公司若外洩你的個資，法律上有通報義務嗎

新聞報導某公司資料庫遭入侵，或收到一封「您的資料可能受影響」的通知信時，很多人第一個問題是：公司是不是本來就該告訴我？本文整理《個人資料保護法》關於外洩通知的現行規定，是方法地圖，不是法律意見，也不保證每一起外洩事件都會收到正式通知。官方入口：個人資料保護委員會、全國法規資料庫、165 全民防騙網。

個資法第12條規定了什麼

目前實際生效的個人資料保護法第 12 條（民國 112 年 5 月 31 日修正版）規定：「公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。」也就是說，現行條文只在公司「違反個資法規定」造成外洩時，才要求以適當方式通知當事人本人，沒有規定要另外通報主管機關或採取即時應變措施。

立法院三讀通過後，已於民國 114 年 11 月 11 日由總統公布修正，新條文改成公司「知悉」個資被竊取、竄改、毀損、滅失或洩漏時就要通知當事人，並新增達一定規模須通報主管機關、採取即時有效應變措施等義務。但這次修正的施行日期由行政院另定，截至查證當下，全國法規資料庫仍標示尚未生效，目前應適用的仍是前段的現行條文，本文不代為斷定生效時點，實際狀況建議以個人資料保護委員會當次公告為準。

通知義務不是「發生外洩就一定會收到信」

依現行條文，通知義務要在「違反個資法規定」導致個資被竊取、洩漏、竄改或其他侵害時才會觸發，如果外洩不是因為公司違反個資法規定造成（例如公司已盡合理防護義務、單純是外部攻擊手法超出一般防護水準），現行條文本身並沒有寫死一定要通知。這也是為什麼有些外洩事件會登上新聞，卻不是每個受影響的人都會收到個別通知信。

前面提到、尚未生效的新制未來若正式施行，通知的觸發門檻會放寬為公司「知悉」外洩就要通知，並新增通報主管機關與即時應變措施等義務，屆時規則會比現在嚴格，但這是尚未生效的新制，不能當成現在就適用的規則。

沒有收到通知，代表個資沒有外洩嗎

不一定。可能是公司尚未完成調查、尚未確認通知範圍，也可能是外洩規模被認定不需要逐一通知。如果懷疑自己的個資可能受影響，可以直接去信該公司客服詢問，或依個資法第 3 條規定，向該公司請求查詢、閱覽自己的個資使用狀況；若對方拒絕合理說明，可考慮向主管機關反映。

公司未盡通報義務，會有什麼後果

表格顯示的是法律上「可能」的後果，不是「一定」的結果——實際是否構成責任、賠償金額多寡，仍以主管機關認定或法院判決為準，本文不是法律意見，也不承諾特定結果。

網路上常見「代查公司有沒有外洩你的資料」的說法，能信嗎

有些業者宣稱能「代查你的個資是否已經在外洩名單裡」或「保證幫你打贏求償官司」，這類宣傳需要特別小心。個資是否外洩、外洩範圍有多大，屬於該公司與主管機關的調查權限，民間業者沒有合法管道能取得他人資料庫的外洩清單；求償官司的結果更取決於證據與法院認定。本文不是代客跟監，也不保證任何委託第三方的做法能加速調查或保證勝訴結果，正確做法仍是直接向該公司或個人資料保護委員會查證。

發現公司外洩個資後，你可以做的事

先保留任何通知信件或新聞報導的原始截圖，接著檢查自己是否因此出現異常帳戶或金融活動，若有異常應優先處理帳戶安全問題，可參考帳戶被列為警示戶的原因。如果考慮求償或申訴，見個資外洩求償與申訴管道；若懷疑是自己帳號先被盜才連帶外洩，見網路帳號被盜的第一步處理；整體處理順序可回到個資外洩與帳戶安全事件應變地圖；個資法的整體定義與常見誤解，另見既有的個資法定義與誤區整理。

常見問題

公司一定要在多久之內通知我嗎？

個資法條文本身沒有寫出全國統一的通知天數，現行條文只要求「查明後以適當方式通知」，本文不代為推測或杜撰具體天數。

我可以要求公司說明外洩了哪些資料嗎？

可以。依個資法第 3 條，當事人有權向蒐集資料的單位請求查詢或閱覽自己的個資狀況，這項權利不得被單位以特約限制。

公司說「已經沒有影響」，我還需要做什麼嗎？

建議仍檢查自己的帳戶、信用卡與電子郵件是否有異常活動，不必然完全採信單方說法，也可以另外向主管機關查證是否有相關裁罰紀錄。

這種案件可以自己蒐證去告公司嗎？

可以循正常法律途徑主張權利，但本文不提供個案法律意見，建議諮詢律師或向個人資料保護委員會、消費者保護官等官方管道求助，具體結果不保證。