理鴻法律事務所

近年《個人資料保護法》迎來多項改變，過去「多頭馬車、各部會各自為政」的監管模式正式走入歷史，由專責獨立機關——個人資料保護委員會（個資會）全面統籌監管。

在近期修法中，規範非公務機關落實防護措施的法律依據，已統一規範在《個人資料保護法》第20條之1。面對罰鍰上限大幅提高、主管機關直接主動檢查的新模式，企業若未依規定訂定並落實「安全維護計畫」，可能面臨高達數百萬元的行政處分與接踵而來的集體求償。本文將帶您看懂新法要求，以及如何有條理地寫出一份合規且能真正實踐的企業個資安全維護計畫。

法規新起點

依據修正後的《個人資料保護法》第20條之1規定：

非公務機關保有個人資料檔案者，應辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。

前項個人資料檔案安全維護事項、管理機制、應採取之措施及其他相關事項之辦法，由主管機關（個資會）定之。

這次修法後有兩個最顯著的改變：

💡 獨立機關單一監管
過去由經濟部、數位部、教育部、金管會等各目的事業主管機關各自訂定標準；新架構下，由個資會統一訂定法規標準並主導調查裁罰，執法標準更一致、專業度與執行效率也會大幅提升。

💡 安全防護義務全面化
新法強化了所有保有個資的企業機構之法定防護底線，「只要持有個資，就有安全維護責任」，徹底打破過去企業常抱持的僥倖心態。

安全維護計畫的核心架構

在新法架構與個資會的監管指引下，一份合規的安全維護計畫絕非單純的公關宣言，而是企業內部的個資防護作業程序與內部控管原則，其中內容建議應包含以下資訊：

遇到更複雜的狀況，不確定如何處理嗎？歡迎提供相關文件，預約我們的法律諮詢服務，讓專業律師為您評估最佳策略。

常見的爭議點有哪些？(Q&A)

Q1：我們直接套用網路上的個資安全維護計畫範本，不行嗎？

A： 不行。個資會進行行政檢查時，核心重點在於「書面計畫」與「實際業務流程」是否一致。如果計畫書中明訂了加密與稽核機制，現場卻連最基本的員工權限控管都沒落實，將會被直接判定為「未落實安全維護措施」。

Q2：只要把對外的客戶與會員資料保護好，就符合個資法要求了嗎？

A： 不符合。內部的人事與招募資料同樣是合規重點。在職員工的身分證影本、薪資轉帳帳戶、健保投保資料，以及求職者的履歷表等，都屬於高風險個人資料，依法同樣必須完整納入管理清冊，並建立嚴格的查閱權限機制。

Q3：如果是配合的外包或協力廠商資料庫被駭導致個資外洩，我們也需要負責嗎？

A： 是的，企業無法完全免責。新法明確規範委託企業對受託機構負有「實質監督」責任。一旦外洩事故發生，企業不能單純以「那是外包廠商出事」作為免責抗辯，必須平時就落實委外廠商的評估與定期稽核制度。

本文內容僅為法律資訊之整理，非屬個案之正式法律意見；相關法規及實務見解可能隨時變動，實際情形仍應諮詢專業律師。