作者：許斌律師｜全文約3,600字｜閱讀約需8~11分鐘
最近幾個月，個資外洩事件幾乎固定出現在新聞版面。
從醫療院所遭駭、醫療資料疑似流出，資訊服務平台遭網路攻擊，到支付服務、電商平台發生會員資料遭未授權存取，甚至政府機關及大型組織，也可能因內部人員權限管理、系統帳密或設備安全問題而發生資安事件。
事件成因五花八門，包括勒索軟體、帳號密碼遭竊、系統漏洞、權限設定錯誤、員工誤寄資料、內部人員違規存取，以及委外廠商或供應鏈遭到攻擊。個資事故早已橫跨醫療、資訊服務、金融支付、電商及公部門等不同領域。
對企業而言，一場個資事故通常很快就會從「IT發現異常」，發展成資訊、法務、公關、客服與管理階層必須共同處理的公司級事件。如果同時收到主管機關來函、客戶詢問與媒體採訪，處理難度更會快速升高。
遇到個資事故時，企業可以先掌握以下七個重點。
一、立即啟動應變機制，先把對的人找進來
事故發生後，第一件事是確認事件的嚴重程度，並依既有程序啟動事故應變團隊。
資安或IT團隊負責調查與系統處置；法務或個資專責人員判斷通知、通報及法律責任；客服掌握客戶反應；公關準備對外溝通；必要時，也應儘早通知管理階層及外部資安、法律顧問。
事故剛發生時，資訊通常不完整。此時花太多時間追究「是誰造成的」，反而可能耽誤止血與調查。責任歸屬可以後續處理，第一階段應先確保事件有人統籌、資訊可以集中、重要決策有人負責。
現行個資法施行細則也將「事故之預防、通報及應變機制」列為適當安全措施的一環。企業平時是否已經建立可實際運作的事故應變制度，可能成為後續主管機關檢視的重要事項。
二、先止血，也要記得保存證據
資安事故發生後，技術團隊通常會立刻採取處置，例如停用異常帳號、重設密碼、撤銷存取權限、隔離受感染設備、關閉公開連結，或暫停部分系統服務。
這些措施都很重要，但處理時也應同步考量證據保存。
系統Log、登入紀錄、權限異動紀錄、Email、檔案存取紀錄、網路流量及系統快照，都可能影響後續判斷：攻擊者從哪裡進來？停留多久？接觸過哪些資料？資料有沒有被下載？
如果急著「把系統清乾淨」，連調查需要的紀錄也一起刪除，後續可能很難還原完整事件經過。
因此，事故處理最好同時留下完整時間軸：何時發現、誰收到通知、採取哪些措施、何時完成、由誰決定。這些紀錄未來面對主管機關檢查、客戶詢問或爭議處理時，都可能派上用場。
三、快速確認「發生什麼事、涉及哪些資料、影響多少人」
收到「疑似個資外洩」的消息後，企業通常最想知道的問題是：「到底有沒有外洩？」
但事故初期常常沒有辦法立刻得到完整答案。
比較實際的作法，是先釐清幾個基本問題：
-
發生什麼事？
是未授權登入、勒索軟體、資料遭下載、Email誤寄，還是雲端資料夾權限設定錯誤？
-
涉及哪些資料？
只有姓名、電話、Email，還是包括身分證字號、帳戶資料、支付資訊、醫療資訊或其他較敏感的資料？
-
涉及多少人？
是單一客戶、數十名員工，還是數十萬名會員？
-
資料實際發生什麼狀況？
第三人只有可能看到資料，還是已有存取、下載、複製、公開或出售跡象？
此外，若資料涉及不同國家或地區的客戶，也要儘快確認適用法域。跨國企業的一次資安事件，可能同時啟動台灣及其他國家的事故通知或通報規定。
事故初期對外用語也要特別謹慎。例如，「目前尚未發現資料遭未授權存取之證據」，和「確認沒有個資外洩」，代表的調查程度並不相同。
四、確認通知及通報義務，時鐘可能已經開始走
事故發生後，法務團隊很快就會遇到一個問題：要不要通知當事人？要不要通報主管機關？期限是多久？
依現行個資法第12條，公務機關或非公務機關違反個資法規定，致個人資料遭竊取、洩漏、竄改或其他侵害時，應查明後以適當方式通知當事人。
至於主管機關通報，目前仍須依企業所屬產業進一步確認相關個資安全維護辦法或其他特別規定。有些產業已經設有一定的通報期限。因此，不能只看個資法本文。
此外，也要翻一下合約。企業與客戶、雲端服務商、系統維運商或其他合作伙伴簽訂的服務合約、DPA或資安條款，常會另外約定事故通知期限。法律上的通報義務還在評估時，契約上的通知期限可能已經開始計算。
值得注意的是，2025年11月11日公布的個資法修正條文，未來將建立更完整的個資事故通知、主管機關通報、應變措施及紀錄保存制度；截至目前，相關修正條文施行日期仍未確定。
2026年預告的《個人資料事故通知通報及應變辦法》草案，並朝知悉事故後一定期間內完成通知、通報及後續補充資訊的方向規劃。相關制度尚未正式施行，但企業已可提前檢視現行應變流程能否符合未來要求。
