個資外洩應變：調查範圍、通報時限與通知當事人

先確認範圍：什麼資料、誰的、多少筆、還在流出嗎

通報與通知的內容，幾乎都建立在範圍上。以數位發展部的通報表為例，主管機關要知道事件發生時間、侵害種類（竊取、洩漏、竄改、毀損、滅失）、大約筆數並區分一般與特種個資、發生原因與摘要、損害狀況、可能的後果、擬採取的因應措施，以及擬通知當事人的時間與方式^[2]。調查一開始就照這些欄位蒐集，之後的通報與通知都能沿用。

• 哪些欄位：姓名、電話、地址、Email、生日、身分證字號、訂單內容、密碼雜湊、付款資料，各自的風險與當事人該採取的行動都不同。病歷、醫療、基因、性生活、健康檢查及犯罪前科屬於個資法第 6 條的特種個資，要另外標出^[3]。
• 誰的資料：客戶、會員、員工、求職者，或是你替客戶代管的資料。
• 多少筆、多少人：筆數不等於人數，同一人可能有多筆紀錄，要先去重再分欄位統計。也要確認手上有沒有這些人的聯絡方式，這決定能不能個別通知^[4]。
• 資料有沒有保護：與鑑識人員確認事發當時是否啟用加密等措施^[4]，以及金鑰是否一起外洩。
• 時間範圍：最早從什麼時候開始、什麼時候被發現、現在是否仍在進行。
• 還在流出嗎：公開的儲存空間、仍然有效的 API 金鑰或存取權杖、攻擊者還能登入的帳號，都要先確認已經關閉。

數字會隨調查變動。對內替每個數字標明「已確認」或「推估」；對外先說已確認的下限，並說明何時更新。數位發展部的辦法也允許分階段提供通報資訊^[2]。

資料是你的，還是你替別人保管的？

如果你是系統商、雲端代管或行銷外包，外洩的可能是客戶委託你處理的資料。個資法施行細則第 8 條要求委託機關監督受託者，監督事項包括受託者違反個資法規定時應通知委託機關的事項及補救措施^[5]；資安署也提醒，委外代管或系統服務平台應依約及時通知合作夥伴與品牌^[1]。反過來，外洩若發生在你的供應商，當事人會找的仍是你，應依合約要求對方提供時間軸與受影響清單，另見供應鏈攻擊。

止血與保全證據：先關門，再清理

• 先關掉外洩路徑：把誤設公開的儲存空間、資料庫或分享連結改回私有，停用遭濫用的 API 或功能。FTC 建議受影響的設備立即離線，但在鑑識人員到場前不要關機^[4]。
• 換掉可能外洩的憑證：資安署建議受駭後全面換發或廢止可能洩漏的金鑰、密碼及存取權杖，改用短時效憑證，並全面清查同類系統與內部後台^[1]。
• 修補前先保全日誌：資安署提醒修補前務必保全系統日誌，並委由專業鑑識團隊確認沒有留下後門^[1]；FTC 也強調調查與修復過程中不要銷毀鑑識證據^[4]。
• 處理已公開的資料：資料若被貼在自己的網站上，立即移除，並聯絡搜尋引擎避免快取留存；也要搜尋其他網站是否存有副本，並要求對方移除^[4]。
• 訪談發現者並留下紀錄：與發現事件的人及其他知情者談話，讓客服知道相關線索要轉給誰，並記錄調查過程^[4]。
• 檢查供應商的存取權：服務供應商若牽涉其中，檢查他們能存取哪些個資、是否要調整權限，並確認對方宣稱的修補確實完成^[4]。

從第一刻起就記錄事實、影響與處置。下一節的 2025 年修正條文要求記載這些內容並保存紀錄，以備主管機關查驗^[6]；這一條雖然還沒施行，現在照做，事後向任何機關說明都用得上。

法律義務：現在適用哪一版個資法

現行條文：第 12 條通知當事人

現行施行的是 2023 年 5 月 31 日修正公布的版本。第 12 條規定，公務機關或非公務機關違反個資法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人^[3]。施行細則（2016 年 3 月 2 日修正）第 22 條說明，「適當方式」是指即時以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉的方式；需費過鉅時，得斟酌技術可行性與當事人隱私的保護，改以網際網路、新聞媒體或其他適當公開方式為之；通知內容應包括個資被侵害的事實及已採取的因應措施^[5]。

現行條文的要件是「違反本法規定，致」個資受侵害。事故初期很難確定自己完全沒有違反安全維護義務，與其在要件上爭論，不如以通知為原則；資安署也建議業者初步掌握受影響範圍後即可先行通知，不必等調查全部結束^[1]。

罰則方面，違反第 12 條由中央目的事業主管機關或直轄市、縣（市）政府限期改正，屆期未改正者按次處新臺幣 2 萬元以上 20 萬元以下罰鍰；違反第 27 條第 1 項的安全措施義務，或未依指定訂定安全維護計畫，處 2 萬元以上 200 萬元以下罰鍰並令限期改正，屆期未改正者按次處 15 萬元以上 1,500 萬元以下，情節重大者直接處 15 萬元以上 1,500 萬元以下（第 48 條）^[3]。公司受罰時，代表人、管理人或其他有代表權人除能證明已盡防止義務外，並受同一額度的罰鍰（第 50 條）^[3]。

