[個資與隱私法 6] GDPR 域外效力與台灣企業合規

本文導讀

第　壹　章

GDPR 域外效力的法律基礎

第 3 條的適用範圍

3條

域外效力核心

GDPR 第 3 條：在歐盟有據點，或對歐盟境內的人提供商品服務、監測其行為，即適用

4%

最高罰鍰比例

全球年營業額 4% 或 2,000 萬歐元，取較高者（第 83 條第 5 項）

27會員國

適用地域

歐盟 27 會員國，加上歐洲經濟區的挪威、冰島、列支敦斯登

TYPE I

在歐盟設有據點

在歐盟有子公司、分公司或辦事處，只要個資處理與該據點的活動有關，不論資料在哪裡處理，都適用（第 3 條第 1 項）。

TYPE II

對歐盟境內的人提供商品或服務

設立在歐盟以外，但對位於歐盟境內的人提供商品或服務（收費與否都算），即適用（第 3 條第 2 項第 a 款）。

TYPE III

監測歐盟境內的人的行為

透過 Cookie、追蹤工具、分析服務，監測位於歐盟境內的人在歐盟境內的網路行為，例如建立使用者輪廓，即適用（第 3 條第 2 項第 b 款）。

第　貳　章

台灣企業的判別指標

五個檢核項目

第　參　章

合規架構的兩個層次

從基本到進階

最低要求

基本合規架構

• ·隱私政策符合 GDPR 的透明度與權利告知要求
• ·當事人權利處理機制（查詢、更正、刪除、資料可攜）
• ·跨境傳輸的合法依據（標準契約條款、適足性認定等）
• ·Cookie 同意機制：主動同意，不得預設勾選
• ·資料外洩：知悉後 72 小時內通報主管機關（第 33 條）

進階要求

完整合規架構

• ·指定歐盟代表（EU Representative，第 27 條）
• ·資料保護長（DPO）：核心業務涉及大規模、定期且系統性監測，或大規模處理特種個資時，依第 37 條應指定
• ·高風險處理活動進行資料保護影響評估（DPIA，第 35 條）
• ·處理活動紀錄（第 30 條）
• ·與歐盟主管機關的溝通窗口

第　肆　章

結語 · 下一篇：資料外洩 SOP

Q.　我的網站只有繁中，但偶爾有歐盟用戶，需要管 GDPR 嗎？

A.　看有沒有「瞄準」歐盟。只是偶爾有歐盟境內的人造訪，沒有針對歐盟的行銷或服務設計，通常不會因第 3 條第 2 項第 a 款而適用；但若對歐盟投放廣告、寄送到歐盟、提供歐盟語言下單，就可能落入。另外，若用 Cookie 或追蹤工具對歐盟境內使用者建立輪廓，也可能構成第 b 款的行為監測。建議先評估歐盟業務量；不打算經營歐盟市場時，可在使用條款中表明，並避免針對歐盟的行銷設計。

Q.　GDPR 的 EU Representative 是什麼？何時需要？

A.　依第 27 條，設立在歐盟以外、因第 3 條第 2 項而適用 GDPR 的企業，原則上要以書面在歐盟境內指定代表，作為主管機關與當事人的聯絡對象。例外是偶發性的處理，且不涉及大規模處理特種個資或犯罪資料、不太可能對個人權利造成風險；公務機關也不適用。代表應設在服務對象或被監測者所在的會員國之一。實質經營歐盟市場時，應確實設置。

Q.　GDPR 罰鍰多重？有什麼著名案例？

A.　依第 83 條分兩級：違反第 4 項所列義務者，最高 1,000 萬歐元或全球年營業額 2%；違反第 5 項所列處理原則、當事人權利、跨境傳輸等規定者，最高 2,000 萬歐元或全球年營業額 4%，均取較高者。目前單一案件最高的是 2023 年 Meta 因將歐盟使用者資料傳輸到美國，遭愛爾蘭資料保護委員會處 12 億歐元。

Q.　Cookie 同意機制要怎麼做才合規？

A.　非必要 Cookie 須事先取得同意。歐盟法院 2019 年 Planet49 案（C-673/17）認定，預先勾選的方框不構成有效同意。實務上可掌握三個原則：主動同意，不預設勾選；分項同意，必要、統計分析、行銷各自選擇；容易撤回，撤回與同意一樣方便。市面上有 OneTrust、Cookiebot 等同意管理工具可協助處理多語言與紀錄保存。

Q.　資料外洩需要多快通知？

A.　第 33 條規定，控管者應在知悉後不得無故遲延，並盡可能於 72 小時內通報主管機關，除非外洩不太可能對個人權利造成風險。第 34 條規定，可能對個人權利造成高風險的外洩，還要通知當事人。建議事先建立資料外洩 SOP（發現、評估、通報、補救），內部預留時間在期限內完成評估與通報。本系列下一篇將深入這個議題。