客戶名單、會員資料庫、員工人事與健檢資料，幾乎每家企業都保有個人資料。《個人資料保護法》（以下簡稱個資法）規範這些資料的蒐集、處理與利用，也要求保有個資的企業採取適當的安全措施[1]。這部法律正處於轉換期：2025 年 11 月 11 日公布的修正條文增訂了個資事故通報等新義務，但施行日期還要由行政院決定[2]，查條文時很容易把尚未施行的版本當成現行規定。
這篇寫給處理客戶或員工個資的企業主管、IT 與法務人員，從資安角度把義務整理在一處：現在適用哪一版、什麼算個資、蒐集與利用要有什麼依據、安全維護與委外要做到什麼、資料出境要注意什麼，以及出事時的通知、通報與罰則。外洩當下的處理步驟請見個資外洩應變。本文是一般性整理，不構成法律意見，個案請與律師或法務確認。
現況：現行條文與尚未施行的 2025 年修正
現在施行的是 2023 年 5 月 31 日修正公布的版本[1]。那次修法增訂第 1 條之 1，明定個資法的主管機關為個人資料保護委員會（以下簡稱個資會），但這一條的施行日期由行政院定之；同時修正第 48 條罰則，這一條自公布日施行[2]。2024 年 1 月 1 日起，原本由國家發展委員會負責的第 53 條、第 55 條權責事項，改由個人資料保護委員會籌備處管轄[2]；對企業的檢查與裁罰，現行條文仍交由中央目的事業主管機關或直轄市、縣（市）政府辦理[1]。
2025 年 11 月 11 日公布的修正，修正第 1 條之 1、第 12 條、第 18 條、第 21 條、第 22 條至第 26 條、第 41 條、第 47 條至第 49 條等條文，增訂第 1 條之 2、第 20 條之 1、第 21 條之 1 至第 21 條之 5、第 51 條之 1、第 53 條之 1，並刪除第 27 條，施行日期由行政院定之[2]。全國法規資料庫（資料整編至 2026 年 11 月 6 日）仍把個資法標示為「部分或全部條文尚未生效，最後生效日期：未定」[2]。查條文時要注意：法規資料庫的「所有條文」頁面顯示的是 2025 年修正後的文字，現行施行的條文要點「連結舊法規內容」查看[3]。本文其他各節引用的條號與內容，除特別標明外都是現行施行條文。
個資會也還沒有成立。籌備處的修法問答集說明，個資會須以組織法為設立依據，組織法完成立法後才正式具備法定職掌；在那之前，各部會與地方政府仍依現行個資法監管所轄非公務機關。2025 年修正條文的施行日期，將由行政院在組織法完成立法後，考量個資會成立所需的行政作業與重要子法整備情形另行決定，在那之前仍應依現行有效的個資法辦理[4]。截至本文撰寫時，官方網站仍以「個人資料保護委員會籌備處」名義運作[5]。
2025 年修正會改變什麼（尚未施行）
- 外洩通知不再以違法為前提：新第 12 條改為「知悉」所保有的個資被竊取、竄改、毀損、滅失或洩漏時就應通知當事人；符合一定通報範圍時，非公務機關要向主管機關通報，並應採取即時有效的應變措施、記載相關事實與保存紀錄[3]。
- 安全維護改由共通辦法規範：刪除第 27 條，改由第 20 條之 1 要求非公務機關辦理安全維護事項，細節由主管機關訂定共通基礎版的辦法[3][6]。
- 監管事權逐步集中到個資會：第 51 條之 1 設過渡期，個資會成立之日起 6 年內，行政院公告範圍內的非公務機關仍由中央目的事業主管機關或地方政府管轄，每 2 年檢討減列；不在公告範圍內的，由個資會監管[3][4]。
- 國際傳輸的限制權改由主管機關行使（第 21 條）[3]。
- 公務機關要設個人資料保護長；問答集說明新法並未強制非公務機關設置[4]。
- 罰則：違反通知義務先限期改正，屆期未改正按次處新臺幣 2 萬元以上 20 萬元以下；違反通報、應變或紀錄保存的規定，直接處 2 萬元以上 20 萬元以下並令限期改正[4]。
