這不是法律意見
這是我們在自己案件中處理測試資料的方式，由資安研究員撰寫，而不是律師。關於貴單位自身義務的正式意見，請洽律師——尤其若您屬於受監管的產業。
沒有人在界定範圍時打算碰個資。但它就是會發生：一個授權繞過回傳了某人的訂單紀錄、一個設定錯誤的備份儲存桶裡其實放著客戶資料匯出、測試環境的某個帳號三年前從正式環境複製過來就一直沒清。等您注意到的時候，資料已經在您的擷取紀錄裡了。
《個人資料保護法》沒有「但我們是在做資安測試」這種例外。它有的是一套框架，只要有人事先想過，測試其實能相當合理地放進去。
一、義務在委託方，不在測試方
這是最讓人意外的一點。當您委託測試，您就是在委外處理個人資料，而監督受託者的義務仍然留在您身上。廠商聲稱自己「有 ISO 認證」並不會讓這個義務轉移。
具體而言，合約需要載明測試方可存取什麼、如何儲存、保存多久、如何銷毀——以及您有權查核。一個抗拒把這些寫下來的測試方，正在告訴您一些事。
二、最小化是技術，不是口號
證明一個授權缺陷，不需要把整張表帶走。它需要的是證明一個本該被拒絕的請求得到了回應。實務上的做法是：
- 記錄回應標頭與狀態碼，只取第一列，並在報告中遮蔽可識別欄位。
- 記錄列數而不是列本身。「回傳了 41,208 筆屬於其他租戶的紀錄」比抽樣還更有力，而且完全沒有風險。
- 報告需要截圖時，在擷取當下就遮蔽，不要事後處理。未遮蔽檔案的遮蔽版本，等於存在兩份檔案。
- 若原始擷取確有必要存在，加密並與報告分開存放，且保存期限比報告更短。
三、去識別化的測試資料值得做，但有限度
最乾淨的答案是一個以合成資料建置的測試環境。我們每次都會要求。當它存在時，法遵問題大致消失，測試也會更快，因為沒有人需要緊張。
但也要誠實面對它的限度。使用合成資料的測試環境，資料量、索引行為、第三方整合與身分驗證供應商往往都與正式環境不同。依賴規模或特定整合才會出現的問題，在那裡重現不出來。對多數組織，現實的答案是：大部分在測試環境做，另外針對真正無法在別處測試的部分，約定一個範圍極窄、限制極嚴的正式環境時段。
四、要求銷毀確認，而且要讀它
案件結束時，要求書面確認：銷毀了什麼、何時、以什麼方式——並確認範圍涵蓋備份、工單附件與聊天紀錄，而不只是研究員的筆電。發現素材最擅長存活的地方，正是沒人列出來的那些：專案頻道、共用雲端硬碟資料夾、郵件討論串裡的報告草稿。
我們自己的預設是交付後加密保存九十天——足夠讓您回頭詢問某項發現的細節——之後在約定日期銷毀，並主動寄出確認，不需要您來催。
五、如果您找到的其實是一起洩漏事件
有時候測試找到的不是漏洞，而是資料已經外流了。這會立即改變案件性質：證據保全的優先度高於繼續測試、通知義務可能開始起算，而時程也不再由您決定。請事先決定由誰做這個判斷、他們該通知誰——因為「受控的揭露」與「難過的一週」之間的差別，通常就在最初那兩個小時。