產品經理看 ISO 27701 與 GDPR：產品賣到各市場要先做哪些個資合規？

產品賣到不同市場，蒐集哪些個資會讓 GDPR 適用？

先盤點產品的個資類型、來源、目的、保存期限與共享對象，再判斷：

• GDPR 適用範圍：在歐盟沒有據點的台灣企業，向歐盟境內的人提供商品或服務、或監控其在歐盟境內的行為時，GDPR 才適用（第 3 條第 2 項）。
• 角色：每條業務線是控制者、共同控制者還是處理者（第 24、26、28 條），義務不同。
• 台灣個資法：在台灣蒐集、處理、利用個資的公務與非公務機關都適用，是本地法定義務。

判定錯了，後面的文件與合約都要重做；個案是否適用，由法律顧問依產品實際功能判斷。

上市前，產品本身要做好哪些隱私設計與預設？

GDPR 第 25 條要求「設計與預設的資料保護」。依 EDPB 第 4/2019 號指引，核心義務是採取適當措施與必要保障，讓資料保護原則有效落實；「預設」要求涵蓋蒐集的個資數量、處理範圍、保存期間與可存取性。該條直接規範控制者，處理者與產品製造者不是直接對象，但指引建議三方合作落實。

產品上市前常見的隱私交付：

• 隱私政策與同意管理
• 當事人權利回應程序
• 預設最少蒐集的產品設定

品牌客戶是控制者時，你交付的產品設計會被用來證明客戶的第 25 條義務。

哪些產品功能要先做資料保護影響評估（DPIA）？會不會延後上市？

GDPR 第 35 條要求對高風險處理執行資料保護影響評估；第 30 條處理活動紀錄與 DPIA 由誰做、多久更新一次，要在專案啟動時就決定。DPIA 在處理開始前完成，所以排程上應與設計審查同步，而不是上市前才補。

要注意：DPIA 是否強制是法律判斷，ISO 27701 不處理；27701 的風險評估可以和 DPIA 共用一套底稿。

服務頁所列時程：GDPR 基礎合規建制通常 2–3 個月；整合 ISO 27701 認證 5–8 個月，已有 ISO 27001 基礎者可縮短至 3–5 個月。

雲端或遠端服務把使用者資料傳回台灣，算不算跨境傳輸？

依 EDPB 第 05/2021 號指引，構成 GDPR 第五章「傳輸」要同時符合三個條件：

1. 輸出方（控制者或處理者）就該處理受 GDPR 規範
2. 輸出方以傳送或其他方式提供個資
3. 輸入方位於第三國，不論其是否受 GDPR 規範

當事人直接把資料提供給第三國的控制者，不是傳輸；從第三國遠端存取（即使只是在螢幕上顯示）若符合三條件，就是傳輸。台灣目前沒有歐盟的適足性決定，構成傳輸時要採第 46 條保障措施（如標準契約條款）並做傳輸影響評估；CBPR 不能作為第 46 條的傳輸工具。產品架構是否構成傳輸，由法律顧問依資料流判斷。

產品用雲端供應商，或我們替品牌客戶處理資料，合約要寫什麼？

處理者契約依 GDPR 第 28 條：控制者委託處理時要以合約約定處理者的義務。產品經理要分兩種情況看：

若受託的處理本身落入第 3 條第 2 項，處理者也有自己的法定義務，例如指定歐盟代表（第 27 條，有例外）、建立處理活動紀錄（第 30 條第 2 項）、發生外洩時通知控制者（第 33 條第 2 項）。

客戶要 ISO 27701 證書或 CBPR，對各市場的客戶有什麼用？

四者性質不同，先看資料流去哪裡、誰要求證明：

27701 不會自動產生 GDPR 的 DPO、歐盟代表、72 小時通報與 DPIA。

積穗科研怎麼協助產品經理處理 ISO 27701 與 GDPR？

積穗科研第一步是畫出產品的資料流與客戶要求，再建議做哪一個、先後順序，或用一套文件同時拿到兩種證明：

• 盤點個資類型、流向與處理目的，涵蓋委外廠商，判定 GDPR 適用範圍與控制者、處理者角色
• 以 27701 為骨架，把每條 GDPR 義務掛到對應控制，同時對應台灣個資法
• 法律機制落地：SCC 與傳輸影響評估、DPIA、DPO 與歐盟代表指定
• 建立隱私政策、同意管理、當事人權利回應程序，並演練 72 小時外洩通報

由副總、董事級顧問全程親自輔導、不外包。具名客戶：超核心健身中心（27001／27701 雙認證輔導）。延伸：ISO 27701 輔導、GDPR 輔導、GDPR 顧問怎麼選、ISO 27701 時程。申請免費機制診斷