Pi 拍錢包的事，大家先前的注意力在補償方案。但對於企業而言，更應該留意的是數位發展部數位產業署 7 月 1 日就做了實地行政檢查。白話來說，補償是對消費者，行政檢查是對主管機關，後面那條才是企業真正要扛責的（尤其涉及到主管機關的看法）。
《EP135 的延伸：個資事件，主管機關真正在查的是這三件事》
（收聽連結如留言）
Pi 拍錢包的事，大家先前的注意力在補償方案。但對於企業而言，更應該留意的是數位發展部數位產業署 7 月 1 日就做了實地行政檢查。
白話來說，補償是對消費者，行政檢查是對主管機關，後面那條才是企業真正要扛責的（尤其涉及到主管機關的看法）。
這也正好是我在 EP135 個資法（中）想講的事：個資法管的，從來不是只有「被駭」那一刻。
一、被查出來的，通常不是駭客有多強，是你自己的管理
回頭看誠品線上那件。數位部進場檢查後依個資法開罰 10 萬元，而且是公司跟負責人雙罰。查出來的缺失有三個：帳號權限管理執行不確實、自己的個資盤點資料不完整、對委外廠商的監督沒有落實。
三個裡面，沒有一個叫「駭客太厲害」，都是失誤在自己管理不周。
二、行政檢查正在制度化
個資會籌備處在今年 2 月 11 日預告了「檢查非公 業辦法」草案，徵詢期到 4 月 13日截止，待個資會掛牌後正式發布。
也就是說，檢查會從「出事才來」，變成有明確作業程序的常態工具。
三、委外：一則很新的判決，剛好講到節目裡最容易踩的雷
臺灣高等法院臺中分院 114 年度上字第 350 號（114 年 12 月 30日）。民宿的訂房資料因為委外的系統商外洩，關於這個爭議：
（一）誰是個資法§27 說的「保有個人資料檔案者」 公司，不是同集團但沒簽約的另一家。白話來說，法人格是分開算的。這也是節目裡特別提醒的：資料傳給子公司或關係企業，通常不是「處理」而是「利用」，要重新回頭看目的。
（二）事發後只發了一般性的防詐提醒，沒有明確告知當事人個資已經外洩，法院認為不符個資法§12 的通知義務，認定慰撫金 10萬元合理，二審再判給 8 萬元。
所以這一集整集其實在回答一個問題：從蒐集、處理 沒有守規矩。很多出事的人都不是壞人，只是不知道這樣不行。
廠商幫你做事，我很理解成本的節省，然而，當發生事件時責任卻算你的；而你唯一能拿出來自保的，就是平常留下的那些稽核紀錄，這樣的風險，您還願意承擔嗎？
我認為，今年/新修正的個資法實務怎麼運作，真的值得大家留意。
更新日期：2026-11-14