資料持有時間

資料持有時間（Hold Time），又稱保留期限（Retention Period），是指企業依據外部法規、合約義務或內部營運需求，必須持有特定類型資料（如客戶個資、財務報表、交易紀錄）的預定時間長度。此概念是資料治理與紀錄管理的核心，其主要目的在於確保「儲存限制」（Storage Limitation）原則的落實。例如，歐盟《一般資料保護規則》（GDPR）第5(1)(e)條明確要求，個人資料的保存形式應以無法識別資料當事人為原則，且保存時間不得超過為處理目的所必要之期間。同樣地，台灣《個人資料保護法》第11條也規定，個人資料蒐集之特定目的消失或期限屆滿時，應主動刪除。它與BCM中的RTO/RPO不同，RTO/RPO關注災難發生後「多快」能回復，而持有時間則是定義正常營運下資料應「保留多久」以符合法規，屬於事前的主動合規管理措施。

在企業風險管理中，導入資料持有時間管理是一項關鍵的合規活動，具體步驟如下： 1. **資料盤點與分類**：首先，全面盤點企業內部的資料資產，並依其性質（如客戶個資、員工資料、財務紀錄、研發文件）與敏感度進行分類，建立一份詳盡的「資料地圖」。 2. **建立保留時程表**：針對各類資料，研究並定義其應遵循的持有時間。此時間取決於多重因素的最高值，例如台灣《商業會計法》要求財務報表至少保存十年，而勞工保險相關文件則需保存五年。將這些規定彙整成一份全公司適用的「資料保留政策與時程表」。 3. **技術導入與自動化**：將核定的保留規則嵌入IT系統與資料庫中，設定自動化流程。當資料的持有時間屆滿時，系統應能自動觸發歸檔、匿名化或安全刪除程序，減少人為疏失風險。 以台灣某金融機構為例，其導入自動化資料生命週期管理系統後，確保客戶交易紀錄的持有時間完全符合《金融機構內部控制及稽核制度實施辦法》的五年規定，不僅將資料儲存成本降低15%，更在年度金管會審計中達成100%的合規通過率。

台灣企業在導入資料持有時間管理時，常面臨以下三大挑戰： 1. **法規複雜且分散**：除了《個資法》外，各行業（如金融、醫療、電信）皆有其專屬的資料保留規定，法規來源分散且更新頻繁，企業難以全面掌握。 2. **資料孤島現象嚴重**：資料散落於不同部門的系統中（ERP、CRM、檔案伺服器），缺乏統一視圖，導致難以實施一致性的保留政策，形成管理死角。 3. **技術與資源限制**：許多中小企業缺乏預算導入昂貴的資料生命週期管理工具，且IT人力有限，多依賴人工執行資料銷毀，過程缺乏紀錄且風險高。 **對策**： * **建立法規資料庫（預計30天）**：與專業顧問合作，建立一個客製化的法規監控清單，並定期更新，作為制定保留政策的唯一依據。 * **成立跨部門治理小組（預計60天）**：由法務、IT、業務及稽核等部門組成專案小組，共同制定全公司的資料保留政策，打破部門壁壘。 * **分階段導入技術（預計90-180天）**：優先針對儲存個資或核心營運紀錄等高風險系統，利用現有系統的內建功能設定保留規則，待效益顯現後再評估導入專用軟體，以最小成本啟動管理循環。