為全家、寶雅等眾多知名品牌架設官網與會員系統的國內 SaaS 服務商 91APP，日前爆出資安事件，導致多家品牌業者的資料外洩。91APP 於 2026 年 10 月 16 日正式公告資料庫遭受攻擊、部分資訊遭非法擷取。不過在公告之前，便陸續傳出有消費者收到冒用品牌名義、寫著自己真實訂單內容的詐騙郵件，而在事件曝光前後，數十家合作品牌也紛紛發出防詐提醒。
這起事件帶出了品牌業者與其委外廠商（例如本件的 91APP 平台或物流、金流等其他合作廠商）如何分工應對資安事件的問題。
消費者在品牌官網下單、加入會員、提供個資，面對的交易與客服窗口往往是由品牌業者擔任；網站後端卻可能由 SaaS 平台負責維運。發生事故時，消費者可能會迫切希望向品牌業者釐清事件經過、確認可疑訊息的真偽，但實際上的事故相關資訊、受影響系統與鑑識進度多半掌握在委外廠商手中，品牌業者甚至可能仍被蒙在鼓裡。
品牌業者可以等委外廠商完成調查後再處理嗎？委外廠商通知品牌業者之後，消費者通知、主管機關通報與損害賠償又是應該由誰負責？實則，這些問題要依雙方實際處理資料的角色、適用的業別規範及契約安排判斷，並且需要留意的是，契約可以安排資訊流與費用分工，但不能取代任一方依其角色負擔的法定義務。
一、91APP 資安事件概要
依公開資訊觀測站的重大訊息公告，91APP 於 2026 年 10 月 16 日公告，說明其 Commerce Cloud 資料庫遭受自動化攻擊，部分資訊遭非法擷取，事件已獲控制並已報案，也已啟動個資事故應變、委請第三方資安單位調查、依法通報主管機關、進行反詐騙宣導，並通知「受影響之客戶」。公司評估事件對營運沒有重大影響。
91APP 其後於 10 月 22 日在官網公布事件說明與補償計畫。依據該計畫說明，10 月 3 日公司的主機即遭入侵，10 月 4 日首次接獲客戶通報消費者收到詐騙訊息，10 月 8 日成立應變小組並委聘第三方資安公司，10 月 14 日確認攻擊軌跡並阻斷，10 月 15 日依個資法通報。
不過前述重訊所列的事實發生日似以確認攻擊軌跡並阻斷的 10 月 14 日為基準，其實已經晚於入侵起始日 11 天。部分消費者在公告前便已可確認有冒名詐騙訊息，後續也有數十家合作品牌業者陸續發布防詐提醒。
至於攻擊路徑，91APP 說明初始破口是未及時修補的第三方工具漏洞，攻擊者進入內網後取得訂單資料庫的金鑰；受影響的是 Commerce Cloud 其中一座訂單資料庫中的訂單資訊，不含信用卡等支付資料，Marketing Cloud 與 91APP Payments 等其他服務則不受影響。91APP 的事件說明同時載明，消費者因事件造成的財損由公司補償，並且負擔品牌業者通知外洩會員的簡訊與電子郵件費用。
主管機關也已介入，數位發展部表示已經收到數十件消費者投訴。而在 2026 年 10 月 20 日的新聞稿中，則指出他們已於 10 月 19 日前往業者所在地進行行政檢查，證實部分資料確實遭未經授權擷取，但實際涉及哪些個人資料、受影響人數及資料筆數，仍待進一步調查確認。
二、品牌業者與委外廠商的個資法適用
品牌業者蒐集會員與訂單資料，用於交易、客服與行銷的目的。實際上品牌業者則是把官網與會員系統，包含該等個資一併交給委外廠商維運。依個人資料保護法（下稱個資法）第 4 條，委外廠商在受託範圍內視同品牌本身，同樣要遵守個資法。而且品牌業者也不會因為將業務交給委外廠商後就脫免責任，依個人資料保護法施行細則第 8 條仍須負責監督委外廠商，未盡監督義務時也須承擔外洩的後果。
過去臺灣高等法院曾審理一件飯店將線上訂購系統交由系統業者建置、維護而遭駭客入侵的案件，認為系統內的消費者個資仍由飯店保有，飯店依現行個資法第 27 條負有採行適當安全措施的義務，委由系統業者管理時也應盡監督責任。在該案件中法院先是認定系統業者違反安全維護義務，又認定飯店無法證明已善盡監督義務，因此與未盡安全維護措施的系統業者各負賠償責任。由此可知，品牌業者與委外廠商在處理個資保護措施時，各自都應該落實執行與負擔監督的責任。
