近年來，企業執行永續發展ESG（Environmental,Social,Governance）政策，已成為全球企業治理的重要指標。從氣候變遷、碳排管理，到勞工權益與公司治理，政府已逐步要求企業揭露相關資訊並建立管理制度。然而，在ESG議題的討論中，有一項風險正快速上升，卻經常被忽略，那就是「個人資料保護」。
近期多起企業發生重大個人資料洩漏事件，再次讓台灣社會正視一個長期被低估的風險「個人資料保護」，首先是電商平台酷澎發生未授權存取事件，導致約20萬筆用戶資料遭非法讀取；又傳出有五福旅行社客戶資料遭駭客竊取；緊接著，歷史悠久且具高度品牌象徵的圓山飯店，也傳出系統遭駭，顧客資料可能受到影響。
在企業經營的實務「客戶資料」常被視為核心的營運資源之一。無論是行銷名單、會員資料、購買紀錄、偏好分析、客服紀錄，都能在產品開發、精準行銷及提升服務品質中發揮關鍵作用。然而，在《個人資料保護法》 的規範下，企業是否能將這些「客戶資料」當作自己無限制支配的企業資產？兩者之間存在著本質上的差異。本文將從《個人資料保護法》立法精神出發，探討客戶資料是否可視為企業資產，並分析企業在實務上應如何定位、管理與運用。
近年來，個人資料外洩事件頻繁發生，從企業會員名單流出、行銷資料遭濫用，到公務機關系統被入侵，影響層面早已不限於個別企業，而是直接動搖人民對《個人資料保護法》制度的信任。然而，社會及立法機關在討論責任歸屬與裁罰金額的同時，卻較少回頭檢視一個更根本的問題：在制度設計上，我們是否真正建立了足以承擔個人資料保護責任的「專業人員體系」？
現行《個人資料保護法》對於公務機關與非公務機關，在蒐集、處理、利用個人資料的告知義務與相關程序已有明文規範，但在保護當事人對於「個人資料查詢紀錄管理」的部分仍有不足之處。
在執行個人資料盤點與適法性評估時，企業常習慣性選擇「當事人同意」作為法律依據。然而，依據《個人資料保護法》第19條，「與當事人有契約或類似契約之關係，且已採取適當之安全措施」 往往是更穩固且合適的選擇。
理解了三個角色的差異後，下一個關鍵問題是：「我的公司該如何配置這些角色？」 這沒有單一的標準答案，取決於企業的規模、業務複雜度、處理的個資數量與敏感性。
在數位經濟時代，資料是企業最寶貴的資產之一，而個人資料的保護更是重中之重。隨著台灣《個人資料保護法》及各行業主管機關的法規日趨嚴謹，許多企業開始意識到，單憑IT部門的努力，已不足以應對複雜的個資保護挑戰。於是，「個人資料保護專責人員」、「管理人員」、「查核人員」這些名詞應運而生。
近年來，各電子報的社會版出現了許多有關《個人資料保護法》的判決新聞，例如藝人鄭家純女士(藝名「雞排妹」) 於直播和臉書公布網紅陳沂手機號碼，違反個人資料保護法遭判處3個月有期徒刑定讞。顯然，台灣社會許多人逐漸重視個人資料保護的保護，且過去我們習以為常的填資料、影印證件、交換名片、拍照打卡，如今都可能涉及「個人資料蒐集與利用」的法律議題。
