[個資與隱私法 7] 資料外洩的緊急處理 SOP
資料外洩是企業最可能遇到的個資危機。
個 資 與 隱 私 法 · 第 七 篇 · 外 洩 處 理
資料外洩
緊急處理 SOP
從發現外洩到通知當事人、從受害者保護到制度檢討。外洩發生後的頭幾個小時怎麼做，取決於事前有沒有一套演練過的 SOP。
劉博文律師 · 和鼎律師事務所主持律師
本文導讀
本文涵蓋：資料外洩四階段 SOP（發現、評估、通知與通報、修復）、我國個資法的通知義務與 114 年修法、GDPR 72 小時通報，以及外洩後企業要面對的法律責任。
第 壹 章
外洩四階段 SOP
從發現到修復的標準作業
72小時
GDPR 通報時限
知悉外洩後 72 小時內通報監管機關（不太可能造成風險者除外）
4階段
處理流程
發現、評估、通知與通報、修復，每階段有具體任務
2年
個資法請求權時效
自知有損害及賠償義務人時起 2 年；損害發生逾 5 年亦消滅（個資法第 30 條）
外洩處理的成敗，關鍵在前幾個小時：先止血、再查清楚、再對外說明。順序顛倒，常見的後果是證據被覆蓋、通知內容前後矛盾，事後很難向主管機關與當事人交代。
資料外洩處理四階段
發現與隔離
立即停損：中斷受影響系統的對外連線、停用被盜用的帳號，同時保存日誌與證據，不要急著重灌或清除。
評估與調查
確認外洩了哪些資料、多少人、是否涉及特種個資或金融資料，以及外洩是否仍在持續。
通知與通報
依個資法第 12 條通知當事人；屬於目的事業主管機關辦法要求通報的行業，同時通報主管機關。
修復與檢討
修補技術漏洞、檢討內部流程與權限、員工再教育，並整理完整紀錄，作為日後說明與申辯的基礎。
各階段的時間配置是實務建議，不是法定期限；法定的通知與通報要求以下一章為準。
第 貳 章
通報義務的對照
我國個資法與 GDPR
結論先講：我國現行個資法明文要求的是「通知當事人」，一般性的「通報主管機關」義務要等 114 年修正條文施行後才上路。在那之前，是否要通報主管機關、多久內通報，要看企業所屬行業的目的事業主管機關訂的個資安全維護辦法。
現行個資法第 12 條規定，個資被竊取、洩漏、竄改或受其他侵害時，應查明後以適當方式通知當事人。依施行細則第 22 條，通知要即時，方式包括言詞、書面、電話、簡訊、電子郵件等；內容至少要有個資被侵害的事實，以及已採取的因應措施。
114 年 11 月 11 日公布的修正條文，把第 12 條改為：除通知當事人外，符合一定通報範圍者，應向主管機關通報，並採取應變措施、保存紀錄。這部分的施行日期由行政院另定，目前尚未施行。新的主管機關是個人資料保護委員會，現階段仍在籌備處階段。
我國個資法與 GDPR：外洩通報對照
| 面向 | 我國個資法（現行） | GDPR |
|---|---|---|
| 主管機關通報 | 個資法本身尚無一般性規定；部分行業依目的事業主管機關訂的安全維護辦法通報。114 年修正增訂通報義務，施行日期由行政院定 | 知悉後無不當延遲，原則上 72 小時內通報監管機關（第 33 條） |
| 當事人通知 | 應查明後以適當方式通知（第 12 條），施行細則要求「即時」 | 可能造成高風險時，無不當延遲通知當事人（第 34 條） |
| 通知內容 | 個資被侵害的事實、已採取的因應措施（施行細則第 22 條） | 外洩性質、資料保護長聯絡方式、可能後果、已採取或擬採取的措施 |
| 違反責任 | 未通知當事人：限期改正，屆期未改正按次處新臺幣 2 萬至 20 萬元（第 48 條第 1 項）；另負民事賠償責任 | 違反通報與通知義務：最高 1,000 萬歐元或全球年營業額 2%，取高者（第 83 條第 4 項） |
我國欄依現行有效之 112 年 5 月 31 日修正條文。
第 參 章
時間軸的危機應對
四階段具體任務
下面的時間窗口是以 GDPR 72 小時為基準倒推的實務安排。就算企業不受 GDPR 規範，照這個節奏走，也能符合我國「即時通知」的要求。
PHASE I
發現後立即（0 至 2 小時）
啟動事件處理小組、隔離受影響系統、保存證據、啟動緊急聯絡名單。
PHASE II
初步評估（2 至 12 小時）
評估外洩類型、規模與敏感度，判斷是否需要通知或通報；律師與資安團隊同步介入。
PHASE III
通知與通報（12 至 72 小時）
通知當事人、依行業辦法通報主管機關、準備對外聲明、開設客服窗口。
PHASE IV
修復與檢討（72 小時後）
修補技術根因、改善流程、員工再教育、長期監控、責任檢討與保險理賠。
外洩之後，企業可能面對的法律責任
外洩事件的法律風險分成四條線，彼此獨立，可以同時發生。
外洩後的法律責任一覽
| 責任類型 | 內容 | 法源 |
|---|---|---|
| 行政罰鍰 | 未依規定通知當事人：限期改正，屆期未改正按次處 2 萬至 20 萬元。未採取適當安全措施：處 2 萬至 200 萬元並限期改正，屆期未改正按次處 15 萬至 1,500 萬元；情節重大者處 15 萬至 1,500 萬元 | 個資法第 27 條第 1 項、第 48 條 |