這次事件中，91APP 既然受品牌委託架設並維運購物官網與會員、訂單系統，掌握系統架構、存取紀錄與鑑識資料，受託範圍內視同品牌業者本身，就同樣負有採取適當安全措施的義務；資料遭非法擷取時，也應通知品牌業者並採行補救措施，讓品牌業者能及時通知消費者、回應主管機關。
另一方面，品牌業者則必須具體落實監督義務，包括掌握 91APP 處理哪些資料、採取哪些安全措施、是否另行複委託、事故發生時如何通知與補救，以及合作結束後資料如何返還或刪除，並定期確認執行情形、留下紀錄。
特別需要注意的是，由於 91APP 同時服務不同產業的品牌，除了自身產業須遵守的數位經濟相關產業個人資料檔案安全維護管理辦法（下稱數位經濟安維辦法）以外，同辦法第 19 條另規定，受託處理個資時，還須遵循委託者所屬中央目的事業主管機關訂定的個資規範，因此同一套系統替不同產業的品牌業者處理資料，所受的要求可能不同，需要另外遵守不同產業的安全維護管理辦法。
※延伸閱讀：關於誰需要遵守個資法、哪些資料屬於個資，可以參考【個資保護系列：基礎篇】什麼資料算是個資？——企業需要的個資法第一課
三、事故時品牌業者與委外廠商的通知與通報義務
資安事件發生後，業者需要分別處理消費者通知、主管機關通報，如果是上市櫃公司，則另需發布資本市場重大訊息。
這三項義務的目的、觸發條件與起算點不同。即使事故相關分析尚未明朗時，品牌業者與委外廠商仍要交換已知資訊，並在法規容許的範圍內先提出初報、後續更新，避免一方等待完整報告，另一方卻已面臨通知或通報期限。
實務中可以透過契約安排雙方的工作分工，但雙方的法定義務仍須依實際處理資料的角色適用相關法令。
（一）通知消費者
依個人資料保護法第 12 條，當業者違反個資法，導致個資被竊取、洩漏、竄改或受到其他侵害時，應查明後以適當方式通知當事人。
※延伸閱讀：2025 年 11 月 11 日公布、尚未施行的新第 12 條增強了通知消費者的合規義務，詳情請參考〈個資外洩通報 SOP 重大變革！企業需要知道的 2025 個資法修正重點〉。
放到這次事件，91APP 的訂單資訊遭非法擷取，是否屬於因「違反本法規定」所致，也就是是否出於安全措施不足，往往要等第三方鑑識結果才能釐清，而通知所需的事故資訊多半掌握在 91APP 手中。但品牌業者這一端作為交易與服務窗口才是消費者最先詢問的對象，在 91APP 尚未主動表明情況之前，品牌業者可能便會顯得相對被動。
對此，建議業者事先能與委外廠商就相關情形予以約定，或是在事故發生後即刻協調通知由誰發出、事實內容由誰提供，避免消費者收到內容不一致的通知，或雙方都在等對方先行動。
（二）通報主管機關
現行的個資法下，主管機關通報的機制需要檢視個別的業別規範。就 91APP 而言，依其公開的 SaaS 業務內容，原則上會落入數位經濟安維辦法第 2 條及附表所列的相關業別（實際適用仍以主管機關依營業項目所作的認定為準）。該辦法第 8 條規定，事故將危及正常營運或大量當事人權益時，業者應於知悉後 72 小時內通報數位發展部；期限內無法提供完整資訊者，可以說明理由或分階段提供。
由 91APP 的事件說明可以得知，公司於 10 月 3 日遭入侵、10 月 14 日確認攻擊軌跡並阻斷、10 月 15 日依個資法通報，通報是否落在 72 小時內，取決於「知悉」時點如何認定，公開資料尚未揭露足以判斷的內容。品牌業者這邊，通報義務同樣要依其所屬業別的規範判斷，例如電商業者同樣會適用數位經濟安維辦法，而判斷時需要的事故時間與影響範圍，仍須仰賴 91APP 提供。
（三）發布重大訊息
