個資法罰則整理：企業違反個資法的行政罰、民事與刑事責任
個資法罰則分成三層：行政罰鍰最高新臺幣 1,500 萬元並可按次處罰、民事賠償每人每一事件 500 元至 2 萬元（同一事件總額上限 2 億元），以及意圖不法利益時最高 5 年有期徒刑。企業被處罰鍰時，代表人除非能證明已盡防止義務，否則會被處同一額度的罰鍰。
網路上常見把「2 億元」說成罰鍰上限，其實那是民事賠償總額的上限，兩者可以同時發生。下面依現行條文整理三種責任、負責人責任與數位發展部的實際裁罰紀錄。想先確認公司的風險落在哪一層，可參考我們的 個資法顧問 服務。
重點整理 – 未採行適當安全措施（第 27 條），可直接處 2 萬至 200 萬元，情節重大處 15 萬至 1,500 萬元。 – 數位產業署公告的個資裁罰，幾乎都是公司與代表人各罰同樣金額。 – 民事採推定過失，企業要證明自己沒有過失才能免責。 – 刑事責任以「意圖不法利益或損害他人」為前提，多數為告訴乃論，但第 41 條除外。
個資法罰則總覽：違反哪一條、罰多少？
個資法罰則對非公務機關的規定集中在第 47 至 50 條，罰多少取決於違反的是哪一種義務。安全維護義務罰得最重，而且不用先給改正機會。
| 違反行為 | 違反條文 | 罰則 |
|---|---|---|
| 未採行適當安全措施、未依指定訂定安全維護計畫 | 第 27 條 | 第 48 條第 2、3 項：2 萬～200 萬元並限期改正；屆期未改正按次處 15 萬～1,500 萬元；情節重大逕處 15 萬～1,500 萬元 |
| 違法蒐集、處理特種個資或一般個資、目的外利用、違反國際傳輸限制 | 第 6 條第 1 項、第 19 條、第 20 條第 1 項、第 21 條 | 第 47 條：5 萬～50 萬元並限期改正，屆期未改正按次處罰 |
| 未告知、未回應查詢或刪除請求、外洩未通知當事人、行銷未停止 | 第 8～13 條、第 20 條第 2、3 項 | 第 48 條第 1 項：先限期改正，屆期未改正按次處 2 萬～20 萬元 |
| 規避、妨礙或拒絕主管機關檢查 | 第 22 條第 4 項 | 第 49 條：2 萬～20 萬元 |
| 個資遭不法侵害、造成當事人損害 | 第 29 條 | 民事賠償 |
| 意圖不法利益而違法蒐集利用、竄改刪除個資檔案 | 第 41、42 條 | 刑事責任 |
行政罰：罰鍰與限期改正怎麼運作？
行政罰由中央目的事業主管機關或直轄市、縣（市）政府裁處，有兩種模式：多數告知、權利回應類違規是「先限期改正，不改才罰」；安全維護違規則是「直接罰，並同時限期改正」。
2023 年 5 月修正的第 48 條，就是把安全維護違規從「先改正」改為「直接罰」，並把上限從 20 萬元提高到 1,500 萬元。主管機關檢查時看的，正是 個資檔案安全維護計畫 與執行紀錄是否齊全，例如有沒有個資盤點、風險評估與委外稽核。
民事賠償：每人每一事件怎麼算？
依第 29 條，企業違反個資法致當事人權利受侵害，要負損害賠償責任，除非能證明自己沒有故意或過失。也就是舉證責任在企業，不在受害人。
受害人難以證明實際損害時，法院可依情節判每人每一事件 500 元至 2 萬元；同一原因造成多數人受害，合計上限 2 億元，但所涉利益超過 2 億元時以所涉利益為限。以 10 萬名會員外洩、每人最低 500 元計算，就是 5,000 萬元。符合條件的財團法人或公益社團法人，經 20 位以上受害人授權，還可以提起團體訴訟。
刑事責任：什麼情況會被判刑？
刑事責任的前提是「意圖為自己或第三人不法之利益或損害他人之利益」。依第 41 條，違法蒐集、處理或目的外利用個資而足生損害於他人，處 5 年以下有期徒刑，得併科 100 萬元以下罰金；第 42 條處罰非法變更、刪除個資檔案。
