台湾拠点の資安事故、日本本社と分担する通報実務

台湾拠点に「關鍵基礎設施提供者」の指定通知が届いている場合、日本本社がグループ全体の事故対応を引き受けるとしても、その通知の名宛人から台湾側の対象事業者を確認できます。資通安全管理法第20条では、中央の業種所管機関が指定し、主管機関を通じて行政院の承認を受けた後、対象者に書面で通知します。グループ名だけの社内資料に、その通知の名宛人を対応づけると、どの事業者の通報を引き継ぐのかを具体的に話せます。

第3条の「特定非公務機関」には、重要インフラ提供者のほか、公営事業、特定の財団法人、政府が支配する事業・団体・機関も含まれます。日本資本の会社や半導体の取引先というだけで該当するわけではありません。子会社と支店の違いや実際の業務を踏まえ、担当する事業者がどの類型に当たるかを判断します。

本社の担当表に必要な台湾の通報先

日本本社が技術調査と連絡を引き受けるとしても、台湾の管理者には、誰が当局へ送るのかを本社側と詰める作業が残ります。部署名だけでは足りません。実際に送信する担当者と宛先を、指定通知や現在の連絡経路と対応づけると、引継ぎの抜けを探せます。

法が通報先として挙げるのは中央の業種所管機関です。第24条は、特定非公務機関に通報・対応の仕組みを設け、事故を知った際にはその機関へ通報する義務を課しています。一方、法律全体の主管機関は第2条の數位發展部（デジタル発展部）です。通報先は業種ごとに確かめます。

指定方法で送れないときも進む1時間

通報を担当する人には、送信内容とともに事故を知った時刻が必要です。資通安全事件通報應變及演練辦法第11条は、対象の機関が事故を知った後1時間以内に、中央の業種所管機関が指定する方法で通報するよう定めています。起点は事故の認知です。本社で日本語の報告書が完成した時刻へ置き換える規定ではありません。

指定された方法が使えない場合、台湾側は本社の担当者に何を引き継ぐのでしょうか。同じ第11条により、同じ期限内に他の適切な方法で通報し、指定方法を使えなかった理由を記録する義務があります。復旧待ちはできません。支障が解消したら、指定方法で補完します。代替通報をした人と補完をする人が違うなら、送信済みの内容と障害の理由が引継ぎの対象になります。

送信の結果も共有します。本社への依頼と、実際に当局へ送った内容や結果を担当表で追えるようにしておけば、現地の管理者も残っている作業を把握できます。書式は社内の工夫です。

当局への通報から本人通知へ移す情報

当局に送った事故情報に、顧客の氏名や連絡先への不正アクセスが含まれていれば、個人資料についての判断も必要です。個人資料保護法第2条は、直接または間接に個人を識別できる資料を対象としています。対象を見極める際は、実際にどの会社がその資料を保有・処理していたかも調べます。

現在適用される第12条は、同法違反により個人資料の盗取、漏えい、改変その他の侵害を生じさせた場合に、事実を確認した後、適切な方法で本人へ通知する義務を課しています。施行細則第22条による通知内容は、侵害の事実と実施済みの対応措置です。本人が知り得る方法で速やかに知らせます。通報を本社が担当したとしても、顧客向けの文面を作る人には、確認できた侵害と実際に行った措置が届く必要があります。

ここで、当局通報に使った「知った時刻」をそのまま本人通知の法律要件に当てはめると、条文の取り違えが起きます。2026年10月23日に確認した第12条の公式ページでは、2025年11月11日の改正部分は施行日未定です。改正条文は侵害を知った時点の通知、一定範囲の当局通報、即時対応や記録を定めています。まだ施行されていません。本人向けの文案を本社へ依頼する際にも、現行法の条件と確認した事実を伝える必要があります。

担当の割当てと、会社が説明すべき安全措置

通報担当を置けたことだけでは、個人資料を守る措置の説明は揃いません。現行の第27条は、個人資料ファイルを保有する非公務機関に適切な安全措置を求め、業種所管機関による安全維持計画等の指定も認めています。改正ページに表示された同条の削除も、確認日時点では未施行です。既存の義務は続いています。

本社で安全管理の方針を作り、台湾側が日々のアクセス権限を運用している場合、双方の担当範囲と実施内容を合わせて説明することになります。現行第22条は中央の業種所管機関や地方政府の検査権限を定めています。個人資料に関する当局への報告先や期限には業種別規則の確認も要ります。資安法の対象外でも同様です。

損害賠償では第29条が、非公務機関の法違反による違法な収集・処理・利用その他の権利侵害について責任を定めます。会社が故意・過失の不存在を証明できる場合は例外です。本社に管理を任せたという説明の先に、どの安全措置が実際に働いていたかという立証の問題があります。侵入を受けた事実だけで、過失があるとも、ないとも決まりません。

賠償の範囲には、同条が適用する第28条第2～6項も関わります。非財産的損害、実損額を証明しにくい場合の裁判所による算定、多数被害の規則を含みます。公務機関についての第28条第1項まで民間会社に適用されるわけではありません。

台湾の弁護士には、指定通知と実際の事業主体の照合、本社との通報分担や本人通知の文面の検討、当局への説明、損害賠償への対応を依頼できます。企業法務の相談はwei@hoveringlaw.com.twへ。事務所は台北市大同区承徳路一段35号7階の2（臺北市大同區承德路一段35號7樓之2）と台中市北区館前路19号6階の1（臺中市北區館前路19號6樓之1）です。本社と合意した担当表に当局への送信結果まで揃っているか、指定方法での補完が誰かの手元に残っていないか。その確認までが、今回の通報を引き継ぐ管理者の具体的な仕事になります。

参照資料

確認日：2026年10月23日

• 個人資料保護法第2条、改正第12条と未施行の表示、第27条削除の未施行表示、現在適用される第12・22・27条、第28条、第29条。
• 個人資料保護法施行細則第22条。
• 資通安全管理法第2条、第3条、第20条、第24条、2025年12月1日施行の沿革。
• 資通安全事件通報應變及演練辦法第11条。