強制性資料外洩通知

Mandatory data breach notification（強制性資料外洩通知）是指當個人資料發生未經授權的訪問、使用、披露或外洩時，企業依法律規定必須向監管機關及受影響當事人進行通知的義務。此制度源於對個人資料權益保護的重視，並在2012年澳洲《Privacy Amendment（Australian Privacy Code）》及2018年歐盟《General Data Protection Regulation (GDPR)》中得到系統性確立。GDPR第33條規定，資料外洩後72小時內須向監管機關通知；台灣《個人資料保護法》第27條亦要求企業在發生外洩時應立即通知當事人及主管機關。此制度在資訊安全管理體系（如ISO 27701）中屬於「事件回應與處理」的核心組成部分，其目的是降低事件對當事人的潛在損害，並確保企業對其資料處理活動負起問責制（Accountability）。

實務應用需建立「偵測-評估-通知-補救」的四階段機制。第一步為建立事件偵測與分類系統，依ISO 27701:2019第6.15條要求，企業需建立事件處理程序，在事件發生後立即進行初步評估，判斷是否符合「可能導致個人權利與自由遭受實質損害」的門檻（如GDPR第34條）。第二步為執行風險評估，使用NIST專屬的事件評估框架（如NIST SP 800-61），量化外洩資料的敏感度、數量及潛在影響範圍。第三步為執行通知程序，包含準備通知內容（時間、類型、內容、後續措施）、通知管道及時程控管。第四步為事件後分析與持續改善。實務上，導入此機制可將事件回應時間縮短40%，並將潛在罰金風險降低60%以上。

台灣企業導入此制度面臨三大挑戰：第一，法規解讀不一致，台灣個資法第27條未明確量化「立即」之時限，導致企業在通知時機上猶豫不決。建議參考GDPR的72小時原則作為內部SOP基準。第二，跨部門協作不足，IT部門發現外洩後，法務與公關部門往往無法同步介入。建議建立跨功能事件應變小組（CSIRT），包含法務、IT、公關及高階管理層。第三，技術能力不足，特別是中小企業缺乏事件溯源能力，無法精確評估外洩範圍。建議導入ISO 27701認證框架，建立完整的資料流盤查（Data-flow Diagram）與資產清冊，確保事件發生時能快速定位受影響資料類別與數量，提升通知的準確性。