公司有個資保護政策，也要求員工簽保密條款。
但主管問一句：「去年離職的同事，還能不能登入會員系統？」大家突然不知道該去哪裡查。
個資安全維護計畫真正值錢的地方，不是把文件寫好看，而是能回答這種問題。
不是所有網路商店，都適用同一套零售業辦法
先看適用範圍。經濟部《零售業個人資料檔案安全維護管理辦法》於 2024 年 11 月修正，第 3 條主要涵蓋符合條件的實體零售、實體兼網路零售業者：已辦理登記、資本額達 1,000 萬元以上，且招募會員或取得交易對象個資；也包括經主管機關指定者。其他專業管理行業另有規範。
純網路商店、不同業別或不符合門檻的公司，不能只看到「零售業」三個字就直接套用全部條款。這不代表不適用這份辦法就不用遵守個資法。電子購物與其他資訊服務業，還需要核對各自的主管機關及適用規定。
主管機關要看的，不是只有一份 SOP
對適用這份辦法的企業而言，第 6 條列出安全維護計畫應涵蓋的事項。翻譯成日常管理問題，大致是：
| 管理工作 | 經營者真正需要能回答的事 |
|---|---|
| 個資範圍與處理流程 | 公司到底持有什麼會員資料、放在哪些系統？ |
| 帳號與人員管理 | 誰有權限？員工離職時，帳號和資料是否確實交接、停用？ |
| 教育訓練與資料安全 | 規定有沒有落實？最近一次訓練、檢查留了什麼紀錄？ |
| 事故預防與應變 | 發現異常時誰接手，怎麼控制風險、通知及通報？ |
| 稽核與改善 | 問題由誰追蹤？改善完成後誰再驗證？ |
| 使用紀錄與證據 | 會員資料被誰用過、何時匯出，有什麼可追溯資料？ |
文件上寫了「離職立即停權」，是一回事；能拿出離職名冊與各系統的停權時間，是另一回事。
72 小時、五年，法條上真的有數字
這兩個數字常被誤用，但對適用該辦法的業者確實重要。
72 小時：第 12 條要求，依事故預防、通報及應變機制，在發現事故時起 72 小時內通報主管機關，並辦理原因查明、通知當事人及改善。
至少五年：第 15 條規定，個資使用紀錄、設備軌跡資料或其他相關證據資料，保存期限至少五年。
這是該辦法適用對象的要求，不是所有臺灣企業一律適用同樣期限。
另外，2025 年公布的《個人資料保護法》部分修正條文，截至本文更新時，官方仍標示施行日期未定。查法規不能把尚未生效的新條文，當成已經全面實施的現行義務。
真正容易出事的，是資料流不在文件上
用第三方購物車的品牌，可能把訂單同步到客服系統、會員名單交給 EDM 工具，物流資訊再傳給履約廠商。
你可能有一份寫得很完整的管理計畫，卻從沒把這些平台外的資料副本列進去。等到客戶問資料從哪裡流出時，才發現負責人、權限清冊和存取紀錄分散在不同部門。
安全維護計畫不一定要寫得厚。真正困難的是：制度說公司會做的事，公司能不能持續做，出了問題又能不能證明曾經做過。
把問題發現得早，通常還有時間調整流程。等事故發生才開始查哪些帳號存在、哪些資料曾外流，成本就不只是一份文件的工時。
延伸閱讀：品牌個資管理需要留哪些證據？；個資外洩事件發生後怎麼處理？。