中小企業個資法合規檢查表：15 項自我檢視
個資法檢查表是用來對照《個人資料保護法》（個資法）與施行細則，逐項確認公司在蒐集、利用、保管與事故處理上有沒有缺口的工具。下面這份 15 項檢查表，是寫給沒有法務人員的中小企業、補習班、診所與 NGO：每一項都可以回答「有／沒有」，並附上條文依據。
公司規模再小，也一樣要遵守。經濟部中小企業署在民國 115 年 11 月 4 日的說明會上提醒，依施行細則第 12 條，企業應有人員配置、風險評估、事故通報應變、教育訓練、稽核等 11 項安全維護措施，並以適當比例為原則；同時指出行政院已要求各部會成立個資行政檢查小組。需要逐項建置時，可參考我們的 個資法顧問 服務。
為什麼中小企業也要注意個資法？
政府機關以外的企業、團體與個人都受個資法規範，沒有依員工人數或營業額排除。只要公司有客戶名單、會員資料、員工檔案或學生報名表，就在個資法的範圍內；違反告知、目的外利用或安全維護義務，都有行政罰鍰，代表人也可能一併受罰。
罰則的力道不小。依現行條文，違反特定目的與合法依據的規定，可處新臺幣 5 萬至 50 萬元；未採取適當安全措施，可處 2 萬至 200 萬元並限期改正，屆期未改正可按次處 15 萬至 1,500 萬元。民國 114 年 11 月 11 日修正的條文還會加入事故通報主管機關等義務，施行日期由行政院另定。
中小企業最常低估的，是委外。電商平台、CRM、LINE 官方帳號、記帳士都在處理你的客戶資料，但依個資法第 4 條，受託者在個資法適用範圍內視同委託者，施行細則第 8 條也要求委託者適當監督受託者。
15 項個資法自我檢查表
下表依「蒐集、利用、保管、應變」的順序排列。每一項回答「有」或「沒有」，回答不出來的，也算「沒有」。
| # | 檢查項目 | 有／沒有 | 依據 |
|---|---|---|---|
| 1 | 列得出公司保有哪些個資、存在哪裡、誰能存取 | ☐ | 施行細則第 12 條第 2 項第 2 款 |
| 2 | 會員、報名、應徵等表單都有告知 6 項事項 | ☐ | 個資法第 8 條 |
| 3 | 非直接向本人取得的名單，使用前有告知來源 | ☐ | 個資法第 9 條 |
| 4 | 每一類個資都說得出特定目的與合法依據（契約、同意等） | ☐ | 個資法第 19 條 |
| 5 | 病歷、健康檢查等特種個資，只在法定例外情形下處理（例如經當事人書面同意） | ☐ | 個資法第 6 條 |
| 6 | 用在原本目的以外，有另外取得當事人同意 | ☐ | 個資法第 20 條、第 7 條 |
| 7 | 第一次寄行銷訊息就提供拒絕方式，拒絕後立即停止 | ☐ | 個資法第 20 條 |
| 8 | 有受理查詢、更正、刪除的窗口，並在 15 或 30 日內回覆 | ☐ | 個資法第 3 條、第 13 條 |
| 9 | 目的消失或期限屆滿的資料會主動刪除 | ☐ | 個資法第 11 條 |
| 10 | 委外廠商契約寫明處理範圍、安全措施、違規通知與終止後刪除 | ☐ | 個資法第 4 條、施行細則第 8 條 |
| 11 | 依職務設定存取權限，員工簽有保密義務，並保留存取紀錄 | ☐ | 施行細則第 12 條第 2 項第 6、10 款 |
| 12 | 紙本、電腦、隨身碟報廢時有銷毀程序 | ☐ | 施行細則第 12 條第 2 項第 8 款 |
| 13 | 員工至少每年接受一次個資宣導或訓練 | ☐ | 施行細則第 12 條第 2 項第 7 款 |
| 14 | 發生外洩時，知道由誰查明、如何通知當事人、是否要向主管機關通報 | ☐ | 個資法第 12 條、各業別辦法 |
| 15 | 確認過所屬行業是否被指定訂定個資檔案安全維護計畫 | ☐ | 個資法第 27 條 |
第 13 項的「每年一次」是實務建議，法規只要求認知宣導與教育訓練，沒有規定次數。第 15 項要看行業：例如零售業辦法適用資本額 1,000 萬元以上且有會員資料的業者，製造業及技術服務業辦法以保有 5,000 筆消費者個資為門檻，短期補習班也有專屬辦法。
檢查結果怎麼解讀？
