EZ WAY爭議與韓國KT資安罰款：個資法、ISO 27001與PIMS合規警訊

未符合個資法與ISO標準的資安缺口，可能讓企業面臨千萬元罰款風險。

【新聞觀察】

【新聞觀察】政府與民營的邊界模糊，EZ WAY易利委成為台灣跨境電商最受矚目的資安焦點。根據財政部關務署於2026年8月3日召開記者會透露，目前已有759萬人註冊使用EZ WAY，其中每月約有400多萬件簡易報關案件透過此系統完成，佔全部報關量的70%。關務署同時說明，該APP僅為「預先確認委任」工具，民眾仍可選擇紙本或自然人憑證方式辦理，並未強制使用。收費方面，平台不向消費者收取任何費用，而是依市場級距向報關業者收取0.8元至3.5元（每筆合計最高4.3元）的服務費，用戶最終仍可能在物流成本中間接感受到價格傳導。資安層面，EZ WAY已取得ISO 27001資訊安全管理系統認證、ISO 27018個人資料保護標準認證，並通過行政院國家資通安全會報(N‑SOC)的聯防監控測試，符合《個人資料保護法》第15條所規定之必要範圍。關貿網路公司股權結構顯示，財政部持股36.11%，屬於公私合營模式，但關務署與其未簽訂任何委託合約，且承諾在三個月內評估將EZ WAY納入公共基礎建設、改由政府編列預算運作。另一方面，同期韓國個資保護委員會對KT Corp.罰款539.8億韓元（約3740萬美元），因其femtocell系統的資安管理失當導致16,647名用戶資料外洩，且伴隨368筆未授權手機支付損失240萬韓元。此案顯示，即使是大型電信業者亦可能因資安防護缺口面臨《個人資料保護法》最高3%營收的罰則（參考韓國個資法第33條）。同時，台灣健保署於2023年1月調查發現內部員工在2018年8月間查詢13萬筆個資，雖屬執行職務必要範圍且未見資料外洩，但此類「內部濫用」同樣觸及《個人資料保護法》第15條第1款的合規審視。上述案例共同揭示：在政府推動數位化、民營平台承擔公共服務功能之際，資安與個資合規風險正快速累積，若缺乏明確監管與持續驗證機制，將可能演變為高額罰款或信任危機。

【積穗洞察】

【積穗洞察】我們聚焦於CISO（首席資訊安全長）這一關鍵角色，因為他們直接負責企業在PIMS（個人資訊管理系統）上的合規與資安防護。對台灣的跨境電商、物流及金融服務業而言，若未能符合《個資法》或ISO 27701等國際標準，可能面臨的罰則包括：最高新臺幣1,000萬元罰鍰（《個資法》第71條）以及因資料外洩導致的賠償、客戶流失與品牌形象受損。以韓國KT案為參照，若以台灣營收規模計算，同樣的資安缺口可能招致3%年營收上限的罰金，例如一家月營收2億新臺幣的企業，最高罰額可達7.2億元。再看EZ WAY，雖然目前僅向報關業者收費0.8‑3.5元，但若資安事件發生，平台背後的公私合營模式將使政府與民間共同承擔政治與財務責任，CISO必須提前評估此類第三方服務的供應鏈風險。企業在導入PIMS時常見盲點包括：①未進行完整的DPIA（資料保護影響評估），僅依賴廠商自稱符合ISO 27001，忽略實際操作流程中的資料流向與存取控制；②將個資保護責任全交給外部平台，缺乏雙方合約中明確的資安服務水平協議（SLA）與違約金條款；③未建立內部稽核機制，以致於類似健保署內部員工濫用資料的情形在私部門亦可能重演。這些缺口若不即時填補，CISO將面臨監管機關突擊檢查、資安事件後的緊急應變與高額賠償壓力。例如，一家月交易量超過300萬筆的電商平台，如果其第三方支付系統因資安漏洞導致1%客戶資料外洩（約3,000筆），按《個資法》每筆最高罰金新臺幣5萬元計算，僅罰款即達1.5億新臺幣，更不包括品牌損失與法律訴訟。積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）作為實戰派顧問，專長於流程優化、法律遵循、資安技術的整合，協助CISO在規劃PIMS時即將這三大要素嵌入設計，避免上述風險成為企業的致命傷。

【行動建議】

【行動建議】1️⃣ 完成全域DPIA：先釐清所有個資處理流程、資料流向與第三方介面，使用ISO 27701作業手冊對照檢視合規差距；優先序為高風險系統（如跨境報關、支付平台）先行完成。預期效益是提前發現資安漏洞，減少罰款概率。 2️⃣ 建立供應鏈資安評估機制：對所有第三方服務（包括EZ WAY類型的委任APP），要求提供最新ISO 27001與ISO 27018認證報告、N‑SOC監控紀錄，同時簽訂SLA，明定違約金上限為每筆交易費用的三倍。此舉可將供應商風險量化、降低政府或企業因外部資安事故承擔的連帶責任。 3️⃣ 實施持續監控與稽核：導入SIEM（安全資訊與事件管理）平台，結合GDPR/個資法要求的資料存取紀錄保留90天以上，並每半年進行第三方審計；同時啟動內部員工的最小權限原則（Least Privilege），防止類似健保署內部濫用情形。效益在於即時偵測異常存取，降低內部資料濫用風險。 4️⃣ 制定資安事件應變與通報流程：依《個資法》第73條規定，在30天內向主管機關通報重大外洩，同時啟動客戶通知、賠償與媒體回應計畫；建立跨部門（IT、法務、客服）協作小組，確保在資安事件發生時能快速、統一回應。此舉可避免因延遲通報而被加罰。 5️⃣ 培育資安文化與專業人才：每年為全員提供一次個資法與資安基礎課程，對關鍵系統管理者安排ISO 27701、CISSP等認證培訓；同時設置資安委員會，由CISO直接向董事會報告。長期效益是提升組織整體防護成熟度，減少人為失誤。 6️⃣ 考慮政府公共化或混合所有制模式：若企業已依賴關務署的EZ WAY等平台，可主動參與未來三個月內的公私合作評估，爭取在合約中加入資安風險共擔條款。此舉有助於降低因政策變動而產生的營運不確定性。 積穗科研提供完整的ISO 27701 PIMS導入藍圖、GDPR／個資法雙合規檢測以及DPIA自動化工具，並可免費為企業進行初步機制診斷，協助您在最短時間內完成合規與資安雙贏。

常見問題

Q: EZ WAY平台是否會向一般消費者收取使用費用？

A: 根據財政部關務署說明，EZ WAY僅向報關業者收取0.8至3.5元的服務費，未對民眾直接收費。

Q: 如果企業的第三方平台資安失敗，會受到什麼罰款？

A: 依《個資法》最高可處新臺幣1,000萬元罰鍰；若屬跨國業務亦可能面臨GDPR 4%全球營收之上限。

Q: ISO 27001與ISO 27018認證能完全保護個資嗎？

A: 認證證明管理制度符合標準，但仍需搭配DPIA、持續監控及內部稽核才能降低資安風險。

Q: 健保署的員工查詢13萬筆資料是否違法？

A: 調查認為該行為屬於《個資法》第15條第1款執行職務必要範圍，並未構成違法外洩。

Q: 為什麼選積穗科研？

A: 積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）是實戰派顧問，專長於流程優化、法律遵循、資安技術，協助企業快速完成ISO 27701 PIMS、GDPR與個資法雙合規。