個資合法取得，不代表後續每一種用途都當然合法

個人資料保護法第5條要求蒐集、處理或利用個資應尊重當事人權益、依誠實信用方法，不得超過特定目的必要範圍，並須與蒐集目的具有正當合理關聯，非公務機關依第19條蒐集或處理一般個資，仍要有特定目的並符合條文所列法律依據，之後的利用原則上也要依第20條在蒐集的特定目的必要範圍內進行，這代表「有同意」只是法律判斷的一部分，不能把一份很長的同意書變成無限期、無目的限制的資料使用授權；企業若在會員註冊時一次勾選「同意未來所有服務」，之後又把資料拿去訓練模型、提供不同合作夥伴、做新的信用分析，就必須逐項檢查原始告知、特定目的、法律依據與使用範圍。

中華企業策略永續發展學會 創會理事長 莊鈞翔 博士強調真正的合規不是把同意文字寫得越廣越好，而是讓公司知道每一批資料從哪裡來、為什麼能拿、允許拿來做什麼、何時該刪除，以及當目的改變時是否需要新的法律基礎。

資訊部門可以設定權限、加密與備份，卻不會單獨決定客戶資料要拿來做精準行銷、風險評分、產品推薦或人工智慧訓練，這些目的來自業務、產品、行銷、財務與管理階層，當公司把資料保護全部丟給IT，最容易發生「技術上很安全，法律上卻不該這樣用」的情況，資料沒有被駭客偷走，但公司自己用錯目的，同樣可能產生個資與契約責任；反過來說，只靠法務寫規範也不夠，法務如果要求「敏感資料應限制存取」，卻沒有人把這句話轉成系統角色、權限級別與登入驗證，規範就會停在紙上。

成熟的資料治理要讓業務定義目的、法務確認法律基礎、資訊落實技術控制、稽核驗證是否真的執行，治理層與管理階層則決定公司願意承擔什麼風險，這種跨部門責任鏈比成立一個名稱漂亮的「數據委員會」更重要。

我國個人資料保護法在2025年11月11日有一波重要修正，包括新增第20條之1、調整主管與監督機制，並刪除原第27條，但官方法規資料明確註記，這一批修正的施行日期由行政院另定，也就是說，2026年寫專欄時不能直接把新第20條之1當成所有企業已經全面適用的現行條文，更不能一面引用新條文，一面又把舊第27條當成已不存在的歷史資料；在新制正式施行前，非公務機關的個資安全維護仍應依目前有效的既有規範、個資法修法前仍有效的第27條、施行細則及各目的事業主管機關的安全維護辦法處理，修法方向則可以作為企業提前準備的訊號。

對讀者最重要的不是背新舊條號，而是知道法律有時間性，企業內部政策、契約與教育訓練應標示依據版本，當主管機關公告新制施行日後再完成制度切換，這比搶先宣稱「新法已全面上路」更專業。

安全維護要能留下證據，零信任也不是免責口號

個資法施行細則對適當安全措施的理解，本來就不只是一套軟體，它涵蓋技術與組織措施，並要求與個資保護目的具有適當比例，企業在實務上應依資料敏感度、數量、使用方式與風險調整控制，例如一般電子報名單與醫療健康資料不應使用完全相同的權限等級，高風險資料通常需要更嚴格的身分驗證、存取紀錄、加密、備份與異常偵測；「適當」兩個字也表示法律不是要求所有企業購買最昂貴的設備，而是要求措施與風險相稱，小型企業可以從帳號管理、多因子驗證、離職停權、備份與權限分級做起。

真正危險的是公司明知資料量與風險已經擴大，系統卻仍沿用創業初期所有人共用帳密、資料任意下載的方式，當事故發生時再拿「我們公司不大」解釋，通常無法回應為什麼基本控制長期沒有調整。

企業發現資料疑似外流時，最需要避免的是急著刪除帳號、重灌設備或清理紀錄，以為先把問題消失再說，這可能反而破壞後續鑑識與責任判斷，正確的事件處理要先隔離風險、保存Log、確認受影響系統與資料範圍、記錄時間線，並依適用法律與產業規範判斷通知、通報及補救義務，資料事件的處理本質上同時是技術工作與證據工程；企業如果平常沒有Log、帳號與設備清單，出事後就很難回答「誰下載了多少資料」，只能用猜的估範圍，最後可能不是低估風險，就是為了保守而對外宣稱整個資料庫都受影響。