勾完個資法檢查表之後，不要只看總分，先看「沒有」落在哪裡。第 1、2、10、14 項任何一項是「沒有」，就是優先缺口：不知道有哪些資料、沒有告知、委外沒管、出事不知道怎麼辦，這四件事一旦被檢查或發生事故，最難事後補救。
15 項都勾「有」，也不代表合規。教育部發給所轄業者的自我檢查表就要求每一項附上佐證文件，例如盤點日期、教育訓練紀錄、委外檢核日期；勾選加上拿得出紀錄，才算真的做到。
中小企業最常見的 5 個個資缺口
實務上，中小企業的缺口很集中，大多不是技術問題，而是沒有人負責。以下五個是我們最常看到的情況。
第一，沒有盤點。資料散在業務的手機、共用雲端資料夾與舊電腦裡，沒人說得清楚公司到底有多少筆個資。第二，隱私權聲明照抄範本，告知事項少了利用期間或當事人權利的行使方式。第三，委外沒有契約條款，用了 CRM、記帳士、外包客服，卻從沒約定資料怎麼保護、合作結束後怎麼刪除。
第四，資料只進不出，十年前的報名表、離職員工資料都還留著，目的早已消失。第五，出事時只想到修電腦，沒想到要查明範圍、通知當事人；已訂有安全維護計畫實施辦法的行業，常見要求是 72 小時內通報主管機關。
個資缺口要先補哪一項？
建議順序是盤點、告知、委外、應變，最後才是文件與訓練。盤點是所有後續工作的基礎，沒有清單，就無法判斷告知是否完整、哪些廠商碰得到資料。
具體做法上，先用一張試算表列出各類個資、存放位置、負責人與保存期限，可參考 個資盤點 的欄位範例。接著修正對外表單與隱私權聲明，再逐一補上委外契約條款。應變流程可以先寫成一頁，列出誰負責判斷、誰負責通知，細節參考 個資外洩怎麼辦 的步驟。若第 15 項確認所屬行業有辦法要求，再依 個資檔案安全維護計畫 的要求整理成正式計畫。
什麼時候需要找個資顧問？
如果檢查表只有兩三項「沒有」，而且資料量不大，多數中小企業可以自己補，不一定需要顧問。下面幾種情況，就值得找外部協助：所屬行業被指定要訂安全維護計畫、處理病歷或健康檢查等特種個資、會員資料超過數萬筆、資料會傳到海外，或已經收到主管機關的檢查通知。
這些情況的難點通常不在寫文件，而在判斷「哪些規定適用自己」：不同行業的辦法，適用門檻、通報對象與計畫內容都不一樣。依我們的服務經驗，中小企業從現況檢視到完成制度，通常需要 2 到 4 個月。
這份個資法檢查表，這週可以怎麼用？
找一個小時，和實際處理客戶與員工資料的同事一起把個資法檢查表的 15 項逐一回答，每個「沒有」寫上負責人與預計完成日。下個月再勾一次，看缺口有沒有變少。整體義務的背景，可以回頭看 個資法 的完整說明。
想確認缺口的嚴重程度，或需要建立安全維護計畫，可以了解我們的 個資法顧問 服務，或 先請顧問看一下現況。
個資法檢查表常見問題
員工很少的公司也適用個資法嗎？
適用。個資法規範的是政府機關以外的企業、團體與個人，沒有依員工人數、營業額或資本額排除。三個人的工作室只要保有客戶或員工資料，告知、合法利用、安全保管與當事人權利等義務都一樣要做，只是安全維護措施可以依資料量與風險，採取適當比例的做法。
沒有法務人員，怎麼做個資合規？
先指定一位負責人，不一定要懂法律，但要能協調各部門。接著用本文的 15 項檢查表找出缺口，從盤點、告知、委外、應變四件事開始補。主管機關公開的自我檢查表與安全維護計畫範本，也能作為參考。遇到特種個資、跨境傳輸或被指定行業，再尋求外部協助。
這份檢查表可以當作合規證明嗎？
不能單獨當作證明。台灣個資法沒有強制的認證制度，企業要靠政策、程序與實際紀錄證明自己做到了。檢查表的價值在於找出缺口，並作為內部稽核的起點；主管機關檢查時，看的是盤點清冊、告知文件、委外契約、訓練紀錄等佐證，而不是勾選結果。
參考資料
- 個人資料保護法 – 第 3 至 13、19、20、27 條。全國法規資料庫 · 民國 114 年 11 月 11 日修正（部分條文施行日期未定）
- 個人資料保護法施行細則 – 第 8 條委託監督、第 12 條安全維護措施。全國法規資料庫
- 91APP 爆個資外洩 經部籲管顧業補強檢核缺口 – 經濟部中小企業署說明 11 項安全維護措施與個資行政檢查。自由時報 · 民國 115 年 11 月 5 日
