會員資料外洩，法規給你 72 小時：先查自己在不在適用名單裡

網路上關於「電商該做的資料保護」寫得不少，但寫的人多半下一句就在賣資安服務或平台方案。這頁只做一件事：把法規原文擺出來，讓你自己查自己在不在適用範圍裡。

要注意的是，網路上很多文章引用的是舊辦法。《網際網路零售業及網際網路零售服務平台業個人資料檔案安全維護計畫及業務終止後個人資料處理作業辦法》已經在民國 112 年 11 月 21 日廢止了（數位發展部數授產經字第 1124001008 號令）。現在適用的是下面這一部。

先查行業別，這決定你適不適用

適用對象不看公司大小，看行業標準分類。辦法附表一列的是這六類：

通報義務的條文

七十二小時從哪一刻開始算

條文寫的是「知悉事故後七十二小時內」。不是事故發生後，也不是查清楚原因後。

這個差別在實務上很大：多數團隊發現異常之後的直覺是先搞清楚發生什麼事、影響多少人、怎麼補救，等有完整答案再回報。但條文的起算點是知悉，不是釐清。

另外，門檻的寫法是「將危及其正常營運或大量當事人權益者」，兩個條件是「或」不是「且」。

通報格式與對象

條文指定的是依附表二格式通報本部（數位發展部），或通報直轄市、縣（市）政府時副知數位發展部。

要誠實說明一件事：條文本身沒有規定送件用的電子信箱、線上系統或收件窗口。我們查證時沒有在辦法條文裡找到這項資訊。實際送件管道請直接洽數位發展部確認，不要照抄網路上流傳的信箱。

母法與罰則，以及一個版本陷阱

這部辦法的母法是個資法第 27 條第 3 項。而第 27 條有個要注意的狀況：個資法在民國 114 年 11 月 11 日修正公布時刪除了第 27 條，但那批修正尚未施行（施行日期由行政院定之，行政院迄今未定）。

所以到今天為止，第 27 條仍然有效存在。同一次修正還增訂了第 20 條之 1、改寫了第 12 條與第 48 條，全部都尚未生效。

官方查詢入口

辦法全文	數位經濟相關產業個人資料檔案安全維護管理辦法 ↗
附表一（行業別）	附表一原檔 ↗
母法	個人資料保護法第 27 條 ↗
主管機關	數位發展部 ↗
行業分類查詢	行政院主計總處行業統計分類 ↗

出事之前該先確認的三件事

這三件事不需要花錢買任何服務，而且要在事故發生前就做好，因為出事那天沒有時間查。