個資法罰則 2026｜公司與負責人怎麼罰？最高 1,500 萬的適用條件

建檔日期 2026-10-22內容更新 2026-10-22

會員資料外洩，企業一定會被罰 1,500 萬嗎？不一定。這個數字是特定違規類型的法定上限，不是每發生一起個資外洩事故就自動開出的罰單。真正要問的是：企業違反了哪項義務？主管機關查到哪些事實？有沒有安全維護措施與執行紀錄？

更值得經營者注意的是：「公司有制度」、「現場有執行」與「能提出執行證據」是三件事。事故發生後，沒有資料證明做過什麼，往往讓責任釐清更困難。

2026 年個資法罰則：先看這張表

以下依截至 2026 年 10 月 21 日已施行的個人資料保護法整理，主要針對非公務機關。具體裁罰仍須依事實、適用條文及主管機關認定。

常見違規類型	主要依據	罰鍰與處理方式
違法蒐集、處理或利用個資，例如不符第 19 條法定要件	第 47 條	5 萬～50 萬元，並命限期改正；屆期未改正可按次處罰
未履行法定告知、當事人權利處理等特定義務	第 48 條第 1 項	先限期改正；屆期未改正，按次處 2 萬～20 萬元
未採適當安全措施，或依法應訂卻未訂安全維護計畫	第 48 條第 2 項	2 萬～200 萬元，並命限期改正；屆期未改正，按次處 15 萬～1,500 萬元
前述安全維護違規情節重大	第 48 條第 3 項	15 萬～1,500 萬元，並命限期改正；屆期未改正可按次處罰
公司依第 47～49 條受罰，且代表人、管理人或其他有代表權人無法證明已盡防止義務	第 50 條	該負責人可能另受同一額度罰鍰，不是公司罰鍰自動轉嫁

這裡最容易被誤讀的是第 48 條：一般安全維護違規的首次裁罰級距，和限期改正後仍不改善、或情節重大的級距不同。不能只拿最高上限當標題，卻不講觸發條件。

2025 年 11 月公布的《個人資料保護法》修正，調整了主管機關、事故通報、安全維護義務等制度設計。但截至本文查核日，全國法規資料庫仍明確標示：這次修正的部分條文施行日期由行政院另定，尚未生效。

因此，查詢罰則時必須區分「公布的新條文」與「已施行的條文」。把尚未施行的通報或裁罰規定寫成現在已全面上路，會讓企業錯估義務與時程。法規可能繼續變動，實際案件應再核對主管機關公告。

會不會受罰，取決於品牌自己的法定義務與個案事實，而不是網站由誰架設。

例如品牌使用 91APP、SHOPLINE 或其他購物車服務，平台可能負責系統維運，品牌仍可能自行決定會員資料的蒐集目的、行銷使用方式、員工權限、匯出名單與外部委託對象。

假設平台表示：「系統沒有發現異常，資料可能從品牌端流出。」

品牌要如何反證？至少得先掌握：誰有後台權限、哪些人能匯出資料、何時提供資料給物流或行銷供應商、相關操作紀錄是否存在。證據不足不等於證明資料從品牌端外洩；但當企業無法重建自己的作業過程，責任調查便更困難。

不是「公司被罰，老闆一定跟著罰」。現行第 50 條規定，符合特定條件時，代表人、管理人或其他有代表權人可能並受同一額度罰鍰；但法律也明定，能證明已盡防止義務者不在此限。

真正有幫助的，不是事故後補一份漂亮的政策，而是日常就能提出可核對的證據，例如權限審核紀錄、教育訓練、委外監督、資料匯出流程與缺失改善紀錄。這些資料不會自動保證免罰，卻能具體說明組織做了哪些防止措施。

請注意，證據項目要依企業的實際系統與所適用法規調整；不能要求每一家業者都提供平台本身不開放的日誌，更不能臨時製造不存在的歷史紀錄。

不能直接畫上等號。是否違法，仍需看事故事實、企業是否履行法定義務、是否採取適當安全措施等。但發生事故也不是一句「我們有做資安」就能排除責任。

依法在符合第 50 條要件時，確實可能有公司與個人分別裁罰的情況。但個案金額、裁罰原因及負責人是否已盡防止義務，都要看裁處書與證據，不能把案例當成所有公司的固定罰款。

不會。ISO 27001 是資訊安全管理系統的第三方驗證，不是個資法免責證明。主管機關仍會檢視個案適用的法律義務與具體管理事實。

真正該提前準備的不是「被罰以後怎麼辯解」，而是「需要說明時，有哪些事實可以證明」。當需要釐清責任時，能提出哪些事實與執行紀錄，才是比較重要的問題。

法規查核日期：2026-10-22。本文為企業管理與法規資訊整理，不取代特定案件法律意見；裁罰及通報義務請以個案適用的已施行法令為準。