現行個資法本身沒有「向機關通報」的條文。通報義務來自各中央目的事業主管機關依第 27 條第 3 項訂定的安全維護辦法^[3]，後面「誰要通報」一節整理了幾個例子。

2025 年修正：已公布，尚未施行

個資法在 2025 年 11 月 11 日修正公布第 12 條等條文，施行日期由行政院定之。全國法規資料庫（資料整編至 2026 年 11 月 6 日）仍標示「部分或全部條文尚未生效，最後生效日期：未定」；2023 年增訂、規定主管機關為個人資料保護委員會的第 1 條之 1，同樣還沒有施行日期^[6]。個資會籌備處的修法問答集說明，個資會須以組織法為設立依據，新法施行日期將由行政院在組織法完成立法後另行決定；在那之前，仍應依現行有效的個資法辦理^[7]。

修正條文的重點^[6]：

• 通知當事人：知悉所保有的個資被竊取、竄改、毀損、滅失或洩漏時，就應通知當事人，不再以「違反本法規定」為前提（第 12 條第 1 項）。
• 向主管機關通報：符合一定通報範圍時，非公務機關應向主管機關通報，由主管機關轉知其目的事業主管機關（第 12 條第 2 項）。
• 應變與紀錄：應採取即時有效的應變措施防止事故擴大，記載事實、影響與已採取的因應措施並保存紀錄（第 12 條第 3 項）；通知與通報的內容、方式、時限與通報範圍，由主管機關另訂辦法（第 12 條第 4 項）。
• 罰則：違反通知義務，先限期改正，屆期未改正者按次處 2 萬元以上 20 萬元以下；違反通報、應變措施或紀錄保存的規定，直接處 2 萬元以上 20 萬元以下並令限期改正（第 48 條第 1 項第 3 款、第 2 項）^[7]。

配套辦法草案：72 小時

個資會籌備處在 2026 年 1 月 22 日預告《個人資料事故通知通報及應變辦法》草案^[8]。它要等母法施行、正式發布後才有拘束力，內容也可能修改，但已經看得出方向：

• 知悉事故時起 72 小時內，以適當方式個別通知當事人。沒有當事人的聯絡方式、資料不屬特種個資且已有使未經授權者無法讀取的保護措施，或個別通知需費過鉅而影響營運時，可改以網際網路、新聞媒體等方式公開，並至少連續公開 30 日。
• 通知內容包括事故發生的時間與事實、受影響的個資類別、已採取的應變措施，以及事故機關的聯絡方式與救濟或諮詢管道。
• 涉及特種個資、所涉資通系統保有個資達 1 萬筆以上，或受影響個資達 100 筆以上，應於知悉時起 72 小時內向主管機關通報。
• 受託者知悉事故即視為委託機關知悉，受託者應立即通知委託機關；相關紀錄自知悉翌日起至少保存 5 年。

誰要通報、幾小時內：產業辦法與 GDPR

在修正條文施行前，要不要向機關通報、多快通報，要看你的中央目的事業主管機關訂的安全維護辦法，各辦法的門檻與時限並不一樣：

• 數位經濟相關產業（數位發展部，2023 年 10 月 12 日發布施行）：適用以網際網路零售商品的電子購物業、軟體出版、電腦程式設計與諮詢、資料處理與主機及網站代管、其他資訊服務業，以及第三方支付服務業。個資安全事故將危及正常營運或大量當事人權益時，應於知悉事故後 72 小時內依附表二格式通報數位發展部，或通報直轄市、縣（市）政府並副知該部；無法如期通報或無法一次提供全部資訊時，應檢附延遲理由或分階段提供（第 8 條）^[2]。
• 製造業及技術服務業（經濟部，2023 年 10 月 30 日修正）：保有消費者個資達 5,000 筆以上的業者須訂定安全維護計畫；遇有將危及正常營運或大量當事人權益的消費者個資事故，同樣是知悉後 72 小時內通報經濟部，或通報地方政府並副知經濟部（第 2 條、第 6 條）^[9]。
• 電信與廣播電視等通訊傳播事業（國家通訊傳播委員會，2022 年 7 月 1 日修正）：有危及正常營運或造成當事人權益重大損失之虞等情形的重大個資事故，應於知悉後 1 小時內通報 NCC，並於 72 小時內依附表格式續行通報（第 4 條）^[10]。

不在上述名單上的產業，請查自己的中央目的事業主管機關是否訂有同類辦法。即使沒有通報義務，資安署也建議遭遇資安事件時通報 TWCERT/CC，取得判斷範圍、分析惡意樣本與媒合專家等協助^[1]。另外兩個常見的並行義務，請直接看專文：上市櫃公司要評估是否發布重大訊息，見上市櫃公司資安事件重大訊息；資安法的特定非公務機關另有資安事件通報時限，見資通安全管理法重點整理。

