個資外洩怎麼辦？依序做五件事：止血並保存證據、查明外洩範圍、通知當事人、依規定通報、統一對外說明並檢討改善。現行個人資料保護法第十二條規定，違反本法規定致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人，通知的方式與內容寫在施行細則第二十二條；所屬行業的目的事業主管機關訂有安全維護管理辦法時，還要依辦法的時限通報。一一四年十一月修正公布的條文另有新規定，但施行日期由行政院定之。以下是概念整理，實際適用以主管機關公告或專業意見為準。
哪些狀況算個資外洩：入侵、誤寄與權限設錯
現行第十二條涵蓋的是個人資料「被竊取、洩漏、竄改或其他侵害」，範圍不只駭客入侵。網站與系統常見的情境包括：
- 網站或後台遭入侵，會員、訂單或表單資料被下載。
- 雲端硬碟或檔案連結設成公開分享，外部人員可以開啟。
- 含客戶資料的檔案寄錯對象，或報表誤傳到外部群組。
- 委外廠商或離職人員的帳號沒有關閉，被拿來存取資料。
- 資料被竄改，例如收件地址或匯款帳號被改掉。
施行細則第十二條把「事故之預防、通報及應變機制」列為適當安全措施的一部分，資通安全署《資安事件應變處理行動指引》也把資料洩漏列為應預先擬定應變機制的情境。因此平時就要寫好流程，讓員工發現疑似狀況時知道先找誰。
發現後的初步處置：止血與證據保存
資安署指引附件的應變里程碑，依序是內部初步通報、陳報管理階層、啟動通報及應變小組、開始記錄與證據保全，以及圍堵或隔離受害設備。放到個資外洩的情境，可以這樣做：
- 通知內部窗口：發現的人立刻回報資訊窗口，再陳報管理階層。
- 啟動應變小組：指定負責技術處理、法務、客服與對外說明的人。
- 開始記錄：寫下發現時間、方式與每個處置動作，保留可疑郵件與檔案。
- 圍堵外洩：關閉公開的分享連結、停用可疑帳號、更換外洩的密碼或金鑰。
- 保全紀錄：保留網站存取、後台操作與資料庫查詢紀錄，不要清除或覆蓋。
隔離設備時，資安署提醒應斷網、不要關機，強制關機會讓記憶體中的數位跡證流失。施行細則第十二條也把「使用紀錄、軌跡資料及證據保存」列為安全措施之一。
查明外洩範圍：當事人、資料欄位與管道
現行第十二條要求「查明後」通知，查明的結果就是通知內容的基礎。數位發展部針對電商業者的參考指引，建議通知內容包括被侵害的事實、事故原因與對當事人的影響，因此至少要釐清：
- 受影響的當事人：哪些會員、客戶或員工，是否有聯絡方式可以通知。
- 外洩的欄位：姓名、電話、地址、電子郵件、帳號密碼或付款相關資料，風險各不相同。
- 時間範圍：從何時開始、何時發現、何時止血。
- 外洩管道：哪個系統、帳號或檔案，是否仍在持續外流。
平時若有個資盤點表，知道各系統存了哪些欄位，這一步會快得多。網站遭入侵的跡象與檢查方式，可以對照網站被駭跡象清單。
通知當事人：方式與內容依施行細則
施行細則第二十二條說明，適當方式通知是指即時以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件，或其他足以使當事人知悉或可得知悉的方式為之；需費過鉅時，可以斟酌技術可行性與當事人隱私保護，改用網際網路、新聞媒體或其他適當公開方式。通知內容應包括個人資料被侵害的事實，以及已採取的因應措施。
數位發展部的參考指引另外提醒，只張貼防詐騙公告或廣發簡訊作為通知，不符合法規，並建議提供查詢專線或其他查詢窗口。通知裡也可以提醒當事人：
- 更換在本網站與其他網站重複使用的密碼。
- 留意假冒公司名義的電話或訊息，不依對方指示轉帳，有疑慮可撥打反詐騙諮詢專線。
通報主管機關：先查所屬行業的安全維護辦法
