公司網站突然無法登入、資料庫出現異常存取紀錄，甚至接獲勒索訊息，表示駭客可能已經取得客戶資料。
這時候，公司應該立刻通知所有會員嗎？一定要通報主管機關嗎？如果客戶提出賠償要求，企業是否必須負責？
公司網站遭駭，不代表企業一定違反個資法，也不代表所有客戶求償都會成立。 但企業必須迅速確認事故範圍、控制損害、保存證據，並依現行個資法及所屬產業規範評估通知、通報和賠償責任。
網站遭駭後最重要的不是立即尋找免責理由，而是先做對處理順序。若事故初期刪除紀錄、貿然重灌或錯誤對外說明，反而可能讓後續責任更難釐清。
壹、先說結論：公司網站被駭，應優先完成六件事
隔離遭入侵的系統。 限制攻擊持續擴散，但應兼顧必要的數位證據保存。
確認是否涉及個人資料。 單純網站停擺與客戶個資遭竊，是不同的法律問題。
保存完整事故證據。 系統日誌、登入紀錄、備份、異常存取及廠商往來資料都可能影響責任判斷。
確認通知及通報義務。 現行個資法第12條、產業安全維護辦法及特別法可能分別規定不同義務。
評估企業是否已盡安全維護義務。 公司遭駭不當然等於違法，但原有防護制度及事後處置可能成為調查重點。
檢查客戶及委外廠商責任。 客戶是否可以請求賠償，以及企業能否向資訊廠商求償，必須分別判斷。
貳、公司網站被駭，法律上先看哪些問題？
一、網站遭駭，不一定等於個資外洩
網站遭到攻擊，可能產生不同情況。
有些攻擊只造成服務中斷，例如大量異常流量使網站無法正常提供服務；有些攻擊則會進一步取得後台權限、下載會員名單，或將資料庫加密勒索。
法律上的第一個問題，是確認事故是否涉及可以識別特定自然人的資料。
姓名、電話、電子郵件、會員紀錄、訂單資料及其他能直接或間接識別個人的資訊，都可能屬於個資法規範的個人資料。
如果只有公開網站內容遭竄改，尚無證據顯示客戶資料受到侵害，就不能直接把事件描述為已確認的個資外洩。
但未發現資料下載，也不當然代表資料沒有遭到未授權存取，仍須透過技術調查釐清。
二、公司被駭，一定違反個資法嗎？
不一定。
依現行個人資料保護法第27條，非公務機關保有個人資料檔案者，應採行適當安全措施，防止個資遭竊取、竄改、毀損、滅失或洩漏。
企業是否盡到這項義務，應考量公司業務、持有資料種類、風險程度及實際安全措施。
例如：
是否有適當的帳號權限管理？
是否持續修補已知重大系統漏洞？
是否保護儲存個資的資料庫？
是否訂有委外管理與事故應變流程？
是否落實適用的產業安全維護規範？
不是企業使用了防火牆就必然免責，也不是遭遇駭客攻擊就一定有過失。
三、個資法第27條不是已經刪除了嗎？
這是企業特別容易誤解的修法問題。
個人資料保護法於2025年11月11日公布修正，包含刪除第27條，以及調整個資安全維護與行政監督制度。
不過，修法公布不等於立即施行。依目前公告的施行狀態，這次修法的施行日期仍待行政院訂定，原第27條仍屬現行有效規定。
因此，公司現階段不能以「第27條已經刪除」為由，主張不再負有個資安全維護義務。
參、個資外洩後，企業有哪些通知與通報義務？
一、什麼情況要通知客戶？
依現行個人資料保護法第12條及其施行細則，企業知悉所保有的個人資料違反本法規定而遭竊取、洩漏或發生其他法定事故時，應依法通知當事人。
因此，不是所有網站攻擊都需要直接對全體客戶發送外洩通知。
公司應先確認是否涉及個資、是否有違反個資法的情形，以及受影響對象與資料範圍。
必要時可先告知已確認的事故事實及防護建議，再依後續調查結果補充說明。
二、通知客戶應該包含哪些內容？
企業應依適用法令與實際掌握資訊，說明事故涉及哪些資料、目前已確認的風險，以及公司採取的補救措施。
例如涉及會員帳號密碼，可能需要要求使用者重設密碼；若涉及付款相關資料，則可能需要提醒客戶留意異常交易。
通知內容應避免過度保證。
