八個判斷準則
| 準則 | 可以直接問任何顧問的問題 |
|---|---|
| 適用範圍 | 我的哪些業務落在第 3 條第 2 項？「提供商品或服務」與「監控行為」怎麼判斷？ |
| 控制者或處理者 | 每條業務線我是控制者、共同控制者還是處理者？合約要怎麼配合（第 26、28 條）？ |
| 歐盟代表 | 需不需要依第 27 條在歐盟指定代表？ |
| 處理活動紀錄與影響評估 | 第 30 條處理活動紀錄、第 35 條資料保護影響評估由誰做、多久更新一次？ |
| 外洩通報 | 第 33 條現行的 72 小時通報，誰判斷要不要通報？要通報哪些成員國的監管機關（在歐盟沒有據點，就沒有單一窗口）？ |
| 跨境傳輸 | 台灣目前沒有歐盟的適足性決定。資料從歐盟傳到台灣算不算第五章的「傳輸」（直接向歐盟境內當事人蒐集通常不算）？若算，用哪一種第 46 條保障措施？現行標準契約條款適不適用於本身已受第 3 條第 2 項規範的公司？ |
| 和台灣個資法、ISO 27701 整合 | 能不能一套制度同時對應 GDPR、台灣個資法與 ISO 27701？ |
| 誰主導、具名案例 | 實際帶案的是誰？有沒有客戶同意公開的個資保護輔導案例？ |
什麼情況不一定需要找顧問
在歐盟沒有據點，且確定沒有向歐盟境內的人提供商品或服務、也沒有監控其在歐盟境內的行為時，GDPR 通常不直接適用。只是處理者、而客戶已提供完整的資料處理協議時，由法務審閱合約並落實協議中的安全措施，可能就足夠；但若受託的處理本身落入第 3 條第 2 項，處理者也有自己的法定義務，例如指定歐盟代表（第 27 條，有例外）、建立處理活動紀錄（第 30 條第 2 項）、發生外洩時通知控制者（第 33 條第 2 項）。
積穗科研對應這些準則的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 適用範圍與角色：盤點個資類型、來源、目的、保存期限與共享對象，判定 GDPR 適用範圍與控制者、處理者角色
- 處理活動紀錄與影響評估：建立符合第 30 條的處理活動紀錄，同時對應台灣個資法；對高風險處理執行資料保護影響評估
- 權利回應與外洩通報：建立隱私政策、同意管理與當事人權利回應程序，並演練 72 小時外洩通報
- 跨境傳輸：評估是否需要設置資料保護長，協助審查標準契約條款並建立跨境傳輸紀錄
- 和台灣個資法、ISO 27701 整合：以 ISO 27701 隱私資訊管理系統為框架，一套制度同時對應 GDPR 與台灣個資法
- 誰主導：副總、董事級顧問全程輔導，不外包
- 具名案例：客戶授權公開的個人資料保護輔導客戶包括金融聯合徵信中心、Lativ、卓元科健、超核心健身中心（超核心完整案例）
相關問題
- 一定要指定資料保護長（DPO）嗎？ 不一定。依第 37 條第 1 項，三種情況必須指定：由公務機關或機構處理（法院行使審判職權時除外）；核心活動需要大規模、定期且系統性監控當事人；核心活動是大規模處理第 9 條特殊類別個資或第 10 條刑事前科資料。民間企業主要看後兩種。其他情況可自行決定，但歐盟或成員國法律可能另有要求（第 37 條第 4 項）。GDPR 歐盟個資法輔導
- 72 小時通報期限會改嗎？ 歐盟執委會 2025 年 11 月 19 日提出的數位綜合法案（Digital Omnibus，程序編號 2025/0360(COD)）提案，擬將向監管機關通報的期限延長為 96 小時並提高通報門檻；提案仍在立法程序中，現行仍是 72 小時。GDPR 歐盟個資法輔導
- ISO 27701 和 GDPR 是什麼關係？ ISO 27701 是隱私資訊管理系統的國際標準，可以把 GDPR 的義務建成可稽核的管理制度；但取得 ISO 27701 驗證，不等於法律上已符合 GDPR。台灣 ISO 27701 顧問怎麼選
- GDPR 輔導要多久？ 基礎建制（處理活動紀錄、隱私政策、權利回應程序）通常 2 至 3 個月；整合 ISO 27701 驗證則需 5 至 8 個月。GDPR 歐盟個資法輔導
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。