會員資料外洩，廠商還沒認責，通知能等嗎？

會員系統廠商已確認有資料外洩，卻還在調查責任，零售業者不能只用「廠商還沒認責」作為延後通知會員的理由。查明哪些資料、哪些人受到影響，和最後由誰賠償，是不同的問題。

目前適用的個資法第12條，規定公務或非公務機關違反個資法，致個資遭竊取、洩漏、竄改或其他侵害時，應查明後以適當方式通知當事人。不過，「查明後」不等於等責任爭議結束：國發會在網路零售平台與賣家均蒐集外洩資料的函釋中，已說明即使尚未確認雙方違法責任，平台仍應查明事實、迅速通知。目前適用的第12條、國發會109年8月3日函釋。

網路上查到的條文，還要分辨是否已經施行。2025年11月11日公布的新第12條，改以知悉所保有個資遭侵害為通知起點，並增訂通報與應變規定；截至本文查核日，官方法規頁仍標示該條施行日期未定。以下依目前適用的條文及業別規則說明，不把新條文當成已生效的義務。修正條文及施行標記、法規沿革。

先把廠商那封通知問清楚

「系統發生異常」與「會員的姓名、電話及訂單被下載」，提供的資訊差很多。收到訊息後，公司可以請廠商說明已確認的資料欄位、涉及的會員範圍、發生及發現時間、目前仍存在的風險，以及已採取哪些限制存取或補救措施。尚未查明的部分也要標出來，不能把「暫時沒找到」寫成「確定沒有」。這些是整理事故的做法，不是一封固定格式的回函就能完成法律義務。

接著要找出實際處理資料的公司。會員向品牌登記，不表示品牌、收款公司、購物平台與會員系統廠商就是同一個蒐集者。可從會員申請頁、當時的個資告知內容、契約及系統權限，核對每家公司取得哪些欄位、用於什麼事。前述國發會函釋就是依實際外洩資料的蒐集者判斷通知義務，並非只看誰的商標出現在網頁上。

如果廠商是受託處理會員資料，個資法第4條規定，在個資法適用範圍內，受託者視同委託機關。公司本身也有適當監督義務；施行細則第8條將違法時向委託方通知的事項及補救措施、複委託安排等列入監督範圍，並要求定期確認執行情形、留下紀錄。因此，委外契約只寫「資料安全由廠商負責」，仍不能省去公司的監督與事故處理。個資法第4條、施行細則第7、8條。

公司可以與廠商協調由誰整理名單、寄送通知、回覆會員，但要能確認通知實際送給哪些人、用了哪個版本、哪些聯絡方式失敗。廠商在自己的網站放了一則公告，不足以單憑這件事認定公司的通知義務已完成。至於平時的委外權限與用途控制，可參考外部平台處理個資的監督安排；事故發生後，則要把那些約定與這次實際交付、存取的資料對起來。

72小時是向誰通報，要看公司適用哪套規則

通知受影響會員，和向主管機關通報，是兩件事。現行個資法第12條本身沒有寫一個適用所有企業的72小時期限；不同業別另有規範，不能把其中一套直接套到全部公司。

例如，經濟部的零售業個人資料檔案安全維護管理辦法第3條，主要涵蓋非屬其他中央目的事業主管機關主管、經營實體店面或實體兼網路零售、已辦理公司、有限合夥或商業登記、資本額達新臺幣1,000萬元，且招募會員或可取得交易對象個資的業者；另包括經濟部指定的公司、有限合夥或商業。條文也排除應經特許、許可或受專門管理法令規範的行業。單憑有一家網路商店，不能直接判斷是否適用這套辦法。辦法第3條。

落在這個適用範圍內的業者，依第12條應於發現事故時起72小時內通報主管機關；向地方主管機關通報時，還應副知中央主管機關。這個時點不是等廠商交出最終調查報告或同意賠償才起算。同條也要求控制損害、查明原因與損害狀況，並通知當事人或其法定代理人。向機關送出通報，沒有取代向會員說明的工作。辦法第12條。

