在新版個資法還沒確定施行前，多數的企業並沒有正視資料銷毀問題，因此對於不堪使用的儲存媒介以及過期文件，往往也常忽略其風險。但個資新法施行之後，相較於之前「有做就好」的心態，企業必須以更積極的態度來面對資料銷毀的議題。
今年以來，幾起不當的資料外洩事件吸引了人們的目光，這些資料外洩事件並非受到駭客有心的攻擊，而是基於流程或人為疏失引起。例如年初在三重被人拾獲某壽險產業的大批報廢保單，上面載滿了重要的保戶個人資料；某銀行業者因為電腦報廢硬碟沒有做好妥善處理，以至於部分硬碟流入二手市場後，任何人都能輕易取得其內存放的民眾與銀行往來借貸個資與上市上櫃公司明細，遭到金融監督管理委員會處以高額罰鍰。這些事件的起因皆是企業未徹底落實內控機制，忽略資料銷毀的風險所致。
個資新法正式施行之前，類似的新聞事件便時有所聞，像是診所外洩處方箋、病歷回收再利用讓個資全都露、隨意將文件丟棄在垃圾場或停車場等等，足以顯示企業對資料銷毀的觀念以及作法仍未臻完善，甚至輕忽資料銷毀的重要性。但隨著個資新法施行之後，企業無法再忽視這個環節，因為在法規的規範下，企業肩負了確保個人資料的安全性的重責大任，並必須舉證已善盡保管責任。
適法需有存據
 |
| ▲凌群電腦資安技術研發部處長張義明指出，資料銷毀的重點並不在於採用了哪一種流程、技術或方法，但是能不能符合個資新法的要求，則必須看破壞的行為能不能透過工具復原。 |
凌電腦資安技術研發部處長張義明觀察，在新版個資法還沒確定施行前，的確有不少企業並沒有把資料銷毀當成重要議題，而且企業對於不堪使用的儲存媒介以及過期文件，往往也常忽略其風險。「就以『硬碟無法被讀取』這樣的情境來說，過去不少企業直覺地認為硬碟壞了，便直接集中收集，委由回收業者處理，但其實硬碟內部有很多結構，造成硬碟無法讀取的情況也許僅僅只是控制器毀損，但碟片仍然完整無缺，這時若有不肖業者企圖謀利，送到資料救援中心，碟片內的機密文件檔案將全都被收攏成為銷售謀利的資料。」
類似這樣的風險，已有不少前車之鑑，因此相較於過往「有做就好」的心態，今後企業必須以更積極的態度來面對資料銷毀的議題。尤其新版個資法施行之後，從法的角度來看，企業必須舉證說明無過失或無故意違反法律，無論回應當事人請求或內部針對資料所進行的管控措施都必須存有依據作為事後舉證，以便證明已經盡善良管理的責任，因此，完整實施並紀錄存證的資料銷毀機制與流程也就更為重要。
但是在制定完整的資料銷毀機制與流程之前，首要確立的並不是如何執行，反而是如何區分公司內部的資料，哪些才算是重要資料。特別是在網路、社群媒體、數位匯流等趨勢興起下，企業資料增長相對快速，面對龐大的資料流，企業傾全力也難以做到針對存放在公司內部的所有資料進行全面性的嚴密保護，特別是與業務非相關的資料不在少數，因此必須先釐清什麼型態的資料屬於重要資料，需要受到嚴密的流程管控？哪些又可以排除在外？
若從目前多數企業最關心的個資法適法性角度來看資料銷毀，那麼界定個資就是一項必要的前置措施，張義明指出，大部分的個人資料在判定上並不會有爭議，主要是因為這些資料都不只一項欄位，至少有姓名、電子郵件或是聯絡電話，有些甚至還會保留交易資料，這些加總起來，多半都足以識別該個人資料。若是只有單項，例如只保留電子郵件，則要視個案而定，通常只要這些資料可運用於廣告行銷上，就應該被視為個資妥善處置。
破壞程度有差別
由於新版個資法僅只規定企業需善盡責任，不限施行的形式、採用哪些程序、IT技術或工具來處理，因此針對「資料銷毀」適法性的關鍵便在於「破壞的行為能不能透過任何技術或工具復原或救回。」簡言而之，就是能不能做到「不復存在」的結果。
張義明指出，資料銷毀的重點並不在於採用了哪一種流程、技術或方法，同樣銷毀一顆硬碟，企業可以格式化、消磁、拿榔頭敲、用電鑽鑽孔、泡水??，端看本身內部的規定，但是能不能符合個資新法的要求，則必須看破壞的行為能不能透過工具復原。「舉個例子，如果管理人員對硬碟格式化了三次之後，仍有個數位鑑識工具可以將其把資料救回，那麼這樣的資料銷毀方式，顯然就有待商榷。」
當然，資料銷毀的破壞程度與儲存媒體中存放的資料有絕對相關，倘若企業已經確認重要資料都在伺服器端，那麼針對個人主機上的硬碟或許只要格式化二次，就能直接報廢處理，即使不小心外流或遭竊了，對企業來說也只是財產損失。
「在凌群的經驗中，現階段企業內部重要設備只要不是以鏡射（Mirror）保護，資料被還原的風險相對是低的，例如資料經RAID 5機制存放之後，會分散在各個不同的硬碟之中，每顆硬碟僅僅存放資料的十幾分之一，幾乎成為碎段的資料，即使不小心外流一顆硬碟，透過復原單顆硬碟要取得完整的資料並不容易。」他提到，現在最令人擔心的反而是使用者個人主機上的資料，因為一般PC或筆電存放的資料相當廣泛，而且很難控管，遇到故障維修時，委外廠商直接抱走維修的機率也很高，「雖然合作廠商多數會表明不會主動查看硬碟或還原資料，但是風險仍然存在。」
制度配合技術
資料安全防範包含了資料生命周期的各個環節，即使是資料銷毀也必須貫徹到底，確保到最後一步都進行妥善的安全管控，要做到完善的保護責任，除了技術面之外，還需在制度面的配合，換句話說，企業必須規劃出一套資料銷毀的流程，而這涉及的不單只在銷毀的階段，而是要從組織的流程與程序來檢視。