個人資料保護委員會籌備處（下稱個資籌備處）於近日預告了兩部關乎台灣企業未來數位治理的關鍵子法草案：個人資料檔案安全維護管理辦法（下稱安維辦法草案）及個人資料事故通知通報及應變辦法（下稱事故辦法草案）。
這象徵著依據個人資料保護法（個資法）修法所確立的統一監管體制，即將進入執行規範的具體化階段。對於企業而言，這兩部個資法子法草案的核心在於監管標準以及事故發生應對義務的調整，建議應與目前所實施的體制進行比對，對於落差之處予以調整。
【重要說明】 本文係針對個資籌備處於 2026 年 1 月 22 日預告之草案內容進行研析。草案目前正處於公眾意見徵詢階段，正式施行之條文內容、生效日期及適用細節，仍可能有所調整。如果對於草案有建議希望表達，可以參照前述的連結。後續也歡迎持續關注本所更新，或諮詢專業律師以獲得個案建議。
一、 全面納管：不分產業與規模皆有法遵義務
過去，個資法採取分散式管理架構，由各目的事業主管機關依據產業特性分別訂定安全維護辦法，並設定規範對象。因此有部分非公務機關被排除於該產業的安全維護辦法之外，例如零售業個人資料檔案安全維護管理辦法只規範資本額達到新臺幣 1000 萬元等條件的特定商家，製造業及技術服務業個人資料檔案安全維護管理辦法則只規範保有消費者個人資料達到 5000 筆等條件的特定業者。
2026 年預告之草案則改採統一納管模式，安全維護辦法中的共通義務將適用於所有非公務機關。無論資本額大小、是否為微型企業或個人事業主，只要保有個人資料，即須建立基礎的安全維護措施（如資料盤點、權限控管），填補了過去各產業安維辦法對於個人、小公司等排除在監管規範以外的缺口。
（按：自然人為單純個人或家庭活動之目的，而蒐集、處理或利用個人資料屬於個資法之例外，謹此補充說明）
二、 分層管制：大型非公務機關的強化法遵義務
在全面納管的基礎上，安維辦法草案第 3 條針對風險較高的特定事業，亦即「大型非公務機關」，課予比照公務機關等級的高強度合規義務。具體而言，如果同時符合下列條件的事業即屬於大型非公務機關：
- 事業規模：依法辦理公司、有限合夥或商業登記，且非屬經濟部「中小企業認定標準」第 2 條所稱之中小企業。
- 個資規模：保有當事人個人資料檔案筆數達 1 萬筆以上。
個資筆數之計算是以「每一自然人之每一蒐集特定目的」加總。若原未達門檻之企業，因業務擴張導致筆數達 1 萬筆者，應於達標之日起 6 個月內採行大型非公務機關之安全維護機制。
三、 安全維護措施：共通義務與強化措施
依據安維辦法草案之架構，法遵義務區分為適用於全體非公務機關的「共通事項」，以及針對大型非公務機關的「強化事項」。
（一） 共通義務（適用所有非公務機關）
依據安維辦法草案第二章（第 5 條至第 15 條）規定，凡保有個人資料之非公務機關，不論規模大小（含微型企業、個人工作室），皆應建立以下基礎管理機制：
- 行政管理：定期清查確認個資現況（第 5 條）、建立事故通報應變機制（第 6 條）、辦理人員認知宣導（第 8 條）。
- 權限與安全：實施人員權限控管與身分鑑別（第 7 條）、確保設備之防毒更新與實體區域安全（第 9、10 條）。
- 特種個資保護：特種個資的重要性和影響較高，應確保資料生命週期之安全，檔案資料儲存之媒介物之管制與安全防範措施。
- 資通系統防護：若自行或委外維運資通系統，應落實帳號管理、事件日誌留存、定期備份及資料屆期刪除銷毀（第 12 至 15 條）。
（二） 強化義務（適用大型非公務機關）
一旦被歸類為「大型非公務機關」，依據新制草案有較高的強化義務，摘要彙整如下：
1. 組織治理
企業需要在人力組織上重視個資保護，安維辦法草案第 17 條要求大型非公務機關應指定「個人資料保護管理專責人員」並設置執行小組。更關鍵的是，必須指定「查核人員」，且專責人員與查核人員不得相互兼任。如果原先對於個資保護是採取職務兼任的企業，可能需調整內部組織架構以因應。
2. 管理與稽核
- 風險評估：安維辦法草案第 19 條規定大型非公務機關每年應定期辦理風險識別與評估。
- 定期稽核：安維辦法草案第 24 條要求每年至少辦理一次內部稽核；若有委外情形，每年亦應辦理一次對受託者的稽核。相關稽核結果紀錄應保存至少 5 年。
3. 技術防護
安維辦法草案第 23 條列出大型非公務機關「應採取」的具體資安技術清單，例如：
- 加密機制：網際網路傳輸過程必須加密。
- 監控機制：監控非法或異常使用行為，並強制留存日誌至少 6 個月，以利事故鑑識。
- 脆弱性檢測：提供對外服務之資通系統，在上線前應進行源碼檢測、弱點掃描及滲透測試，上線後亦應持續辦理。
四、罰則
五、結論：合規方案準備
本次預告的兩部草案，宣告了台灣個資保護法制將進入「全面」、「即時」的監管體制，並且對於大型非公務機關客予更具體的強化法遵義務，所以企業需密切關注、理解、履行自身所需承擔的法遵責任。
企業或許會需要實質預算支持新的合規需求——包括每年定期風險評估、滲透測試費、內部與委外稽核費，以及日誌保存系統（SIEM）的維運成本等。建議企業應利用草案預告期間，儘速進行個資盤點與差距分析（Gap Analysis），並將相關修正計畫納入規劃，以避免法規正式施行時措手不及，而受到裁罰。