公司應把第一封廠商通知、內部確認及後續補充資料的時間留下來。只有網路通路、資本額未達上述門檻，或另受其他主管機關管理的業者，仍須確認自己的適用規則；不適用這一套零售業辦法，不等於沒有個資法義務。業別、經營方式與實際蒐集資料的法人，都會影響接下來向誰、在何時辦理。

給會員的信，需要說明已知道什麼

依個資法施行細則第22條，通知內容應包括個資被侵害的事實及已採取的因應措施。只寫「本公司重視您的隱私，系統目前已恢復正常」，會員仍無從知道自己的哪些資料受到影響；系統恢復，也沒有回答已流出的資料會被如何使用。施行細則第22條。

準備文稿時，可以把確定與未確定的事分開寫。例如，已確認姓名及電話外洩，但訂單內容是否涉及仍在調查，就如實說明兩者的差別，並依後續查明結果更新。資料還在核對時，不宜先寫「僅少數會員受影響」「沒有財務資料」或「不會造成損失」，再期待廠商之後替這些結論找到證據。

施行細則第22條所列的通知方式，包括即時以書面、電話、簡訊、電子郵件等足以讓當事人知悉或可得知悉的方式辦理。需費過鉅時，才得斟酌技術可行性及隱私保護，採網路、新聞媒體等適當公開方式。因此，不是把公告放在官網最下方，就一定能代替個別通知。寄送名單、通知版本、時間及退件紀錄可以保存，供後續確認通知是否送達及如何補行處理。

會員回覆時，也不要請他們把完整證件、帳號或其他不必要的個資回傳到共用信箱。若需要核對身分，應另安排適合的方式。對外說明應讓受影響的人知道可以向誰詢問，而不是在事故處理過程中又收進一批沒有必要的資料。

費用先記下來，責任按契約和事實處理

廠商要求「等調查完成再談費用」時，公司仍可先把已發生的通知、系統處理及必要外部協助等支出分項留存，記下支出的原因與對應工作。是否能向廠商請求，不只取決於發票上有多少錢，還要看契約承諾、違反了什麼義務、可歸責性、因果關係與損害範圍。民法第227條處理可歸責於債務人的不完全給付及相關損害，並不是發生外洩就由系統廠商自動負擔全部費用。民法第227條。

拿出契約時，可以對照廠商承諾的安全措施、事故聯絡及配合調查事項，再查有無責任上限、費用分擔與通知條款。公司與廠商之間的內部補償安排，不能逕自免除對會員或主管機關依法應負的義務。會員提出損害賠償時，個資法第29條規定非公務機關違反個資法、致當事人權利受侵害的賠償責任，但能證明自己無故意或過失者有例外。把系統委外，或廠商答應負責，都不是公司當然免責的證明。個資法第29條。

協調修復時，還要一併安排證據留存。廠商若準備重建系統或清除紀錄，公司可以先確認哪些存取紀錄、通知往來與設定資料需要保全，再由技術人員決定不擴大風險的處理方式。法律上的責任分析需要這些事實，卻不能代替技術人員判斷事故範圍。

如需釐清台灣法下的通知義務或委外契約責任，初次聯絡可先說明營業型態、關係公司、何時收到外洩訊息、涉及哪些資料，以及眼前的處理期限。先不要寄送完整會員名單或外洩檔案；待確認諮詢範圍與安全提供方式後，再交付必要資料。

法規與查核範圍

• 個人資料保護法目前適用的相關條文、2025年修正條文及尚未施行標記、法規沿革。
• 個人資料保護法施行細則：第7、8、22條。
• 國發會109年8月3日發法字第1090017079號函：平台及賣家均蒐集外洩資料時的通知義務說明。
• 零售業個人資料檔案安全維護管理辦法：第3、12、19條；2024年11月13日修正施行。
• 民法第227條：不完全給付。

資料查核日期：2026年10月10日。本文為台灣零售業會員個資事故的一般法律資訊，未涵蓋所有業別或境外法令。實際通知、通報與賠償責任，須依事故事實、業別規範及契約確認。