| 民事賠償 | 企業（非公務機關）須證明自己沒有故意或過失才能免責。被害人難以證明實際損害時，法院可依每人每一事件 500 元至 2 萬元計算；同一原因事實的合計總額以 2 億元為限，但所涉利益超過 2 億元者以該利益為限 | 個資法第 28 條、第 29 條 |
| 請求權時效 | 自知有損害及賠償義務人時起 2 年；自損害發生時起逾 5 年，亦歸消滅 | 個資法第 30 條 |
| 團體訴訟 | 財團法人或公益社團法人經 20 人以上受害當事人書面授與訴訟實施權，可用自己的名義起訴求償 | 個資法第 34 條 |
| 刑事責任 | 意圖不法利益或損害他人利益，違法蒐集、處理、利用或國際傳輸個資，足生損害於他人者，處 5 年以下有期徒刑，得併科 100 萬元以下罰金 | 個資法第 41 條 |
罰鍰欄依現行有效條文；114 年修正條文施行後，主管機關與罰則將改由個人資料保護委員會依新法辦理。
資料外洩的問題不是「會不會發生」，而是「何時發生、多嚴重」。事前備好 SOP，是企業在風暴中保住信任的最可靠方法。
本文觀點
第 肆 章
結語 · 下一篇：員工個資與監控
資料外洩處理是個資合規最考驗團隊的時刻。建議企業三件事一起做：事前備妥 SOP、定期模擬演練、確認所屬行業的通報規定。114 年修正條文施行後，通報主管機關會成為所有企業的法定義務，現在就把流程建好，屆時只需要調整通報對象。
附 記
本所協助多家企業建立外洩 SOP 並處理實際事件，如有需要請聯絡諮詢。
常見問題
Q. 資料外洩多大規模需要通知或通報？
A. 依現行個資法第 12 條，只要個資被竊取、洩漏、竄改或受其他侵害，不論人數多寡，都應查明後通知當事人，施行細則要求即時通知。是否另須通報主管機關、時限多久，現階段依各行業目的事業主管機關訂的安全維護辦法；114 年修正條文施行後，符合一定通報範圍者一律須通報主管機關。涉及特種個資（病歷、醫療、基因、性生活、健康檢查、犯罪前科）或金融等高風險資料時，風險更高，處理更要快。GDPR 則原則上要求 72 小時內通報監管機關。建議發現外洩後立即啟動 SOP，在數小時內完成初步評估與決策。
Q. 外洩後通報主管機關，會被加重處罰嗎？
A. 通報本身不是加重處罰的理由，反而能顯示企業負責任的態度。主管機關裁罰時，會綜合考量外洩規模、企業因應、補救措施，以及事前是否盡到安全維護義務。應通知而不通知，反而可能被另外處罰。建議依法通知與通報，並完整記錄處理過程，作為日後說明與申辯的基礎。
Q. 發現是內部員工外洩，該怎麼處理？
A. 三個步驟：第一，立即隔離，撤回該員工的存取權限並保存電子證據；第二，內部調查，確認外洩範圍與動機；第三，法律處理，委請律師評估民事求償、刑事責任（例如個資法第 41 條、刑法妨害電腦使用罪、營業秘密法），以及是否終止勞動契約。內部外洩往往比外部攻擊更難處理，因為要同時兼顧法律、勞資關係與證據調查。對外通知當事人的義務不因外洩者是員工而免除。
Q. 外洩後當事人可以告我們嗎？
A. 可以。當事人可以主張：第一，民事損害賠償（個資法第 29 條，企業須證明自己無故意或過失才能免責；難以證明實際損害時，每人每一事件 500 元至 2 萬元，同一事件合計以 2 億元為限）；第二，刑事告訴（符合個資法第 41 條意圖不法利益等要件時）；第三，團體訴訟（個資法第 34 條，由財團法人或公益社團法人受 20 人以上授權起訴）。損害賠償請求權自知有損害及賠償義務人時起 2 年、損害發生起逾 5 年消滅（個資法第 30 條）。事件發生後主動提供當事人協助，例如帳號安全提醒與補償方案，有助於降低訴訟意願。
Q. 外洩處理有保險可保嗎？
A. 有。「資安保險」（Cyber Insurance）通常涵蓋外洩處理費用、通知成本、律師費、當事人賠償、營業中斷損失等，實際範圍依保單條款而定，國內產險公司已有相關商品。處理大量個資的企業建議優先評估投保，保額視業務規模而定，並留意保單對通報時限與事件處理方式的要求。
個資與隱私法系列(規劃中,陸續上線)
- [個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰
- [個資與隱私法 2] 蒐集、處理、利用三段式架構與當事人同意
- [個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除
- [個資與隱私法 4] 跨境傳輸的法律地圖
- [個資與隱私法 5] 資料保護長(DPO)制度與企業治理
- [個資與隱私法 6] GDPR 域外效力與台灣企業合規
- [個資與隱私法 7] 資料外洩的緊急處理 SOP(本文)
- [個資與隱私法 8] 員工個資與雇主監控的邊界
- [個資與隱私法 9] 醫療、金融、教育的特別個資規範
- [個資與隱私法 10] 兒童與未成年人個資特別保護
- [個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界
- [個資與隱私法 12] 個資保護委員會與監理動態
