多层次传销个资管理停看听 外包厂商不是挡箭牌，业主监督责任甩不了
多层次传销业者善用电商系统便利营运，但个资外泄风险也同步放大。当资讯系统交由外包厂商管理，责任能全推给对方吗？法律明确规定，委托业者不但不能卸责，还必须积极监督合作伙伴的个资安全，别让「外包」成为疏忽个资管理的漏洞。
【虚构案例】
现在不少卖保健品的公司，都结合了电商平台和多层次传销的模式，让直销商在线上就能轻松查订单、管理下线。A公司就是其中之一，主打健康补给品的它，靠著一套电商系统，让直销商可以随时掌握团队的业绩跟客户资料。但问题来了，A公司本身没养IT团队，所以这套系统是外包给B资讯公司维护的。
某天，有直销商向A公司反映：「我的联络资料怎么被其他人看到了？」A公司一查，果然系统出了问题，订单页面竟然出现了不该看到的联络资讯。双方赶紧联合调查，结果发现，是骇客入侵了资料库，导致个人资料外泄。
这下事情大条了！主管机关也介入调查，重点不是只问骇客怎么进来的，而是回过头来问A公司：「你平常是怎么监督B公司，确保他们有做好个资安全的？」A公司惊觉，不是我把任务外包出去就好了吗？为什么现在要问我有无监督B公司？我要怎么监督B公司？
根据《个人资料保护法》（以下简称「个资法」）第4条规定：「受公务机关或非公务机关委托搜集、处理或利用个人资料者，于本法适用范围内，视同委托机关。」再根据《个资法施行细则》第8条第1项：「委托他人搜集、处理或利用个人资料时，委托机关应对受托者为适当之监督。」
外包厂商也是业者的一部分
第8条第2项进一步说明，监督至少要包含下列事项：一、预定搜集、处理或利用个人资料之范围、类别、特定目的及其期间；二、受托者就第12条第2项采取之措施；三、有复委托者，其约定之受托者；四、受托者或其受雇人违反本法、其他个人资料保护法律或其法规命令时，应向委托机关通知之事项及采行之补救措施；五、委托机关如对受托者有保留指示者，其保留指示之事项；六、委托关系终止或解除时，个人资料载体之返还，及受托者履行委托契约以储存方式而持有之个人资料之删除。第8条第3项补充：「第一项之监督，委托机关应定期确认受托者执行之状况，并将确认结果记录之。」
另外，《多层次传销业订定个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法》第4条第4款也要求：「委托他人搜集、处理或利用个人资料之全部或一部时，对受托人依本法施行细则第八条规定为适当之监督，并明确约定相关监督事项与方法。」
简单来说，业者把个资处理的工作交给别人，像是外包系统、请第三方处理订单或会员资料，法律上还是会把这个帮业者做事的人「当成是业者的一部分」；也就是说，出了事，业者不能完全切割。业者不能说「这是外包公司的错」，因为法律会先评价业者有没有尽到监督义务。
法律明确规范监督义务6大要点
这些监督不能只靠信任，法律列出基本要做的6件事，包含资料用在哪里、用多久、防护措施、是否转委托、违法时怎么通知跟补救，以及结束合作后要怎么删资料或归还。还不只这样，还得定期查对方有没有照做，并且留下纪录。
特别是多层次传销业者，涉及的个资非常广，主管机关甚至透过《多层次传销业订定个人资料档案安全维护计划及业务终止后个人资料处理方法作业办法》强调个资法施行细则第8条的内容应包含于个资保护的适当安全措施当中。换句话说，资料仍然是业者在收，责任也还是业者要负，外包不是推卸责任的理由。业者可以找人帮忙做事，但不能把风险也一并交出去。
因此，把网站管理、资料库控管这些技术工作交给资讯服务公司处理，不代表委托他人的业者就能在个资外泄事件发生时拍拍屁股说「这不是我的事」。尤其是像多层次传销业者这类经常处理大量直销商和顾客资料的公司，更要特别注意：主管机关在行政调查时，看的不只是谁在技术上动手，还会仔细问清楚，双方在合作契约里到底怎么约定责任分工？谁负责哪些类型的个资？资料会用在哪里、用多久？万一发生外泄，谁要第一时间通报？通知怎么发？怎么处理善后？这些都是主管机关会关心的重点。
监督不能流于形式→实务操作＋记录
更重要的是，不只是合约写得漂不漂亮，平常你有没有真正「盯」住受托厂商，也是一大关键。这种监督不一定要很复杂，像是有没有定期开资讯安全的会议、安排实地稽核、请对方提供渗透测试报告或弱点扫描结果让业者确认，这些都是很基本的做法。做了，还要留下纪录，因为等到主管机关来问的时候，业者需要有东西证明其平常并非完全放任。
回到上述案例，A公司虽然把网站跟资料库交给B公司管理，看起来B公司也有足够的专业，但A公司不能就这样把事情全丢出去不管。根据个资法施行细则的规定，A公司还是要负起监督义务，平常就要把预计处理的个资项目盘点清楚，包含资料的范围、类型、使用目的和保存期间等等；也要预先规划好万一资料外泄，该怎么通知当事人、怎么应变；等到双方合作关系结束时，也要确保资料要嘛安全销毁，要嘛完整归还。
这些事情不能只是「有做」，还必须「有记录」，以免到时候主管机关认为你没尽到监督义务，进一步根据个资法第27条、第48条第二项等规定对公司开罚，金额从2万元一路到200万元都有可能。说到底，个资不是你收完、外包就算了，怎么处理、怎么委外、怎么管理监督、怎么收尾，每一环节都要负责到底。