有歐盟使用者：GDPR 第 33、34 條

在歐盟沒有據點的台灣公司，若向歐盟境內的人提供商品或服務，或監控他們在歐盟境內的行為，處理這些人的個資也適用 GDPR（第 3 條第 2 項）^[11]。控管者知悉個資侵害後，應無不當延遲、可行時於 72 小時內通報主管監督機關，除非該侵害不太可能對自然人的權利與自由造成風險；逾時要附上延遲理由，資訊可分階段提供，受託處理者則應無不當延遲通知控管者（第 33 條）^[11]。可能造成高風險時，還要無不當延遲地以清楚易懂的語言通知當事人；資料已加密而無法讀取，或個別通知需要不成比例的努力（改以同樣有效的公開方式）等情形可以免除（第 34 條）^[11]。

給當事人的通知：寫什麼、怎麼寫

現行施行細則要求寫出被侵害的事實與已採取的因應措施^[5]；草案再加上個資類別與聯絡、救濟管道^[8]；GDPR 要求語言清楚易懂，並寫出聯絡窗口、可能的後果與處置措施^[11]。美國 FTC 的通知範本也是類似架構^[4]，可以依序寫：

1. 發生了什麼：何時發生、何時發現、大致如何發生（以不妨礙調查為限）。
2. 涉及哪些資料：逐項列出外洩的欄位；已確認沒有外洩的欄位（例如完整卡號、密碼）也可以寫明，但只寫已經確認的。
3. 我們做了什麼：已關閉的漏洞、已換發的憑證、已通報的機關，以及提供的協助。
4. 你可以做什麼：依外洩的資料類型給具體步驟^[4]，例如更換在其他網站重複使用的密碼、啟用多因素驗證、留意冒充客服的來電。
5. 我們之後會怎麼聯絡你：FTC 建議說明日後的聯絡方式（例如只寄信、絕不來電），幫助當事人分辨與事件相關的詐騙^[4]；資安署也建議明確列出「官方絕不會做的事」，例如要求操作 ATM、網路銀行或透過 LINE 退款^[1]。
6. 聯絡窗口與更新位置：專線、Email、固定的公告頁網址與下次更新時間；並提醒民眾遇到可疑來電可撥打 165 反詐騙諮詢專線查證^[1]。

通知以簡訊、Email、電話等個別方式為原則；現行施行細則只在需費過鉅時，才允許改用網際網路、新聞媒體等公開方式^[5]。對外說明也不要公開會讓當事人承受更多風險的資訊^[4]。

常見錯誤

• 太早公布錯誤的數字：為了搶先說明，報出未經確認的筆數，之後一再修正。FTC 提醒不要對事件做出誤導性陳述，也不要隱瞞有助於當事人自保的關鍵細節^[4]；寧可說「目前確認至少若干筆，調查中，某日更新」。
• 太晚通知：等鑑識報告全部出爐才通知，當事人可能已經接到詐騙電話。施行細則要求「即時」通知^[5]；向主管機關的通報若趕不上產業辦法的時限，也要附上延遲理由^[2]。
• 把責任推給使用者、沒有具體步驟：只寫「請用戶提高警覺」，卻不說明公司發生了什麼、做了什麼、當事人具體該怎麼做；或在事實未明前就宣稱「系統未遭入侵」。
• 通知本身像釣魚：含登入連結、要求回覆資料，或使用平常不用的寄件網域，讓當事人無法分辨真假。詐騙手法見網路釣魚與商業郵件詐騙。
• 各管道說法不一：客服、新聞稿、重大訊息與給主管機關的通報數字兜不攏。FTC 建議指定單一窗口負責對外發布資訊^[4]。

行動清單

1. 記下「知悉」的時間點、發現者與看到的現象，開始寫時間軸；產業辦法的時限多從知悉起算。
2. 關閉外洩路徑，換發或廢止可能外洩的金鑰、密碼與權杖；修補前先保全日誌，受影響主機先斷網、不關機。
3. 依欄位、當事人類型、筆數與人數、時間範圍、加密狀態整理範圍表，每個數字標明「已確認」或「推估」。
4. 確認資料是否為受託處理：是的話依合約通知委託方；外洩若在供應商端，要求對方提供時間軸與受影響清單。
5. 查出你的中央目的事業主管機關與安全維護辦法，確認通報門檻、時限（1 小時或 72 小時）與通報表格式，並記錄任何延遲的理由。
6. 與法務確認並行義務：重大訊息、資安法通報、GDPR、客戶合約與保險。
7. 依現行個資法第 12 條與施行細則第 22 條即時通知當事人，內容包括事實、涉及欄位、已採取的措施、當事人可做的事、日後聯絡方式與窗口；同時備妥客服問答與固定公告頁，統一數字與說法。
8. 追蹤個資法修正條文的施行日期與配套辦法定案，屆時把 72 小時通知與通報寫進應變程序；需要外部鑑識或應變支援，可參考事件應變服務。
9. 事後落實個資最小化：刪除不必要的欄位與過期資料，敏感資料分開存放並加密，縮小下一次的影響範圍。