資料治理因此不只是防止事故，也是在事故發生時保留事實還原能力，能夠準確界定事件，才有機會做出比例合適的通知、法律評估與客戶溝通。

個資法第29條規定，非公務機關違反本法導致個資遭不法蒐集、處理、利用或其他侵害當事人權利時，原則負損害賠償責任，但能證明自己沒有故意或過失者不在此限，這不是所有資安事故一發生，公司就自動敗訴，也不是一套抽象的「舉證責任倒置」可以涵蓋全部爭點，仍須先判斷公司是否違法、當事人權利是否受侵害、損害與因果關係等要件；可是對企業而言，這條規定有非常實際的治理訊息，也就是「有沒有做」要能拿出資料證明，安全政策、權限審核、教育紀錄、弱點修補、供應商管理、事件回應與改善追蹤都可能成為判斷注意義務的重要材料。

莊鈞翔博士強調若所有措施都只存在主管口頭說法，事後很難證明公司在事件發生前已採取與風險相當的管理，這就是為什麼實質合規需要留下可驗證紀錄，而不是只在稽核前補齊表單。

NIST SP 800-207所描述的零信任架構，核心概念之一是不能只因使用者位於公司內網、設備屬於公司或帳號過去曾登入，就自動給予持續信任，驗證與授權應更貼近每一次資源存取，這套架構是資安技術與管理參考，不是臺灣成文法，也不代表公司採用「Zero Trust」產品後就能對個資或資安事故主張當然免責；企業真正可以借用的是它的設計思想，例如縮小隱含信任、依身分與設備狀態動態授權、最小權限、持續監測及保護資源，而不是只在網路邊界築一道牆。

是否採用到什麼程度，仍要依公司規模、系統架構、成本與資料風險判斷，法律顧問應把零信任當成可能支持合理安全措施的技術選項之一，而不是創造一條法律沒有規定的強制標準。

企業系統常因為方便，把同一部門所有人設成相同權限，久而久之人員轉調、升遷、離職、專案結束，權限卻沒有被回收，最後形成「只要在公司就看得到」的情況，最小權限的思維是使用者只應取得完成目前職務所需的資料與功能，而且權限要隨角色與時間重新檢查，這可以直接降低帳號遭冒用或內部人誤操作時的損害範圍；對管理階層而言，最小權限不等於不信任員工，而是把權責設計清楚，財務人員不需要讀取完整病歷，行銷人員不需要下載未參與活動的所有會員資料，外包商也不該因維護一個模組就能進入整個正式資料庫。

莊鈞翔博士表示當權限設計與工作目的對齊，企業同時得到個資保護、資安與內控效果，這也是治理措施比單次宣導更有力量的原因。

真正的攻擊往往穿過流程與委外關係，而不只穿過防火牆

當員工收到假的供應商改帳通知或冒充主管的緊急匯款指示，事後只責怪「你怎麼會相信」通常沒有解決制度問題，成熟企業會設定付款資料變更需要第二管道確認、重大匯款要由不同角色複核、主管不能用即時通訊一句話跳過流程，因為詐騙最常利用的不是技術漏洞，而是人的急迫、權威服從與流程例外；教育訓練當然仍然必要，但訓練的目的應該是讓員工知道遇到什麼情境必須停下來，而不是要求每個人自己成為資安專家。

當制度允許員工對「董事長叫我立刻匯款」說一句「依公司流程我需要再驗證」，而不會因為質疑上級受到處罰，組織才真正建立了反社交工程能力，這其實也是公司治理裡權限與制衡的數位版本。

企業把CRM、薪資、客服、備份與AI工具交給外部服務商是非常正常的選擇，但委外不等於責任全部移轉，個資法施行細則要求委託機關對受託者作適當監督，實務上應確認蒐集處理範圍、複委託、事故通知、契約終止後資料返還或刪除，以及供應商違反法規時如何補救，不能只看對方是知名品牌就停止審查；真正需要被問的是資料放在哪個區域、哪些人能存取、是否再交給其他供應商、事故多久通知、備份能否刪除、公司能否匯出資料，以及終止服務後帳號與資料如何處理。

