18. 某台灣公司在法國設廠，且帶有業務銷售功能，關於 GDPR法遵要求，下列敘述哪些正確？
(A)公司在法國設廠有研發業務中心，在地員工人數超過 400 人，進行在地歐洲各國銷售業務，需要在法國當地設立資料保護長職務（Data Protection Officer, DPO）來負責管控滿足歐盟當地個資隱私保護要求與法律責任
(B) 在銷售相關產品過程中，必須讓歐盟會員國公民，以清楚易懂文字描述讓當事人知道個資蒐集處理利用，獲得當事人「書面」同意
(C) 對歐盟成員國公民，該公民對公司要求撤銷個資蒐集處理利用同意書，可用艱澀法律文書限制撤銷個資程序，來做為後續分析使用
(D)公司必須建立資安防護手段來確保歐盟公民個資不會外洩，一旦出現個資外洩需要在 36 小時，通知資料保護主管機關（DataProtection Authority）