柏文健身工廠一個月內兩度委外出包——委外廠商捅的鍋，法律上誰得扛？
Jacky ChenAI 系統架構顧問 · 擁有 HR 與獵頭背景的 AI 開發者一句話答案
健身工廠營運商柏文（股票代號8462）2026年9月23日與10月23日一個月內兩次公告資安重大訊息，兩次都是「委外廠商」的系統出問題——第一次是對外服務系統遭自動化攻擊、客戶資料表被分頁擷取；第二次是電子商城的委外雲端商務平台資料庫遭攻擊，訂單資料遭未經授權存取。依個人資料保護法第4條，受委託處理個資者「視同委託機關」，第27條第1項要求企業本身就要採行適當安全措施防止個資被竊取洩漏——換句話說，把系統包給廠商不會把法律責任一起包出去，出事後對外公告、對主管機關交代、對會員負責的，還是委託的公司自己。企業評估委外或客製化整合廠商前，該確認的不是「廠商有沒有說自己很安全」，是監督機制跟合約責任有沒有先寫清楚。
健身工廠的會員這一個月收到兩次防詐簡訊，原因不是健身工廠自己的系統出包，是幫它做對外服務跟電子商城的委外廠商各出了一次包。這正好是一個現成的案例，可以講清楚一件企業主常常搞錯的事：系統包給外面做，責任不會跟著包出去。
柏文這一個月發生了什麼事？
9月23日，柏文公告接獲系統委外廠商通知，公司對外服務系統遭到自動化攻擊，攻擊者對客戶資料表進行分頁擷取，部分涉及柏文自己員工與會員的個資。公司啟動個資事故應變會議、通報主管機關，並透過官網、社群平台、會員APP跟簡訊發反詐騙提醒。整整一個月後，10月23日，柏文又公告一次——這次是電子商城線上平台的委外服務廠商通知，其雲端商務平台資料庫遭網路攻擊，部分訂單資料遭未經授權存取，且已經有會員回報收到假冒客服、要求加LINE或ATM轉帳的詐騙訊息，內容跟電子商城訂單資訊對得上。兩次事件，公司都表示委外廠商當時還無法確認受影響資料的確切範圍。
這是柏文第一次因為資安出包嗎？
不是。公司2024年1月22日發布過一則補充公告，說明旗下健身工廠2023年7月底發生過會員個資遭竊事件——這次原因不是委外廠商，是會員登入APP或查詢個人機敏資料時，資料在傳輸過程中被駭客逐筆竊取，同時有會員接到自稱健身工廠同仁的電話詐騙。算起來，這是這家公司三年內第三次對外公告資安事件，而最近兩次剛好都卡在同一個環節：委外廠商管理的系統或資料庫。這不是說柏文特別倒楣或特別疏於防範——事實上公司每次都有啟動應變、通報主管機關、發防詐提醒，流程本身並不草率——而是說「委外」這個環節本身，就是多數企業資安布局裡最容易被忽略、卻最先被攻破的一塊。
委外廠商出包，法律上責任算誰的？
這正是多數企業主容易想錯的地方。個人資料保護法第4條規定，受公務機關或非公務機關委託蒐集、處理或利用個人資料者，在本法適用範圍內「視同委託機關」——也就是受託的廠商出了問題，法律上仍然把委託的公司（柏文）當成要負責的一方，不是「廠商自己簽約負責、跟我無關」。個資法第27條第1項進一步要求非公務機關本身就要採行適當安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏，違反的話依第48條可處罰鍰。個資法施行細則第8條則規定，受託者只能在委託機關指示的範圍內處理個資，而委託機關「應定期確認受託者執行狀況，並留存確認紀錄」——這句話的意思是，企業把系統包出去之後，法律上還是預期你會持續監督，不是簽約那天就結束責任。柏文兩次公告都用「要求委外廠商重新檢視資安疑慮因素並加強監控」這類用語，正是在回應這個監督義務，不是單純的公關說法。
企業把系統交給委外廠商前，該先確認什麼？
從柏文這兩次事件可以抽出三件事，是找任何委外廠商或客製化整合團隊合作前都該先問清楚的。第一，資料庫跟系統實際放在誰的環境裡、誰有存取權限、異常存取有沒有被監控與留下紀錄——不是簽完約就假設廠商會自己做好。第二，合約裡有沒有寫清楚資安事件發生時的通報時限跟責任分工，不要等出事了才發現誰該先講話都沒講清楚。第三，有沒有定期查核委外廠商執行狀況的機制，而不是只在出事後才去「要求重新檢視」——個資法施行細則第8條講的「定期確認」，指的是平時就該做，不是事後補救的動作。我們在〈找 AI 顧問前該問的 5 個問題〉裡談過系統所有權跟維護責任怎麼問清楚，這幾個問題放在評估任何系統委外廠商時都適用，不只是 AI 相關的案子。
