DPIA 範本與撰寫步驟（GDPR／越南法對照）
DPIA 範本是一份把「處理了哪些個資、為什麼需要、風險在哪、怎麼控制、誰核准」寫成固定欄位的評估表。GDPR 第 35 條第 7 項只規定最低內容、不限格式；越南第 356/2025/NĐ-CP 號議定則指定必須使用附錄的第 10 號範本。同時有歐盟與越南業務的台商，可以用一份共用範本收集資料，再依兩地格式產出文件。兩邊的要求並不衝突。
下面提供可直接改用的欄位表、撰寫步驟、風險評估方法，以及一個員工監控系統的填寫範例。DPIA 的適用情形與送件流程，可先參考 DPIA 的完整說明；需要依越南格式完成並送件，可參考我們的 越南 DPIA 文件建置。
DPIA 範本要有哪些欄位？
一份能同時對應兩地的 DPIA 範本，至少要有下表 10 個欄位。前 4 欄是 GDPR 的法定最低內容，越南第 10 號範本則另外要求角色、同意方式、保存刪除與相關方清單。越南版缺欄，主管機關會要求 30 日內補正。
| 欄位 | 要填什麼 | GDPR 第 35(7) 條 | 越南第 10 號範本 |
|---|---|---|---|
| 1. 處理活動描述 | 目的、系統、資料流向圖 | (a) | 第二部分第 2 項 |
| 2. 必要性與比例 | 為什麼非蒐集不可、有沒有更少的做法 | (b) | 第三部分第 1 項 |
| 3. 風險評估 | 對當事人的影響與發生可能性 | (c) | 第三部分第 2 項 |
| 4. 降低風險措施 | 技術、管理、訓練措施與殘餘風險 | (d) | 第二部分第 11 項 |
| 5. 角色 | 控制者、處理者或第三方，及各類當事人人數 | — | 第二部分第 1 項 |
| 6. 個資類型 | 逐項勾選基本個資與敏感個資 | — | 第二部分第 3 項 |
| 7. 同意方式 | 取得同意的內容、形式與流程，附表單 | — | 第二部分第 4 項 |
| 8. 保存與刪除 | 保存期限、刪除與銷毀規定，附文件 | — | 第二部分第 5、6 項 |
| 9. 相關方清單 | 處理者、第三方的合約編號與日期 | — | 第二部分 B 篇 |
| 10. 意見與核定 | 資料保護長意見、核定人、下次檢視日 | 第 35(2) 條 | 送件通知由組織簽署 |
DPIA 撰寫步驟
填 DPIA 範本時，建議依「描述 → 必要性 → 風險 → 措施 → 核定」的順序，因為後面每一欄都要引用前面的內容。順序對了，就不會寫到一半回頭重改。
- 先畫資料流向：從蒐集、儲存、使用、傳給誰到刪除，畫成一張圖，再填欄位 1、5、6。越南版還要在第一部分附上個資保護人員的指派文件副本，先備好可省一輪補件。
- 寫必要性：說明每類個資對應的目的，刪掉用不到的欄位。這一步最常直接降低風險。
- 評估風險：依下一節的方法逐項打分。
- 訂措施並算殘餘風險：每個中高風險都要對應一項措施，措施後仍偏高者，GDPR 下須依第 36 條事先諮詢主管機關。
- 取得意見並核定：GDPR 第 35 條第 2 項要求徵詢已指派的資料保護長，越南則由組織簽署送件通知後送交。
GDPR 第 35 條第 1 項也允許一份評估涵蓋性質相似、風險相近的一組處理，例如各廠區同型號的門禁系統，不必每個廠各寫一份。
風險評估方法
實務上常用「發生可能性 × 影響程度」各分 3 級、相乘得 1～9 分的矩陣：1～2 分低、3～4 分中、6～9 分高。分數本身不是重點。每一分都要寫出理由，審閱的人才能判斷評得合不合理。適當時，GDPR 第 35 條第 9 項也鼓勵徵詢當事人或其代表的意見，例如先問工會對監控措施的看法。