若尚未完成調查，不宜宣稱「確認沒有任何資料外洩」，也不應將尚未證實的資訊直接描述成事實。
三、所有公司都必須向主管機關通報嗎？
不能直接這樣判斷。
個資法2025年修正公布的新制，增訂了符合一定範圍的個資事故通報機制，但相關修正條文尚有施行日期問題。
現階段是否負有通報義務，仍應依企業所屬產業已生效的安全維護辦法、相關行政規範，以及是否屬資通安全管理法適用對象判斷。
例如金融機構、特定關鍵基礎設施提供者或受其他專門規範的業者，可能有額外的通報程序及時限。
一般企業不能把所有產業的規定直接套用，也不能因為新制尚未施行，就忽略目前已存在的產業通報義務。
四、個資外洩一定要在72小時內通報嗎？
不能將72小時當成所有台灣企業共同適用的法定期限。
24至72小時可以作為企業內部啟動緊急調查、法律評估及初步通知工作的管理目標，但不是所有產業一律適用的法定通報期限。
真正的期限應依現行有效的產業規範及適用法令確認。如果有較短的法定期限，企業必須依該期限處理。
肆、不同網站遭駭情況，法律結果有什麼差別？
情況一：網站遭攻擊，但沒有證據顯示個資受到侵害
此時應先進行資安事故調查。
如果確實沒有個資遭違法存取、竊取或外洩，也沒有違反其他法定安全義務，未必會產生個資法上的賠償責任。
但企業仍應保存相關事故資料，不能只因目前沒有客訴，就認定調查已經完成。
情況二：駭客取得會員資料，公司安全管理存在重大缺失
如果公司長期使用已知有重大漏洞的系統，沒有合理修補措施，導致駭客取得客戶個資，就可能涉及個資安全維護義務違反。
後續還必須確認事故與公司違反義務之間的關聯，以及客戶是否因此受到損害。
情況三：公司已採取合理防護，仍遭到新型攻擊
即使已落實合理安全措施，企業仍可能遭遇難以預見的攻擊。
依個資法第29條，非公務機關違反本法規定致當事人權利遭侵害，原則上負損害賠償責任；但若能證明自己沒有故意或過失，得主張免責。
因此，既有防護制度、弱點修補紀錄、委外稽核資料及事故應變紀錄，都可能成為重要證據。
情況四：委外資訊廠商管理不當導致資料外洩
例如企業委託外部廠商維護網站，但廠商未依約修補重大漏洞，或未落實約定的安全管理措施，造成客戶資料遭取得。
此時除了企業與客戶之間的責任，也需要檢查企業與資訊廠商間的契約義務及賠償分擔。
企業不得只因委外，就當然認為自己不再負責。
情況五：公司遭到勒索軟體攻擊
若系統遭加密、業務中斷，但是否有資料遭竊仍不明，應同步處理系統隔離、證據保存、備份驗證及法律義務評估。
支付贖金並不保證資料可以復原，亦不保證攻擊者會刪除取得的資料。
如涉及特定制裁對象、異常資金流向或其他違法情形，還可能衍生額外法律風險。不能將支付贖金當作已完成事故處理。
伍、網站遭駭後，公司應保存哪些證據？
一、技術證據
系統日誌、伺服器紀錄、資料庫存取紀錄、異常登入、權限變更、網路流量、惡意程式樣本及相關備份，都可能協助確認攻擊途徑。
數位證據保存時，應注意紀錄完整性與取證過程，避免後續無法證明內容是否遭變更。
二、管理與防護證據
包括資訊安全政策、權限管理紀錄、弱點掃描報告、修補紀錄、教育訓練、備份制度及內部稽核資料。
這些證據可能影響主管機關或法院對企業是否採取適當安全措施的判斷。
三、委外契約與溝通證據
如果網站由系統商、雲端商或資安公司管理，應保留委外契約、服務水準協議、問題回報紀錄、維修單及事故前後的電子郵件。
尤其需要確認廠商承諾的服務範圍，是否包括系統更新、弱點修補及事故應變。
四、事故處理與客戶通知證據
企業應建立事故時間軸，記錄何時發現、由誰處理、採取何種措施、何時完成調查，以及通知了哪些對象。
這些紀錄不只是內部管理資料，也可能成為日後面對主管機關調查與民事求償時的重要證據。
陸、公司網站被駭後，前24至72小時應該怎麼做？
第一步：立即控制風險
