个资外泄 72 小时内要通报：台湾个资法新制上路前，委托开发系统先问清楚四件事
网站的会员资料、App 的订单记录、预约系统里的电话与生日，都是个人信息。台湾的《个人资料保护法》（个资法）在 2025 年 11 月修正公布，非公务机关一旦发生个人信息被窃取、泄露等事故，将要通知当事人并向主管机关通报；个资会筹备处今年初预告的子法草案，更把时限定在知悉后 72 小时内。施行日期还要等行政院公布，但方向已经很清楚：个资外泄通报考验的不只是公司的应变流程，更是系统当初怎么被设计。本文整理新制的重点，以及委托开发网站、App 或内部系统之前，应该先问清楚的四件事。
个资法修正后，企业多了哪些义务
依据律师事务所整理，2025 年 11 月 11 日公布的修正条文，因应个人资料保护委员会（个资会）的成立，赋予它必要的监管职能，并明确非公务机关知悉个资事故时，应通知当事人并向主管机关通报；修正条文的施行日期由行政院另定，非公务机关也会有一段过渡期调整。
2026 年 1 月，个资会筹备处预告了施行细则修正与三项子法草案，其中两项与企业直接相关：
- 个人资料档案安全维护管理办法：所有公务与非公务机关都要做的共通措施，包括定期清查个人信息现况并界定管理范围、建立通报与应变机制、人员管理与教育培训、设备与信息系统的安全管理，以及业务终止后的删除与销毁。
- 个人资料事故通知通报及应变办法：草案规定知悉事故起 72 小时内个别通知当事人；若涉及特种个人信息、所涉系统保有个人信息达一万条以上，或影响个人信息达一百条以上，也要在 72 小时内通报主管机关。
草案还有一条值得委托开发的企业特别注意：受托方在适用范围内知悉事故，视为委托方已知悉，并应立即通知委托方。换句话说，你的开发商或系统运维商发现问题的那一刻，你的 72 小时就开始计算了。
72 小时够不够？个资外泄通报考验的是系统设计
真正发生事故时，公司要在三天内回答几个问题：发生了什么事？影响哪些人、哪些字段、多少条？数据是怎么流出去的？现在是否已经止损？
这些问题能不能回答，几乎都取决于系统上线前的设计。如果系统没有访问日志，就无法知道谁看过数据；如果个人信息散落在电子表格、表单工具、备份与测试环境里，就无法说清楚影响范围；如果没有人知道哪个字段存了什么，通知当事人的内容也写不出来。个资外泄通报的 72 小时，大部分时间不是花在写公告，而是花在查数据。
委托开发前，该问清楚的四件事
1. 系统会收集哪些个人信息，存在哪里？
请开发方在需求阶段就列出一份数据清单：每个字段是什么、为什么要收集、存在哪个数据库或云服务、会不会传给第三方（支付、邮件、分析工具）。用不到的数据就不要收集，这是最便宜的安全措施。
2. 谁能看数据，看过会留下记录吗？
后台权限要按角色区分，客服不一定需要看到完整的身份证号或生日；管理员的登录、导出与批量查询，都应该留下可查询的访问日志，并保存一段合理的时间。
3. 出事时，查得出影响范围吗？
验收时可以请开发方实际演练一次：“假设这个账号被盗用，你们多久能告诉我它在哪段时间内，看过或导出了哪些人的数据？”答不出来，代表通报时也写不出来。
4. 合同里写清楚事故通知与数据删除
在委托合同中写明：开发或运维厂商发现疑似事故时，要在多久内通知你、提供哪些信息；项目结束或合作终止后，厂商手上的数据（包括测试数据与备份）如何删除并提供证明。
延伸阅读：《能跑，不代表安全：委托定制开发前，该问的四个 AI 代码安全问题》。
中小企业不必一步到位，但要先开始
依草案，较完整的强化措施（安全维护计划、专职人员、每年风险评估与稽核）主要适用于公务机关，以及非中小企业且保有个人信息达一万条以上的大型非公务机关。多数中小企业需要做的是共通措施。
但共通措施里的“清查个人信息现况”与“通报应变机制”，本身就需要系统配合。比较务实的顺序是：先盘点现有系统里的个人信息，删掉不必要的数据；再为会员、订单、预约等核心系统补上访问日志与权限分级；最后把事故处理流程写成一页文档，让大家知道第一通电话打给谁。
需要提醒的是，本文整理的是公开的修法与草案信息，实际义务仍以正式施行的条文与子法为准，具体个案也建议咨询法律专业人士。
结语：把合规做进系统，而不是事后补文件
个人信息保护最贵的做法，是等到出事才回头找数据。在委托开发时就把数据清单、权限、日志与删除机制写进需求，成本往往只是需求文档上的几行字。科技负责把每一条数据管好，人负责在关键时刻做出正确、诚实的判断。
TitApeX 协助企业规划与开发网站、App 与内部系统，也能在需求阶段就把个人信息保护与事故应变设计进去。欢迎参考我们的服务项目，或直接与我们联系。
评论