GDPR 標準契約條款（SCC）：歐盟個資傳回台灣怎麼合法？
SCC 標準契約條款，是歐盟執委會以 2021/914 號決定公布的範本契約；歐盟的資料輸出方與境外的資料輸入方簽署後，就構成 GDPR 第 46 條所要求的「適當保護措施」。台灣目前不在歐盟的適足性認定名單上，因此把歐盟個資傳回台灣，最常用的合法途徑就是 SCC，加上一份書面的移轉影響評估（TIA）。
常見的情況有兩種：歐洲子公司把員工或客戶資料傳回台灣總部，或歐洲客戶委託台灣的軟體、客服公司處理資料。不論哪一種，都要先判斷雙方角色、選對模組，再依步驟簽署與維護。想請顧問一起檢視傳輸流程，可以參考我們的 GDPR 合規顧問 服務。
為什麼歐盟個資不能直接傳回台灣？
依 GDPR 第 44 條，個人資料傳到歐盟以外的國家，必須符合第五章的條件，目的是讓資料離開歐盟後仍受到「實質上相當」的保護。最簡單的條件是第 45 條的適足性認定，但截至 2026 年 10 月，歐盟執委會的適足性名單中沒有台灣。
名單上目前包括日本、韓國、英國、瑞士、加拿大（商業機構）與美國（資料隱私框架）等地。台灣企業無法直接援用，只能改用第 46 條的適當保護措施，或在少數情況下依第 49 條的例外規定。GDPR 的基本概念與適用範圍，可以先看完整說明。
歐盟個資傳回台灣有哪些合法途徑？
台灣企業可用的途徑有三種：SCC、拘束性企業規則（BCR）與第 49 條的例外規定。多數企業選 SCC，因為它是公布好的範本，不需要事先取得主管機關核准。
| 途徑 | 依據 | 適合誰 | 注意事項 |
|---|---|---|---|
| 標準契約條款（SCC） | GDPR 第 46 條第 2 項第 c 款 | 大多數台灣企業 | 須搭配移轉影響評估，條文不能修改 |
| 拘束性企業規則（BCR） | GDPR 第 47 條 | 大型跨國集團的內部傳輸 | 須經歐盟資料保護主管機關核准，準備期長 |
| 例外規定 | GDPR 第 49 條 | 偶發、少量的傳輸，例如履行與當事人的契約所必要 | EDPB 強調例外不能變成常態 |
SCC 標準契約條款的四種模組怎麼選？
2021 年版 SCC 依雙方角色分成 4 個模組：控制者對控制者、控制者對處理者、處理者對處理者，以及處理者對控制者。選錯模組，等於條款與實際關係不符，所以要先判斷「誰決定處理目的」。
| 模組 | 歐盟輸出方 → 台灣輸入方 | 台灣企業常見情境 |
|---|---|---|
| 模組一：控制者對控制者 | 雙方各自決定處理目的 | 歐洲經銷商把客戶名單交給台灣製造商，用於自己的保固服務 |
| 模組二：控制者對處理者 | 台灣方只依指示處理 | 歐洲客戶委託台灣的 SaaS、客服或 IT 委外公司處理資料 |
| 模組三：處理者對處理者 | 歐盟處理者再委託台灣次處理者 | 歐洲雲端或 IT 服務商把部分工作轉包給台灣團隊 |
| 模組四：處理者對控制者 | 歐盟處理者把處理後的資料交回台灣控制者 | 台灣公司委託歐洲業者處理資料，再傳回台灣 |
依 2021/914 號決定第 1 條，模組二與模組三同時涵蓋 GDPR 第 28 條對委託處理契約的要求。
有一個限制要特別注意。依該決定第 1 條與前言第 7 段，這套 SCC 適用於資料輸入方的處理「不受 GDPR 規範」的情況；台灣公司若因直接對歐盟當事人提供商品服務而本身適用 GDPR，就不屬於這套條款預設的情境，應改行評估傳輸機制。
移轉影響評估（TIA）要評估什麼？
移轉影響評估是確認台灣的法律與實務，不會妨礙輸入方履行 SCC 義務的書面評估。這個要求來自 2020 年 7 月 16 日歐盟法院的 Schrems II 判決（C-311/18）：法院認為 SCC 本身有效，但必須依個案確認資料在接收國受到與歐盟實質上相當的保護，並考量當地公權力取得資料的規定。
SCC 第 14 條把這項義務寫進契約：雙方要考量傳輸的具體情況、接收國的法律與實務，以及採取的補充措施，並把評估寫成書面，主管機關要求時提出。歐盟資料保護委員會（EDPB）在 2021 年 6 月 18 日的 01/2020 號建議（2.0 版）中，提供 6 個步驟：
- 掌握所有傳輸：資料傳到哪裡、傳給誰、傳了哪些。
- 確認傳輸工具：適足性、SCC、BCR 或例外規定。
- 評估接收國的法律與實務，是否影響傳輸工具的保護效果。
- 需要時採取補充措施，例如加密且金鑰留在歐盟、假名化、存取控制。
