「我們一直都有在管理會員資料。」
這句話平常很容易講。直到客戶或主管機關問：「那離職員工何時停權？去年有哪些人匯出過完整會員名單？」
如果回答是「應該都有做」，問題就出現了。
有制度、有執行，以及能證明有執行，是三回事。
真實判決：店家有委外架站，法院為什麼還是看管理措施？
新竹地方法院 112 年度簡上字第 143 號判決裡，店家花了 69,888 元委請廠商建置訂房網站，但法院發現，當時後台缺少兩段式驗證，部分個資也沒有適當遮蔽。
消費者訂房後遭詐騙 283,115 元，法院最終判店家賠償 84,935 元。這個判決提醒企業：把程式交給廠商，不會自動讓自己的資料管理工作完成。
八項最先應該找得到的證據
| 項目 | 不只看有沒有，還要問什麼 |
|---|---|
| 1. 員工後台帳號清冊 | 現在有哪些帳號？有沒有共用帳號？ |
| 2. 角色與權限設定 | 誰能看完整會員資料？誰有匯出權限？ |
| 3. 離職與調職停權紀錄 | 人資名單能否對上平台實際停權時間？ |
| 4. 會員資料匯出紀錄 | 誰在什麼時間匯出哪些欄位？能查多久？ |
| 5. 委外廠商清單 | 物流、CRM、行銷、客服供應商各接觸哪些資料？ |
| 6. 資料交付或介接紀錄 | CSV、API、雲端硬碟與手工檔案各由誰管理？ |
| 7. 事故處理紀錄 | 客戶反映、平台回覆、內部判斷與通知版本是否保留？ |
| 8. 教育訓練及稽核紀錄 | 誰參加、發現什麼、問題後來有沒有改？ |
不是每個購物車平台都能提供相同程度的操作日誌。平台沒有提供某項功能，應該註明能查到哪裡，再找其他合法可取得的佐證。
最怕的是公司以為「系統應該有紀錄」，直到真的要查才發現根本沒開，或保存期限早就過了。
有沒有一個法律上的保存年限？
如果公司適用《零售業個人資料檔案安全維護管理辦法》，第 15 條要求留存個資使用紀錄、設備軌跡資料或其他相關證據，期限至少五年；第 9 條也明定權限管理及離職識別碼取消等事項。
但這是特定零售業辦法，不是所有電商都能直接套用同一套條款與年限。企業仍要確認自身業別與適用規範。
沒有紀錄，怎麼辦？
先把狀態分開。不要因為主管希望看到一張全綠的清單，就把不存在的紀錄當成已完成。
| 查核狀態 | 表示什麼 |
|---|---|
| 已有證據 | 在查核範圍內，能提出可核對的紀錄 |
| 已確認缺口 | 控制措施確實不存在，或未按要求運作 |
| 證據不足 | 有人表示曾執行，但尚缺足以證明的資料 |
| 查核受限 | 權限、平台功能或保存期間使現階段無法確認 |
有些歷史紀錄已經不可能追回。這時要如實標記未知，確認有沒有其他證據，再把未來應保留的軌跡補進日常流程。
因為事故真的發生時，查問題的成本不只有技術工時。企業還可能為了說明同一段資料的去向，動用主管、客服、律師及外部鑑識。
今天找不到的證據，不一定代表公司沒做事；但明天需要解釋時，缺少紀錄就可能讓一件原本單純的事情變得昂貴。
延伸閱讀：零售業個資安全維護計畫的法定要求；個資外洩後第一時間怎麼處理？。