個資盤點表是把網站與系統保存的個人資料逐項列出的清單：每一列記下資料從哪裡來（聯絡表單、會員註冊、訂單、客服、分析工具）、包含哪些欄位、為了什麼目的蒐集、存放在哪裡、誰能存取、交給哪些廠商，以及保存多久、怎麼刪除。個人資料保護法施行細則第十二條列出適當安全措施得包括的事項，其中之一是「界定個人資料之範圍」，盤點表是做這件事的基本工具。以下依資料來源分組列出檢查項目，內容是概念整理，不是法律意見。
盤點表要有哪些欄位
| 欄位 | 要填什麼 | 用途 |
|---|---|---|
| 資料來源 | 哪個頁面、表單或系統功能 | 找出所有蒐集入口 |
| 個資欄位 | 姓名、電話、Email、地址、生日、上傳檔案等 | 判斷是否收得太多 |
| 蒐集目的 | 回覆詢問、出貨、會員服務、行銷 | 對照告知事項 |
| 存放位置 | 網站資料庫、信箱、試算表、雲端服務 | 找出所有副本 |
| 存取者 | 哪些角色可以查看、匯出 | 檢查權限 |
| 提供對象 | 主機、郵件寄送、金流、物流等廠商 | 委外監督 |
| 保存期限與刪除方式 | 多久後刪除、由誰執行、怎麼刪 | 落實刪除 |
| 負責人與更新日期 | 誰維護這一列、上次確認時間 | 持續更新 |
個資法第八條要求向當事人告知的蒐集目的、個人資料類別、利用的期間、地區、對象及方式，都能從這些欄位找到答案。盤點完成後，再回頭比對隱私權政策是否寫得和實際一致。
先界定哪些資料算個資
- 直接識別：個資法第二條列舉姓名、出生年月日、國民身分證統一編號、聯絡方式、財務情況等，以及其他得以直接或間接方式識別該個人之資料。
- 間接識別：施行細則第三條指出，僅以該資料不能直接識別，須與其他資料對照、組合、連結等始能識別特定個人的，也屬於間接識別。單獨的訂單編號看不出是誰，但網站能和會員資料對照時，就要一併列入評估。
- 類別參考：「個人資料保護法之特定目的及個人資料之類別」的「辨識個人者」例示了姓名、住址、行動電話、網路平臺申請之帳號、相片、電子郵遞地址等，可作為填寫類別的參考。
- 特種個資：個資法第六條規定，病歷、醫療、基因、性生活、健康檢查及犯罪前科的個人資料，除該條列舉的例外情形外，不得蒐集、處理或利用。診所預約或健康問卷這類表單，要在盤點表特別標記。
前台：表單、會員與訂單
- 聯絡與詢價表單：有哪些欄位、通知信寄到哪些信箱、是否同時存進資料庫。
- 報名與活動表單：名單匯出到哪裡、活動結束後誰負責刪除。
- 會員註冊與登入：帳號資料、密碼是否只存雜湊值、第三方登入帶進哪些資料。
- 訂單與結帳：收件人、地址、電話與發票資訊，金流交易資料由誰保存。
- 客服與留言：對話紀錄與上傳檔案存放在哪裡、是否能被公開存取。
- 電子報訂閱：名單存在網站或郵件寄送服務。
判斷每個欄位時問一句：「少了它，還能不能完成這個目的？」選填欄位也算蒐集。表單通知信寄到員工信箱後，信箱裡也多了一份副本，要一起記下。
後台與主機：資料庫、備份與紀錄檔
- 網站資料庫：內容管理系統本身與各外掛的資料表。以 WordPress 為例，內建的個人資料匯出工具只會匯出 WordPress 與有參與的外掛資料，其他外掛存的資料要另外查。
- 備份檔：主機自動備份與自行下載的備份存在哪裡、保留多久。原始資料刪除後，備份裡仍可能留著。
- 伺服器存取與錯誤紀錄：會記下 IP 位址與網址，網址參數若帶有信箱或電話，也會一併寫進去。
- 匯出的試算表：存在員工電腦或共用雲端硬碟的名單。
- 測試環境：從正式站複製過去的資料庫，裡面是真實資料。
分析與廣告工具：GA4 與追蹤碼
Google 政策規定，凡是 Google 可用做或認定為個人識別資訊的資料，均不得傳送給 Google，包括但不限於電子郵件地址、個人手機號碼和身分證字號。官方說明網址與網頁標題有時會不慎夾帶個人識別資訊，訪客也可能在搜尋方塊和表單欄位中輸入。盤點時檢查感謝頁網址是否帶著信箱或電話參數，以及站內搜尋字詞是否被送進報表。
