個資盤點怎麼做？清冊欄位與範例
個資盤點是把公司保有的每一類個人資料找出來，記錄它從哪裡來、為了什麼目的、存在哪裡、誰可以使用、提供給誰、保存多久，最後整理成一份「個資清冊」。依個人資料保護法施行細則第 12 條，「界定個人資料之範圍」是企業採取適當安全措施的事項之一，而盤點正是界定範圍的方法。
對準備因應個資法、GDPR 或越南個資法的企業來說，個資盤點是所有工作的第一步：不知道自己有哪些個資，就無法評估風險、回應當事人請求，也無法在外洩時判斷影響範圍。這篇整理盤點範圍、清冊欄位、執行步驟，以及人資、客服、行銷三個常見範例。需要協助規劃，可以參考我們的 個資法顧問 服務。
重點整理 – 個資法施行細則第 12 條把「界定個人資料之範圍」與「個人資料之風險評估及管理機制」列為適當安全措施的事項。 – 個資清冊至少要記錄：檔案名稱、特定目的、個資類別、來源、存放位置、使用者、提供對象、保存期限與安全措施。 – 紙本資料也要盤點：個資法所稱的個人資料檔案，包含以非自動化方式檢索、整理的資料集合。 – 盤點完成後，要依個資數量、敏感度與存放方式評估風險，找出需要改善的流程。
為什麼要做個資盤點？
做個資盤點，是因為個資法多數義務都要先知道「有哪些個資」才做得到。依個資法施行細則第 12 條，企業的適當安全措施得包括界定個人資料之範圍、個人資料之風險評估及管理機制等 11 項；部分產業的安全維護辦法更明文要求定期清查，例如數位經濟相關產業個人資料檔案安全維護管理辦法第 6 條，要求業者定期清查所蒐集、處理或利用的個人資料現況，界定納入安全維護計畫的範圍。
盤點的結果會直接用在 4 個地方：
| 用途 | 盤點結果怎麼派上用場 |
|---|---|
| 告知與同意 | 確認每類個資的蒐集目的與告知內容是否一致 |
| 當事人請求 | 有人要求查詢或刪除時，知道要去哪些系統找 |
| 外洩應變 | 事故發生時，快速判斷外洩了哪些人、哪些欄位 |
| 跨國合規 | GDPR 的處理活動紀錄、越南個資法的影響評估，都以盤點結果為基礎 |
有歐盟當事人的企業，盤點結果可以直接延伸成 GDPR 第 30 條的 RoPA 處理活動紀錄；在越南有據點的台商，也可以作為 越南個資法 影響評估的資料來源。
盤點範圍與負責人
個資盤點的範圍，應涵蓋所有部門、所有形式的個資：系統資料庫、共用資料夾、電子郵件附件、雲端服務、委外廠商保管的資料，以及紙本表單。個資法第 2 條所稱的個人資料檔案，是「依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合」，所以按姓名歸檔的紙本資料也在範圍內。
實務上建議由一位專責窗口統籌，各部門指定一位填寫人：
| 角色 | 負責工作 |
|---|---|
| 專責窗口（法務、資安或管理部門） | 規劃範圍與時程、提供清冊範本、彙整與檢查 |
| 各部門填寫人 | 依業務流程填寫本部門的個資項目 |
| IT 人員 | 補充系統、資料庫、備份與存取權限資訊 |
| 主管 | 確認內容並核定風險處理方式 |
個資清冊要有哪些欄位？
個資清冊的欄位，應能回答「什麼個資、為什麼有、在哪裡、誰能用、給了誰、留多久、怎麼保護」七個問題。下表是可以直接使用的欄位範本，特定目的與個資類別可對照法務部等機關訂定的「個人資料保護法之特定目的及個人資料之類別」代號填寫。
| 欄位 | 填寫內容 | 範例 |