越南第 10 號範本把風險分成三個面向，每個面向都要依同樣的 5 個步驟寫：找出受影響的面向與問題、設定改善目標、列出已採取與擬採取的措施、評估措施的效果、選定建議措施。
| 評估面向 | 何時要寫 | 典型問題 |
|---|---|---|
| 對當事人的影響 | 一律要寫 | 外洩後被詐騙、被歧視、隱私受侵害 |
| 對組織資訊系統安全的影響 | 一律要寫 | 外洩、未授權存取、竄改、服務中斷、漏洞 |
| 對國家安全與社會秩序的影響 | 處理逾 10 萬名當事人基本個資，或逾 1 萬名當事人敏感個資 | 大量資料外流的影響 |
GDPR 與越南法的範本差異在哪？
最大差別在格式：GDPR 只規定最低內容，越南要逐欄照第 10 號範本填寫。越南範本特別要求勾選個資類型，而且分類比一般認知更廣，例如身分證影像、帳號密碼、定位資料都屬於敏感個資。兩地在適用範圍、送件與更新期限的完整比較，請見前面提到的 DPIA 說明中的對照表。另一個差異是更新：GDPR 第 35 條第 11 項要求在風險改變時重新檢視；越南則訂有每 6 個月或 10 日內更新的具體時點。
範例：越南廠導入指紋門禁與監視系統
看一個例子。以台商越南廠導入指紋打卡、門禁與廠區監視器為例，關鍵幾欄可以這樣填：
| 欄位 | 填寫範例 |
|---|---|
| 處理活動描述 | 指紋門禁與打卡，資料存於廠內伺服器，人資每月匯出出勤紀錄計薪 |
| 角色 | 越南子公司為控制者；門禁設備商為處理者，負責維護 |
| 個資類型 | 基本：姓名、員工編號、影像；敏感：生物特徵（指紋） |
| 必要性與比例 | 指紋僅用於門禁與出勤，不做其他用途；拒絕者改用感應卡 |
| 主要風險 | 指紋範本外洩無法更換（高）；監視畫面拍到休息區（中） |
| 措施 | 只存指紋特徵值並加密；設備商遠端維護需申請並留紀錄；調整鏡頭避開休息與更衣區 |
| 殘餘風險 | 中，每半年檢視一次 |
DPIA 範本常見錯誤
- 目的只寫「營運需要」，看不出每類個資的用途。
- 風險只列「外洩」一項，沒有寫發生後對當事人的具體影響。
- 措施與風險對不起來，例如風險是委外維護，措施卻只寫防火牆。
- 越南版漏勾敏感個資，或沒附同意書、保存刪除規定與合約副本。
- 寫完就歸檔，處理目的或廠商變動時沒有更新。
- 用 DPIA 範本代替個資盤點，結果漏掉沒人記得的舊系統。
DPIA 範本常見問題
範本可以直接套用嗎？
欄位可以套用。內容不能照抄。主管機關看的是你的資料流向與措施，用別家公司的範例會出現系統名稱、部門都對不上的情況。
DPIA 要多詳細？
詳細到外部人士看得懂資料從哪裡來、到哪裡去，以及每個風險為什麼是這個等級。越南範本還要求附上資料流向圖與系統設計圖，並列出當事人類別與人數。
誰要簽核？
看法規。GDPR 由控制者負責，並須徵詢已指派的資料保護長；越南的送件通知由組織簽名蓋章後送交。實務上建議由處理活動的部門主管與資料保護負責人共同核定。
第一次寫 DPIA，該從哪個處理活動開始？
從敏感個資最多、或最近要上線的系統開始，例如生物辨識門禁、人資系統或會員平台。先求完整，再求漂亮。完成第一份之後，其他處理活動就能沿用同一套欄位與評分標準；資料保護長的角色分工，可以參考 DPO 是什麼。
不確定範本該怎麼對應越南格式，可以 預約一次免費諮詢。
參考資料
- 第 356/2025/NĐ-CP 號議定（含附錄第 10 號範本） – DPIA 文件內容與範本格式。越南政府 · 2025 年 12 月 31 日
- Regulation (EU) 2016/679（GDPR） – 第 35、36 條 DPIA 與事先諮詢。EUR-Lex