所以單純因為防護不足被駭，通常落在行政罰與民事賠償，不是個資法刑責；但員工私下販售客戶名單、業務把名單帶去競爭對手，就可能構成第 41 條。駭客入侵本身，則另依刑法妨害電腦使用罪處理。
公司負責人會被罰嗎？
會。第 50 條規定，非公務機關依第 47 至 49 條被處罰鍰時，代表人、管理人或其他有代表權人應並受同一額度罰鍰，除非能證明已盡防止義務。
從數位發展部數位產業署公布的裁處紀錄看，這已是常態：2023 年 12 月以後的每一件個資裁罰，都是「公司及代表人罰鍰各新臺幣 X 萬元」。實務上，代表人要主張已盡防止義務，必須拿得出安全維護計畫、內部稽核、教育訓練與委外監督的書面紀錄。
近年個資法裁罰案例
公開資料顯示，個資法罰則的實際罰鍰在 2023 年修法後明顯上升，百萬元等級的處分已不少見。以下整理自數位產業署「個資及其他裁處」公告與上市公司重大訊息：
| 時間 | 業者（公告為匿名） | 主管機關 | 處分 |
|---|---|---|---|
| 112 年 5 月 | 新○（電商） | 數位發展部 | 公司及代表人各 10 萬元（當時第 48 條舊法） |
| 113 年 1 月 | 雄獅（旅行業，重大訊息） | 交通部 | 200 萬元，違反第 27 條第 1 項 |
| 114 年 8 月 | 卓○（電商） | 數位發展部 | 公司及代表人各 135 萬元，並限期改正 |
| 115 年 7 月 | 互○（資訊服務業） | 數位發展部 | 公司及代表人各 100 萬元，並限期改正 |
| 115 年 8 月 | 酷○（電商） | 數位發展部 | 公司及代表人各 75 萬元，並限期改正 |
金融業則可能適用其他法律：上海商銀客戶資料外洩案，金管會是依銀行法處 1,000 萬元。
2025 年修法後罰則會改變嗎？
個資法罰則的金額不變，但執行方式會變。個資法在民國 114 年 11 月 11 日修正公布，施行日期由行政院另定，截至 2026 年 10 月尚未施行。
修正條文施行後，主管機關改為個人資料保護委員會；外洩時未依規定通報、未做應變或保存紀錄，會改為「直接處 2 萬至 20 萬元並限期改正」，不再先給改正機會。外洩後的通知與通報流程，可以參考 個資外洩怎麼辦 的整理。
個資法罰則常見問題
個資法罰款最高多少？
單次最高 1,500 萬元，但屆期未改正可以按次處罰，所以沒有總額上限；公司與代表人還會各罰一次。民事賠償另計，同一事件總額上限 2 億元。
公司負責人會被罰嗎？
會。依第 50 條，代表人原則上與公司受同一額度罰鍰，除非能證明已盡防止義務。刑事部分則看是誰有不法意圖，負責人若指示或參與，也可能被追訴。
個資法是告訴乃論嗎？
大部分是。第 45 條規定個資法刑事罪章須告訴乃論，但第 41 條（意圖不法利益違法蒐集利用）以及對公務機關犯第 42 條之罪，屬非告訴乃論。
想降低被罰風險，企業先做哪三件事？
第一，做一次 個資盤點，知道公司有哪些個資、放在哪裡；第二，依盤點結果訂定並落實安全維護計畫；第三，把委外廠商納入稽核。這三件事留下的紀錄，正是主管機關檢查與代表人主張已盡防止義務時要看的東西。完整的法規架構可參考 個資法 的說明。
不確定公司目前的做法擋不擋得住檢查，可以 直接與顧問聊聊貴公司的狀況。
參考資料
- 個人資料保護法 – 第 28～30、41～45、47～50 條及民國 114 年 11 月 11 日修正條文。全國法規資料庫
- 個人資料保護法（歷史條文） – 民國 112 年 5 月 31 日修正、現行施行之條文。全國法規資料庫
- 個資及其他裁處：電商業 – 依第 48 條第 2 項及第 50 條裁處紀錄。數位發展部數位產業署
- 個資及其他裁處：資服業 – 資訊服務業裁處紀錄。數位發展部數位產業署
- 企業因個資外洩受罰也是資安重訊 – 雄獅、諾貝兒受罰與上海商銀案。iThome · 2024 年 3 月 8 日