|---|---|---|
| 個資檔案名稱 | 以業務名稱命名 | 員工人事資料 |
| 負責部門 | 主要保管與使用的單位 | 人資部 |
| 特定目的 | 蒐集目的，可附代號 | ○○二 人事管理 |
| 個資類別 | 類別代號與實際欄位 | Ｃ○○一 辨識個人者（姓名、電話） |
| 是否含特種個資 | 病歷、醫療、基因、性生活、健康檢查、犯罪前科 | 有：健康檢查報告 |
| 當事人類型與筆數 | 員工、客戶、會員等，及約略筆數 | 員工約 300 筆 |
| 蒐集來源與方式 | 直接向本人蒐集或間接取得 | 員工到職時填寫 |
| 存放位置與形式 | 系統名稱、資料夾、紙本櫃 | 人資系統、紙本人事檔案櫃 |
| 存取人員 | 可以查看或修改的角色 | 人資專員、薪資承辦 |
| 提供對象 | 內部單位、委外廠商、主管機關、境外 | 薪資委外廠商、勞保 |
| 是否跨境 | 資料是否傳到或存放在境外 | 雲端主機位於境外 |
| 保存期限與依據 | 期限及法令或內規依據 | 離職後 5 年（勞動基準法） |
| 現有安全措施 | 權限、加密、上鎖等 | 系統權限控管、紙本上鎖 |
經濟部經濟法制司在官網公開了「個資盤點表、填寫說明及填寫範例」（113 年 11 月版），欄位設計可以一併參考。
個資盤點的 6 個步驟
個資盤點最有效的方法，是沿著業務流程找個資，而不是逐一翻檔案。個資法把個資的處理分成蒐集、處理、利用與國際傳輸，盤點時可以沿著這條生命週期，再加上保存與刪除，逐段問「個資在這一步發生了什麼事」。
| 步驟 | 做什麼 | 產出 |
|---|---|---|
| 1. 確定範圍與時程 | 列出要盤點的部門、系統與據點 | 盤點計畫 |
| 2. 列出業務流程 | 各部門列出會接觸個資的業務，例如招募、報價、售後服務 | 業務流程清單 |
| 3. 訪談與填寫 | 依流程逐項填寫清冊，IT 補充系統資訊 | 部門清冊初稿 |
| 4. 檢查與合併 | 合併重複項目，檢查目的、類別與保存期限是否合理 | 公司個資清冊 |
| 5. 標示重點項目 | 標出特種個資、大量個資、跨境傳輸與委外處理 | 重點清單 |
| 6. 風險評估與改善 | 評估每項的風險並訂出改善措施 | 風險評估表、改善計畫 |
訪談時最容易漏掉三類資料：員工自己存在電腦或個人雲端的名單、委外廠商系統裡的資料，以及早已不用卻沒刪除的舊系統資料。
範例：人資、客服、行銷怎麼填？
人資、客服與行銷是個資最集中的三個部門，下表是填寫示意，實際內容要依公司的業務與系統調整。
| 欄位 | 人資：員工人事資料 | 客服：客戶服務紀錄 | 行銷：電子報名單 |
|---|---|---|---|
| 特定目的 | ○○二 人事管理 | ○九○ 消費者、客戶管理與服務 | ○四○ 行銷 |
| 個資類別 | Ｃ○○一、Ｃ○○三（身分證字號）、Ｃ一一一（健康紀錄） | Ｃ○○一、Ｃ○○二（付款資訊） | Ｃ○○一（姓名、電子郵件） |
| 特種個資 | 有：健康檢查 | 通常沒有 | 沒有 |
| 存放位置 | 人資系統、紙本檔案 | 客服系統、電話錄音 | 電子報平台（境外） |
| 提供對象 | 薪資委外廠商、勞保 | 物流、維修廠商 | 電子報服務商 |
| 保存期限 | 勞工名卡離職後 5 年、出勤紀錄 5 年 | 依內部規定訂定，並寫明依據 | 至當事人拒絕行銷為止 |