籌備處在 2026 年 1 月 22 日預告《個人資料事故通知通報及應變辦法》與《個人資料檔案安全維護管理辦法》兩份草案[7][8]，同日也預告修正施行細則，2 月 6 日再預告第 51 條之 1 公告範圍的非公務機關列表草案[5]。事故辦法草案規定知悉事故起 72 小時內個別通知當事人；涉及特種個資、所涉資通系統保有 1 萬筆以上，或受影響達 100 筆以上時，72 小時內向主管機關通報[7]。安全維護辦法草案分成所有機關都要做的共通措施，以及公務機關與「大型非公務機關」（非屬中小企業、且保有 1 萬筆以上個資）要加做的強化措施，例如訂定安全維護計畫、每年辦理內部稽核並稽核受託者[8]。草案要等母法施行、正式發布後才有拘束力，內容也可能修改。
基本概念：個資、特種個資與非公務機關
個資法所稱個人資料，是指自然人的姓名、出生年月日、身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動，以及其他得以直接或間接方式識別該個人的資料[1]。施行細則補充：「個人」指現生存的自然人；「間接方式識別」指保有者僅憑該資料無法直接識別，須與其他資料對照、組合、連結才能識別[9]。所以用會員編號取代姓名、但對照表仍在公司手上的資料，仍應當作個資管理。施行細則也明定個人資料檔案包括備份檔案[9]，盤點時別漏掉備份與匯出的複本。
特種個資
病歷、醫療、基因、性生活、健康檢查及犯罪前科這六類個資，原則上不得蒐集、處理或利用，只有第 6 條列舉的情形才例外，例如法律明文規定、為履行法定義務在必要範圍內且有適當安全維護措施、當事人自行公開或已合法公開，或經當事人書面同意；但逾越特定目的必要範圍、其他法律另有限制，或同意違反當事人意願時，不能只靠書面同意[1]。施行細則對這些類別有定義，例如「性生活」指性取向或性慣行，「犯罪前科」指經緩起訴、職權不起訴或法院判決有罪確定、執行的紀錄，「健康檢查」指不是為了診斷或治療特定疾病、而以醫療行為施以檢查所產生的資料[9]。企業最常碰到的是員工健檢報告，這類檔案應分開存放並限縮存取權限。
非公務機關
個資法把義務主體分成公務機關與非公務機關：公務機關指依法行使公權力的中央或地方機關或行政法人，除此之外的自然人、法人或其他團體都是非公務機關，適用第三章「非公務機關對個人資料之蒐集、處理及利用」[1]。一般企業、財團法人、社團與個人經營的商號都在其中。單純為個人或家庭活動目的處理個資不適用個資法；在中華民國領域外蒐集、處理或利用中華民國人民的個資，仍適用個資法[1]。
蒐集與利用：法律依據、告知與當事人權利
所有蒐集、處理與利用都要尊重當事人權益、依誠實及信用方法為之，不得逾越特定目的的必要範圍，並與蒐集目的具有正當合理的關聯（第 5 條）[1]。
法律依據：第 19 條與第 20 條
非公務機關蒐集或處理一般個資，要有特定目的，並符合第 19 條第 1 項的情形之一：法律明文規定；與當事人有契約或類似契約的關係，且已採取適當的安全措施；當事人自行公開或已合法公開；學術研究機構基於公共利益的統計或學術研究；經當事人同意；為增進公共利益所必要；取自一般可得的來源；對當事人權益無侵害[1]。資安人員要注意，企業最常用的「契約關係」這個依據，本身就以「已採取適當之安全措施」為條件[1]。
利用個資原則上要在蒐集的特定目的必要範圍內；特定目的外的利用，只有第 20 條第 1 項列舉的情形可以，例如法律明文規定、為免除當事人生命身體自由或財產上的危險、經當事人同意[1]。用個資做行銷，當事人表示拒絕就要立即停止；首次行銷時要提供拒絕接受行銷的方式，並支付所需費用[1]。
同意要在告知法定事項後取得；特定目的外利用的同意，要在明確告知其他目的、範圍及同意與否的影響後「單獨」表示，而且蒐集者對「當事人同意」負舉證責任（第 7 條）[1]。施行細則允許依電子簽章法以電子文件取得書面同意；若和其他意思表示放在同一份文件，要放在適當位置讓當事人知悉並確認[9]。對 IT 來說，這代表同意紀錄（時間、版本、內容、管道）要能保存並調閱。
