臺灣網路零售業及平台發生個資重大事故應於72小時內通報主管機關

2022.02

黃郁婷、郭彥含

經濟部於110年12月30日修正「網際網路零售業及網際網路零售服務平台業個人資料檔案安全維護計畫及業務終止後個人資料處理作業辦法」(以下簡稱「本辦法」)，增訂有關網際網路零售業及網際網路零售服務平台業(以下簡稱「網路零售業及平台」)個人資料重大事故通報及國際傳輸之規定。

網路零售業及平台若發生個人資料遭竊取、竄改、毀損、滅失或洩漏，且危及業者正常營運或大量當事人權益之重大個資事故，應自發現事故時起72小時內，依本辦法所附之「個人資料侵害事故通報與紀錄表」，以電子郵件方式通報總機構所在地直轄市或縣（市）主管機關及副知經濟部，並應視案情發展適時通報處理情形，以及將整體查處過程、結果與檢討等函報總機構所在地直轄市或縣（市）主管機關並副知經濟部。

此外，本辦法並增訂網路零售業及平台若要將消費者個人資料作國際傳輸，應先檢視傳輸之區域是否受經濟部限制，並且應事先告知消費者其個人資料所欲國際傳輸之區域，同時也要對國際傳輸之資料接收方進行監督，包含預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式，以及確保消費者得依個人資料保護法（以下簡稱「個資法」）第三條行使權利。

本辦法適用於從事網際網路零售業或網際網路零售服務平台業，且登記資本額1000萬元以上之股份有限公司，或受經濟部指定之公司或商號。業者若違反本辦法之規定，主管機關除得依個資法處以罰鍰外，並得禁止業者蒐集、處理或利用個人資料，命令刪除、沒入及銷毀違法蒐集之個人資料，並公布業者及其負責人姓名。