尤其要留意，事故通報期限通常不代表企業可以等到完整鑑識報告出爐後才開始處理。大型資安事件的調查可能持續數週，企業仍須在資訊逐步確認的過程中，同步進行法律評估。
五、對外說法要準確，也要保持一致
重大個資事故經常會同時出現幾條戰線：主管機關詢問、客戶來信、媒體採訪、客服電話，以及社群上的各種猜測。
這時候企業最好建立一個可信賴的「單一資訊來源」。
IT、法務、客服與公關應共享已確認的事故事實、尚待調查的事項，以及目前可以對外說明的內容。對外資訊則應清楚區分：
- 已經確認的事實；
- 目前調查所得的初步結果；
- 尚待確認的事項。
尤其避免在調查初期作出過度肯定的結論。若第一天宣布「絕無個資外洩」，第三天鑑識結果卻發現確實有資料遭下載，後續還會增加信賴與溝通問題。
企業也可以預先準備主管機關通報、當事人通知、客服Q&A及新聞回應模板。真正發生事故時，再依實際情況調整，通常會比臨時從空白頁開始有效率許多。
六、法律風險不只有行政罰鍰
個資事故發生後，企業最直接的法律風險之一，是主管機關後續的行政調查及裁罰。
依現行個資法，非公務機關未採取適當安全措施，可能面臨罰鍰及限期改正；情節重大時，裁罰金額也會提高。公司受到個資法特定罰鍰處分時，其代表人、管理人或其他有代表權人，在一定條件下也可能受到處罰。
如果個資事故造成當事人權益受損，也可能衍生民事求償。
此外，企業還可能面臨客戶依契約主張損害賠償、服務水準協議（SLA）責任、委外管理責任，以及後續改善要求。若涉及大量消費者個資，媒體報導、客服成本與品牌信任的影響，有時甚至比罰鍰本身更大。
特別提醒：一場事故，可能帶來一次「全面健康檢查」
個資事故處理完，不代表事情就結束了。
事故經通報、媒體報導、當事人申訴，或主管機關掌握相關資訊後，主管機關可能進一步啟動行政檢查。依現行個資法第22條，主管機關為執行個人資料檔案安全維護等事項，認有必要或有違反個資法之虞時，可以派員進入檢查，要求相關人員說明、採取必要配合措施，或提供相關證明資料；檢查時並得會同資訊、電信或法律等專業人員進行。
此時主管機關關心的範圍，很可能超過「這一次事故是怎麼發生的」。
例如，事故起因是某一組帳號密碼遭竊，後續檢查可能延伸確認公司的帳號權限管理制度、高權限帳號控管、登入紀錄及異常偵測機制；如果事故發生在委外系統，也可能進一步詢問企業如何選擇、管理及監督受託廠商。
依企業所屬產業及個資安全維護規範不同，主管機關實際檢視的項目可能包括：
- 個資安全維護計畫是否完整且實際執行
- 個資盤點與風險評估
- 帳號及存取權限管理
- 系統與設備安全
- Log及軌跡保存
- 事故通報與應變程序
- 委外廠商監督
- 人員教育訓練，以及
- 日常定期查核及持續改善措施。
因此，企業準備主管機關查核時，不宜只整理一份「事故說明」。事故本身固然是重點，更重要的是能否說明公司在事故發生前已有合理的管理及技術措施，事故發生後也確實依既有制度進行通報、調查、控制及改善。
換個角度看，一次個資事故往往也是主管機關檢視企業整體個資治理成熟度的入口。企業平時制度做得扎實，到了行政檢查時，自然比較有資料可以回答「公司過去究竟做了什麼」。
七、真正有效的事故應變，其實從事故發生前就開始
事故發生的時間很難預測，因此最值得投資的工作，往往是在平常先把應變機制準備好。
企業至少可以先確認幾件事情：
- 誰是事故通報窗口？
- 誰有權啟動應變程序？
- 哪些主管需要立即加入？
- 外部資安及法律顧問如何聯繫？
此外，也應事先準備事故分級標準、通報及通知範本、事件紀錄表，並確認系統Log、權限紀錄及其他重要證據有適當的保存機制。涉及委外服務時，也應在合約中明定資安事故通知、配合調查及提供紀錄等義務。
最後，定期做一次演練。
真正演練過一次，通常就會發現很多平常看不到的小問題：通報名單上的主管已經離職、半夜找不到系統廠商、法務不知道Log放在哪裡、公關與IT對「外洩」的理解完全不同。
這些問題在演練時發現，成本都不高；等到事故真的上新聞才第一次處理，代價通常大得多。
結語
個資事故很難完全避免，但企業可以決定自己面對事故時有沒有準備。
當主管機關、客戶或媒體開始詢問，管理階層至少應能清楚回答：
- 公司何時知道事故？
- 哪些資料可能受到影響？
- 已經採取哪些措施？
- 是否依法完成通知或通報？
- 公司原本有哪些安全措施？
- 後續如何防止再次發生？
能夠有條理地回答這些問題，通常代表企業的事故應變制度真的有在運作。
畢竟，發生個資事故時，「我們非常重視個人資料保護」可以放在新聞稿裡；真正接受檢驗的，還是公司平常做了什麼，以及事故發生後做了什麼。