外商台灣據點被駭，總公司調查期間的通知與通報

總公司要等全球調查報告才發布說明，台灣據點已接到員工詢問薪資資料是否外洩。這是一個假設情境。當地負責人此時需要的是可核對的事故範圍、知悉時間及適用規則，不能只把總公司的發稿時程當作台灣的處理期限。

個人資料保護法第2條以能直接或間接識別個人的資料為範圍，員工姓名、財務資料等都可能在內。系統恢復正常，並沒有回答哪些人的資料曾被接觸。技術調查還沒確認的部分，也不宜先寫成沒有外洩。

民間公司的個資賠償責任與過失舉證

外商台灣據點面對員工或客戶請求時，不能只以公司同樣遭駭就認為免責。第29條規定非公務機關違法，致個資遭不法蒐集、處理、利用或其他權利侵害的賠償責任；能證明無故意或過失者，才有該項例外。

事故前的權限設定、安全措施、事後調查與通知紀錄，都可能成為檢視責任的資料。是否有過失仍須判斷。法律並沒有把每一次入侵都直接當作公司的過失。

第29條並準用第28條第2至6項，包含非財產損害、實際損害額不易證明時的法院酌定，以及同一原因造成多數人受侵害的規則。不能把第28條第1項對公務機關的責任模式整套套到民間公司。究竟由哪個主體持有、處理資料，也要和外商子公司、分公司架構及實際作業一起核對。

網頁上的新第12條，還不能當成已施行

截至2026年10月23日，全國法規資料庫第12條頁面仍將2025年11月11日修正的相關條文標為施行日期未定。新條文規劃以知悉個資受侵害為通知起點，並增加一定範圍的通報及即時應變、紀錄要求。這些新義務尚不能當成已全面生效。

目前適用的第12條要求，違反個資法致資料遭竊取、洩漏、竄改或其他侵害時，應查明後以適當方式通知當事人。施行細則第22條要求即時以足使當事人知悉或可得知悉的方式通知，內容包括侵害事實與已採取的因應措施。只完成對總公司的內部報告，並未因此完成對當事人的通知。

向誰通報、多久內通報，還要找適用的業別規定。現行第22、27條分別涉及中央目的事業主管機關及地方政府的檢查、非公務機關適當安全措施與指定業別安全維護計畫。第27條雖在修正頁面顯示刪除，刪除也尚未施行，不能據此認為安全措施義務已消失。

一小時規則適用的公司範圍

資安法的通報走另一套適用判斷。資通安全管理法第3條所稱特定非公務機關，包括關鍵基礎設施提供者、公營事業、特定財團法人及受政府控制的事業、團體或機構。外商、半導體供應商或持有大量資料，本身都不能代替法定類型與指定程序。

關鍵基礎設施提供者依第20條，由中央目的事業主管機關指定，經主管機關報行政院核定後，以書面通知。是否收過指定函，就是應查找的文件之一。主管機關依第2條為數位發展部。

屬於特定非公務機關者，依第24條應建立通報應變機制，知悉事件時向中央目的事業主管機關通報。資通安全事件通報應變及演練辦法第11條進一步要求於知悉後1小時內，依指定方式通報；指定方式有障礙，仍須在同一時間內以其他適當方式通報並註記原因，障礙解除後補行辦理。不能等方式恢復才起算。

這一小時會套到所有個資事故嗎？適用對象先要成立。未落入這個類型的公司，仍須另外處理個資法及自身業別的義務。

台灣律師可受託判斷納管與業別範圍、核對通知通報時點、整理總公司與台灣據點的責任資料，並處理主管機關調查及當事人求償。企業法務諮詢可寄wei@hoveringlaw.com.tw，台北所為臺北市大同區承德路一段35號7樓之2，台中所為臺中市北區館前路19號6樓之1。初次說明可以先列出資料種類與知悉時間，無須把整份員工名冊附上。

參考資料

確認日期：2026年10月23日

• 個人資料保護法第2條、修正第12條及未施行標記、第27條刪除之未施行標記、目前適用第12、22、27條、第28條、第29條。
• 個人資料保護法施行細則第22條。
• 資通安全管理法第2條、第3條、第20條、第24條、2025年12月1日施行沿革。
• 資通安全事件通報應變及演練辦法第11條。