文為準。

美國法院或其他國家的主管機關要我們交出歐盟個資，怎麼辦？

• 第 48 條：第三國法院判決或行政機關決定，要求控制者或處理者傳輸或揭露個資時，只有以國際協定（例如司法互助條約）為基礎，才能在歐盟被承認或執行；不影響第五章其他傳輸依據。
• EDPB 指引 02/2024（2025 年 6 月 4 日通過第 2 版）：外國機關的要求本身不構成處理的法律依據，也不構成傳輸依據；要分兩步檢驗：先有第 6 條的法律依據，再符合第五章的傳輸規定。沒有適用的國際協定時，要另找第 6 條依據與第五章傳輸依據；第 49 條只有有限的特定情形。

判斷框架：先確認要求的來源與有無國際協定、資料由哪個法人持有、是否能透過歐盟子公司所在國的司法協助程序處理。兩國法律衝突時怎麼回應，由法律顧問依個案判斷。

監管機關來調查時會看什麼？罰鍰與代表人責任怎麼評估？ISO 27701 證書有用嗎？

• 調查權：歐盟執委會說明，監管機關可命令公司提供調查所需的任何資訊、進入場所與存取處理設備，並可暫時或永久禁止處理。
• 罰鍰：最高 2,000 萬歐元或全球年營業總額 4%；決定時考量違反的性質、嚴重程度與期間、故意或過失、為減輕當事人損害採取的措施，以及配合程度。
• 賠償：單純違反 GDPR 不當然產生賠償請求權，當事人須證明實際損害。
• 台灣：個人資料保護法第 50 條，非公務機關受罰鍰時，代表人等除能證明已盡防止義務者外，並受同一額度罰鍰。
• 證書的界線：ISO 27701 證書不等於 GDPR 合規；第 27 條歐盟代表、SCC 模組選擇、DPIA 是否強制，都是 27701 不處理的法律判斷。

處理活動紀錄、DPIA、契約與通報紀錄，是說明配合程度與減輕措施的依據。

積穗科研怎麼協助法務長處理 GDPR 與 ISO 27701？

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。

• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 適用範圍與角色：盤點個資類型、來源、目的、保存期限與共享對象，判定 GDPR 適用範圍與控制者、處理者角色
• 跨境傳輸：協助審查 SCC 合約條款、評估傳輸影響，並建立完整跨境傳輸紀錄
• 72 小時通報：建立個資外洩通報演練與年度複查機制
• 一套制度：以 ISO 27701 為框架，一套制度同時對應 GDPR 與台灣個資法
• 分工：制度與紀錄由我們建立；法律意見由合作律師出具
• 時程（服務頁所列）：GDPR 基礎合規建制通常 2–3 個月；整合 ISO 27701 認證 5–8 個月
• 具名案例：客戶授權公開的個人資料保護輔導客戶包括金融聯合徵信中心、Lativ、卓元科健、超核心健身中心

深入：GDPR 歐盟個資法輔導、ISO 27701 導入輔導、GDPR 顧問怎麼選、ISO 27701 顧問怎麼選、資安長角色頁