- 完成採取補充措施所需的程序。
- 定期重新評估。
第 1 步其實就是盤點，可以直接從 GDPR 第 30 條的 RoPA 處理活動紀錄中找出所有傳到台灣的資料。對台灣接收方來說，評估重點通常是政府機關依法調取資料的規定與實際做法、傳輸資料的敏感程度，以及台灣 個資法 提供的保護與救濟。
簽約後，台灣方還要承擔 SCC 第 15 條的義務：收到台灣公權力機關具法律拘束力的資料調取要求，或得知機關直接取得傳輸過來的資料時，應立即通知歐盟輸出方，可能時也通知當事人，並說明被要求的資料、提出要求的機關、法律依據與回應方式。實務上，台灣企業最好事先指定處理這類要求的窗口與流程。
SCC 標準契約條款簽署與維護 7 個步驟
簽 SCC 不只是把範本印出來簽名，附錄的內容才是重點。依下面 7 個步驟進行，可以避免最常見的錯誤：模組選錯、附錄空白，以及簽完就不再更新。
| 步驟 | 要做的事 | 依據 |
|---|---|---|
| 1. 盤點傳輸 | 列出傳回台灣的資料類別、當事人、目的與系統 | GDPR 第 30 條 |
| 2. 判斷角色與模組 | 誰是控制者、誰是處理者，選擇對應模組 | SCC 第 2 條 |
| 3. 填寫附錄 | 附錄 I：當事人、傳輸描述與主管機關；附錄 II：技術與組織措施；附錄 III：次處理者清單（模組二、三） | SCC 附錄 |
| 4. 完成移轉影響評估 | 書面記錄評估結果與補充措施 | SCC 第 14 條 |
| 5. 簽署 | 可併入較大的服務合約，但 SCC 條文本身不能修改 | SCC 第 2 條 |
| 6. 新增集團成員 | 用加入條款讓新的子公司加入，不必整份重簽 | SCC 第 7 條 |
| 7. 持續維護 | 台灣法規或實務改變時，輸入方應立即通知輸出方；定期重新評估 | SCC 第 14 條 |
模組一至三的 SCC 第 17 條要求選定某個歐盟成員國的法律為準據法，第 18 條則約定由成員國法院管轄；台灣企業簽署前要確認這兩處已填好。
合約還是舊版 SCC，現在該怎麼辦？
舊版 SCC 已經不能再用。依 2021/914 號決定第 4 條，舊的 2001/497 號與 2010/87 號決定自 2021 年 9 月 27 日起廢止，依舊版簽訂的合約只在 2022 年 12 月 27 日前視為有效。如果和歐洲客戶或子公司的合約仍附著舊版條款，應盡快換成新版 SCC 標準契約條款，並補上移轉影響評估。
想確認公司目前有哪些傳輸、各自該用哪個模組，可以 先請顧問看一下現況。
SCC 標準契約條款常見問題
台灣有歐盟的適足性認定嗎？
沒有。截至 2026 年 10 月，歐盟執委會公布的適足性名單中沒有台灣，所以歐盟個資傳回台灣，需要依 GDPR 第 46 條採取適當保護措施，最常見的是簽訂 SCC 標準契約條款並完成移轉影響評估；少數偶發情況可依第 49 條的例外規定。
SCC 可以修改嗎？
不行。依 SCC 第 2 條，條文除了選擇模組、填寫或更新附錄之外不能修改；但可以把 SCC 放進較大的服務合約，或另外加上其他條款與保護措施，只要不直接或間接牴觸 SCC，也不損害當事人的權利。
集團內部傳輸也要簽 SCC 嗎？
要。母公司與子公司是不同的法人，歐洲子公司把資料傳給台灣總部，同樣屬於跨境傳輸。集團可以簽一份多方 SCC，之後新成立的子公司再透過第 7 條的加入條款加入；規模夠大的集團，也可以考慮申請拘束性企業規則（BCR）。
參考資料
- Commission Implementing Decision (EU) 2021/914 – 2021 年版標準契約條款全文，第 1、4 條與附件條款。歐盟執委會 · 2021 年 6 月 4 日
- Standard contractual clauses (SCC) – SCC 說明與問答集。歐盟執委會
- Adequacy decisions – 適足性認定國家名單。歐盟執委會
- The Court of Justice invalidates Decision 2016/1250（Case C-311/18 Schrems II） – SCC 有效，但須個案確認接收國保護程度。歐盟法院 · 2020 年 7 月 16 日
- Recommendations 01/2020 on measures that supplement transfer tools – 移轉評估 6 步驟與補充措施。EDPB · 2021 年 6 月 18 日
