外包商會碰到客戶個資，出事誰負責？個資法把受託者視同你本人：用「委外個資風險分數」決定合約條款與稽核頻率，罰鍰最高 NT$1,500 萬

直接答案：外包商處理你的客戶個資，依個資法第 4 條視同你自己處理，出事仍由你負責，罰鍰最高 NT$1,500 萬。先用 4 項風險分數（4–12 分）分級：7 分以上簽個資附約、每半年確認，10 分以上改用去識別化資料、每季確認。

一家 40 人電商把 3 萬筆會員資料交給外包商改版，工程師把正式資料庫複製到自己筆電測試。半年後筆電遺失，老闆才發現合約只有一頁保密條款：沒寫資料放哪、何時刪、出事多久通知。通知會員、調查、回覆主管機關，全由公司自己扛。

業界迷思打破

結論：委外的是工作，不是責任。

• 迷思：外包商出錯，外包商負責。真相：個人資料保護法第 4 條規定，受託者「視同委託機關」，對客戶負責的仍是你。
• 迷思：有保密協議就夠了。真相：個資法施行細則第 8 條要求委託者「適當之監督」，並定期確認、留下紀錄。
• 迷思：用正式資料測試比較準。真相：多數開發測試用去識別化資料就夠，正式資料只在上線搬移時碰一次。
• 迷思：小公司不會被罰。真相：2023 年修法後，未盡安全維護義務可罰 NT$2–200 萬，情節重大 NT$15–1,500 萬。

核心框架：委外個資風險分數

結論：4 項各給 1–3 分，總分決定合約要寫多細、多久確認一次。

• 4–6 分：合約加 1 條個資條款，每年確認 1 次。
• 7–9 分：另簽個資附約（細則第 8 條列的項目逐條寫），每半年確認 1 次。
• 10–12 分：再加去識別化測試資料、存取日誌、弱點掃描，每季確認 1 次。

三類典型情境的對照

結論：資料不同，每年監督工時可差 8 倍。

隱藏成本完整清單

結論：預防成本以小時計，事故成本以十萬計（以下金額依 ScriptWalker 經驗估算）。

• 附約與內部盤點：8–16 小時，一次性。
• 去識別化測試資料：外包工時 16–40 小時，約 NT$2–5 萬。
• 定期確認：每次 4–8 小時。
• 事故通知：3 萬筆簡訊約 NT$2–3 萬，加客服 40–80 小時。
• 調查與法律諮詢：NT$10–50 萬。
• 罰鍰：NT$2–1,500 萬。

評估外包夥伴的 KPI 計分卡

結論：每項 0–2 分，未滿 14 分別讓對方碰正式資料。

• ☐ 主動問資料敏感度與筆數
• ☐ 願意簽個資附約
• ☐ 預設用去識別化資料開發
• ☐ 正式資料庫放在你的帳號
• ☐ 帳號一人一組，不共用
• ☐ 有存取日誌可提供
• ☐ 說明有無轉包
• ☐ 承諾事故通知時限（如 24 小時）
• ☐ 結案時提供刪除證明
• ☐ 上線前做基本弱點掃描

ScriptWalker 的對應方案 + 不適合的情境

結論：我們預設不把正式資料帶出你的環境。

ScriptWalker（台灣 Laravel／Flutter 客製化開發工作室）的對應方式：專案制（系統 NT$80,000 起）附個資附約範本；月費維護（NT$2,000／月起）含每半年權限盤點；顧問型可陪你審其他廠商的附約。

不適合我們的情況：

• 要求直接把正式資料庫複製給工程師開發。
• 不願簽任何個資條款。
• 招標要求 ISO 27001 等驗證，請找持證廠商。

90 天遊戲書

結論：第 1 個月定分數、簽附約，第 90 天做第一次確認並留紀錄。

• 第 1 個月：盤點欄位與筆數、算分、簽附約、一人一組帳號。
• 第 2–3 個月：改用去識別化資料、開啟存取日誌。
• 第 90 天：依附約逐項確認並書面記錄。

決策清單

• ☐ 知道外包商會碰哪些個資欄位
• ☐ 已算出風險分數
• ☐ 合約有個資條款或附約
• ☐ 寫明資料存放位置
• ☐ 寫明事故通知時限
• ☐ 寫明是否允許轉包
• ☐ 開發用去識別化資料
• ☐ 正式資料庫在自己帳號
• ☐ 結案有刪除證明
• ☐ 已排定確認日期

勾不到 7 項，先別交出資料。

常見問題 FAQ

外包商外洩個資，委託公司要負責嗎？

要。個資法第 4 條視受託者如委託者本人，你仍須通知客戶並面對主管機關。

個資附約至少要寫什麼？

處理範圍、存放位置、複委託、事故通知、結案返還刪除與定期確認。

開發一定不能用正式資料嗎？

不是絕對，但多數測試用去識別化資料就夠。

多久要確認一次外包商？

依風險分數：4–6 分每年、7–9 分每半年、10 分以上每季。

行動呼籲

把外包合約與要交出的資料欄位寄給我們，免費 30 分鐘幫你算出委外個資風險分數：

• Email：[email protected]
• 電話：0916-224-047
• LINE：@ufv9089p