發現異常時，先由資訊人員或資安廠商隔離受影響設備、停用遭入侵帳號、阻斷不正常連線，並防止攻擊擴散。
重要系統的處置應與證據保存同步規劃。
第二步：保存現有數位證據
在不妨礙緊急阻斷攻擊的前提下，保存系統日誌、必要的系統映像及其他可供鑑識的資料。
不要貿然刪除紀錄或直接重灌，否則可能影響後續事故原因分析。
第三步：確認資料是否受影響
檢查駭客是否取得帳號權限、存取個資、匯出資料庫，或造成個人資料毀損與滅失。
應盡可能區分「已確認受影響」、「合理懷疑受影響」與「目前沒有證據顯示受影響」的範圍。
第四步：進行法律與通報義務評估
由企業管理階層、資訊人員及法律人員共同確認：
本次事件是否涉及個資法、是否需要通知當事人、是否受到產業通報規範拘束，以及有無相關契約義務。
如適用法令有明確期限，必須優先依該期限辦理。
第五步：通知相關對象並提出必要補救措施
若依法需要通知客戶，應以清楚、可以理解的方式說明已知事實、風險及防護措施。
必要時提供重設密碼、帳號保護、交易異常提醒等實際協助。
第六步：啟動責任調查與後續改善
事故獲得控制後，應檢視漏洞來源、委外廠商契約、客戶提出的損害資料，以及是否需要向責任廠商求償。
同時修正安全管理流程，降低再次發生的風險。
柒、企業處理個資外洩最常見的錯誤
一、網站恢復正常，就認為事故已經結束
網站恢復運作，只能代表部分技術問題獲得處理，不代表個資外洩風險已經排除。
二、認為駭客才是犯罪者，公司一定不用負責
駭客的犯罪責任與企業的個資安全維護責任，是不同的法律問題。
公司仍可能因未盡安全措施或違反其他義務而負責。
三、直接重灌，沒有保存任何證據
貿然重灌可能使重要紀錄無法回復，影響後續鑑識、保險理賠及責任追究。
四、沒有查清楚就對外保證資料絕對安全
不精確的公告可能造成客戶誤解，也可能增加後續爭議。
公司應以調查確認的事實為基礎對外說明。
五、把所有責任直接推給網站外包廠商
企業雖可依契約檢討外包商責任，但對客戶及主管機關的法定義務，不會當然因為委外而消失。
捌、企業法律顧問如何協助處理資安與個資外洩事件？
一、建立適用法規清單
法律顧問應先確認企業產業別、持有個資種類，以及適用的個資法、產業安全維護辦法和相關契約義務。
不同產業與企業規模，可能有不同的法遵要求。
二、審查客戶通知及對外聲明
事故公告不只是公關問題，也可能影響後續法律爭議。
律師可協助確認用語是否符合已知事實、是否適當說明風險，以及是否不必要地暴露其他客戶資訊。
三、評估客戶損害賠償
客戶若主張因資料外洩遭詐騙、盜刷或隱私侵害，應檢查損害證據及因果關係。
依個資法第29條與第28條相關規定，可能涉及財產損害、非財產損害及法定計算方式，並非每件個資事故都有相同賠償金額。
四、檢查資訊廠商是否違約
企業可以依委外契約檢查資訊廠商有無未履行約定的安全維護、修補或通報義務。
如存在債務不履行或侵權行為，也可能依民法評估求償。
不過，仍需檢查契約責任限制條款、損害範圍與因果關係。
五、建立事故後的法遵管理制度
企業真正需要改善的，通常不只是網站漏洞。
包括員工權限、委外契約、資料保存期間、事故通報窗口及內部應變流程，也應納入整體檢討。
謹律法律事務所提供
，可協助企業審查契約、評估個資法遵及處理突發法律爭議。
玖、常見問題 FAQ
Q1：公司網站被駭，一定要通知所有客戶嗎？
不一定。應先區分網站遭駭與個人資料受到侵害是否為同一件事。依現行個資法第12條及施行細則，符合規定的個資事故有通知當事人的義務。如果只是網站服務中斷，沒有涉及相關個資侵害，不應直接認為一定要對所有會員發出外洩通知。實際仍需確認事故範圍及適用法令。
Q2：客戶個資外洩，公司一定會被罰嗎？
不一定。主管機關須依具體違規行為及現行法規判斷是否裁罰。企業是否採取適當安全措施、是否違反產業安全維護規定，以及事故後有無履行應有義務，都可能影響結果。公司遭到駭客攻擊的事實，本身並不能直接等同於已構成應受行政處罰的違法行為。
