有個資計畫，為什麼還是答不出來？《從合規到治理》寫給那五秒鐘的沉默
寫給已有制度，卻仍卡在跨部門推動、稽核證據與資源爭取的你。把台灣個資法要求、個資生命週期與 ISO/IEC 27701:2025 接在一起，讓制度真正運作
某個星期二下午兩點，三位行政檢查委員走進你的會議室。寒暄之後，其中一位翻開公司的個人資料檔案安全維護計畫，問：「這份計畫有對應到施行細則第 12 條第 2 項的十一款嗎？」
會議室安靜了五秒鐘。
這是《從合規到治理：台灣個資法全方位導入指南》第一章的開場情境。書裡接著寫：這本書是寫給這五秒鐘的。
文件明明都在，為什麼問題一來，還是沒有人能把制度怎麼運作說清楚？
...被指派負責個資，明天從哪裡開始？《從零到合規》寫給第一次接手的你
從第一張個資清冊，到第一份安全維護計畫。十三章工作步驟、十份實作附錄，陪你把「不知道從哪裡開始」變成手上做得出來的成果
「去把個資法要求該做的做一做。」
主管一句話，你成了公司的個資負責人。手上原本的工作一件沒少，現在又多了一封轉寄的公文、一個期限，以及一件不知道從哪裡開始的任務。
你打開搜尋引擎，下載了幾份範本。每一份看起來都很完整，但你還是答不出來：我們公司適用哪一份？第一張表要找誰填？做到什麼程度，才能拿去跟主管報告？
如果這就是你的處境，《從零到合規：個人資料保護制度的第一本實作手冊》是我為你寫的書。
...當事人要求查詢個資時，身分驗證怎麼做才不會變成另一個風險
當事人要求查詢個資時，身分驗證怎麼做才不會變成另一個風險
個人要求企業提供自己被保存的資料，看起來像客服作業，實際上卻同時牽涉資料安全、當事人權利和服務流程。企業如果不驗證身分，可能把會員資料、交易紀錄或健康資訊交給冒名者；如果一律要求身分證正反面、自拍照、戶籍資料和一堆額外文件，又可能為了確認一個請求而蒐集更多高風險個資。
真正要處理的問題不是「要不要驗證」，而是「在這個請求的風險下，需要驗證到什麼程度」。驗證方法應該和資料敏感度、請求管道、帳戶既有登入狀態、代理關係以及企業是否真的對這個人有既存識別資料相稱。這也是企業把法規要求落成流程時，最容易失去判斷力的地方。
本文聚焦在個人要求查詢或取得個資時的身分與授權驗證，不討論完整的資料搜尋、第三人資訊遮蔽或各產業的特殊拒絕事由。不同法域和產業仍須個別確認適用規範。
...個資保存期限怎麼訂：從資料清冊走到真正刪除
個資保存期限怎麼訂：從資料清冊走到真正刪除
很多企業都有一條看起來正確的規則：個人資料只保存到業務需要的期限為止。但真正盤點時，資料往往散落在 CRM、客服信箱、共用硬碟、紙本文件、分析平台、測試環境與雲端備份裡。前端系統設定了會員刪除，資料倉儲卻還留著一份；合約終止後，委外廠商刪除了正式環境，備份磁帶和支援工單仍然可以還原原始資料。
這不是單純的 IT 清理問題。保存多久，涉及蒐集目的、法定保存義務、當事人刪除請求、訴訟或調查中的證據保存，以及企業能不能提出一套前後一致的決策紀錄。若企業只寫一個「永久保存」或「依業務需要」的欄位，通常等於沒有真正回答保存期限為何合理。
本文的切入點不是提供一張所有產業都能直接套用的年限表，而是說明企業如何建立可解釋、可執行、可驗證的保存與刪除治理。產業法規、會計、稅務、勞動、金融、醫療或訴訟保全要求，仍須由企業依實際情況確認，不能用本文取代法律意見。
...個資事件：把通報壓力轉成可執行的應變流程
個資事件：把通報壓力轉成可執行的應變流程
很多企業的個資事件應變計畫，寫在制度文件裡看起來很完整：有通報表單、有聯絡清單、有事件分級，也列出法務、資訊、客服和公關的分工。但真正發生事件時，最常見的問題不是不知道要做什麼，而是不知道現在先做哪一件事。
客服收到客戶反映帳戶異常，資訊人員看到一批可疑下載紀錄，委外廠商通知儲存環境可能遭到入侵。這些訊息都可能是資安事件，也可能進一步成為個人資料事故。團隊若一開始就急著追究責任、撰寫公告，反而可能破壞證據，讓攻擊持續，或在事實尚未釐清前對外做出錯誤承諾。
本文不把第一時間想像成可以查完全部真相的時間。它的目標比較務實：先把損害控制住，建立可信的事件時間線，讓後續的法律判斷與對外溝通有可靠基礎。
...委外監督與國際傳輸監督：兩套義務不能寫成同一份合約條款
從施行細則第 8 條第 2 項與各業別安維辦法的逐字比對，談委外合約的檢核落點
審查委外合約時，最容易出錯的不是漏看條款，而是把條款對到錯的法源。一份寫著「應約定個人資料處理之範圍、類別、特定目的、期間、地區、對象及方式」的檢核意見，看起來完全合規，卻可能引錯依據——因為這七項要素出自國際傳輸的監督規定，不是委外監督的規定。委外監督在施行細則裡只要求前四項，多出來的「地區、對象、方式」是跨境情境才有的要求。條文長得像，義務並不相同。
...
