個人資料外洩如何通知？參考歐盟GDPR之規範與指引

資料外洩對個人帶來許多經濟或社會的負面影響，除了物質、有形的損害（如經濟上的損失），亦包含無形的損害，諸如個人對自身資料掌控權利的損害、其他權利受到限制、受到歧視、身分被竊盜或被詐欺、名譽受損、假名化的資料被還原、機密性受損等等。由於資料外洩事實不易被當事人察覺，為使資料當事人能確實掌握個人資料，發生資料外洩時，必須藉由「通知」，使資料當事人知悉權益是否受損、損害之程度以及採取何種救濟措施。有鑑於此，歐盟一般資料保護規則（General DataProtection Regulation, GDPR）將資料外洩通知明文規定，透過規範條文直接對資料管理者（controller）課以義務，並明定違反義務的法律後果。歐盟第29條資料保護工作小組（Article 29 Data Protection WorkingParty）亦於2017年10月發布個人資料外洩通知指引（Guidelines on Personal Data BreachNotification under Regulation 2016/679），就GDPR個人資料外洩通知規定的一些重要概念加以闡述與釐清。