這些問題不會因供應商有國際認證就消失，認證是重要資訊，但企業仍要確認該認證涵蓋的服務與自己使用情境是否相同，否則採購一個安全的產品，仍可能因錯誤設定而形成風險。

我國資通安全管理法對公務機關與「特定非公務機關」設有資安責任等級與相關義務，特定非公務機關的定義包括關鍵基礎設施提供者、公營事業、特定財團法人及經指定核定的受政府控制事業、團體或機構，一般民營公司若未落在法定範圍內，不能因為同樣使用資訊系統，就直接說其受到資安法第7條相同義務拘束，仍應回到個資法、產業法規、契約與公司內控判斷；但這不表示一般企業可以忽略資安治理，銀行、醫療、電商、上市櫃公司或其他產業還可能有自己的主管法規與自律要求，而且客戶契約也可能把資安標準寫進交易條件。

中華企業策略永續發展學會 創會理事長 莊鈞翔 博士說明，法律專欄最重要的工作就是把「值得參考的最佳實務」與「依法強制適用的義務」分開，否則企業容易花很多成本追一個不適用的條文，卻忽略真正約束自己的法規與合約。

歐盟GDPR第5條確立資料處理的重要原則，包括目的限制、資料最小化與可歸責性，第25條強調資料保護融入設計與預設設定，第32條則要求依風險採取適當技術與組織安全措施，這些規範對落在GDPR地域與實體適用範圍的處理活動具有法律拘束力，對其他企業則可提供制度比較與治理參考，但不能因為公司使用歐洲雲端服務或聽過GDPR，就直接宣稱整套規則當然適用；臺灣企業若有歐盟據點、向歐盟境內個人提供特定商品服務或進行符合條件的行為監控，應再依GDPR適用規則進行個案判斷。

對沒有直接適用的公司，仍可借鏡Privacy by Design與最小化理念，把個資保護提前放進產品開發，而不是上線後才由法務補一份隱私政策，這種「先設計、再證明」的治理方法具有跨法域的實務價值。

員工使用生成式AI最常發生的問題，是為了方便把客戶合約、會議紀錄、程式碼或名單直接貼進外部服務，卻沒有先確認資料是否包含個資、營業秘密、客戶保密資訊或禁止外傳內容，公司若要導入AI，應先分級哪些資料可以進公共服務、哪些只能用企業版或私有環境、哪些必須去識別化、哪些無論如何不得交給未經核准的第三方，這是資料治理比模型採購更早的一步；同時也要確認輸出怎麼被使用，AI產生的摘要、評分或建議可能包含錯誤，不能因為模型速度快就省略人工驗證。對高影響決策而言，公司最好保留輸入來源、版本、重要提示與人工覆核紀錄，使日後可以追溯模型在決策中扮演什麼角色，這不只和下一篇的人機協同有關，也是資料治理如何支援責任治理的具體例子。

有制度不代表有效，防詐要讓高風險行為真的停得下來

詐騙治理如果只靠每天提醒「不要被騙」，責任會被推回個人，企業仍然保留所有容易被操縱的流程，更有效的做法是識別高風險動作，例如新增受款人、變更帳戶、下載大量客戶資料、重設管理員、關閉多因子驗證、匯出員工薪資資料，對這些動作加入第二人覆核、延遲生效、異常通知或不同管道驗證，讓詐騙者即使騙到一個人，也不容易完成整個操作；這類控制會增加一點不方便，治理要做的是在效率與風險間選擇合理程度，而不是把所有操作都鎖死。

當公司把「需要多一步」集中在真正高風險行為，普通工作仍能順暢進行，員工也比較願意遵守流程，這比全面禁止、最後所有人私下繞過制度更有效，真正的實質合規永遠包含人性與操作成本。

治理層不需要理解每個漏洞代碼，但應知道公司最重要的資料在哪裡、哪些系統停掉會中斷營運、重大事故是否有備援、供應商風險是否集中，以及是否有未改善的高風險缺失，報告若只列攔截郵件數、攻擊次數與教育訓練完成率，很容易數字很多，卻看不到真正影響公司持續經營的風險；一份好的治理層資安報告應該能回答幾個簡單問題，例如核心系統能停多久、勒索軟體發生時備份是否能還原、重大帳號是否都有強化驗證、外包商出事會影響哪些資料、最近一次演練發現什麼缺口。

當法律、財務與技術使用同樣的損失語言，董事才能決定預算應該先花在備援、身份管理、供應商整改還是其他控制，不會只因為某個資安名詞最近很熱門就投入資源。

• 第一步不是買系統，而是選一項重要流程，例如會員註冊、供應商付款或員工薪資，畫出資料從取得、儲存、使用、分享到刪除的路徑，並標示每一站的目的、權限、受託者與保存期限，很多問題在這張圖上就會直接出現，例如同一份名單被複製到五個部門、離職人員仍保有雲端連結、外包商沒有明確刪除期限，這些通常比再買一套工具更值得先處理。
• 第二步才是依風險補控制，該做多因子驗證就做，該縮小權限就縮小，該改契約就改契約，該建立事故通報與鑑識流程就明確指定責任人。

