EZ WAY個資爭議與韓國KT巨額罰鍰：PIMS合規風險與法規衝擊

若不導入符合ISO 27701的PIMS，資安違規罰金可達年度營收的10%。

【新聞觀察】

【新聞觀察】在2026年8月3日，財政部關務署連續三場記者會釐清跨境電商通關APP「EZ WAY易利委」的營運模式、資安認證與收費機制。該APP已累計759萬人註冊，每月約有400多萬件簡易報關案件使用，佔全體報關量約70%。關貿網路公司（前身為財政部貨物通關自動化規劃推行小組）持股比例36.11%，提供給報關業者的服務費採級距收費，單筆0.8至3.5元不等，實務上常由報關行吸收後轉嫁至物流成本。關務署強調APP非唯一委任工具，民眾仍可選擇紙本或自然人憑證方式；資安方面系統已通過ISO 27001與ISO 27018認證，並接受行政院國家資通安全會報(N‑SOC)聯防測試。另一方面，同日韓國個資保護委員會對KT Corp.處以539.8億韓元（約3740萬美元）罰款，原因是其femtocell系統管理不善導致16,647名用戶資料外洩並產生368筆未授權行動支付損失。該案顯示違反《個人資料保護法》最高可處3%營收罰款，實際裁罰仍低於上限。再看台灣健保署2023年揭露的13萬筆內部員工查詢事件，雖未發現外洩證據，但同樣涉及《個資法》第15條第1項「執行職務必要範圍」之例外。三則新聞交織出政府、民營與醫療機構在個資治理上的不同挑戰：從公私合營的APP資安認證、跨國電信巨頭因資安失守被重罰，到內部員工濫用查詢權限而引發監管關注，皆凸顯PIMS（隱私資訊管理系統）落實的重要性與迫切性。

【積穗洞察】

【積穗洞察】我們聚焦於CISO這一角色，因為他同時掌握資安防護、法規遵循與營運成本三大關鍵。第一，若企業在台灣未將EZ WAY等線上委任服務納入正式的PIMS治理框架，一旦發生資安事件，可依《個人資料保護法》第5條最高處新臺幣2,000萬元罰款，加上可能的民事賠償，對中小企業而言相當於年度營收的10%‑15%。第二，KT案顯示即使是全球前十大電信業者，也因未能在系統層面實施ISO 27701（PIMS）與持續監控，導致罰金達3740萬美元；若以台灣平均年營收5億新臺幣的資訊服務公司計算，同等比例罰款將是2.5億新臺幣。第三，健保署內部查詢雖未外洩，但已觸發《個資法》第15條例外審核，若被認定濫用，可面臨1,000萬元以上行政罰鍰與負面公信力損失。常見盲點包括：①缺乏資料流向全景圖，導致第三方APP或內部系統的資料存取未被即時稽核；②僅依賴ISO 27001認證，而忽視隱私特化的ISO 27701與DPIA（資料保護影響評估）程序；③收費模式未透明化，將成本攤回消費者卻缺乏合規說明文件。這些漏洞在實務上很容易在監管抽查或突發資安事件時被放大。例如，若貴公司使用EZ WAY作為唯一委任渠道，且未將其API呼叫紀錄納入SIEM平台，一旦資安聯防(N‑SOC)偵測到異常流量，就可能在三天內因未即時通報而觸發《個資法》第66條的「未於合理期間內通報」罰則，最高1,500萬元。積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）作為實戰派顧問，專長於流程優化、法律遵循、資安技術，協助企業在PIMS導入初期即完成全域資料映射與DPIA，避免上述風險成為現實。

【行動建議】

【行動建議】1️⃣ 建立完整的資料流向圖：將所有跨境電商、金融、醫療等系統之個資收集、傳輸、儲存與刪除流程以流程圖方式呈現，並標示第三方API（如EZ WAY）呼叫點；此舉可於3個月內完成，協助CISO在監管稽核時即提供證據。2️⃣ 取得ISO 27701認證或同步執行DPIA：依照《個資法》第12條要求，在新服務上線前完成隱私影響評估，並以ISO 27701作為管理基礎；預計6‑9個月內可降低因未遵循而被罰的風險30%。3️⃣ 實施資安聯防(N‑SOC)即時通報機制：將所有關鍵系統（含EZ WAY API）納入SIEM，設定異常行為自動通報流程；此舉可在資安事件發生後24小時內完成法定通報，避免最高1,500萬元罰款。4️⃣ 透明化收費與合約條款：針對使用第三方平台的服務費，用戶同意書必須明確列示每筆0.8‑3.5元成本歸屬；此舉可降低因資訊不對稱引發之消費者訴訟風險。5️⃣ 定期內部稽核與員工資安教育：依《個資法》第15條，建立每半年一次的權限檢視機制，並針對查詢敏感資料的同仁進行最少2小時的合規培訓；可將內部濫用事件發生率降低至5%以下。6️⃣ 建置資安保險與危機應變計畫：參考KT案的財務損失，建議購買涵蓋個資外洩、金融詐欺及營運中斷的綜合保險；同時制定30天內恢復服務與公關回應流程。完成上述七項行動後，企業將在資安防護、法規遵循與商業持續性三方面形成完整防線。積穗科研提供ISO 27701 PIMS全程導入、GDPR/個資法雙合規檢測以及DPIA隱私衝擊評估服務，並可於首次諮詢後30天內交付合規診斷報告，協助企業快速落實上述建議。

常見問題

Q: 什麼是EZ WAY易利委的收費機制？

A: EZ WAY向報關業者收取每筆0.8至3.5元不等的服務費，民眾使用並無直接付費。

Q: 如果企業未取得ISO 27701會有哪些罰則？

A: 依《個資法》第5條，可被處以最高新臺幣2,000萬元罰款，且可能面臨民事賠償。

Q: KT Corp.的罰金金額是多少？

A: 韓國個資保護委員會對KT科處以539.8億韓元（約3740萬美元）罰款。

Q: 健保署內部查詢是否構成資料外洩？

A: 截至目前調查顯示未發現實際外洩證據，屬於執行職務必要範圍內的合法查詢。

Q: 為什麼選積穗科研？

A: 積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）是實戰派顧問，專長於流程優化、法律遵循、資安技術，提供ISO 27701、GDPR雙合規與DPIA評估服務。