歐盟最嚴個資法 我設專辦因應

號稱「史上最嚴個資法」的歐盟一般資料保護規則（GDPR）於25日正式上路，國發會主委陳美伶24日表示，將成立專案辦公室因應，台灣個資與隱私保護相當有水準，「相信做好準備不用太擔心」。

行政院長賴清德指出，由於歐盟為我第五大貿易夥伴、第一大外資來源，雙邊經貿往來一向密切，GDPR的施行，將對我國在歐盟營運，或對歐從事業務的企業產生相關影響。

陳美伶說明，雖然該法對企業有衝擊，但台灣在1995年制定《個人資料保護法》時，即依循OECD八大原則的最高標準擬定，與當時的國際水準相當，因此即便有新法出來，只要審慎因應即可，不必過於緊張。

她提到，新法最重要的差異在於個資跨境傳輸採「原則禁止、例外允許」模式，與我國《個資法》規範正好相反，因此未來會向歐盟申請適足性認定，在未完成之前，所有可能涉及的企業，可以透過簽雙邊契約或協定的方式做約束，或經過驗證，資料還是可傳回來台灣。

新法的行政裁罰金額最高達2千萬歐元（約新台幣7億元），或是全球營業總額的4%，陳美伶說，涉及幾種行為可能挨罰，包括沒有合法理由拒絕用戶處理個資的要求、個資外洩未在72小時內通報、沒有執行個資保護風險評估、沒有任命個資保護長，以及違法向第三國洩露個資，歐盟將依照違法情節輕重裁量罰鍰額度。

談到對台灣產業的衝擊，陳美伶表示，銀行的衝擊是最大的，尤其若干銀行在歐盟設有分行，但金管會已做好準備，這些銀行都設有個資保護長，並簽署相關契約。經濟部盤點衝擊最大的還有電子商務業者，但其中有一條規定是規模在250人以下的公司暫不適用，除非有大量資料需要傳輸，另外還有交通業包括航空與航運業者也會受影響，由於現行《個資法》採分散管理，22個目的事業主管機關會陸續盤點所轄行業跟歐盟的商貿往來程度。

至於向歐盟申請適足性認定，陳美伶說，重新檢討《個資法》和立法院通過《資訊安全管理法》都有幫助，另外申請加入亞太經濟合作會議（APEC）跨境隱私保護體系，台灣通過第一階段審查，也有助於歐盟適足性認定的申請。◇