GA4 的資料保留期限也要寫進盤點表：標準資源的使用者層級資料可設為兩個月或十四個月，設定位置在「管理」的「資源」欄，依序按「資料設定」、「資料保留」，需要編輯者角色。官方說明資料保留設定只會影響探索和漏斗報表。其他廣告與分析代碼，則列出各自設定的 Cookie 與用途，分類方式可參考網站 Cookie 的整理。
委外廠商與第三方服務
個資法第四條規定，受委託蒐集、處理或利用個人資料者，於本法適用範圍內視同委託機關；施行細則第八條規定，委託他人時，委託機關應對受託者為適當之監督，監督事項包括預定蒐集、處理或利用的範圍、類別、特定目的與期間，以及委託關係終止時個人資料載體的返還與受託者儲存資料的刪除等，並應定期確認受託者的執行狀況、留存紀錄。
盤點時逐一列出接觸得到個資的廠商，例如主機商、網站維護、郵件寄送、金流、物流與客服系統，記錄各自能存取哪些資料、合約是否寫明處理範圍，以及終止合作時資料怎麼返還或刪除。
保存期限與刪除方式怎麼訂
個資法第十一條第三項規定，個人資料蒐集之特定目的消失或期限屆滿時，應主動或依當事人之請求，刪除、停止處理或利用；但因執行職務或業務所必須或經當事人書面同意者，不在此限。實務上可以依資料類型分別訂期限，例如詢問表單在回覆完成後多久刪除、會員資料在帳號刪除後多久清除；有其他法規要求保存的資料依該法規辦理，例如勞動基準法第三十條第五項規定出勤紀錄應保存五年。
刪除方式要涵蓋所有副本：資料庫、信箱、試算表與備份輪替。當事人依第三條請求查詢、閱覽、製給複製本、補充更正、停止蒐集處理利用或刪除時，盤點表能讓你快速找到這個人的資料散在哪裡。
盤點後的優先順序與處理
先處理風險高的部分：特種個資與財務資料優先，其次是筆數多的會員與訂單資料，再來是上傳檔案目錄、測試環境這類可能被公開存取的位置。處理方式包括刪除用不到的欄位與舊資料、收緊後台與匯出權限、更新告知文字與隱私權政策，以及和廠商補齊合約條款。
現行個資法第二十七條規定，非公務機關保有個人資料檔案者，應採行適當之安全措施，中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法，所屬行業是否被指定要先確認。一一四年修正增訂第二十條之一並刪除第二十七條等條文，施行日期由行政院定之，施行後以新條文與主管機關公告為準。發生外洩時的處理步驟，可參考個資外洩怎麼辦。
常見問題
個資盤點表多久要更新一次？
網站新增表單、改版、更換廠商或新增系統串接時就同步更新，平時再定期檢查，並在表上記錄更新日期與負責人。所屬行業的主管機關若有特別規定，依其規定辦理。
小公司只有官網，也需要做個資盤點嗎？
只要網站有聯絡表單或會員功能，就保有個人資料。官網規模小時盤點表可能只有幾列，但能確認通知信寄到哪裡、多久刪除，以及隱私權政策是否和實際一致。
盤點表本身要怎麼保管？
盤點表記錄了資料存放位置與存取權限，本身就是敏感的內部文件。存放在有權限控管的位置，只開放給負責人與管理者，修改時留下版本紀錄。
IP 位址算不算個人資料？
個資法以能否直接或間接識別特定個人來判斷，IP 位址是否屬於個資，要看保有者能否把它和其他資料對照、組合後識別出特定的人。盤點時可以先列入，再依實際情況與專業意見判斷。
盤點時發現收了不需要的資料怎麼辦？
先停止新的蒐集、修改表單欄位，再依保存期限規則處理既有資料，包括資料庫、信箱、試算表與備份裡的副本。若資料仍有業務必要，就補上告知與存取限制，並在表上記錄理由。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
盤點網站個資時，可以先從表單、會員與訂單三個入口開始，列出每個欄位存在哪裡、多久刪除。京采能協助檢查網站表單與後台的資料欄位、通知信與備份設定、GA4 與追蹤碼是否夾帶個資，並依盤點結果調整表單欄位、權限與資料刪除機制。服務內容可參考網頁設計服務，或聯絡我們討論。個資法相關義務，以主管機關公告或專業意見為準。
