91APP爆個資外洩 經部籲管顧業補強檢核缺口

電商技術服務商91APP*-KY（6741）上月爆出資安外洩事故，涉及品牌共1329家、消費者479.8萬人。經濟部中小企業署示警，管理顧問業者掌握大量企業客戶營運資料，更應提早部署保護機制，避免事件發生後才採取補救措施，可先以經濟部去年編製的《管理顧問業個人資料保護與管理實作指引手冊》中的「個人資料安全自我檢核表」盤點現況、補強缺口，作為接受行政檢查的準備。

經濟部中企署表示，為協助管理顧問業者因應個人資料保護法新制及客戶個資保護需求，昨（4）日舉辦「管理顧問業個資宣導說明會」，邀請資安及個資領域專家分享，協助業者掌握AI時代的防詐、資安及個資保護重點。

中企署強調，近期某大型電商服務平台訂單資料庫遭非法存取，多家合作品牌及消費者個資面臨外洩與遭詐騙利用的風險，顯示將電商平台、資訊系統或個資處理作業委由外部廠商辦理，並無法免除企業自身的個資保護責任。業者仍應善盡對委外廠商的選任及監督責任，定期檢視其資安防護、帳號權限、漏洞修補及事故通報應變機制，並透過契約約定與查核作業，確保受託廠商落實安全維護，並在法令要求、行政監督及法院判決均趨向加重企業個資保護義務的情況下，管顧業者掌握大量企業客戶營運資料，更應提早部署保護機制，避免事件發生後才採取補救措施。

中企署表示，管理顧問業長期協助中小微企業升級轉型，也是推動企業個資保護的重要夥伴，中企署自去年編製《管理顧問業個人資料保護與管理實作指引手冊》並公開上網後，截至115年10月底已逾4萬人次瀏覽、3031人次下載運用。指引手冊依輔導業者的實務經驗編製，兼顧大型顧問機構與中小型顧問公司的實務情境，有助業者建立合規制度，有效落實客戶個資保護。

中企署指出，管理顧問業在提供中小微企業服務過程中，經常處理行銷、財務、永續發展、國際驗證及人力資源等跨領域的客戶營運資料。隨著大數據、生成式AI及代理式AI等工具逐步導入顧問服務，個資處理的規模、速度與複雜度同步提升，業者在運用AI提升服務效率的同時，也須留意資料不當揭露、內容真實性、權限控管，以及AI遭詐騙集團利用等新型風險。

依《個人資料保護法》及其施行細則第12條第2項規定，管理顧問業者應建置管理人員配置、風險評估、事故預防通報及應變、內部管理程序、人員及設備安全管理、教育訓練、資料安全稽核等11項安全維護措施。

中企署說明，指引手冊即以11項安全維護措施為架構，導入PDCA（規劃、執行、檢核、持續改善）方法，提供安全維護計畫、自我檢核表、個資事故通知文書、業務委外契約等5項範例。個資法112年5月修正後，企業違反安全維護義務的裁罰方式已由「先命限期改正」改為「逕行裁罰並命改正」，情節重大者罰鍰上限提高至新台幣1500萬元，屆期未改正並得按次處罰，行政院亦已責成各部會成立個資行政檢查小組，每年優先針對高風險業者加強檢查，業者可先以手冊的「個人資料安全自我檢核表」盤點現況、補強缺口，作為接受行政檢查的準備。