告知義務：第 8 條與第 9 條
直接向當事人蒐集時，要明確告知六項：機關名稱；蒐集目的；個資類別；利用的期間、地區、對象及方式；當事人可行使的權利及方式；當事人可自由選擇是否提供時，不提供對其權益的影響。法律規定免告知、履行法定義務所必要、當事人明知應告知內容等情形可以免除[1]。不是由當事人提供的個資（例如合作夥伴轉來的名單），要在處理或利用前告知資料來源與前述第一至五項，也可以在首次利用時一併告知[1]。告知可以用言詞、書面、電話、簡訊、電子郵件、傳真、電子文件等方式[9]。
當事人權利：第 3 條、第 10 條、第 11 條
當事人有權查詢或請求閱覽、請求製給複製本、請求補充或更正、請求停止蒐集處理或利用、請求刪除，這些權利不得預先拋棄或以特約限制[1]。企業要依請求答覆查詢、提供閱覽或複製本（妨害國家安全或第三人重大利益等情形除外），並維護個資正確；特定目的消失或期限屆滿時，應主動或依請求刪除、停止處理或利用，除非因執行業務所必須或經當事人書面同意；違法蒐集的個資也要刪除或停止使用[1]。查詢、閱覽類請求要在 15 日內准駁，更正、刪除等請求在 30 日內准駁，必要時可各延長一次、最多同樣天數，並以書面通知原因（第 13 條）[1]。施行細則說明，「執行業務所必須」包括法令規定或契約約定的保存期限[9]。實務上，公司要知道每位當事人的資料散落在哪些系統、備份與廠商手上，否則很難在期限內完成查詢或刪除。
安全維護、委外與國際傳輸
第 27 條與施行細則第 12 條
現行第 27 條要求保有個人資料檔案的非公務機關採行適當的安全措施，防止個資被竊取、竄改、毀損、滅失或洩漏；中央目的事業主管機關可以指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後的個資處理方法，並以辦法訂定標準[1]。施行細則第 12 條說明，「適當之安全措施」是為防止上述情形所採取的技術上及組織上措施，以和保護目的之間具有適當比例為原則，可包括 11 項：配置管理人員及相當資源、界定個資範圍、風險評估及管理機制、事故的預防通報及應變機制、內部管理程序、資料安全及人員管理、認知宣導及教育訓練、設備安全管理、資料安全稽核機制、使用紀錄軌跡資料及證據保存，以及整體持續改善[9]。
產業辦法：以數位發展部為例
各中央目的事業主管機關可依第 27 條第 3 項訂定自己的安全維護辦法。以數位發展部 2023 年 10 月 12 日發布的《數位經濟相關產業個人資料檔案安全維護管理辦法》為例，適用對象是附表一所列行業：以網際網路零售商品的電子購物業、軟體出版業、電腦程式設計與諮詢服務業、資料處理與主機及網站代管服務業、其他資訊服務業，以及第三方支付服務業[10]。業者須在施行起三個月內訂定安全維護計畫；以資通系統處理個資時，要建置防火牆、電子郵件過濾或入侵偵測等防護並定期更新，監控異常存取並定期演練，定期檢測並因應系統漏洞，帳號密碼須符合一定複雜度，測試時避免使用真實個資，並評估採行隱碼；蒐集處理利用紀錄、軌跡資料與執行證據至少保存五年[10]。資本額新臺幣 1,000 萬元以上或保有個資達 5,000 筆以上的業者，部分措施每 12 個月至少要實施並檢討改善一次[10]。
不在這份名單上的企業，要查自己的中央目的事業主管機關是否訂有同類辦法。問答集說明，2025 年修正施行後的過渡期間，各主管機關依現行第 27 條第 3 項訂定的辦法可以繼續有效，但與新法不同的部分（例如事故通報）要配合修正[4]。
委外：受託者視同委託機關
