---
name: dpa-checklist
description: 逐條檢查資料處理協議（DPA、data processing addendum／個資委託處理協議）：控制者與處理者的角色、次處理者、安全措施、外洩通知、跨境傳輸、刪除與稽核權，並把 GDPR 式條款標出來交給律師。當客戶或廠商寄來 DPA、資安或隱私審查要求提供 DPA，或有人問「這份 DPA 可以簽嗎？」時使用。
---

# DPA 檢查清單

> 非法律意見。這是為律師審閱做準備的初步檢查清單，不能取代律師審閱。

DPA 說清楚誰決定個人資料怎麼使用、誰負責處理，以及出事時雙方各自要負什麼責任。好的初步檢查要指出：以使用者目前的做法，哪些承諾真的做得到。因為簽下去卻做不到的承諾，才是真正的風險。

## 適用情境

- 企業客戶隨合約一起寄來他們的 DPA。
- 使用者的公司必須簽署廠商的 DPA（分析工具、email、CRM、主機代管）。
- 隱私或資安審查詢問是否已簽 DPA、內容是什麼。
- 不適用於判斷公司適用哪些隱私法規。那是要問律師的問題。

## 需要準備

- DPA 本身，以及它所附屬的主合約。如果沒有主合約，要註明責任上限和終止條款可能寫在主合約裡。
- 使用者站在哪一方：資料所屬的一方（通常稱為控制者，controller），或代為處理資料的一方（通常稱為處理者，processor）。不清楚就問一次。
- 使用者的實際情況：資料存放在哪裡、使用哪些次處理者、多快能發現並通報事故、怎麼刪除資料。缺少的話，在每項承諾標上「[待確認：我們做得到嗎？]」。

## 步驟

1. **確認角色與範圍。** 以 GDPR 第 28 條第 3 項（歐盟規則）的清單作為檢查框架：處理的標的與期間、性質與目的、個人資料類型、當事人類別，接著是處理者的 8 項義務（依書面指示處理、人員保密、安全、次處理者的條件、協助回應當事人請求、協助履行安全與外洩相關義務、終止時刪除或返還、提供資訊與接受稽核）。[待確認：台灣、香港等當地個資法規可能另有規定／律師] 找出誰被列為控制者、誰是處理者。如果角色和服務的實際運作不符（例如廠商也把資料用在自家產品上），標紅並請教律師。
2. **檢查是否依指示處理。** 處理者應只依書面指示行事。記下處理者保留的任何自用權利（分析、產品改善、模型訓練）：一律標出來。
3. **檢查次處理者。** 授權是個別授權還是概括授權？根據歐盟執委會就其標準契約條款發布的問答集，在概括授權下，處理者要列出每一個次處理者（只列類別不夠）、以書面通知變更，通知期間由雙方約定；控制者可以提出異議。確認 DPA 寫明了幾天前通知，以及提出異議後怎麼處理。如果使用者是處理者，把清單和使用者實際在用的廠商比對；缺漏任何一家就標紅。
4. **檢查安全措施。** 是否附有技術與組織措施的附件？把每項承諾和使用者的實際情況比對。找不到對應實際情況的承諾，標上「[待確認：…]」。
5. **檢查外洩通知。** 期限照原文一字不改記下來。執委會的標準契約條款用的是「無不當延遲」，具體時數留給雙方約定，所以寫死的時數是談判出來的條件。記下通知必須包含哪些內容。如果使用者是處理者，而且目前無法在期限內通知，標紅。
6. **檢查跨境傳輸。** 資料傳到哪裡，DPA 指定了哪種傳輸機制。執委會 2021 年的跨境傳輸標準契約條款，適用於歐盟境內的控制者或處理者把資料傳給境外的控制者或處理者；它的問答集指出，依賴這些條款之前要先做傳輸影響評估，確認是否已經做過。不要判斷傳輸機制是否足夠：「[請教律師：這個傳輸機制對這些國家是否足夠？]」。
7. **檢查刪除、返還與稽核。** 終止時刪除或返還、多久內完成、是否出具證明。稽核權：多久一次、幾天前通知、誰負擔費用、能否以第三方報告取代實地稽核。對處理者而言，不限次數、費用由處理者負擔的實地稽核要標紅。
8. **檢查責任與其他條款。** DPA 是有自己的責任條款，還是適用主合約的責任上限；賠償條款、協助回應當事人請求、文件優先順序。接著寫出表格、缺口和問題。

