當處理者成為漏洞：跨國供應鏈個資治理的現在與未來(上)

從GDPR Art.28到台灣PDPA

處理者治理七大強制條款與實務稽核策略

開場：一個常被忽略的洩漏環節

2025 年，某家台灣半導體供應商的雲端資料處理者遭到勒索軟體攻擊，數萬筆客戶訂單與員工身份資料外洩。事後調查發現：這家處理者同時替十幾家台灣企業處理資料，但沒有一家控制者曾在合約中約定「處理者事故發生後的通報時效」——導致多數母公司是在新聞報導後才得知，而非依賴處理者的正式通知。

這不是個案。在個人資料管理系統（Personal Information Management System, PIMS）中，處理者（Processor）治理是最容易被空洞化的環節：合約裡寫得完整，實際上卻從未執行。當事故發生，監理機關裁罰的對象是控制者（Controller），而非處理者。處理者的過失，最終由控制者承擔。

本文以 2026 年初的研究發現為基礎，深度解析：處理者治理的七個強制條款、各國制度差異、為何多數企業的處理者稽核形同虛設，以及台灣跨國企業該如何建立可執行的處理者治理系統。

一、控制者與處理者：界線不清是責任漂移的根源

「控制者」與「處理者」的區分，是整個現代隱私法的基石。然而在台灣企業的實務運作中，這條界線常常因為以下原因模糊化：

為什麼這條界線如此重要？因為不同法律地位，決定了不同的責任分配：

控制者決定「為什麼」和「如何」處理個人資料，對監理機關承擔主要義務
處理者僅依控制者書面指示行事，違規時的處罰對象仍是控制者（台灣、日本、韓國），或由兩者連帶負責（歐盟、英國）

ISO 27701:2025 Clause 6（Processor Module）對處理者的義務有最完整的定義，成為全球處理者契約的實質標準。

二、處理者契約的強制條款

依據 ISO 27701:2025 Clause 6、GDPR Art. 28 及主要司法管轄區的規範，處理者契約必須包含以下七個強制條款。缺少任何一項，在跨境爭議中都可能構成合規缺口。

因此，正確的處理者稽核策略，應依序要求：

第一層（最低門檻）： ISO 27701:2019 或 BS 10012 認證證書 —> 第三方稽核已涵蓋隱私義務
第二層（中等風險）： SOC 2 Type II 報告（涵蓋期間不超過 12 個月）+ 處理者個資事故紀錄主動揭露聲明
第三層（高風險接觸敏感 PII）：現場稽核，若處理者拒絕，應評估更換供應商或在合約中加入「接受稽核」違約金條款

障礙二：處理者多層再委託形成「黑盒子」

當處理者的底層供應商（如 AWS 資料中心）發生個資事故，控制者對該再處理者沒有直接合約關係。依 GDPR Art. 28(4)，控制者只能向直接處理者追償，而處理者再向有過失的次處理者追償（但這條追償鏈在實務上極難執行）。

實務對策：建立處理者複委託地圖，要求處理者揭露其主要再處理者（雲端基礎設施、主要分包商），並在地圖變更時主動通知。使用 AWS/Azure/GCP 的處理者，雲端業者本身即為實質處理者。

三、為何 99% 的處理者稽核權從未被執行

多數跨國企業的處理者合約中都有「控制者有權稽核處理者」條款，但實際上執行過現場合約稽核的企業，少之又少。背後有三個結構性障礙：

障礙一：處理者以 SOC 2 報告拒絕個案稽核

大型雲端服務商（AWS、Azure、GCP）及主要 CRM 供應商，幾乎異口同聲以「我們已有 SOC 2 Type II 報告」拒絕個別客戶的現場稽核要求。

問題在於：SOC 2 Type II 不等於隱私合規證明。

因此，正確的處理者稽核策略，應依序要求：

第一層（最低門檻）： ISO 27701:2019 或 BS 10012 認證證書 —> 第三方稽核已涵蓋隱私義務
第二層（中等風險）： SOC 2 Type II 報告（涵蓋期間不超過 12 個月）+ 處理者個資事故紀錄主動揭露聲明
第三層（高風險接觸敏感 PII）：現場稽核，若處理者拒絕，應評估更換供應商或在合約中加入「接受稽核」違約金條款

障礙二：處理者多層再委託形成「黑盒子」

當處理者的底層供應商（如 AWS 資料中心）發生個資事故，控制者對該再處理者沒有直接合約關係。依 GDPR Art. 28(4)，控制者只能向直接處理者追償，而處理者再向有過失的次處理者追償（但這條追償鏈在實務上極難執行）。

實務對策：建立處理者複委託地圖，要求處理者揭露其主要再處理者（雲端基礎設施、主要分包商），並在地圖變更時主動通知。使用 AWS/Azure/GCP 的處理者，雲端業者本身即為實質處理者。

障礙三：處理者個資事故通知時效不一致

各國對處理者個資事故通知時效要求差異極大，且多數沒有明確時效規定：

台灣跨國企業的實務建議：在處理者合約中約定處理者發現個資事故後不超過 24 小時通知控制者，預留 48 小時緩衝以完成各國監理機關的通報準備（EU/UK 72 小時時鐘從控制者知悉起算）。

－－副理事長/教育訓練委員會主委王彥然