為什麼客製化整合，比單純外包給現成廠商更能把關這件事？
把系統全部包給一個外部廠商、自己完全不碰技術細節，跟找團隊做客製化整合，中間的差別往往就在這裡——客製化整合的過程裡，企業自己的團隊會參與架構決策，知道資料存取範圍設計成什麼樣子、哪些系統串接在一起、異常監控機制怎麼運作，而不是把一整套黑盒子丟給一家外部供應商、自己連問都不知道該怎麼問。柏文兩次事件裡，公司事後都是「接獲委外廠商通知」才知道出事，這正是把系統完全外包、自己不參與治理設計時最常見的被動處境。如果你正在評估要把系統交給外部團隊，或是想做客製化的系統整合，聊聊你的情況，我們會先幫你看資料存取範圍該怎麼設計、監督機制要放在哪一層，這跟你是不是在做 AI 相關的專案無關——任何把系統交給外部團隊的決策，都該先把這幾件事問清楚。
出處
1. MoneyDJ理財網 — 柏文 本公司接獲系統委外廠商通知其發生網路資安事件（2026-09-23 發布）https://www.moneydj.com/kmdj/news/newsviewer.aspx?a=c0287e4c-9032-45e3-9a6a-1152e12aa38c
2. 知新聞 — 委外資料庫遭攻擊！健身工廠營運商柏文爆個資外流 突發重訊應變（2026-10-23 發布）https://www.knews.com.tw/news/A1F702FF7EE0E7F36FD75B6CB4AB0AD4
3. MoneyDJ理財網 — 柏文：旗下「健身工廠」會員個資遭駭客竊取事件之說明(補公告)（2024-01-22 發布，事實發生日2023-07-30）https://www.moneydj.com/kmdj/news/newsviewer.aspx?a=c4f86bf4-2f5b-4877-a644-283d2c887ae5
4. 全國法規資料庫 — 個人資料保護法 第4條、第27條、第48條 https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050021
5. 全國法規資料庫 — 個人資料保護法施行細則 第8條 https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050023
常見問題
企業把系統外包給廠商，廠商出包了責任算誰的？＋
依個人資料保護法第4條，受委託處理個人資料的廠商在法律上「視同委託機關」，但委託的企業自己並不會因此免責——個資法第27條第1項仍要求企業本身採行適當安全措施，出事後對外公告、對主管機關交代、對當事人負責的，還是委託的企業，不是只有受託廠商要扛。
合約裡只要寫「廠商負責資安」，企業就不用管了嗎？＋
不夠。個人資料保護法施行細則第8條規定，委託機關應「定期確認受託者執行狀況」並留存紀錄，這代表法律預期企業持續監督，不是簽約當下把責任條款寫進去就結束。合約條款是基礎，定期查核才是履行監督義務的實際動作。
柏文這兩次事件，公司有沒有做錯什麼？＋
從公開資訊看，公司兩次都有啟動個資事故應變、通報主管機關、對會員發防詐提醒，流程本身不算草率。真正值得其他企業借鏡的不是「柏文做錯了什麼」，而是委外環節本身就是多數企業資安布局裡最容易被忽略的一塊，不是等出事才該重視。
公司規模比柏文小很多，也需要擔心這種委外風險嗎？＋
需要。個資法第4條跟第27條的規定不分企業規模，只要企業有蒐集、處理會員或員工個資，而且把系統或資料庫交給外部廠商管理，同樣的委外監督義務就存在，差別只是查核的系統數量跟複雜度比較小。
找客製化整合團隊，跟單純外包給現成系統廠商，資安責任上有差別嗎？＋
法律上的委託責任架構一樣，但實務上客製化整合時企業通常會參與架構設計，知道資料存取範圍、系統串接方式、異常監控機制怎麼運作；單純外包給黑盒子系統時，企業常常像柏文這兩次一樣，要等廠商通知才知道出事。差別在於企業自己對系統治理的掌握程度，不是法律條文本身。
還有其他問題？看完整常見問題 →
Jacky Chen · AI 系統架構顧問
讀到這裡，如果你手上正好有個流程想自動化、或想把 AI 變成一套真的能營運的系統——直接找我聊。一次免費的技術診斷，我幫你看清最值得先動的是哪一塊，不繞圈子、不推你不需要的東西。