SCCs
歐盟標準合約條款
Decision (EU) 2021/914
本法旨在建立標準契約條款以確保個人資料向第三國轉移時符合歐盟資料保護規則之要求。本決議針對資料輸出人及資料輸入人之間之個人資料跨境轉移，提供適當的保護措施、可執行之資料主體權利及有效的法律救濟。標準契約條款適用於控制者對控制者、控制者對處理者、處理者對處理者及處理者對控制者等四種轉移情景，並涵蓋子處理者之參與。
重要日期與時程
2021-09-27：決議2001/497/EC及決議2010/87/EU廢止時間
2022-12-27：舊決議之契約過渡期限
資料輸入人無法遵守時暫停轉移期間: 一個月內
資料主體請求回應期限: 一個月內(可延長最多兩個月)
公共機構取得請求之定期匯報: 定期(具體週期由契約約定)
主要合規要求
- 建立適當的技術及組織措施以確保資料安全
- 實施目的限制原則，僅為特定目的處理個人資料
- 提供透明化資訊予資料主體，包括身分、聯絡方式、被處理資料類別及復本取得方式
- 確保個人資料之準確性並於必要時更新
- 維持符合保留期限之儲存限制
- 建立資料洩露通知機制並於發生時通知資料輸出人及監管機構
- 實施敏感資料之額外限制與保護措施
- 僅在符合條件下進行資料之前向轉移
- 維持適當文件並將其提供予監管機構
- 依照資料主體要求處理其行使權利之請求
- 建立投訴及救濟機制供資料主體使用
- 對監管機構提交並遵守具拘束力決定
- 評估第三國法律對契約條款遵守之影響
- 通知資料輸出人如其無法遵守契約條款
- 進行合規性稽核並提供必要文件供稽核使用
- 與資料輸出人合作應對公共機構之取得請求
- 審查取得請求之合法性並於必要時提出異議
- 就取得請求提供最少必要資訊
- 建立子處理者協議確保相同之保護標準
- 於契約終止時刪除或返還所有轉移之個人資料
先確認這幾件事
- 公司是否將歐盟員工或客戶的個人資料傳輸至歐盟以外地區？
- 是否使用2021年更新版標準契約條款（SCCs）或其他有效傳輸機制？
罰則
無具體金額罰款規定。本決議未訂定直接之罰鍰條款。資料輸入人違反標準契約條款時，資料主體得向歐盟成員國監管機構提出投訴或向法院提起訴訟。由各成員國自定處罰規則並依據規則2016/679之規定施加行政罰款，但須具備有效性與嚇阻力。資料主體得就違反第三方受益人權利之物質性或非物質性損害請求賠償。資料輸出人有權因資料輸入人違反而暫停資料轉移或終止契約。