電商平台個資外洩時，品牌先向平台確認受影響資料，再以簡訊或 Email 通知顧客外洩事實與處置，並依行業辦法判斷要不要通報。顧客問個資外洩怎麼辦，提醒只從官網查證。
個資外洩後，品牌該怎麼通知顧客？
通知要寫清楚哪些資料、哪段期間受影響，品牌做了什麼，顧客該怎麼做；還不確定的寫「仍在確認」，並說明在哪裡更新。
法律依據是《個人資料保護法》（以下簡稱個資法）第 12 條，現行條文是：
公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。
個資法施行細則第 22 條規定，通知內容「應包括個人資料被侵害之事實及已採取之因應措施」，可用電話、簡訊、電子郵件等方式，需費過鉅時可改以網際網路、新聞媒體公開。2025 年 11 月修正公布的第 12 條改為「知悉」外洩即應通知並新增通報規定，但全國法規資料庫標示施行日期未定。
用什麼管道？防詐提醒寫什麼？
用顧客原本收得到的簡訊或 Email 個別通知，加上官網與社群公告。平台若要代發，先確認寄件名義與內容和品牌公告一致；通知裡不放登入或付款連結。防詐提醒寫這三點：
- 品牌不會用 LINE 或電話要求操作 ATM、網路銀行或「解除分期」，也不會索取密碼或簡訊驗證碼。
- 唯一的官方客服帳號與電話。
- 已被聯繫或已轉帳，撥 165 反詐騙諮詢專線。
個資外洩要通報主管機關嗎？通報誰？
要看品牌屬於哪個行業、適用哪一部會的辦法。和電商相關的兩部辦法都明文規定 72 小時內通報，但適用條件不同。
網路零售：數位發展部辦法
《數位經濟相關產業個人資料檔案安全維護管理辦法》適用「電子購物及郵購業」等行業，第 8 條第 2 項規定：
業者遇有個人資料安全事故，將危及其正常營運或大量當事人權益者，應於知悉事故後七十二小時內依附表二格式通報本部，或通報直轄市、縣（市）政府時副知本部。
來不及的，同條第 3 項要求「應檢附延遲理由或分階段提供」。
實體店兼營網路：經濟部辦法
《零售業個人資料檔案安全維護管理辦法》適用實體店面（含兼營網路銷售）、資本額新臺幣一千萬元以上且有招募會員等條件的業者，第 12 條要求應變機制包括「於發現事故時起七十二小時內，通報主管機關」。
其他情況
- 其他行業另有辦法，依營業項目確認。
- 平台已通報，品牌要不要另外通報，條文沒有直接寫，請向主管機關確認。
- 有詐騙或金錢損失就報警；需要技術協助，依數位發展部 2023 年新聞稿，也可通報臺灣電腦網路危機處理暨協調中心（TWCERT/CC）。
個資法第 8 條告知義務，和外洩通知有什麼不同？
第 8 條管蒐集個資「當下」要告知的事，第 12 條管「出事之後」要通知的事；隱私權政策寫得再完整，也不能取代外洩後的通知。
| 比較項目 | 第 8 條：蒐集時告知 | 第 12 條：外洩後通知 |
|---|---|---|
| 什麼時候 | 向顧客蒐集個資時 | 個資被竊取、洩漏、竄改或其他侵害後 |
| 要說什麼 | 名稱、目的、個資類別、利用方式、顧客權利等 | 被侵害的事實與已採取的因應措施 |
通知與通報之外，品牌還要做哪些應變？
依序做這五件事，換成任何平台出事都適用。
- 向平台確認範圍：以書面請平台回覆哪些欄位、哪段期間受影響、原因為何，是否已通報、是否代發通知。
- 統一客服說法：客服、門市與社群小編用同一份問答，詐騙信截圖集中回報平台。
- 輪替帳號密碼與串接金鑰（API key）：後台管理員改密碼、開啟雙重驗證（2FA）、移除離職與外包帳號；串接的企業資源規劃系統（ERP）、物流、寄信等服務，換發新金鑰並查看存取紀錄。
- 留下處理紀錄：何時得知、通知誰、通報誰，都記下時間。
- 事後重新評估平台：用下方的問題清單再問一次。
冒用平台名義的信件也可能寄給員工，要求重新登入後台。公司信箱還沒有釣魚信過濾的，可參考影響資安的郵件安全服務。
自建網站和使用電商平台，資安責任怎麼分？
用電商平台時，主機與程式由平台管，後台帳號、串接金鑰與通知顧客仍在品牌身上。下表是常見分工，以契約為準。
| 項目 | 自建網站 | 使用電商平台 |
|---|---|---|
| 主機與網路 | 品牌或委託的主機商 | 平台 |
| 程式與套件更新 | 品牌或維護廠商 | 平台 |
| 顧客資料 | 品牌蒐集並保存 | 品牌蒐集，存放在平台系統 |
| 後台帳號與串接金鑰 | 品牌 | 品牌 |
| 出事誰通知誰 | 維護廠商通知品牌，品牌通知顧客 | 平台通知品牌，品牌通知顧客或授權平台代發 |
施行細則第 8 條要求委託者對受託者「為適當之監督」，包括受託者出事時應通知的事項，簽約時就把通知方式寫進契約。自建網站可參考網站被駭的前兆與第一步，以及漏洞新聞怎麼判斷影不影響我。
選電商平台時，該問平台哪些資安問題？
不必判斷哪個平台比較安全，直接請平台回答下列問題，答不出來或不願寫進契約的就是風險。
- 出事時怎麼通知品牌？能否提供受影響的期間與欄位，並代發顧客通知？
- 後台有沒有雙重驗證、角色權限與操作紀錄？