受委託蒐集、處理或利用個資的人，在個資法適用範圍內視同委託機關（第 4 條）[1]；受託者依委託機關應適用的規定辦理，委託機關則要對受託者為適當的監督[9]。施行細則第 8 條列出監督至少要包含的事項：預定蒐集處理利用的範圍、類別、特定目的及期間；受託者採取的安全措施；複委託的對象；受託者違反個資法規時應通知委託機關的事項及補救措施；委託機關保留指示的事項；委託關係結束時個資載體的返還，以及受託者所存個資的刪除。委託機關還要定期確認受託者的執行狀況並記錄結果，受託者只能在委託機關指示的範圍內處理個資[9]。數位發展部的辦法進一步要求把監督內容明確寫進委託契約或相關文件[10]。
籌備處在事故辦法草案的說明中提到，受託者沒有通知委託機關時，個資法無法直接處罰受託者，而是以委託機關違反通知或通報義務論處，雙方再依契約處理[7]。這雖然是草案說明，也點出現實：廠商出事，面對當事人與主管機關的是你。把施行細則第 8 條的監督事項寫進契約，再加上事故通知時限、稽核權與結束時的刪除證明；廠商風險的其他面向見供應鏈攻擊。
國際傳輸：第 21 條
國際傳輸是指把個資作跨國（境）的處理或利用[1]。現行條文沒有要求事先申請，而是授權中央目的事業主管機關在四種情形下限制：涉及國家重大利益；國際條約或協定有特別規定；接受國對個資保護未有完善法規，致有損當事人權益之虞；以迂迴方法向第三國（地區）傳輸以規避個資法[1]。實例之一是衛生福利部「限制西藥批發、零售業將當事人個人資料國際傳輸至大陸地區、香港及澳門」的公告；衛福部在 2026 年 7 月 3 日核釋該公告附件所稱的標準合約條款，自同年 10 月 1 日生效[11]。違反限制命令可處 5 萬元以上 50 萬元以下罰鍰；意圖不法利益而違反、足生損害於他人者，另有刑責[1]。
把資料放到境外雲端或交給境外廠商處理前，先確認你的主管機關有沒有限制。數位發展部的辦法也要求業者告知當事人個資傳輸的區域，並監督接收方處理個資的範圍、目的、期間與當事人權利行使等事項[10]。
外洩通知、通報與法律責任
現行第 12 條：通知當事人
現行第 12 條規定，違反個資法規定，致個資被竊取、洩漏、竄改或其他侵害時，應查明後以適當方式通知當事人[1]。施行細則第 22 條說明，「適當方式」是即時以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件等足以使當事人知悉的方式；需費過鉅時，可以斟酌技術可行性與隱私保護，改用網際網路、新聞媒體等公開方式；通知內容應包括個資被侵害的事實及已採取的因應措施[9]。範圍怎麼查、證據怎麼保全、通知怎麼寫，請見個資外洩應變。
要不要向機關通報
現行個資法本身沒有「向主管機關通報」的條文，要不要通報，要看所屬產業的安全維護辦法有沒有規定[1]。以數位發展部的辦法為例，附表一所列行業遇有將危及正常營運或大量當事人權益的個資安全事故，應於知悉後 72 小時內依附表二格式通報數位發展部，或通報直轄市、縣（市）政府並副知數位發展部；無法如期通報或無法一次提供全部資訊時，要附上延遲理由或分階段提供[10]。這個 72 小時只適用該辦法的業者，其他行業的門檻與時限要看各自主管機關的辦法。2025 年修正的第 12 條第 2 項施行後，才會有向個資會通報的一般性義務[3]。
與資安法、上市櫃規範的關係
《資通安全管理法》的規範對象是公務機關與特定非公務機關（關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制的事業、團體或機構），處理的是資通系統與資訊的機密性、完整性與可用性[12]。個資法則適用所有處理個資的企業，範圍也不限於資通系統：問答集比較兩者的稽核時指出，資安法的稽核針對資通訊系統的資料安全維護，個資法則不限資通訊系統、也不限安全維護，還包括蒐集處理利用的合規性與當事人權利行使[4]。屬於特定非公務機關的企業，一次個資外洩可能同時觸發兩部法律的義務，資安法的通報時限見資通安全管理法重點整理。上市櫃公司還要評估是否發布重大訊息，見上市櫃公司資安事件重大訊息；日常資安管控另見上市上櫃公司資通安全管控指引。
