員工個資外洩，公司要負什麼責任？個資法的通知、罰鍰、賠償，和資安險保什麼
先講結論：員工的資料也是個資。公司保管的員工資料外洩，依個資法要通知員工；沒做好安全措施可能被罰 2 萬到 200 萬，負責人可能被罰同一額度；員工還可以請求賠償，每人每一事件 500 元到 2 萬元，同一事件合計最高 2 億元。
下面把條文拆開來看。條文都可以在全國法規資料庫自己對照。
為什麼現在要看這個
2026 年 11 月有媒體報導，有人在暗網論壇聲稱出售一家大型科技公司約 4.6 萬筆員工資料，樣本欄位包括身分證字號、住址、銀行資訊和緊急聯絡人。該公司回應已掌握情形、正與調查機關合作，資料真偽報導中仍未證實。
這類事件大家通常想到的是「客戶資料外洩」。但人資系統裡的員工資料，欄位往往更完整，而法律對它的保護和客戶資料是一樣的。
員工資料也是個資
個資法第 2 條第 1 款定義的「個人資料」，是自然人的姓名、出生年月日、身分證字號……以及其他能直接或間接識別個人的資料。條文沒有區分客戶或員工。
所以公司保管的員工資料，同樣適用下面這些規定。
外洩之後，公司依法要做什麼
一、通知當事人。 現行第 12 條：
公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。
現行條文沒有寫通知時限，也沒有要求向主管機關通報（修法後會改，見下方）。
二、平常就要有安全措施。 現行第 27 條第 1 項：
非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
什麼叫「適當」，施行細則第 12 條列了方向：配置人員與資源、界定資料範圍、風險評估、事故通報與應變、人員管理、教育訓練、設備安全、稽核、使用紀錄保存等，並且要和保護目的成比例。
罰鍰怎麼算
依現行第 48 條，非公務機關（一般公司）：
| 違反的事 | 罰鍰 |
|---|---|
| 沒有採行適當安全措施（第 27 條第 1 項），或被指定卻沒訂安全維護計畫 | 2 萬～200 萬元，並限期改正；屆期未改正，按次處 15 萬～1,500 萬元 |
| 上一列的情形，情節重大 | 15 萬～1,500 萬元，並限期改正，屆期未改正按次處罰 |
| 沒有依第 12 條通知當事人 | 先限期改正；屆期未改正，按次處 2 萬～20 萬元 |
負責人也可能一起被罰。 第 50 條：公司依前三條被處罰鍰時，代表人、管理人或其他有代表權的人，「除能證明已盡防止義務者外，應並受同一額度罰鍰之處罰」。
民事賠償：每人 500 元到 2 萬元，合計上限 2 億
第 29 條：公司違反個資法、侵害當事人權利，要負損害賠償責任；但能證明自己沒有故意或過失的，不在此限。也就是說，舉證責任在公司這一邊。
被害人不容易證明實際損失多少時，第 28 條第 3 項讓法院依侵害情節，以每人每一事件 500 元以上、2 萬元以下計算。
同一事件、很多人受害時，第 28 條第 4 項：合計最高總額以 2 億元為限；但該事件所涉利益超過 2 億元的，以所涉利益為限。
用條文的數字試算（只是看級距，不代表實際判決）：
假設 4.6 萬人提出請求，且都依每人 500 元～2 萬元計算： 最低：46,000 × 500 元 ＝ 2,300 萬元 最高：46,000 × 2 萬元 ＝ 9.2 億元，超過上限，以 2 億元為限（所涉利益更高者除外）
另外，非財產上的損害（例如精神上的）也可以請求賠償（第 28 條第 2 項）。
修法：114 年 11 月已通過，施行日期未定
個資法在民國 114 年 11 月 11 日修正公布，施行日期由行政院另定。到本文整理時（2026 年 11 月），全國法規資料庫仍標示「最後生效日期：未定」。新法上路後主要的變化：
- 主管機關改為個人資料保護委員會。
- 第 12 條：個資被竊取、竄改、毀損、滅失或洩漏時就要通知當事人（不再以「違反本法規定」為前提）；符合一定範圍的，還要向主管機關通報，並採取即時有效的應變措施、保存紀錄。
- 通知與通報的時限，由主管機關另訂辦法。草案已預告，但最後時限我目前查不到正式定案的版本，不在這裡寫數字。
- 安全維護義務移到新的第 20 條之 1，罰鍰級距和現行大致相同。
資安保險保什麼
金管會在 2026 年 4 月的新聞稿裡，把國內的資安保險分成三類：
| 類型 | 金管會的說明 |
|---|---|
| 資訊系統不法行為保險 | 主要承保第三人不法入侵電腦系統，所致資金或其他財產的損失 |
| 資料保護責任保險 | 保障因個資外洩，對第三人依法應負的賠償責任 |
| 資訊安全綜合保險 | 保障受網路攻擊、電腦勒索或管理錯誤行為等所致財產損失，以及對第三人的賠償責任；想保營運中斷、網路勒索損失的，可以選這一類 |
保險局 2025 年 9 月的新聞稿另外提到，資安保險的保障可以包括資料保護責任、專家費用及營業中斷損失等，也有針對中小企業的標準化商品。
幾個要先知道的地方：
一、員工告公司，算不算保單上的「第三人」，要看條款。 這一點沒有官方的統一說法，各家保單對被保險人、第三人的定義不同，投保前要問清楚。
二、罰鍰通常不是保險在處理的。 上面的行政罰鍰能不能理賠，要看保單條款與除外責任，不能預設有保。
三、保費沒有通用的數字。 金管會提到，保險公司會看產業風險屬性、資安控管程度和過去有沒有損失來核保。要知道自己的狀況，要拿實際資料去詢價。
保險不能取代的事
保險處理的是事後的損失。個資法要求的是事前的安全措施和事後的通知，這兩件事保險都沒辦法替公司做。可以先檢查：
- 人資資料放在哪裡、誰能看、誰能匯出，有沒有留存取紀錄。
- 員工離職、廠商合約結束後，權限有沒有收回。
- 出事時誰負責查明、誰負責通知員工，有沒有寫下來。
這幾件事做好，對核保也是加分。
資料來源
- 全國法規資料庫：個人資料保護法（第 2、12、27、28、29、48、50 條）
- 全國法規資料庫：個人資料保護法施行細則（第 12 條）
- 個資會籌備處：個資法修正條文對照表（現行條文欄）
- 個資會籌備處：個資法修正公布新聞（114 年 11 月 11 日）
- 金管會新聞稿（2026 年 4 月 2 日）：資安保險三類商品說明
- 保險局新聞稿（2025 年 9 月 18 日）
法規以主管機關最新公告為準。本文依 2026 年 11 月 12 日查得的內容整理；修正條文施行後會再更新。