根據台灣《個人資料保護法》規定，企業若遭遇駭客攻擊導致個人資料外泄，必須依法向主管機關通報，否則將面臨最高新台幣50萬元罰鍰。這項規定自2012年修法后明確納入，旨在強化個資安全防護，並讓政府能第一時間掌握重大資安事件。然而，許多中小企業對於通報義務仍存有疑慮，甚至因怕影響商譽而選擇隱匿不報。事實上，近三年台灣資安事件通報案件已成長超過三成，其中駭客利用勒索軟體或釣魚郵件入侵的案例佔比最高。企業主必須認知，依法通報不僅是法定義務，更是保護客戶權益、降低法律風險的關鍵步驟。一旦發生資安事件，企業需在知悉后72小時內向主管機關提出書面說明，內容包括事件類型、受影響個資範圍、已採取或預計採取的措施等。若未依規定通報，除了行政罰鍰外，還可能面臨民事賠償請求。此外，通報後主管機關可能要求企業提出改善計劃，甚至進行行政檢查。因此，企業應建立完善的資安應變流程，包括即時偵測、通報機制及事後檢討，以避免因疏忽而背負法律責任。本篇文章將從通報時限與程序、未通報的法律責任、企業應採取的資安防護措施三大面向深入解析，協助企業主全面掌握個資法下的通報義務與實務操作。
通報時限與程序：72小時內完成書面報告
依據《個人資料保護法施行細則》第22條，企業於知悉個資外泄事件后，應於72小時內以書面形式向主管機關通報。所謂「知悉」，是指企業內部資安人員或負責人確認駭客攻擊已導致個資外泄的時點，而非駭客入侵的初始時間。實務上，許多企業因內部通報流程延誤而錯過法定時限，導致受罰。通報內容需包含：事件發生經過、受影響個資項目與筆數、已採取或擬採取之因應措施、以及後續預防計劃。企業應指定專責窗口負責處理，並留存通報紀錄備查。若事件涉及重大公共利益或有高度外泄風險，主管機關得要求企業公告周知受影響當事人。此外，金融、醫療等特定行業另有法規特別規定，例如金融監督管理委員會要求金融機構須於重大資安事件發生后30分鐘內通報。因此，企業應依自身產業性質，訂定更嚴格的內部通報時程，並定期演練。
未通報的法律責任：行政罰鍰與民事賠償風險
若企業未依規定於72小時內通報，依據《個人資料保護法》第48條，主管機關可處新台幣5萬元以上50萬元以下罰鍰，並責令限期改正；屆期未改正者，得按次處罰。除行政罰鍰外，企業還可能面臨民事集體訴訟。例如，2022年某電商平台因未及時通報個資外泄，遭消費者團體提起損害賠償訴訟，最終和解金額高達千萬元。此外，未通報行為可能被視為故意或重大過失，導致企業負責人須負連帶賠償責任。值得注意的是，若駭客攻擊事件涉及國安或重大社會秩序，企業未通報還可能觸犯《資通安全管理法》，刑責加重。因此，企業不應存有僥倖心態，應建立明確的通報作業程序，並確保內部員工了解相關義務。法律顧問建議，企業應將通報列為資安事件標準作業流程的必備環節，並委託外部資安公司協助進行事后鑒識，以符合主管機關要求。
企業應採取的資安防護措施：從預防到應變全面升級
為降低駭客攻擊風險並符合法律要求，企業應從源頭加強資安防護。首先，應導入多因子驗證機制，防止單一密碼漏洞導致大量個資外泄。其次，定期進行弱點掃描與滲透測試，每年至少一次，並針對高風險項目立即修補。第三，建立資安事件演練制度，每季度模擬不同攻擊情境（如勒索軟體、釣魚郵件），確保員工熟悉通報流程。第四，投保資安保險，以分擔潛在巨額賠償壓力。第五，與專業資安顧問公司簽訂緊急應變合約，確保事發時可迅速獲得技術支援。此外，企業應制定書面資安政策，包括資料分級管理、存取權限控管、員工資安教育訓練等。主管機關近年也积極推動「資安即國安」觀念，鼓勵企業加入台灣電腦網路危機處理暨協調中心（TWCERT/CC）等平台，即時接收威脅情報。唯有主動建構多層防護網，企業方能在駭客攻擊頻傳的今日，守護客戶個資也保障自身營運。
【其他文章推薦】
聲寶服務站全台即時到府維修，專業快速不拖延！
電動升降曬衣機結合照明與風乾，打造全能陽台新生態
零件量產就選CNC車床
找日立服務站全省派工維修，價格合理、技術到位！
如何利用一般常見的「L型資料夾」達到廣告宣傳效果?