個資外洩 72 小時內要通報：個資法新制上路前，委託開發系統先問清楚四件事
網站的會員資料、App 的訂單紀錄、預約系統裡的電話與生日，都是個人資料。台灣的《個人資料保護法》在 2025 年 11 月修正公布，非公務機關一旦發生個資被竊取、洩漏等事故，將要通知當事人並向主管機關通報；個資會籌備處今年初預告的子法草案，更把時限訂在知悉後 72 小時內。施行日期還要等行政院公布，但方向已經很清楚：個資外洩通報考驗的不只是公司的應變流程，更是系統當初怎麼被設計。本文整理新制的重點，以及委託開發網站、App 或內部系統之前，應該先問清楚的四件事。
個資法修正後，企業多了哪些義務
依據法律事務所整理，2025 年 11 月 11 日公布的修正條文，因應個人資料保護委員會（個資會）的成立，賦予它必要的監管職能，並明定非公務機關知悉個資事故時，應通知當事人並向主管機關通報；修正條文的施行日期由行政院另定，非公務機關也會有一段過渡期間調整。
2026 年 1 月，個資會籌備處預告了施行細則修正與三項子法草案，其中兩項與企業直接相關：
- 個人資料檔案安全維護管理辦法：所有公務與非公務機關都要做的共通措施，包括定期清查個資現況並界定管理範圍、建立通報與應變機制、人員管理與教育訓練、設備與資通系統的安全管理，以及業務終止後的刪除與銷毀。
- 個人資料事故通知通報及應變辦法：草案規定知悉事故起 72 小時內個別通知當事人；若涉及特種個資、所涉系統保有個資達一萬筆以上，或影響個資達一百筆以上，也要在 72 小時內通報主管機關。
草案還有一條值得委託開發的企業特別注意：受託者在適用範圍內知悉事故，視為委託者已知悉，並應立即通知委託者。換句話說，你的開發商或系統維運商發現問題的那一刻，你的 72 小時就開始計算了。
72 小時夠不夠？個資外洩通報考驗的是系統設計
真正發生事故時，公司要在三天內回答幾個問題：發生了什麼事？影響哪些人、哪些欄位、多少筆？資料是怎麼流出去的？現在是否已經止血？
這些問題能不能回答，幾乎都取決於系統上線前的設計。如果系統沒有存取紀錄，就無法知道誰看過資料；如果個資散落在試算表、表單工具、備份與測試環境裡，就無法說清楚影響範圍；如果沒有人知道哪個欄位存了什麼，通知當事人的內容也寫不出來。個資外洩通報的 72 小時，大部分時間不是花在寫公告，而是花在查資料。
委託開發前，該問清楚的四件事
1. 系統會收哪些個資，存在哪裡？
請開發方在規格階段就列出一份資料清冊：每個欄位是什麼、為什麼要收、存在哪個資料庫或雲端服務、會不會傳給第三方（金流、寄信、分析工具）。用不到的資料就不要收，這是最便宜的資安措施。
2. 誰能看資料，看過會留下紀錄嗎？
後台權限要依角色區分，客服不一定需要看到完整的身分證字號或生日；管理者的登入、匯出與大量查詢，都應該留下可查詢的存取紀錄，並保存一段合理的時間。
3. 出事時，查得出影響範圍嗎？
驗收時可以請開發方實際演練一次：「假設這個帳號被盜用，你們多久能告訴我它在哪段時間內，看過或匯出哪些人的資料？」答不出來，代表通報時也寫不出來。
4. 合約裡寫清楚事故通知與資料刪除
在委託合約中寫明：開發或維運廠商發現疑似事故時，要在多久內通知你、提供哪些資訊；專案結束或合作終止後，廠商手上的資料（包括測試資料與備份）如何刪除並提出證明。
延伸閱讀：〈能跑，不代表安全：委託客製化開發前，該問的四個 AI 程式碼資安問題〉。
中小企業不必一步到位，但要先開始
依草案，較完整的強化措施（安全維護計畫、專責人員、每年風險評估與稽核）主要適用於公務機關，以及非中小企業且保有個資達一萬筆以上的大型非公務機關。多數中小企業需要做的是共通措施。
但共通措施裡的「清查個資現況」與「通報應變機制」，本身就需要系統配合。比較務實的順序是：先盤點現有系統裡的個資，刪掉不必要的資料；再替會員、訂單、預約等核心系統補上存取紀錄與權限分級；最後把事故處理流程寫成一頁文件，讓大家知道第一通電話打給誰。
要提醒的是，本文整理的是公開的修法與草案資訊，實際義務仍以正式施行的條文與子法為準，具體個案也建議諮詢法律專業。
結語：把合規做進系統，而不是事後補文件
個資保護最貴的做法，是等到出事才回頭找資料。在委託開發時就把資料清冊、權限、紀錄與刪除機制寫進需求，成本往往只是規格書上的幾行字。科技負責把每一筆資料管好，人負責在關鍵時刻做出正確、誠實的判斷。
TitApeX 協助企業規劃與開發網站、App 與內部系統，也能在需求階段就把個資保護與事故應變設計進去。歡迎參考我們的服務項目，或直接與我們聯繫。
留言