臺灣個資管理制度整合與國際標準的整合
TPIPAS、ISO 27701 與 Global CBPR 的實務分工
一家台灣科技製造商準備接兩個海外案子。美國資料中心客戶問有沒有 Global CBPR；歐洲品牌商希望看到 ISO 27701；國內標案又把 TPIPAS 或相近的個資管理證明列入加分條件。資安長真正要回答的不是「要不要做三套制度」，而是：哪些文件可以共用，哪些要求必須分開處理。
這三套制度常被放在同一張合規地圖上，但它們解決的問題不一樣。TPIPAS 主要處理台灣個資法與本地稽核語境；ISO/IEC 27701:2025 是國際化的隱私資訊管理系統；Global CBPR 則是跨境資料流通下的問責式認證。若把三者都當成「個資證書」，建置時很容易做出三份相似文件，卻漏掉真正會被客戶或主管機關追問的細節。
...當 AI 面臨自動化決策
勞工隱私風險與企業合規實務
場景一：你在人力銀行投了履歷，系統幾秒後回覆：「感謝您應徵，此職缺已找到合適人選。」你不知道的是，這份履歷可能從來沒有被任何人類看過。招募系統已經根據學歷、工作經驗、語意特徵，甚至履歷中的空白期與用字模式，替你打了分數，然後把你的檔案歸類到「不優先考慮」。
場景二：你任職的公司上線了一套新的「智慧考勤系統」，用臉部辨識取代傳統打卡鐘。人力資源部門說這是「提升效率」。但沒有人清楚說明，影像資料會不會被上傳到雲端、供應商位於哪個國家、臉部特徵模板會保存多久，或者離職後是否會刪除。
場景三：公司引進 AI 績效評估系統，每週根據鍵盤輸入節奏、會議參與率、電子郵件回覆速度與任務系統紀錄，自動計算「組織貢獻指數」。你的年終獎金、晉升機會，甚至是否被列入改善名單，都可能受一個你從未看過、也難以挑戰的模型影響。
這三個場景分別對應三種就業場域的自動化決策風險：招募篩選中的歧視、生物特徵監控中的隱私侵害，以及績效評估中的黑箱演算法。在 AI 大量進入人力資源管理之後，勞工隱私早已不是「有沒有被監控」的問題，而是「監控到什麼程度、由誰決定、能不能理解與挑戰」的問題。
...台灣跨國企業的跨境傳輸合規全景
從個資法第21條、歐盟標準合約條款到中國個資法與資料在地化的實務地圖
某個下午，台北總部收到中國子公司的資安通報：內部人力資源（Human Resources, HR）系統疑似遭入侵，受影響資料包含台灣派駐人員、中國當地員工，以及少量歐洲子公司借調員工資料。
這時候，問題不只是「要不要通知當事人」。法務、資安與人資很快會被一串更麻煩的問題追著跑：中國子公司把員工資料同步回台灣，是不是符合中國《個人信息保護法》（Personal Information Protection Law, PIPL）的資料出境規則？歐洲借調員工資料曾經傳到台灣總部，當時有沒有歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR）的傳輸工具？台灣母公司把資料放在新加坡雲端區域，是否觸發新加坡《個人資料保護法》（Personal Data Protection Act, PDPA）或其他供應商所在地的要求？如果外洩發生在跨國系統，通報時鐘要從哪一個法域開始算？
跨境資料傳輸的難點，從來不是「資料有沒有出國」這麼簡單。真正困難的是：同一筆資料，在不同方向、不同角色、不同目的下，可能同時落入好幾套規則。
...跨境資料傳輸與資料在地化
資料在哪裡，合規義務就在哪裡
本文更新時間：2026-04-28。跨境資料法規變動很快，本文供企業盤點合規風險使用；個案仍應以主管機關最新公告及當地法律意見為準。
資料放在哪裡，早就不只是資訊部門的架構選擇。
台灣母公司想把中國廠員工薪資資料匯回總部；越南子公司把門禁紀錄同步到台灣的人資系統；歐洲客戶資料放在美國雲端服務；印尼平台的使用者資料備份到新加坡。這些動作在工程上可能只是同步、備份或遠端存取，在法律上卻可能已經構成跨境傳輸。
企業常見的誤解是：「資料存在雲端，不算出境。」實務上正好相反。只要資料被傳到境外伺服器、由境外人員可存取，或由境外服務商處理，都可能被當作跨境資料流動來看待。
...