- 個資在後台、通知信與出貨單上是否遮罩？通知信內容保存多久？
- 串接了哪些第三方服務？金鑰怎麼保管與輪替？
- 有沒有定期做弱點掃描或滲透測試？資安驗證（例如 ISO/IEC 27001）是否涵蓋電商系統？
近期有哪些電商個資外洩實例？
資料截至 2026 年 11 月 10 日。以下只摘錄公告原文，調查仍在進行，以最新公告為準。
- 91APP：10 月 16 日重大訊息表示 Commerce Cloud 資料庫受到自動化攻擊、部分資訊遭非法擷取；數位產業署 10 月 20 日新聞稿表示已收到通報並行政檢查。91APP 10 月 29 日重大訊息表示將尋求品牌授權，代為通知可能受影響的消費者。官方說明頁寫明，破口是第三方工具 AppSmith 未及時修補，攻擊者再從內部 GitLab 找到訂單資料庫的金鑰。
- 1shop：10 月 30 日公告，判斷詐騙信用的是「訂單成立通知信」內容，最符合證據的推論是沿用的 Mailgun 金鑰遭他人取得；已改用新金鑰、通知信改為不保存、以 Email 通知可能受影響的顧客，並向主管機關通報。
- Cyberbiz：葡萄王 11 月 4 日重大訊息表示，接獲順立智慧（Cyberbiz）通知其資料庫部分資料遭未經授權之異常存取，當時無法釐清影響範圍；已以官網與簡訊提醒防詐並通報主管機關。
- meepShop：據品牌公告（iThome 11 月 4 日彙整），多個品牌表示所用的 meepShop 系統遭受外部惡意網路攻擊，部分訂單資料可能遭未經授權取得。
不確定自家有沒有破口，下一步怎麼做？
先用上面兩份清單盤點，答不出來的再找專業協助。影響視覺科技旗下的影響資安提供弱點掃描 / 滲透測試、郵件安全 / 防釣魚等服務，可單項導入；想確認從哪一項開始，歡迎預約諮詢。
常見問題
公司資料外洩會觸犯哪些法律？
主要是個資法：現行第 27 條要求採行適當之安全措施，第 12 條規定外洩後通知當事人，各部會辦法另定通報機制。是否違法看個案事實，請諮詢律師。
平台出事，品牌要負責嗎？
責任怎麼分要看事故原因與雙方契約，屬法律判斷，請諮詢律師。品牌面對的是自己的顧客，通知與客服應變不必等責任釐清，平時也有監督平台的義務。
串接的寄信服務 API 金鑰外洩怎麼辦？
到該服務後台作廢舊金鑰、換發新金鑰並更新到系統；再查看存取紀錄判斷哪些資料被讀取，縮短信件保存期間、限縮金鑰權限，並判斷是否通知與通報。
收到個資外洩通知的顧客，該怎麼辦？
不要直接點信件或簡訊裡的連結，改從官網或原本用的 App 查證，客服電話以官網公布的為準；要求操作 ATM 或提供驗證碼的一律是詐騙，已轉帳請撥 165。
參考資料
- 全國法規資料庫，《個人資料保護法》（2025 年 11 月 11 日修正條文施行日期未定，現行第 12 條見同頁「連結舊法規內容」），2026 年 11 月 10 日查閱。law.moj.gov.tw
- 全國法規資料庫，《個人資料保護法施行細則》，2016 年 3 月 2 日修正。law.moj.gov.tw
- 全國法規資料庫，《數位經濟相關產業個人資料檔案安全維護管理辦法》（含附表一適用行業），2023 年 10 月 12 日發布。law.moj.gov.tw
- 全國法規資料庫，《零售業個人資料檔案安全維護管理辦法》，2024 年 11 月 13 日修正。law.moj.gov.tw
- 數位發展部，《數位部：民間企業個資外洩或資安事件可通報TWCERT/CC協處》，2023 年 2 月 6 日。moda.gov.tw
- 數位發展部數位產業署，《91APP電商平台資料庫遭未授權存取 數發部啟動行政檢查，釐清個資影響範圍》，2026 年 10 月 20 日。moda.gov.tw
- 91APP*-KY（6741），《本公司發生網路資安事件說明》，公開資訊觀測站重大訊息，2026 年 10 月 16 日。mopsov.twse.com.tw
- 91APP*-KY（6741），《公告本公司召開重大訊息記者會新聞稿內容》，公開資訊觀測站重大訊息，2026 年 10 月 29 日。mopsov.twse.com.tw
- 91APP，《資安事件說明》，2026 年 11 月 10 日查閱。91app.com
- 1shop，《【重要公告】近期「定期購／重複訂閱」詐騙信事件說明》，2026 年 10 月 30 日（10 月 31 日更新）。support.1shop.tw
- 葡萄王（1707），《說明本公司線上商城「購健康」平台委外服務廠商資安事件，訂單、個資疑似外洩之處理情形》，公開資訊觀測站重大訊息，2026 年 11 月 4 日。mopsov.twse.com.tw
- iThome，羅正漢，《繼91APP遭駭後，1shop、Cyberbiz與meepShop等電商技術服務業者接連傳出資安警訊》，2026 年 11 月 4 日。ithome.com.tw
本文最後更新：2026 年 11 月 10 日