公關危機處理順序：先盡法定義務、再發聲明，以及什麼時候找律師

作者｜晨星行銷　陳俊鳴執行長（網路流量操盤手・企業行銷顧問）

中小企業遇到的公關危機，很少是上電視新聞那種。比較常見的樣子是：一則爆料文被轉到地方社團，底下幾百則留言，店裡電話開始響，有人私訊問「是真的嗎」，員工不知道該怎麼回。

這時候老闆通常同時是決策者、發言人、客服，有時候還是當事人。腦中第一個念頭往往是「趕快發一篇澄清」。

先講結論：公關危機處理有順序——先確認事實與分級，再把法律要求你做的事做完，最後才是對外怎麼說。順序反過來的代價很高：聲明寫得不好，頂多讓人覺得你不夠誠懇；但該回收沒回收、該通知沒通知，面對的可能是主管機關的罰鍰。

下面照時間順序，從出事當下排到事後收尾。

什麼情況算公關危機：一則負評跟一場危機差在哪

公關危機，指的是一件負面事件已經或可能威脅到三樣東西：客人對你的信任、你的正常營運，或你的法律責任，而且正在擴散或可能擴散。

一則「等太久、態度不好」的 Google 負評，通常不是危機，是客服問題，照平常的回覆原則處理就好——對事、簡短、不辯論、把後續拉到私下，〈搜尋口碑優化怎麼做〉那篇講過。但同樣是負評，內容變成「吃完拉肚子，同桌三個人都送急診」，就牽涉人身安全，可能引來衛生局，也可能被媒體撿去報導。

分辨的方法是問一句：這件事不處理，最壞的結果是「少一個客人」，還是「有人受傷、被罰、上新聞、營運停擺」？前者是客訴，後者才是危機。

	一般客訴	公關危機
影響範圍	一位客人	多位客人、社會大眾、主管機關
牽涉的東西	服務體驗、價格認知	人身安全、個資、違法疑慮、大量客人受影響
擴散狀態	停在一則評論	被轉貼、被社團討論、媒體詢問
處理方式	照客服流程回覆	啟動危機處理順序

把客訴當危機，一篇全面聲明反而讓更多人知道；把危機當客訴，會錯過該做的動作。

中間還有一種最常見、也最容易判斷錯的狀態：有人在網路上公開質疑你的做法，看起來像危機，但還沒有人受害。危機溝通學者 W. Timothy Coombs 在 2026 年 5 月為美國公共關係研究機構 Institute for Public Relations 寫的白皮書〈Reexamining Crisis Communication〉，把這種情況叫做「類危機」（paracrisis）：通常由利害關係人公開質疑組織的行為引起，多半發生在社群上，組織得在眾人面前處理它。他也指出，大多數類危機不會升級，但處理不好，任何一個都可能變成真正的危機。中小企業被罵上社團，多半就是這一種——該用心回應，但不必一開始就當成紅色警報。

公關危機發生的第一個小時：先確認四件事

出事的第一個小時，最需要的不是文筆，是事實。動手寫任何東西之前，先問清楚四件事：

1. 到底發生了什麼？ 哪一批商品、哪一天的服務、哪一位員工、哪一份資料。訂單、出貨紀錄、監視器、系統日誌先保存下來。
2. 誰受影響？ 有沒有人受傷或身體不適？有沒有客人的個資外流？是一位還是幾百位？
3. 還在擴大嗎？ 同一批商品還在架上嗎？系統漏洞還開著嗎？
4. 有沒有法律規定一定要做的事？ 回收、停售、通報、通知當事人——後面整理成表。

第一個小時要先止血再說話：還在架上的先下架，還開著的漏洞先關掉。這些動作本身就是最有力的回應，之後寫聲明才有「已經做了什麼」可以講。

速度這件事，國外研究講得很直接。Coombs 2007 年為同一個機構寫的危機管理白皮書，初次回應準則第一條就是盡量在危機發生後的第一個小時內做出初次回應；同一張清單也列了「查核所有事實」與「把公共安全放第一」。快很重要，但前提是說出去的東西是對的。

