跳到主要內容區塊

ntuccepaper2019

產業專欄

GDPR 的合規展現與PIMS國際標準
  • 卷期:v0045
  • 出版日期:2018-06-20
  • 分類:產業專欄

作者:本文轉載「CIO IT經理人」雜誌 2018年4月號 NO.82 Page46


歐洲隱私權法律--一般資 料保護規定( G e n e r a l D a t a Protection Regulation, GDPR),即將 於2018年5月25日生效。依此規 定,企業若未遵循該法規要求, 主管機關得進行調查,最重可裁 處企業「2,000萬歐元」或該年度 「全球營業額4%」的罰鍰(取其 高者),本文說明企業展現GDPR 合規性之幾項可行途徑與相關 PIMS(personal information management system)國際標準。

 

本文提及的國際標準所指為經 各國投票同意而公告發行的ISO國際 標準(International Standard),和坊間 誤以為國外標準就是國際標準的認 知是不同的,國外標準或其它國家 的國家標準(如加拿大CAN、英國 BS、德國DIN等)在國際上並不被 稱為國際標準。

 

GDPR適用對象


依 GDPR Article 3 Territorialscope 規範,GDPR適用對象說明如 下:

 

1. This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not.

 

● 台灣的銀行在歐洲設立的分行, 無論其蒐集的個資是在歐盟境內處理或境外(如台灣)處理,都 要受到規範。

 

2. This Regulation applies to theprocessing of personal data of data subjects who are in the Union by a controller or processor not established in the Union, where the processing activities are related to: ( a ) t h e o f f e r i n g o f g o o d s o r services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or

 

● 在台灣設立的線上訂票或購物 網站,提供歐盟境內自然人訂 票或訂購商品;或是台灣將電 子產品銷售至歐洲,並提供產 品註冊及相關售後服務者; 或是提供付費/或免費的 I O S / A n d r o i d App,只要會蒐集或 處理歐盟境內自然人相關個資 者。

 

(b) the monitoring of their b e h a v i o u r a s f a r a s t h e i r behaviour takes place within the Union.

 

● facebook蒐集歐盟境內自然人相 關社交行為;線上支付系統如 提供歐盟境內自然人使用之相 關支付管理;或是使用cookie來 紀錄使用者瀏覽行為之網站… 等,只要會蒐集歐盟境內自然 人相關行為者。 如表1示意,此法規不僅適用 在歐盟境內設立公司的企業,即使 未在歐盟設立公司,只要會蒐集或 處理到歐盟境內自然人相關個資 (如姓名、地址、GPS位置、通訊 錄等),都要受到規範,而且要依 Article 27 在歐盟指派一代表。惟表1右下,歐盟自然人不在歐盟時 (如德國居民派駐在台灣工作)的 個資蒐集或處理是否受到GDPR規 範,目前仍屬灰色地帶。

 

 

全文轉載內容(PDF)