罰則與賠償
行政罰依現行條文由中央目的事業主管機關或直轄市、縣（市）政府裁處[1]：
- 違反特種個資規定、蒐集處理不符第 19 條、利用不符第 20 條第 1 項，或違反國際傳輸限制：處 5 萬元以上 50 萬元以下罰鍰並令限期改正，屆期未改正按次處罰（第 47 條）。
- 違反告知（第 8、9 條）、當事人權利（第 10、11、13 條）、外洩通知（第 12 條）或行銷拒絕（第 20 條第 2、3 項）的規定：先限期改正，屆期未改正按次處 2 萬元以上 20 萬元以下（第 48 條第 1 項）。
- 未採行適當安全措施，或未依指定訂定安全維護計畫或業務終止後處理方法：處 2 萬元以上 200 萬元以下並令限期改正，屆期未改正按次處 15 萬元以上 1,500 萬元以下；情節重大者直接處 15 萬元以上 1,500 萬元以下（第 48 條第 2、3 項）。
- 公司受罰時，代表人、管理人或其他有代表權人除能證明已盡防止義務外，並受同一額度罰鍰（第 50 條）；主管機關另可禁止蒐集處理利用、命刪除、沒入或命銷毀違法蒐集的個資，並公布違法情形及其名稱與負責人（第 25 條）。
2023 年修法前，違反安全維護義務要先限期改正，屆期未改正才按次處 2 萬元以上 20 萬元以下[13]；現在不必先給改正期限就可以處罰，上限也提高到 1,500 萬元[1]。
民事責任方面，非公務機關違反個資法，致個資遭不法蒐集、處理、利用或其他侵害當事人權利，要負損害賠償責任，除非能證明自己沒有故意或過失[1]。被害人難以證明實際損害時，可請求法院依侵害情節以每人每一事件 500 元以上 2 萬元以下計算；同一原因事實造成多數當事人受害時，合計最高總額 2 億元，但所涉利益超過 2 億元時以該利益為限[1]。符合條件的財團法人或公益社團法人，經 20 名以上受害當事人書面授與訴訟實施權，可以自己的名義提起團體訴訟[1]。
刑事責任方面，意圖為自己或第三人不法之利益或損害他人之利益，違反特種個資、蒐集處理或利用的規定或國際傳輸限制，足生損害於他人者，處 5 年以下有期徒刑，得併科 100 萬元以下罰金（第 41 條），而且不是告訴乃論[1]。同樣出於不法意圖，以非法變更、刪除等方法妨害個人資料檔案的正確而足生損害於他人者，同樣最重可處 5 年有期徒刑（第 42 條）[1]。
行動清單
- 指定專人追蹤個資法修正條文的施行日期與子法定案（個資會籌備處網站、全國法規資料庫）；在那之前，內部程序與教材一律以現行條文為準。
- 盤點個資：每個系統、檔案、備份、匯出檔與廠商手上有哪些個資，各自的特定目的與法律依據是什麼，特種個資另外標出。
- 檢查各蒐集管道的告知聲明是否涵蓋第 8 條六項，間接取得的名單是否在處理或首次利用前告知；保存同意紀錄，以便負舉證責任。
- 建立當事人權利請求流程：身分確認、跨系統查找與刪除、15 日與 30 日的准駁期限，以及因保存期限不能刪除時的回覆方式。
- 查出你的中央目的事業主管機關與安全維護辦法，對照施行細則第 12 條的 11 項措施補齊缺口；達到辦法門檻的，把定期實施與檢討排進年度計畫。
- 委外契約逐條比對施行細則第 8 條，加入事故通知時限、稽核權與結束時的返還及刪除證明，並定期確認、記錄廠商的執行情形。
- 列出所有境外雲端服務與境外廠商，確認主管機關是否限制傳輸，並把傳輸地區寫進告知聲明。
- 依第 12 條與施行細則第 22 條寫好通知當事人的程序與範本，確認所屬產業辦法的通報門檻與時限；應變步驟見個資外洩應變。需要外部協助檢視存放個資系統的防護，可參考資安健檢服務。
本文是一般性整理，不構成法律意見；實際義務請以全國法規資料庫的現行條文、中央目的事業主管機關的規定與個案解釋為準。