治理不是技術越多越好，而是每一個控制都能回答自己在防哪一個風險，而且事後有證據證明它真的運作，企業做到這一步，資料安全才會從「大家要小心」變成可以被管理的制度。

資料治理要從地圖、備份、跨境與例外管理回到日常作業

許多資料外洩事件發生後，管理階層第一個問題是「到底漏了多少」，真正困難的是沒有人能立即回答資料存在哪裡、有哪些副本、誰曾下載、外包商手上還有沒有，資料治理可以先從一張實用的資料地圖開始，按照資料來源、用途、敏感度、保存位置、權限角色、委外情況與保存期限分類，並為高風險資料指定業務負責人，這不是為了增加表格，而是讓公司在平常就知道哪些資料值得採取更嚴格的驗證與監控；資料分類也不宜只分「機密、不機密」，客戶身分資料、員工健康資料、支付資料、研發文件、營業秘密與公開行銷素材，法律與商業風險都不同。

公司可以依實際影響設定存取層級，讓員工只看到完成工作必要的資料，管理者若臨時需要擴大權限則留下原因、期限與核准紀錄，這種做法比「全公司都簽保密切結書」更能在事故後證明權限是經過設計與管理，而不是任何人只要進公司就能進入所有資料庫。

企業常把備份成功率當成資安KPI，但備份檔存在並不等於災害發生後可以使用，勒索軟體可能連備份一起加密、帳號權限錯誤可能讓還原失敗、關鍵資料也可能早在被污染後才被備份，治理上應定期做還原演練，確認重要系統在合理時間內能回到可營運狀態，並事先決定公司可以接受多少資料遺失與多久停機，讓資訊部門的技術指標真正對應營運需求；演練時最好加入法務、客服與管理階層，因為事故不只是一個伺服器問題，還會同時出現是否通知當事人、是否需要通報主管機關、對客戶怎麼說、供應商是否違約、證據如何保存等問題。

公司若平時就把技術復原與法律應變放在同一份劇本裡，真正出事時比較不會一邊急著刪除感染主機、一邊又破壞後續鑑識需要的紀錄，實質合規因此是一套跨部門的危機處理能力。

企業使用跨國雲端、海外客服、全球CRM或AI服務時，最容易出現兩種極端，一種認為個資只要離開臺灣就一定違法，另一種則認為與供應商簽了標準條款就完成所有責任，正確做法仍是先確認蒐集與利用的特定目的、委託關係、資料類型、目的事業規範及主管機關是否對特定國際傳輸設有限制，再依風險決定加密、權限、區域儲存、次處理者與稽核安排，跨境本身只是風險因子，不是唯一的合法與否判準；供應商契約則要把「資料最後去哪裡」寫清楚，至少確認處理目的、可接觸人員、複委託、事故通知、終止後返還或刪除、稽核與證明方式。若供應商可以任意新增次處理者或把資料移到不同區域，企業就很難維持原先的風險判斷，因此真正的資料治理不是禁止雲端，而是讓外包後的資料仍有可追蹤的責任鏈與退出路徑。

資訊安全若只用攻擊次數或防火牆告警量報告，治理層很容易被大量技術數字淹沒，卻不知道公司真正的曝險有沒有下降，比較有治理價值的指標可能包括高權限帳號多久複核一次、離職帳號關閉時間、多因素驗證覆蓋率、重大弱點修補時間、備份還原是否成功、供應商風險是否完成追蹤，以及重大事件從發現到控制需要多久，這些數字能直接反映制度是否在運作；指標也不能為了好看而選，若公司把釣魚演練點擊率壓得很低，卻沒有監控外包商、共用帳號與大量下載，漂亮數字仍可能掩蓋真正風險。

成熟的治理報告應同時呈現「控制有沒有做」「控制有沒有效」「哪一個例外還沒解決」，並在重大事故、系統改版、併購或新AI服務上線時重新做風險評估，資料治理才不會淪為一年一次的稽核表演。

