跨域資安強化產業推動計畫網站 ACW

======

※GDPR簡介

保護個人資料成為全球課題，歐盟於1995年通過個人資料保護指令，由各會員國轉化內國法施行之，然而，肇因於科技之演變與為確保個人資料保護框架之一致性，歐盟於2012年開始討論調整歐盟之個人資料保護框架，於2016年通過一般個人資料保護規則（General Data Protection Regulation, GDPR），並於2018年5月25日正式施行。

GDPR施行後，有幾大變革值得注意，首先是其擴大了適用領域，凡是有蒐集、處理與利用歐盟境內之資料主體的個人資料都有GDPR之適用，不論蒐集、處理與利用者是否位於歐盟境內。根據GDPR之規定，位於歐盟境內之資料控制者（對資料之蒐集、處理與利用具有控制權者）與資料處理者（代理資料控制者進行資料之蒐集、處理與利用者），不論其資料蒐集、處理或利用行為是否發生於歐盟境內，有適用GDPR。而未位於歐盟境內者，因對於歐盟境內之資料主體提供商品或服務，又或監控資料主體在歐盟境內之行為，而有蒐集、處理或利用個人資料理，將有GDPR之適用。

其次，有別於個人資料保護指令，GDPR明定了違反GDPR者可能面臨的行政裁罰。根據GDPR之規定，違反GDPR有可能最高會被處以2000萬歐元或全球年營業額之4%（二者取其高）。值得注意的是，GDPR之裁罰規定於資料處理者亦有適用，換言之，雲端服務將不能免除GDPR之適用。

此外，GDPR強化了對於資料主體的保護，例如：新增了被遺忘權、資料可攜權等權利，且強化了同意取得之規定，向資料主體請求取得同意之說明必須與其他事項有所區隔，並使用清楚與白話文為之。當然，GDPR也同時加強了資料控制者與資料處理者之義務與責任，例如：於特定情況下，須設置資料保護官（data protection officer）、進行資料保護衝擊評估等⋯⋯。


※GDPR六大原則



※GDPR共有11個章節，共計有99條條文，各章節之重點摘要說明如下：
●資料來源：本研究自行製表