## 輸出格式

```markdown
# DPA 檢查清單——[對方]，[日期]

_非法律意見。供律師審閱之用。_

**使用者的角色：**[控制者／處理者／不明]  
**資料與目的：**[類別、當事人、目的，照原文]

| 項目 | 評等 | 內容（引文、條次） | 我們做得到嗎？ |
|---|---|---|---|
| 角色與範圍 | [綠／黃／紅] | 「[引文]」（§[n]） | [是／否／待確認] |
| 指示與自用 | | | |
| 次處理者 | | | |
| 安全措施 | | | |
| 外洩通知 | | | |
| 跨境傳輸 | | | |
| 刪除與返還 | | | |
| 稽核 | | | |
| 責任 | | | |
| 當事人請求 | | | |

## 還無法確認的承諾
- [承諾]——[待確認：誰能確認]

## 要請教律師的問題
- [請教律師：…]
```

## 範例

**輸入：** 明格表單（處理者，表單建立工具）的李志明收到客戶和登銀行寄來的 DPA。實際情況：資料存放在法蘭克福；次處理者有雲端主機、email 服務商和錯誤追蹤工具；事故在下一個工作天檢視。DPA 節錄：

> 3.2 處理者知悉任何個人資料外洩後，應於 24 小時內通知控制者。  
> 5.1 除附件 3 所列者外，處理者不得委任其他次處理者（附件 3：雲端主機服務商、email 服務商）。  
> 8.1 控制者得於 2 個工作天前通知後，隨時稽核處理者之營業場所，費用由處理者負擔。  
> 9.1 契約終止時，處理者應於 30 日內刪除所有個人資料。

**輸出：**

```markdown
# DPA 檢查清單——和登銀行，11月4日

_非法律意見。供律師審閱之用。_

**使用者的角色：**處理者  
**資料與目的：**[待確認：節錄中沒有]

| 項目 | 評等 | 內容（引文、條次） | 我們做得到嗎？ |
|---|---|---|---|
| 外洩通知 | 紅 | 「知悉任何個人資料外洩後，應於 24 小時內通知控制者」（§3.2） | 否：事故在下一個工作天才檢視 |
| 次處理者 | 紅 | 附件 3 列出雲端主機和 email | 否：缺少錯誤追蹤工具 |
| 稽核 | 紅 | 「於 2 個工作天前通知後，隨時稽核……費用由處理者負擔」（§8.1） | 待確認：費用和次數都沒有上限 |
| 刪除與返還 | 綠 | 「應於 30 日內刪除所有個人資料」（§9.1） | 待確認：是否包含備份？ |
| 跨境傳輸 | — | 節錄中沒有 | [待確認：完整 DPA] |

## 還無法確認的承諾
- 24 小時內通知外洩——[待確認：工程團隊能承諾週末待命嗎？]
- 30 日內刪除，包含備份——[待確認：備份保存期間]

## 要請教律師的問題
- [請教律師：能否提議以每年一次的第三方稽核報告取代實地稽核？]
- [請教律師：應該把錯誤追蹤工具加進附件 3，還是提議「事先通知、可提異議」的流程？]
```

## 寄出前檢查

- [ ] 輸出最上方有免責聲明。
- [ ] 使用者這一方的每項承諾，都有「我們做得到嗎？」的回答，或標上「[待確認：…]」。
- [ ] 外洩通知期限照原文引用。
- [ ] 使用者是處理者時，已把次處理者清單和實際使用的廠商比對過。
- [ ] 沒有任何一句話說某個傳輸機制或條款在法律上已經足夠。
- [ ] 任何讓對方把資料用於自身目的的權利，都已標出。

## 常見錯誤

- 把 DPA 當成制式條款。它的期限和稽核條款會帶來實際的營運工作。
- 忘了主合約的責任上限不一定涵蓋 DPA。
- 列的是打算要用的廠商，而不是今天實際在用的廠商。