會員資料外洩，企業一定會被罰 1,500 萬嗎？不一定。這個數字是特定違規類型的法定上限，不是每發生一起個資外洩事故就自動開出的罰單。真正要問的是：企業違反了哪項義務？主管機關查到哪些事實？有沒有安全維護措施與執行紀錄？
更值得經營者注意的是：「公司有制度」、「現場有執行」與「能提出執行證據」是三件事。事故發生後，沒有資料證明做過什麼，往往讓責任釐清更困難。
2026 年個資法罰則：先看這張表
以下依截至 2026 年 10 月 21 日已施行的個人資料保護法整理，主要針對非公務機關。具體裁罰仍須依事實、適用條文及主管機關認定。
| 常見違規類型 | 主要依據 | 罰鍰與處理方式 |
|---|---|---|
| 違法蒐集、處理或利用個資，例如不符第 19 條法定要件 | 第 47 條 | 5 萬～50 萬元，並命限期改正；屆期未改正可按次處罰 |
| 未履行法定告知、當事人權利處理等特定義務 | 第 48 條第 1 項 | 先限期改正；屆期未改正，按次處 2 萬～20 萬元 |
| 未採適當安全措施，或依法應訂卻未訂安全維護計畫 | 第 48 條第 2 項 | 2 萬～200 萬元，並命限期改正；屆期未改正，按次處 15 萬～1,500 萬元 |
| 前述安全維護違規情節重大 | 第 48 條第 3 項 | 15 萬～1,500 萬元，並命限期改正；屆期未改正可按次處罰 |
| 公司依第 47～49 條受罰，且代表人、管理人或其他有代表權人無法證明已盡防止義務 | 第 50 條 | 該負責人可能另受同一額度罰鍰，不是公司罰鍰自動轉嫁 |
這裡最容易被誤讀的是第 48 條：一般安全維護違規的首次裁罰級距，和限期改正後仍不改善、或情節重大的級距不同。不能只拿最高上限當標題，卻不講觸發條件。
法源：個人資料保護法（民國 112 年修正、現行已施行條文）。
2025 年修法已公布，為什麼 2026 年還不能直接套用所有新條文？
2025 年 11 月公布的《個人資料保護法》修正，調整了主管機關、事故通報、安全維護義務等制度設計。但截至本文查核日，全國法規資料庫仍明確標示：這次修正的部分條文施行日期由行政院另定，尚未生效。
因此，查詢罰則時必須區分「公布的新條文」與「已施行的條文」。把尚未施行的通報或裁罰規定寫成現在已全面上路，會讓企業錯估義務與時程。法規可能繼續變動，實際案件應再核對主管機關公告。
使用第三方購物車，品牌還會被罰嗎？
會不會受罰，取決於品牌自己的法定義務與個案事實，而不是網站由誰架設。
例如品牌使用 91APP、SHOPLINE 或其他購物車服務，平台可能負責系統維運，品牌仍可能自行決定會員資料的蒐集目的、行銷使用方式、員工權限、匯出名單與外部委託對象。
假設平台表示：「系統沒有發現異常，資料可能從品牌端流出。」
品牌要如何反證？至少得先掌握：誰有後台權限、哪些人能匯出資料、何時提供資料給物流或行銷供應商、相關操作紀錄是否存在。證據不足不等於證明資料從品牌端外洩；但當企業無法重建自己的作業過程，責任調查便更困難。
負責人一定跟公司一起被罰嗎？
不是「公司被罰，老闆一定跟著罰」。現行第 50 條規定，符合特定條件時，代表人、管理人或其他有代表權人可能並受同一額度罰鍰；但法律也明定，能證明已盡防止義務者不在此限。
真正有幫助的，不是事故後補一份漂亮的政策，而是日常就能提出可核對的證據，例如權限審核紀錄、教育訓練、委外監督、資料匯出流程與缺失改善紀錄。這些資料不會自動保證免罰，卻能具體說明組織做了哪些防止措施。
被要求說明個資管理時，先整理哪五類證據？
| 查核問題 | 優先提出的資料 | 常見缺口 |
|---|---|---|
| 會員資料存放與流向在哪裡？ | 系統清冊、資料流向圖、匯出與串接清單 | 只知道購物車有資料，不知道下載後去哪裡 |
| 哪些人能接觸個資？ | 人員帳號清冊、權限分級、離職停權紀錄 | 共用帳號、權限多年未複核 |
| 個資曾交給哪些廠商？ | 委外名單、合約、資料交付紀錄 | 廣告、物流、客服供應商未納管 |
| 發生事故時如何追查？ | 日誌保存政策、事件紀錄、通報與應變流程 | 平台有日誌，但品牌不知道能否調閱 |
| 查到缺口後有改善嗎？ | 缺口清單、負責人、改善完成證據 | 有開會，卻沒有關閉問題的紀錄 |
請注意，證據項目要依企業的實際系統與所適用法規調整；不能要求每一家業者都提供平台本身不開放的日誌，更不能臨時製造不存在的歷史紀錄。
常見問題
個資外洩是不是一定違反個資法？
不能直接畫上等號。是否違法，仍需看事故事實、企業是否履行法定義務、是否採取適當安全措施等。但發生事故也不是一句「我們有做資安」就能排除責任。
公司罰 135 萬，負責人也可能罰 135 萬嗎？
依法在符合第 50 條要件時，確實可能有公司與個人分別裁罰的情況。但個案金額、裁罰原因及負責人是否已盡防止義務，都要看裁處書與證據，不能把案例當成所有公司的固定罰款。
有 ISO 27001 證書就不會受罰嗎？
不會。ISO 27001 是資訊安全管理系統的第三方驗證，不是個資法免責證明。主管機關仍會檢視個案適用的法律義務與具體管理事實。
真正該提前準備的不是「被罰以後怎麼辯解」，而是「需要說明時，有哪些事實可以證明」。當需要釐清責任時，能提出哪些事實與執行紀錄，才是比較重要的問題。
法規查核日期：2026-10-22。本文為企業管理與法規資訊整理，不取代特定案件法律意見；裁罰及通報義務請以個案適用的已施行法令為準。
同主題延伸閱讀：personal data breach lawsuit cost、personal data penalties cases。