數位信任不是事故後的宣傳，而是平常就保持可預測與可驗證

重大資安事件發生後，企業同時承受客戶追問、媒體詢問、主管機關要求與內部營運壓力，很容易在事實還沒釐清時先說「沒有個資外洩」或「只有少數帳號受影響」，後續若調查結果不同，原本想安定人心的說法反而會變成信任風險，比較穩健的事件溝通應把已確認、仍在調查與已採取措施分開，說明公司目前知道什麼、哪些範圍尚未確定、下一次更新時間，以及受影響者可以先做哪些保護措施，避免用過度保證取代事實；內部也應保存事件時間線，誰在何時發現、封鎖了什麼帳號、取得哪些Log、是否重新開機、是否通知供應商都要留紀錄，這些資料既支援技術鑑識，也關係後續法律責任與保險理賠。事故應變的專業不是把錯誤藏得最好，而是盡可能快速控制損害，同時讓每一個關鍵判斷有可追溯依據，這樣企業在面對外部詢問時才能用證據更新，而不是靠不同主管各自記憶拼湊版本。

企業常在隱私政策寫明保存期限，但實際資料可能同時存在主資料庫、分析平台、備份、Email附件、客服系統與供應商環境，前台刪除帳號不代表所有副本都已消失，資料生命週期管理應先定義各類資料需要保存多久、法律或契約是否要求留存、期滿後由誰負責刪除，以及備份資料如何隨輪替機制退出，否則公司一方面對外宣稱已刪除，另一方面卻仍在其他系統保有可識別資料，治理與實際操作就會分裂；刪除紀錄本身也值得保留適度證明，例如批次刪除工作、供應商終止確認、帳號關閉與備份輪替都有可追蹤的管理紀錄，但不要因為想證明刪除又額外保存不必要的內容。

這種平衡正是資料治理的核心，既要符合必要保存與法律義務，也要避免「以備不時之需」成為永久保存的藉口，當公司能說清楚資料何時進來、為何留下、誰能使用、何時離開，形式合規才真正轉成可驗證的控制。

公司制度通常寫得很完整，實際工作卻會遇到急件，主管可能要求先開臨時權限、先把檔案傳到私人信箱、先讓供應商遠端登入，久而久之例外就變成新的常態，治理不是完全禁止例外，而是讓例外有申請理由、核准人、範圍、到期時間與事後複核，特別是高權限帳號、批次匯出、跨系統連線與外部分享，若每次例外都能自動到期並留下紀錄，公司比較不會因一次臨時方便留下長期後門；管理者也應定期看例外發生的原因，如果同一部門每週都需要臨時放寬權限，代表正式流程可能不符合業務需求，應改善制度而不是一直累積特例。

這就是實質合規與形式合規的差別，前者允許制度面對真實工作持續調整，後者只要求紙面規則存在，當公司願意把「為什麼大家一直繞過規則」當成治理訊號，資料安全才不會變成使用者與資訊部門互相對抗的遊戲。

使用者通常不會閱讀所有隱私文件，但會在意公司是否突然把資料拿去做完全不同的用途、是否能說明資料交給誰，以及發生問題時能不能找到負責窗口，企業若在產品設計時就把重要資料用途、選擇權與變更通知做得清楚，並避免用過度寬泛的條款替未來所有可能用途一次取得授權，長期反而比較容易建立穩定的數據信任；這種信任有商業價值，客戶願意持續提供高品質資料、合作夥伴願意串接系統、企業也比較容易在推出新服務時取得理解。資料治理因此不是只為了避免罰鍰，而是在法律邊界內建立一種可預測的交換關係，讓使用者知道公司如何取得、使用與保護資訊，當規則變更時也有說明與選擇，這比任何一次性的資安宣傳更接近數位時代真正的品牌資產。

當資料治理能回答這些日常問題，法務、資訊與營運就不必等到事故發生後才互相找責任；公司也更有能力向客戶與主管機關說明自己平常如何控制風險。

結語：真正的數位信任，不是要求人相信，而是讓制度值得被驗證

莊鈞翔博士表示數據安全沒有百分之百不出事的保證，法律也不是要求企業對所有攻擊承擔無限責任；企業真正需要做到的，是能說明為什麼蒐集、誰能使用、如何保護、出事怎麼還原、責任如何追蹤，以及發現控制無效時怎麼修正。

當這些事情平常就被記錄與驗證，事故來臨時公司才不是只剩一份聲明稿。

更重要的是，讀者也會在這種治理邏輯中學會一件事，有制度不等於有效，有宣告不等於結果；無論面對公司、平台、專家或任何看似權威的安全承諾，都可以冷靜地問資料在哪裡、效果如何、誰負責。

這種願意查核而不是盲信或全盤否定的習慣，本身就是數位時代最重要的內在法遵。