友人這幾天傳來了IKEA個資外洩的新聞，然後今天也和客戶討論到。其中，企業最關注的無非是碰到後的處理方式（一）現行通知要求的操作空間個資法修法前的第12條：「違反本法規定」致個資外洩，且「查明後」才即時通知。而問題點常在於如何認定查明。
《個資外洩，公司到底要不要通知你》
友人這幾天傳來了IKEA個資外洩的新聞，然後今天也和客戶討論到。其中，企業最關注的無非是碰到後的處理方式
（一）現行通知要求的操作空間
個資法修法前的第12條：「違反本法規定」致個資外洩，且「查明後」才即時通知。而問題點常在於如何認定查明。
（二）修正通過後的通知/通報義務，「還沒上路」
1、114年11月11日公布，門檻降到「知悉」，增訂通報主管機關、即時應變與記載保存。
2、施行日期由行政院定之，至今未發施行令，法規頁寫「尚未生效」。
3、「個人資料事故通知通報及應變辦法」115年1月22日預告後還是草案。
（三）出事的處理順序
1、先止血。破口在哪、是否已經控制住。沒止血就談通知，等於一邊漏一邊道歉。
2、查明原因，尤其常發生在委外的環節。
3、對外提醒：常見的防詐騙通知。先說這不等於「通知當事人」，但在製造責任斷點上是有其價值的
4、報案？個資法第41條非告訴乃論，警方可依職權偵辦。對企業而言，尤其是大量個資外洩，很難壓的住，坦然面對處理反而是比較可行的。
請注意，報案報警不等於最後就一定會要賠償被害人（但看第四點）。
（四）但不要太自信「沒被詐騙就不用賠」
1、非公務機關（企業）走個資法第29條，推定過失，要自己證明無故意或過失才免責（善良管理人注意義務）。
2、準用個資法第28條：非財產上損害可請求，證不出損害額時每人每事件500元至2萬元，上限2億。
3、只外洩沒被詐算不算損害，實務見解不一致。寫成「不用賠」是把爭議講成定論。
出事那天要交代的，是你在「知悉」那一刻留下了什麼。
更新日期：2026-11-14