某個星期二下午兩點，三位行政檢查委員走進你的會議室。寒暄之後，其中一位翻開公司的個人資料檔案安全維護計畫，問：「這份計畫有對應到施行細則第 12 條第 2 項的十一款嗎？」

會議室安靜了五秒鐘。

這是《從合規到治理：台灣個資法全方位導入指南》第一章的開場情境。書裡接著寫：這本書是寫給這五秒鐘的。

文件明明都在，為什麼問題一來，還是沒有人能把制度怎麼運作說清楚？

如果你負責個資、法務、合規、資安或稽核，這個場景可能很熟悉。公司有計畫、有程序，也辦過教育訓練，但一旦被問到「誰負責」「怎麼證明有執行」「去年發現的問題改善了嗎」，就得臨時找人、找信件、找紀錄。

《從合規到治理》想幫你走過的，正是這一段：把法規要求、日常工作與執行證據接起來，讓你能向主管說明資源該投在哪裡，向同事說明工作為什麼要做，也能在被追問時，拿出有脈絡的回答。

如果這就是你現在的工作，可以先到平台查看書籍介紹：Pubu 電子書城｜Readmoo 讀墨｜樂天 Kobo。

制度有了，推動的人卻還是很累

我在實務中看到的困難，經常發生在制度建立之後。

你請各部門更新個資清冊，收到的是去年那一份，只改了日期。你提出風險改善需求，主管問：「去年不是已經做過了，為什麼今年還要花錢？」客戶要求對照 ISO/IEC 27701，團隊又開始把既有文件重新整理一遍。

每一件事都有人做，卻很難接成一套能持續運作的制度。負責推動的人於是變成永遠在催件、補件、解釋的人。

這本書的設計，就是希望給你一套共同的架構。讓不同部門知道自己負責哪一段，讓法規、流程與紀錄之間有跡可循，也讓改善工作有可以討論的順序。

一套架構，幫你把三種問題放在一起看

在台灣推動個資制度，經常要同時回答三種問題：

面對的人 他想知道的事 你需要說清楚的連結
主管機關 法規要求的事項，有沒有落實？ 要求、措施與執行證據
業務與資訊部門 資料進來之後，我到底要做什麼？ 個資生命週期與日常作業
客戶或驗證機構 如何對應 ISO/IEC 27701？ 既有制度與標準要求

第三章的「三軸總論」，以台灣個資法施行細則第 12 條第 2 項的十一款為主軸，對映個資生命週期，再接上 ISO/IEC 27701:2025。後續章節沿著這套架構，展開人員、風險、程序、安全、訓練、稽核、紀錄與持續改善等工作。

它的價值，在於讓你檢視同一項工作時，可以一起追問：它回應什麼要求？在哪個資料處理階段執行？由誰留下什麼證據？

例如「紀錄保存」，就能從一個抽象的文件名稱，往下追到實際作業與證據。當你能沿著這些連結檢查，才比較容易找出制度真正缺的是哪一段。

你需要能說服同事，也說服主管的理由

我在自序寫下這句話：

知道為什麼的人，才做得久。

這也是我寫這本書時最花力氣的地方。

承辦人不理解盤點的用途，盤點很容易變成填表。主管看不見風險評估和經營決策的關係，評估報告就很難換來改善資源。資訊人員不知道紀錄日後要回答什麼問題，也就難以判斷該留什麼、怎麼留。