現行第二十七條規定，非公務機關保有個人資料檔案者應採行適當安全措施，中央目的事業主管機關可以指定業者訂定安全維護計畫，所以通報義務要看所屬行業的辦法。以數位發展部的數位經濟相關產業辦法為例，適用對象包括電子購物及郵購業、第三方支付服務業、電腦程式設計、資料處理與主機網站代管等業別；發生將危及正常營運或大量當事人權益的個資安全事故時，全國性業者向數位發展部通報，地方性業者向直轄市或縣（市）政府通報並副知數位發展部，都要在規定時限內完成。
另外，資安事件可向台灣電腦網路危機處理暨協調中心（TWCERT／CC）線上通報；涉及犯罪向所在地警政機關報案；受委託處理資料時，依契約通知委託方。
一一四年十一月十一日修正公布的條文，把第十二條改為知悉個資被竊取、竄改、毀損、滅失或洩漏時就應通知當事人，符合一定通報範圍時也要通報主管機關；但施行日期由行政院定之，全國法規資料庫標示部分條文尚未生效。
個資外洩會怎樣：損害賠償與行政責任
民事責任方面，第二十九條規定，非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任，但能證明沒有故意或過失的不在此限；當事人難以證明實際損害時，法院可以依侵害情節酌定賠償。
行政責任方面，現行第四十八條規定，非公務機關違反第十二條等規定，由中央目的事業主管機關或直轄市、縣（市）政府限期改正，屆期未改正者按次處罰；違反第二十七條第一項安全措施規定的，處罰鍰並令限期改正，屆期未改正者按次處罰。罰鍰額度與情節重大的規定，以全國法規資料庫的條文為準。
對外說明與事後檢討
資安署指引要求事件期間律定專人對外發言，以正面、積極、誠懇的態度說明清查進度與防護措施，全程切忌隱瞞或卸責；聲明內容、發布時機與對象要審慎評估，避免過度揭露引發二次攻擊。指引附件有公開聲明範本，可以事先改寫成公司版本，客服也要拿到同一份問答。
事件告一段落後，對照施行細則第十二條列出的安全措施，例如界定個人資料範圍、風險評估、資料安全與人員管理、教育訓練、設備安全管理與資料安全稽核，逐項找出這次暴露的缺口；數位發展部的參考指引也要求針對事故原因研議改進措施。法規適用以主管機關公告或專業意見為準。
常見問題
個資外洩和資安事件是同一件事嗎？
不完全相同。資安事件不一定涉及個資，例如阻斷服務攻擊；個資外洩也不一定來自攻擊，例如誤寄或權限設錯。兩者重疊時，個資法的通知與資安通報要同時處理。
公司沒有資安人員，誰來負責應變？
先指定一位統籌窗口與代理人，負責陳報管理階層、聯絡主機商或系統廠商並保存紀錄。技術調查可以請原系統廠商或資安專業單位協助，通知與通報的決定仍由公司負責。
已經通知當事人，後來發現範圍更大怎麼辦？
查明後若發現更多當事人或欄位受影響，宜補充通知新增的對象，同步更新官網說明與客服問答，並記錄補充通知的時間與方式，讓當事人取得一致的資訊。
客戶反映接到假冒公司的電話，要怎麼處理？
記錄來電時間、對方說出的資料內容與客戶聯絡方式，交給應變小組比對是否和外洩資料吻合。提醒客戶不要依指示操作轉帳，並把這類回報納入對外說明的更新內容。
個資外洩的罰則會不會因修法改變？
一一四年十一月修正公布的條文也調整了罰則相關規定，但施行日期由行政院定之。實際適用哪一版條文，請以全國法規資料庫標示的施行狀態與主管機關公告為準。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先把應變窗口、主機商與系統廠商的聯絡方式和所屬行業的通報規定，整理成一頁應變卡。網站端的部分，京采的技術 SEO 與網站健檢服務可以協助檢查網站程式與外掛更新、後台帳號權限、表單與主機設定，整理成修正清單；法規判斷請以主管機關公告或專業意見為準，網站檢查需求歡迎與我們聯繫。
