2026-05-09
劉博文 律師
,
0

[個資與隱私法 5] 資料保護長(DPO)制度與企業治理

資料保護長（DPO）是企業監督個資合規的專責角色。本文說明 GDPR 的強制設置規定、我國現行法與 114 年修正條文的要求、DPO 的職責與獨立性，以及台灣企業的實務做法。

資料保護長 DPO 制度|isometric 立體企業大樓:頂層 DPO 主管監督、中層部門資料流、下層當事人申訴窗口

個 資 與 隱 私 法 · 第 五 篇 · DPO 制 度

資料保護長
當代個資治理的核心

歐盟 GDPR 要求特定企業設置資料保護長（DPO），我國現行個資法則沒有強制企業設置。這裡整理 DPO 的制度設計與實務做法。

劉博文律師 · 和鼎律師事務所主持律師

本文導讀

DPO 在歐盟與我國的法律地位、職責範圍、與法務、資安、業務部門的分工，以及台灣企業可以怎麼做。

I

第　壹　章

DPO 的法律地位

GDPR 強制設置 vs 我國自願設置

DPO 是企業內部負責監督個資合規的專責角色。歐盟對特定情形強制設置；我國現行法沒有強制企業設置 DPO，但要求企業採取適當安全措施，其中一項就是配置管理人員（個資法施行細則第 12 條）。

所以在台灣，要不要設 DPO 是治理選擇；服務歐盟客戶，或屬於金融等受監理行業時，才會變成接近義務的要求。

37條

GDPR DPO 規範核心

GDPR 第 37 至 39 條：DPO 的設置、地位與職責

3類

強制設置情形

公務機關、大規模監控核心活動、大規模處理特種個資

2018年

GDPR 適用

GDPR 自 2018 年 5 月 25 日起適用，DPO 制度隨之全面上路

DPO 制度：歐盟與我國對照

項目歐盟 GDPR我國現行個資法我國 114 年修正條文（尚未施行）
是否強制公務機關、核心活動需大規模定期系統性監控、核心活動為大規模處理特種個資者，應設置（第 37 條）未強制企業設置；適當安全措施包括配置管理人員（施行細則第 12 條）公務機關應置個人資料保護長（第 18 條）
受監理行業依第 37 條判斷金融業等依主管機關辦法配置管理人員及相當資源（例如金管會安全維護辦法第 3 條）安全維護辦法改由主管機關訂定（第 20 條之 1）
獨立性直接向最高管理層報告，不因執行職務受解任或處罰（第 38 條）無明文公務機關不得因人員依法執行個資保護職務而為不利處分（第 18 條）
外部委任可依服務契約委由外部人員擔任（第 37 條第 6 項）法律未限制未規定

「特種個資」在 GDPR 指種族、健康、基因、生物特徵等特殊類別資料（第 9 條），與我國個資法第 6 條的範圍不完全相同。

II

第　貳　章

DPO 的四大核心職責

從合規監督到對外窗口

依 GDPR 第 39 條，DPO 的工作是提供建議、監督合規、與監管機關合作；第 38 條第 4 項另讓當事人可以就個資問題直接聯絡 DPO。歸納起來有四項職責。

DUTY I

監督個資合規

監督企業整體的個資處理是否符合 GDPR 或個資法，提出合規建議與改善方案。

DUTY II

內部教育訓練

規劃並執行員工個資保護教育訓練,提升組織整體個資意識。

DUTY III

當事人聯絡窗口

作為當事人行使權利的對外聯絡窗口,處理當事人請求與申訴。

DUTY IV

主管機關協調

與主管機關合作的窗口。GDPR 下的對口是資料保護監管機關；我國現行的對口是各目的事業主管機關，個資會目前仍在籌備。

III

第　參　章

DPO 與企業其他角色的關係

獨立但不孤立

DPO 要能獨立判斷，但必須和法務、資安、稽核、業務部門密切合作。分工的原則是：DPO 管個資的法律與流程，其他部門各司其職。

DPO 與企業內其他角色的關係

角色主要職責與 DPO 關係
DPO 資料保護長監督個資合規、內部教育、對外窗口核心,獨立於業務部門
法務 Legal法律意見、合約審閱、爭議處理合作,但 DPO 對個資領域更專精
資安 InfoSec技術安全、漏洞處理、資料加密合作,DPO 著重法律面 + 流程面
稽核 Audit內部稽核、合規檢視、改善建議合作,稽核驗證 DPO 架構是否落實
業務 Business業務執行、客戶關係、產品開發受 DPO 監督,在個資使用上需配合
IV

