個資法第 12 條已於 114 年 11 月 11 日修正公布（尚未施行，施行日由行政院另定），修正後將改採「知悉即通知當事人，符合一定通報範圍者並須通報主管機關」的原則；個人資料保護委員會籌備處（下稱個資籌備處）則於近日預告了關鍵子法草案：個人資料事故通知通報及應變辦法（下稱事故辦法草案），具體規範了「通知當事人」與「通報主管機關」的執行要點。
對於企業而言，這部個資法子法草案的核心在於事故發生應對義務的調整，建議應與目前所實施的體制進行比對，對於落差之處予以調整，以避免遭受處罰。
【重要說明】 本文係針對個資籌備處於 2026 年 1 月 22 日預告之草案內容進行研析。草案目前正處於公眾意見徵詢階段，正式施行之條文內容、生效日期及適用細節，仍可能有所調整。如果對於草案有建議希望表達，可以參照前述的連結。後續也歡迎持續關注本所更新，或諮詢專業律師以獲得個案建議。
一、 通知當事人
依據事故辦法草案第 2 條，企業於「知悉個資事故事實」（即被竊取、竄改、毀損、滅失或洩漏）起算 72 小時內，應個別通知當事人。
不過如果在特定例外狀況下，例如無聯絡方式、資料已適當加密，或個別通知成本過高時，得改以網際網路或新聞媒體等連續公告 30 日的方式替代。
二、 通報主管機關
依據事故辦法草案第 3 條，如果是「符合通報範圍」的事故，企業需要在「知悉事故事實」的 72 小時內通報。其中通報範圍的三項標準分別為：
-
特種個資：事故涉有病歷、基因、犯罪前科等。
-
系統規模：發生事故之資通系統保有個資達 1 萬筆以上。
-
個資規模：事故影響個資筆數達 100 筆以上。
值得一提的是，在新制施行前，部分產業依其中央目的事業主管機關訂定的個人資料檔案安全維護管理辦法，已經負有事故通報義務。以數位發展部訂定的數位經濟相關產業個人資料檔案安全維護管理辦法（下稱數位經濟安維辦法）為例，業者遇有個人資料安全事故，只要將危及正常營運或大量當事人權益，依該辦法第 8 條，就應於知悉事故後 72 小時內，依指定格式通報數位發展部，或通報直轄市、縣（市）政府並副知數位發展部；無法於時限內通報，或無法一次提供全部資訊時，可以檢附延遲理由或分階段提供。業者也須事先訂定應變措施，並以電子郵件、簡訊、電話等方式通知當事人事故的發生與處理情形，同時提供後續查詢的專線或其他管道。
所以在新制施行前，適用數位經濟安維辦法的業者仍須先遵守這套現行的業別通報。新制施行後，個資法主管機關的通報辦法與業別辦法如何分工，要等正式規定公布才能確定。建議現階段準備可以先安排內部事故紀錄能夠一次蒐集完整事實，例如知悉時間、受影響資料與人數、已採取措施及當事人查詢管道，日後無論依目前或新制格式通報，都能從同一份紀錄整理。
實務上，也建議在內規安排做版本控管：逐條標示每個步驟的依據，屬於現行個資法或業別辦法的義務，標明為現行要求；為新制預作準備的步驟，另外標明新制施行後才啟用。到了行政院公布施行日期，以及授權辦法正式公布時，再進一步重新檢視內規的期限、格式與通報對象。
三、 受託者通知義務與法律推定
值得留意的是，如果有將個資委外，受託者（委外廠商）於知悉個資事故時，「視為」委託機關知悉。因此，企業應檢視相關合約，確保受託者具備即時回報之能力，避免因委外廠商遲延通報而導致企業未能符合草案所定 72 小時的時限。
四、 採取即時有效之應變措施
