資料保護稽核——KVKK 與 GDPR 合規稽核

什麼是稽核？

資料保護稽核係評估組織之個人資料處理活動是否符合現行資料保護法規（GDPR、各國個資法等）。與資安稽核不同者，其重心在於「合法處理」，而非資料保護本身。

為何要執行？

目的在於找出會導致行政罰鍰與商譽風險之不遵循事項，並確認資料當事人之權利受到保護。

誰會委託？

大量處理個人資料的組織
依 GDPR 於歐盟境內營運或向歐盟提供服務的公司
以資料處理者身分提供服務的科技公司
客戶要求資料保護保證的供應商
建立 ISO/IEC 27701 的組織

稽核準則

準則為現行資料保護法規(KVKK、GDPR),並視情況搭配 ISO/IEC 27701 等隱私管理系統標準。亦納入產業法規及客戶合約中的資料處理條款。

稽核範圍

個人資料清單和處理活動記錄
處理活動的法律依據
隱私告知與同意管理
資料主體權利行使流程與回應時限
資料最小化與儲存期限
銷毀政策與實際銷毀紀錄
資料處理協議與次處理者管理
跨境資料傳輸及其法律依據
需要進行資料保護影響評估(DPIA)的處理活動
技術與組織措施的充分性
資料外洩偵測、通報與紀錄留存流程
員工意識與保密承諾
指派聯絡人或資料保護官

稽核流程

1選定適用準則確定稽核所依之標準、方案或法規；主題式稽核中，準則之選擇直接決定結果的意義。
2風險評估與範圍依組織之業務與所在地辨識風險領域，並據以規劃稽核人日。
3文件與紀錄審查審查政策、程序、許可、量測紀錄與既往稽核結果。
4現場稽核巡視相關區域，並執行與主題相應之量測、觀察與紀錄查核。
5員工訪談如主題有此需要，於獨立於管理階層之情形下與員工進行保密訪談，並將陳述與紀錄比對。
6法規遵循評估另行查核現行法規之遵循情形；法規不符合在任何方案中均屬最嚴重之發現類別。
7發現事項報告依嚴重程度將發現事項分級並彙整成報告。
8矯正措施與追蹤取得矯正措施計畫，並追蹤其於方案所定期限內結案。

發現事項

最嚴重的發現項是無合法依據的處理、逾期資料未銷毀,以及缺乏外洩通報流程。這些都直接帶來行政處罰風險。

稽核報告

稽核機構、稽核員與受稽方資訊
所適用之標準、方案或法規
稽核日期、期間與範圍
文件與紀錄審查之發現
現場觀察與量測結果
員工訪談之發現（如有進行）
法規遵循評估
發現事項、嚴重程度與證據
矯正措施計畫與期限

產出的界限

資料保護稽核是一種技術性與程式性的評估;並非法律意見。對法規的解釋以及某項處理是否合法的具拘束力判斷,屬於主管監督機關的職權。稽核報告並非合規證書,也不是在主管機關面前提供保護的檔案。

認證資格

認證資格因稽核類型而異。作為管理系統驗證基礎之第三方稽核依 ISO/IEC 17021-1 執行，作為產品驗證基礎者依 ISO/IEC 17065 執行，此等範圍均受認證規範。第一方與第二方稽核，以及依方案擁有者自訂規則之稽核（如 SMETA、amfori BSCI），不屬認證驗證範圍；此類稽核依 ISO 19011 指引執行並產出報告。EUROLAB 持有依 ISO/IEC 17021-1 與 ISO/IEC 17065 之國際認可認證，由 IAF 多邊承認協議簽署機構核發；何種稽核可於認證範圍內提供，於報價階段以書面確認。

範圍與權限