《2025 年資料（使用與存取）法》（Data (Use and Access) Act 2025，DUAA）是英國資料保護法律架構的重要組成部分，與英國《一般資料保護規則》（UK General Data Protection Regulation，UK GDPR，源自歐盟《一般資料保護規則》（EU）2016/679）及《2018 年資料保護法》（Data Protection Act 2018，DPA）共同構成英國的資料保護制度。
DUAA 規定，資料控制者（data controllers）必須建立申訴處理程序，讓對其個人資料處理方式不滿意的資料當事人（data subjects）能夠提出申訴。英國資訊專員辦公室（ICO）已表示，在大多數情況下，預期資料當事人會先向資料控制者提出申訴，再將未獲解決的問題提交 ICO。因此，若企業未能建立完善的申訴處理程序，可能面臨 ICO 對其申訴處理機制，以及其他業務運作和資料隱私合規事項展開調查的風險。企業必須了解自身義務，並建立符合法律規定的程序，以確保符合相關要求。
資料控制者須履行哪些義務？
DUAA 第 103 條在 DPA 中新增第 164A 條。該條款規定，若資料當事人認為資料控制者在處理其個人資料時違反 UK GDPR，便有權向該資料控制者提出申訴。
資料控制者必須採取措施便利資料當事人提出申訴，例如提供可透過電子方式及其他方式填寫的申訴表格。
資料控制者必須在收到申訴後 30 天內確認收到申訴。
資料控制者必須在沒有不合理延誤的情況下，採取適當措施回應申訴（例如進一步調查申訴內容），並向提出申訴的資料當事人告知處理進度及結果。
實務案例
在新制度下，許多情況都可能導致資料當事人提出申訴。以下列舉幾個例子，說明可能引發申訴的資料隱私問題。請注意，以下並非完整列舉所有可能情況：
1. 資料當事人存取請求（Data Subject Access Requests，DSARs）
根據 UK GDPR 第 15 條，個人有權存取其個人資料。如果企業忽略 DSAR、未能遵守法定的一個月回覆期限，或在無權如此處理的情況下拒絕提供或遮蔽相關資訊，資料當事人便可根據 DUAA 提出正式申訴。
2. 直接行銷及拒絕接收行銷資訊
根據 UK GDPR，個人有權隨時無條件反對其個人資料被用於直接行銷。如果個人已選擇退出行銷活動或撤回同意，但企業仍繼續向其發送行銷電子郵件或簡訊，即構成違反 UK GDPR，資料當事人可向該企業提出申訴。
3. 個人資料外洩
根據 UK GDPR 第 33 條及第 34 條，除非個人資料外洩不太可能對個人的權利及自由造成風險，否則企業必須在知悉個人資料外洩事件後，於可行的情況下在 72 小時內通知 ICO。如果資料外洩可能對個人的權利及自由造成高度風險，企業亦必須在沒有不合理延誤的情況下通知受影響的資料當事人。如果企業未能在規定期限內履行通知義務，可能導致受資料外洩事件影響的資料當事人提出申訴。請注意，即使某項資料外洩事件不屬於企業必須向 ICO 通報的情況，資料當事人仍可能就該事件提出申訴。
企業應如何符合這些要求？
為符合這些新要求，企業需要建立符合 DPA 規定的申訴處理機制，並確保員工接受充分的培訓及指引，以便識別申訴並依規定妥善處理。
- 企業應提供電子格式及其他形式的申訴表格。
- 員工應接受培訓，以識別透過其他方式提出的申訴，因為即使企業已提供申訴表格，資料當事人亦無義務必須使用該表格。
- 建立適當的治理機制，確保在規定期限內向資料當事人確認收到申訴、提供處理進度，以及通知最終處理結果。
- 保存所有收到的申訴、所採取的調查措施及處理結果的紀錄。
- 視需要檢視及更新隱私權聲明、政策及其他文件，以反映申訴處理程序，並提供相關聯絡資訊等。
- 評估企業是否需要設立專責的資料隱私職能（例如資料隱私主管或資料隱私經理）或部門，以處理申訴及其他資料隱私合規事項。
3CS 如何提供協助
新的申訴處理要求為資料控制者帶來另一項需要因應的資料隱私風險。無論您是希望更新現有的治理機制，或從頭建立新的程序，我們均可協助您制定符合實務需求、法律規定及企業營運特性的申訴處理程序。
我們亦就各類資料隱私法律問題為客戶提供建議，包括合規稽核、員工培訓、治理機制審查，以及協助擬定隱私權聲明、資料處理協議、資料處理活動紀錄及其他重要資料保護文件。
如需進一步建議及指引，歡迎與我們聯絡。