上市櫃公司則另有重大訊息的揭露義務。以 91APP 這類上櫃公司為例，財團法人中華民國證券櫃檯買賣中心對有價證券上櫃公司重大訊息之查證暨公開處理程序（下稱重大訊息處理程序）第 4 條第 1 項第 26 款規定，資通安全事件致公司受重大損害或影響等法定情事時，屬應發布重大訊息（下稱重訊）的事項。
依現行重大訊息處理程序第 6 條，原則上應於事實發生日起次一營業日交易時間開始 2 小時前輸入；若此前發布新聞稿，應同時輸入。
91APP 的重訊以 10 月 14 日為事實發生日，是否遵期，取決於公司何時確認事件屬應發布重訊的情事，公開資料尚未揭露。品牌業者是否負有重訊義務，則視其是否為上市櫃公司，以及事件是否對其造成重大損害或影響。
四、品牌業者與委外廠商的合作
當個資外洩事件發生時，不論是品牌業者要主動通知或消費者希望聯絡確認可疑訊息的真偽，在做出有意義的應對措施前，至少需要知道可能受影響的資料類別、事件期間、風險、已採措施及查詢窗口。而這些內容往往必須由實際發生問題的委外廠商所提供的系統與鑑識資料支撐。
委外廠商若只告知「發生資安事件」，品牌業者很難正確通知消費者應留意什麼、該防範什麼。就這次事件而言，91APP 說明中提到受影響的是 Commerce Cloud 其中一座訂單資料庫中的訂單資訊，不含信用卡等支付資料，但遭擷取的具體欄位與資料筆數尚待說明，品牌業者能通知消費者的內容，也就取決於 91APP 後續提供的資訊。
實則，通知內容可能會影響品牌對消費者損害賠償的責任判斷。例如臺灣高等法院臺中分院曾在一件個資外洩案件中，認定業者只發出防詐提醒，沒有告知個資已外洩，法院將違反通知義務列入侵害情節，判給非財產上損害賠償。
由此來看，建議品牌業者在事故初期對外說明時，或在調查未完成前，仍須提示所有重要風險，同時提供具體的防詐措施與可持續查詢的窗口，協助消費者避免遭到詐騙。
五、事前約定事故發生的應對流程
為了能夠迅速應變，個資法施行細則第 8 條所要求品牌業者委外監督的事故通知與補救措施，建議事前在契約中就安排成事故當下可以執行的資訊流程。
其中，對於事故的定義不宜只限於已確認外洩的情形。建議明確約定委外廠商在發現異常存取、疑似非法擷取或其他可能影響品牌業者資料的情形時，就先向品牌業者提出初報，再依鑑識進度續報。
初報可約定至少包含受影響系統、可能涉及的資料類別、事件時間範圍、已採控制措施、鑑識聯絡窗口及下一次更新時間。這能讓品牌業者先評估自身的通知與通報義務，同時保留後續修正空間。
同時也建議品牌業者在契約中保留取得消費者溝通、主管機關回覆及內部決策所需資訊的權利，並定期確認委外廠商的執行狀況、留下紀錄；確認範圍可涵蓋安全措施及事故演練紀錄，讓委託監督有證據可以回溯。
對於委外廠商來說，則可能需要主動提出要求品牌配合保密、證據保存、鑑識完整性及對外發言協調機制。
至於事故所產生的第三方鑑識費用、消費者通知成本、客戶服務支援、補償與賠償上限則一樣重要，雙方固然可以另行協商談判，但需要提醒的是這份契約中對於雙方間的免責或責任限制，不會當然排除雙方依個資法對當事人可能負擔的責任，僅是雙方在內部如何分配責任的依據。
六、結論
當電商平台等委外廠商發生資安事件時，品牌業者與委外廠商往往必須在時間緊迫、資訊尚未明朗的情況下共同應對、決策。
因此，建議事前便仔細約定初報、續報、證據保存與費用分工，事故後才有條件在不同的合規義務下迅速採取行動。
對使用電商 SaaS 的品牌業者而言，建議先檢查現有契約是否讓委外廠商及時交付通知、通報與客服所需的資訊；對委外廠商而言，則建議確認事故回報機制能否支援不同產業客戶的法規要求。如需檢視委外個資管理、資安事件通知或 SaaS 契約條款，歡迎與本所聯繫。
※延伸閱讀：關於個資外洩後的應變、通知與改善流程，可以參考【個資保護系列：風險篇】個資外洩了怎麼辦？——從應變、彌補到檢討的完整計畫