所以書裡會回到理論、判決與實務脈絡，解釋要求背後的理由。從個人對資料的控制、事件發生後的因應，到紀錄在舉證與檢查中的作用，幫你理解制度為什麼需要這樣設計。

你買這本書，也是在替下一次難以推進的會議，準備更有根據的說明。

當同事問「為什麼要多做這一步」，你能把這一步與實際風險連起來。當主管問「為什麼需要這筆資源」，你能指出目前的缺口，以及改善要達到的目的。

三個可以直接帶回工作的切入點

全書十六章。如果你現在就有急著處理的問題，我會建議從這三個地方選一個開始。

最近要做稽核或面對行政檢查：先看第十三章。

這一章從檢查的追問方式回頭看制度，整理追問邏輯與常見缺失。書裡有一段話，是我最希望讀者記住的：

合規是日常運作不斷沉澱下來的執行軌跡，不是一次性的文件工程。

讀這一章時，可以把公司的計畫放在旁邊，逐項確認：這件事誰做？最近一次什麼時候做？紀錄在哪裡？如果答不出來，你就找到一個值得優先補上的缺口。

正在檢討事故應變程序：先看第八章。

書裡整理外部入侵、內部不當存取、委外廠商失誤、實體遺失、系統設定錯誤等五大失效模式。不同事件，需要注意的偵測訊號、證據保全與應變判斷也不同。

你可以用這套分類檢查現有 SOP：它是否足以讓第一個接到消息的人，知道接下來要找誰、保存什麼、確認哪些事？

公司正在導入生成式 AI：先看第十六章。

這一章用八種企業 AI 應用型態，對照十一款要求，建立一張 8×11 矩陣。它提供一個討論起點，讓法務、資訊與業務能針對具體用途，逐項找出要確認的個資治理事項。

放在工作旁邊，遇到問題就翻得到

這是一本適合按任務查閱的書。你可以從眼前的難題進入，再回到前面的架構，把理解補完整。

  • 負責整體推動的個資長或主管：先看第三章三軸總論，再用第十五章的五級成熟度模型討論年度改善方向。
  • 法務與合規人員：從個資辨認、內部管理程序讀起，搭配合約條款庫與法條索引。
  • IT 與資安人員：從資料安全、設備安全、紀錄保存，以及 AI 應用章節切入。
  • 內部稽核人員：先看稽核與行政檢查，再沿著制度要求追查日常紀錄。

書裡另有六份附錄，方便需要時對照使用：

附錄工具 可以協助你的工作
ROPA 個人資料處理活動紀錄範本 梳理資料處理活動，建立討論基礎
DPIA 個資保護影響評估檢核表 整理評估問題，辨識待確認的風險
合約條款庫 檢視委外、國際傳輸與共同蒐集情境
術語表與法條索引 查找名詞與法規對照
判決與裁罰選輯 回到案例脈絡，理解要求與爭點

書中援引台灣判決與公開事件，並輔以去識別化的實務樣態；判決、裁罰與作者分析各有其位置。對需要向別人解釋制度的人來說，能追查依據，才有辦法把討論往下帶。

《從零到合規》和這本，該先選哪一本？

你可以用眼前最困擾的一句話來選。

「公司把個資交給我，但我連第一張清冊都不知道怎麼做。」

先看《從零到合規》的介紹。它按建立制度的工作順序，帶你從盤點走到安全維護計畫。

「清冊、計畫、程序都有了，但推不動，也說不清楚做得夠不夠。」

這就是《從合規到治理》要處理的問題。它適合需要統整制度、說明依據、檢視證據，並規劃下一步改善的人。

你可以直接從這本開始，不必先讀完另一本。

回到那五秒鐘

想像下一次，有人問起公司的個資制度。

你知道這項要求對應哪一段流程，知道誰負責，也知道最近一次執行的紀錄放在哪裡。如果仍有缺口，你能說明改善的優先順序，以及需要哪些資源。

我希望這本書能幫你逐步建立這樣的掌握感。讓你在檢查之前，就已經知道制度的狀態；也讓個資工作在檢查結束之後，仍然有人持續做下去。

如果你正在承擔這份責任，歡迎把《從合規到治理：台灣個資法全方位導入指南》放進你的工作書架：

拿到電子書後，先翻你最迫切需要的那一章。下一次會議、稽核或制度檢討，就是開始用它的時候。

王彥然（YJ）