Q3：公司被駭客入侵，客戶可以要求多少賠償？
沒有每件事故都適用的固定賠償金額。依個資法第29條準用第28條相關規定，受害人可能請求財產及非財產損害賠償。若不易或不能證明實際損害額，法律另有依侵害情節計算的規定，但必須符合適用要件及相關限制，不能把法定計算範圍理解成每位受害人當然能領到的金額。
Q4：客戶資料被偷走，但公司沒有故意外洩，也要賠嗎？
可能。個資法第29條並不只處理故意洩漏，也涉及企業違反個資法規定所造成的侵害。若企業未盡合理安全維護義務，可能需要負擔賠償責任。不過，該條亦規定企業能證明自己沒有故意或過失時得免責，因此完整的防護紀錄及事故調查資料相當重要。
Q5：公司委託外包廠商維護網站，資料外洩還要負責嗎？
仍可能需要負責。企業不能單憑網站由其他公司管理，就主張所有個資法義務都已移轉。應分別檢查企業本身的安全維護及監督義務，以及外包廠商是否依約履行管理工作。若廠商存在違約或其他可歸責情形，企業可能另依契約或民法請求賠償。
Q6：個資外洩後，一定要在72小時內通報嗎？
不是所有企業都適用相同的72小時規定。台灣企業應依現行有效的個資法、產業安全維護辦法及其他特別法確認通知或通報義務。24至72小時可以作為內部快速應變的工作目標，但不能取代法律規定的期限。若特定產業規定更短的時間，就應依該規定辦理。
Q7：公司被勒索軟體攻擊，支付贖金就能免責嗎？
不能。即使支付贖金，也不代表駭客會歸還或刪除資料，更不代表企業已經完成個資法義務。公司仍須評估個資是否受到侵害、需要採取何種通知或補救措施，以及是否有法律或契約責任。涉及不明收款對象時，還應審慎檢查其他法律風險。
Q8：公司發現網站被駭，可以立刻重灌伺服器嗎？
應避免在完全沒有保存必要證據的情況下直接重灌。系統日誌、惡意程式、異常登入及存取紀錄，可能是確認攻擊原因的重要資料。較妥當的做法是在緊急控制風險的同時，由資安專業人員評估數位鑑識與證據保存，再進行必要的修復或重建。
Q9：企業可以向資訊廠商或雲端服務商請求賠償嗎？
有可能。若廠商依契約應負責安全維護、漏洞修補或事故應變，卻未履行約定，並造成企業損害，就可能涉及債務不履行責任。但企業仍須確認契約義務、違約事實、損害及因果關係，也要審查責任上限或免責條款是否有效。
Q10：個資外洩後，企業第一步應該找律師還是資安廠商？
兩者處理的問題不同，重大事故通常應同步啟動。資安廠商負責阻斷攻擊、調查技術原因及保存數位證據；法律人員則評估個資法及產業通報義務、客戶通知、契約責任與賠償風險。若只進行技術修復，卻忽略法律期限與通知義務，仍可能留下後續爭議。
拾、結論：網站遭駭後，企業最重要的是處置順序與證據
公司網站被駭，並不表示公司一定違法或一定要賠償所有客戶。
但企業應迅速控制攻擊、確認個資是否受到侵害、保存事故紀錄、評估通知通報義務，並檢查自身及委外廠商的責任。
真正影響企業法律風險的，通常不只是有沒有被駭，而是事故發生前採取了哪些合理防護，以及事故發生後是否依法妥善處理。
如果公司已經發現大量會員資料遭異常存取、收到勒索要求、接獲客戶求償，或已收到主管機關調查通知，建議整理系統紀錄、委外契約、事故時間軸及對外通知資料，再進行法律責任評估。
謹律法律事務所可透過
，協助企業釐清現階段的法律義務、契約爭議及後續處理方向。
延伸閱讀
謹律法律事務所｜桃園法律諮詢
謹律法律事務所協助處理企業個資外洩、網站遭駭、資安事故、個資法遵、民事損害賠償及委外廠商契約爭議，依個案情況評估通知與通報義務、證據保存、賠償責任、協商及訴訟程序。
聯絡電話：03-335-1177
電話諮詢：0907-010-257
官方 LINE：@best1177