依據事故辦法草案第 4 條規定，企業於知悉個資事故後，除履行通知與通報義務外，應立即採取「即時有效」之應變措施，以防止損害擴大。草案具體列舉了以下五大應變方向：
-
阻斷與隔離：檢查洩漏途徑並採取隔離或封鎖措施（例如切斷網路連線）。
-
權限控管：檢查存取權限，阻止異常存取路徑（例如強制重設密碼或停用遭駭帳號）。
-
誤送處置：若為誤送檔案，應「回收」誤送之個人資料，或要求第三人「刪除、銷毀」該資料。
-
移除公開內容：若資料已遭公開，應請求「搜尋引擎業者」刪除已公開之個資，或採取消除該等資料公開狀態之措施（例如要求 Google 移除搜尋結果）。
-
其他有效措施：針對駭客攻擊手法日新月異，企業可採取其他任何能即時有效防止事故擴大之措施。
【重要提醒：彈性擇定原則】 草案第 4 條第 2 項明定，企業在辦理上述應變措施時，應「綜合考量」事故發生原因、受影響人數、個資類別、筆數及潛在風險等因素擇定。建議企業應在事故當下留存「評估紀錄」，證明所選措施是經過合理判斷的結果。
五、紀錄保存義務
為了證明企業於事故發生後已善盡採行適當安全措施之義務，事故辦法草案第 6 條明確要求企業在知悉個資事故後，必須以書面或電子方式製作完整紀錄。
（一） 應記錄事項
紀錄內容應包含以下八大重點，以還原事故全貌與處置過程：
-
時間與來源：事故發生的時間、地點，以及企業知悉的時間與來源。
-
損害範圍：事故發生原因、受影響當事人人數、個資類別及筆數。
-
通知執行情形：依規定通知當事人之紀錄。
-
通報執行情形：依規定通報主管機關之紀錄。
-
應變措施：已採取的損害控制措施及後續因應作為。
-
事故影響：該事故對當事人或企業所造成的影響評估。
-
調查歷程：調查方式、過程、結果及相關佐證資料（如 Log 檔、鑑識報告）。
-
改正歷程：若經主管機關令限期改正，其改正措施之處置歷程。
（二） 保存年限
相關紀錄應於「知悉個資事故之翌日」起，至少保存 5 年。若其他法規有較長之保存規定者，則依其規定辦理。透過資料的完整保存，能夠確保未來若發生訴訟或行政調查時，企業具備完整的舉證能力。
六、罰則
企業若未依規定履行通知或通報義務，將面臨行政裁罰風險。
現行法下，非公務機關違反個資法第 12 條的通知義務，依現行第 48 條第 1 項第 2 款，由中央目的事業主管機關或直轄市、縣（市）政府限期改正，屆期未改正者，按次處新臺幣 2 萬元以上 20 萬元以下罰鍰。至於修正後的新法第 48 條第 2 項，則規定未依規定通報主管機關、採取應變措施或保存紀錄者，將可處新臺幣 2 萬元以上 20 萬元以下罰鍰，並令限期改正，屆期未改正者按次處罰。
七、結論
本次事故辦法草案將個資事故的應對程序由法律原則轉化為具體的執行標準，尤其是「72 小時」的黃金通報時間與「委外視同視為知悉」的規定，將大幅壓縮企業內部的決策反應時間。
建議企業應儘速盤點現行個資事故應變計畫，並重點檢視以下三點：
-
建立自動化或快速判斷機制：確保一線人員能依據草案標準（如 100 筆、1 萬筆、特種個資）迅速分級通報。
-
修訂委外合約：將受託者的即時通報義務與違約責任具體化，避免因廠商延遲而導致企業未能符合規定。
-
落實演練：定期進行模擬演練，確保應變小組熟悉通報流程與主管機關窗口。
面對日益嚴格的監管環境，合規已非僅是法務部門的責任，而是企業風險管理的核心。若對於新法草案的適用有任何疑義，或需調整內部規章與合約範本，建議諮詢專業法律顧問，以確保企業營運安全無虞。