第　肆　章

DPO 獨立性的關鍵

成功 vs 失敗的設置

DPO 成敗的關鍵在獨立性。GDPR 第 38 條要求企業讓 DPO 及時參與所有個資議題、提供必要資源，不得就其職務下指示，也不得因其執行職務而解任或處罰。

獨立性要件

DPO 應有的保護

  • —直接向最高管理層報告
  • —不得因執行職務受不利對待
  • —不得收受指示影響獨立判斷
  • —可同時擔任其他職務,但不得有利益衝突
  • —預算與資源上的合理保障

常見錯誤

失敗的 DPO 設置

  • —DPO 由業務部門主管兼任(利益衝突)
  • —DPO 拿不到資訊、也不被找來討論，只是掛名
  • —DPO 預算與資源被嚴重壓縮
  • —DPO 意見被高層無故忽略
  • —把 DPO 當「擋箭牌」而非「合規夥伴」

「DPO 不是個資法的「擋箭牌」,而是企業面對資料時代的「合規夥伴」。設置失敗的 DPO 比沒有 DPO 更危險。」

— 本文觀點

V

第　伍　章

結語 · 下一篇:GDPR 域外效力

企業要不要設 DPO：四個問題

一

有沒有適用 GDPR

在歐盟設有據點，或向歐盟境內的人提供商品服務、監控其行為，可能適用 GDPR，再依第 37 條判斷是否必須設置。

二

核心業務是否大規模處理個資

例如大規模追蹤使用者行為、大量處理健康資料。規模越大，越需要專責人員。

三

是不是受監理行業

金融業等行業，主管機關的安全維護辦法已要求配置管理人員及相當資源。

四

規模不大怎麼辦

至少指定個資聯絡人，或委由外部顧問擔任，搭配內部窗口。

附 記

我國個資法雖未強制企業設置 DPO，但金融業等受監理行業已被要求配置個資管理人員。中小企業也建議至少指定一位「個資聯絡人」，負責基本的窗口與內部提醒。本所協助企業設計 DPO 架構與職責,建立內部個資治理機制。

常見問題

Q.　我國法律強制要求設置 DPO 嗎?

A.　目前沒有。我國現行個資法沒有要求企業設置 DPO，但要求採取適當安全措施，施行細則第 12 條列舉的措施就包括「配置管理之人員及相當資源」。部分目的事業主管機關也有具體要求，例如金管會的安全維護辦法第 3 條，要求所管金融機構配置管理人員及相當資源。114 年修正條文要求公務機關設置個人資料保護長（第 18 條），但尚未施行，也不適用於企業。建議依自身處理個資的規模、是否服務歐盟客戶來決定，人選不限正職，也可以委由外部顧問。

Q.　DPO 可以由公司法務或資安主管兼任嗎?

A.　可以，但要避免利益衝突。GDPR 第 38 條第 6 項允許 DPO 兼任其他職務，前提是不生利益衝突。兼任時要確保職責分開、有足夠時間與資源處理 DPO 工作，遇到與自己其他職務有關的個資事項主動迴避。業務部門主管通常不適合兼任，因為等於自己監督自己。

Q.　DPO 對企業有什麼實質好處?

A.　四項好處：第一，及早發現並改善合規問題，降低違法風險；第二，對外展現重視個資的承諾，建立信任；第三，個資相關決策有專業意見；第四，發生外洩或主管機關調查時，有熟悉狀況的窗口處理。

Q.　外部 DPO(顧問模式)可行嗎?

A.　可行。GDPR 第 37 條第 6 項允許依服務契約委由外部人員擔任 DPO；我國法律則沒有限制。外部 DPO 的優點是成本較低、有跨產業經驗、比較容易保持獨立；缺點是對企業內部的了解較淺、緊急應變較慢。中小企業常見的做法是外部 DPO 搭配一位內部聯絡人。

Q.　DPO 出問題,個人會被處罰嗎?

A.　原則上，個資違法的責任由企業承擔；DPO 的角色是建議與監督，不是替企業負合規責任。但 DPO 若明知違法仍協助，或隱匿事實，可能與企業負共同侵權責任，甚至涉及刑事責任。建議 DPO 完整保留工作紀錄，包括提出的建議與警示，作為已盡職責的證明。

個資與隱私法系列(規劃中,陸續上線)

❦

作者 劉博文 律師