第一個客戶打來說，他剛在官網買完東西，就有人冒充客服說訂單異常，要他重新付款。
第二個客戶說，他也接到一模一樣的電話。
這時候品牌最容易犯的錯，不是沒有第一時間寫出漂亮的道歉稿，而是急著否認、急著刪紀錄，或急著把責任推給購物車平台。
事情真的發生時，管理者需要的是一個能執行的處理順序。
真實案例：同樣的詐騙電話，不只打給一名客戶
2024 年新竹地方法院一件訂房資料外洩判決中，法院引用多名訂房客戶在相近時間接到冒名詐騙電話的事實，認定資料來自店家的訂房系統，並就其中一名消費者的 283,115 元損失判業者賠償 84,935 元。
判決也提到，業者接獲相關反映後曾公告提醒、暫停訂房系統並寄送通知。法院審查的是事故前的安全管理措施、事故後的通知處置及兩者與損害之間的關係。
所以當第一通客訴進來，最重要的工作不只是「跟客戶說我們會處理」，而是開始留下可以查證的事實。
最初幾個小時，先把三件事做對
第一，控制風險。確認異常帳號、可疑介接與可能持續外流的資料路徑；涉及系統關閉、帳號停用及憑證撤換時，由有權限的技術人員評估執行，避免處置本身破壞關鍵證據。
第二，保護證據。保存平台工單、告警時間、後台權限清單、會員匯出紀錄、關鍵日誌與內部處置時間線。先註明哪些事情已確認，哪些只是客戶或供應商的初步說法。
第三，建立窗口。指定能統一收集資訊的人，讓客服、技術、法務和購物車平台知道誰負責對外回覆；不讓不同人各自宣稱「一定不是我們的問題」。
品牌向平台要什麼資料，比問「是不是你們害的」有用
| 要求的資訊 | 為什麼需要 |
|---|---|
| 事故已確認的時間與系統範圍 | 對照自己的會員、訂單與匯出活動 |
| 受影響的資料欄位與時間區間 | 判斷可能涉及哪些消費者 |
| 平台已採取的控制措施 | 評估品牌端是否還需要額外處置 |
| 能提供的日誌或調查摘要 | 在合法與保密範圍內建立事實依據 |
| 後續更新與客戶通知窗口 | 避免品牌與平台向消費者說出互相矛盾的資訊 |
反過來，品牌也要確認自己的 CRM、EDM、物流及客服系統有沒有相同資料的副本。平台能證明自己某個系統沒有異常，不等於所有資料副本都已經安全。
通知與通報，不能用一個「72 小時」回答所有產業
臺灣《個人資料保護法》及各業別安全維護規範，對事故通知、通報有不同適用條件。
例如符合《零售業個人資料檔案安全維護管理辦法》適用條件的業者，依該辦法第 12 條，發現事故時起 72 小時內須通報主管機關；其他業別則要確認各自現行規定。不能把零售業的期限直接套到所有電商公司。
2025 年個資法部分修正條文公布後，官方也標示部分規定尚未生效。事故發生時必須核對當時已生效的法源，並讓法律及事故窗口同步判斷，不要因為在網路上看到新條文就誤用。
官司、公告都處理完，事情還沒有真正結束
一場事故可能動用律師、技術鑑識、客服、主管與供應商。甚至等爭議解決後，原本的權限管理、個資流向及通知流程仍需要改善。
事後花錢處理損失，不會自動把事前存在的管理缺口修好。
平時先知道誰能接觸會員資料、誰能匯出、各平台有什麼日誌，真的遇到事故時，至少不必從「我們到底有哪些系統」開始查起。
延伸閱讀：個資外洩一場官司的成本粗估；電商品牌個資查核證據清單。