| 要注意的地方 | 健康檢查屬特種個資，存取權限要更嚴 | 錄音檔常被遺漏 | 須提供拒絕行銷的方式 |
保存期限要有依據：例如勞動基準法第 7 條規定勞工名卡應保管至離職後 5 年，第 30 條規定出勤紀錄保存 5 年；行銷名單則要注意個資法第 20 條，首次行銷時應提供當事人表示拒絕的方式。沒有法定期限的資料，依個資法第 11 條，特定目的消失或期限屆滿時，應主動或依請求刪除、停止處理或利用。
盤點後怎麼做風險評估？
盤點完成後，要依每一項個資的數量、敏感度、存放方式與提供對象評估風險，找出最需要改善的流程。依施行細則第 12 條，「個人資料之風險評估及管理機制」本身就是適當安全措施的一環。
| 評估因素 | 風險較高的情況 |
|---|---|
| 數量 | 筆數多，例如會員、客戶資料庫 |
| 敏感度 | 含特種個資、身分證字號或金融資料 |
| 存放方式 | 存在個人電腦、共用資料夾或未加密的雲端空間 |
| 存取範圍 | 很多人都能看，或離職員工帳號未停用 |
| 提供對象 | 委外廠商、跨境傳輸，但沒有合約約束 |
| 保存 | 超過目的仍未刪除的舊資料 |
實務上可以用「發生可能性 × 影響程度」給每項打分，高風險項目優先處理，例如收回不必要的權限、加密、刪除過期資料，或補簽委外合約。盤點結果也是外洩應變的基礎，事故發生時能更快判斷影響範圍，可參考 個資外洩怎麼辦 的應變步驟。
第一次做個資盤點，可以從哪個部門開始？
第一次做個資盤點，建議先從人資部門開始：人資的個資種類多、包含特種個資，流程也相對固定，適合用來測試清冊範本與訪談方式。人資做完後，再擴大到客服、業務與行銷等對外接觸客戶的部門，最後由 IT 補齊系統與備份資訊。
盤點與法規要求的對應方式，可以參考 個資法 的完整整理；想一次完成跨部門盤點與風險評估，可以參考我們的 個資法顧問 服務，或 直接與顧問聊聊貴公司的狀況。
個資盤點常見問題
個資盤點多久做一次？
個資法沒有規定固定頻率，但部分產業的安全維護辦法要求「定期」清查。實務上建議至少每年更新一次，並在導入新系統、新增業務、變更委外廠商或發生個資事故後，針對受影響的部分重新盤點，讓清冊與實際狀況保持一致。
要盤點紙本資料嗎？
要。個資法所稱的個人資料檔案，包含以自動化機器或其他非自動化方式檢索、整理的個資集合，按姓名或編號歸檔的紙本資料都在範圍內。紙本與電子形式最好分開列，因為存放位置、存取方式與銷毀方法都不同。
個資盤點可以用 Excel 嗎？
可以。中小企業用 Excel 或試算表管理清冊就足夠，重點是欄位完整、每項都有負責人，並定期更新。個資項目多、部門多的企業，可以考慮用專門的管理工具，方便追蹤修改紀錄與風險處理進度。
參考資料
- 個人資料保護法施行細則第 12 條 – 適當安全維護措施的 11 項事項。全國法規資料庫
- 個人資料保護法 – 現行條文第 2 條定義、第 11 條刪除、第 20 條行銷。全國法規資料庫
- 數位經濟相關產業個人資料檔案安全維護管理辦法 – 第 6 條定期清查、第 7 條風險評估。行政院公報 · 數位發展部
- 經濟部個資作業手冊 – 個資盤點表、填寫說明及填寫範例（113 年 11 月版）。經濟部經濟法制司
- 個人資料保護法之特定目的及個人資料之類別 – 特定目的與個資類別代號。法務部等 · 民國 101 年 10 月 1 日