危機事件怎麼分級：看誰受影響、責任在誰，不看留言有多少

分級是為了決定這件事要動用多大的力氣：要不要停業、要不要找律師、聲明要寫多深。

Coombs 的「情境式危機溝通理論」（Situational Crisis Communication Theory，簡稱 SCCT）看的是大眾會把責任算在誰頭上，把常見危機分成三類：

• 受害型：組織也是受害者，例如謠言、商品被惡意破壞、天災。大眾認為你責任很小。
• 意外型：非故意的技術失誤，例如設備故障造成產品瑕疵。大眾認為你有一點責任。
• 可預防型：人為疏失、管理不當、違法。大眾認為你責任很重。

核心是：責任越重，回應越要往「補償」和「道歉」靠；只解釋不負責，只會讓人更生氣。而且以前出過類似的事、或平常名聲不好，同樣的事件會被看得更嚴重。把這套國外框架翻成中小企業用的分級表：

等級	長什麼樣	例子（通例）	先做什麼
紅色	有人受傷或可能受傷、個資外洩、可能違法、主管機關已經來問	客人吃完送醫、會員資料外流	先盡法定義務、找律師、發暫時聲明
橘色	自己的疏失讓一批客人受影響，但沒有安全問題	一整批訂單出錯、系統當機一天、員工在社群發不當言論	暫時聲明→查清楚→正式說明＋補償
黃色	單一客訴、意見不同、價格爭議	嫌貴、嫌慢、對服務不滿	照平常客服流程，不升級成全面聲明
灰色	你是受害者：謠言、被冒名、被惡意抹黑	有人冒用品牌名詐騙、假消息說你倒閉	保存證據、澄清事實、評估報案或提告

分級時最常見的誤判在這裡：判斷嚴重度要看「誰受影響」，不是看留言有多少。日本總務省《令和元年版情報通信白書》整理的研究指出，會參與網路炎上留言的人只佔網路使用者的極少數（估計約 0.5% 以下）；在這些參與者當中，單一事件留言 51 次以上的約佔 3%，而留言 3 次以下的所有人加起來的留言數，還比不上這一小群人。（日本總務省 情報通信白書）這是日本的調查，不代表台灣的比例，但它說明一串很長的留言，可能只來自少數幾個很活躍的人。

所以留言多但沒有實際受害者，通常是黃色或灰色；留言少但有人送醫，就是紅色。

公關危機裡有法定期限的事：回收、通報、通知當事人、處理申訴

如果整篇只能記一段，就記這一段。有些事不是「要不要做」，而是法律已經規定你要做，做晚了或沒做，就不只是形象問題。

情況	法律要你做什麼	依據
商品或服務有危害消費者安全與健康之虞	立即回收該批商品或停止服務	消費者保護法第 10 條
食品有危害衛生安全之虞	主動停止製造、加工、販賣，辦理回收，通報縣市主管機關	食品安全衛生管理法第 7 條
個資被竊取、洩漏、竄改	查明後以適當方式通知當事人，內容要有被侵害的事實與已採取的措施	個人資料保護法第 12 條、施行細則第 22 條
網路零售、資訊服務等業者的個資事故，危及營運或大量當事人權益	知悉後 72 小時內通報數位發展部	數位經濟相關產業個人資料檔案安全維護管理辦法第 8 條
消費者提出申訴	申訴之日起 15 日內妥適處理	消費者保護法第 43 條

商品或服務可能危害安全：消保法要你回收或停止服務

消費者保護法第 10 條規定：企業經營者有事實足以認定商品或服務有危害消費者安全與健康之虞時，應即回收該批商品或停止服務；做的必要處理已經足以除去危害的，不在此限。

白話講：只要有具體事實讓你知道東西可能傷人，就要先收回來或先停下來，不是等確定了才動。「之虞」是「有這個可能」，不是「已經證實」。

你沒處理，縣市政府調查後也可以依消保法第 36 條命令限期改善、回收或銷毀，必要時直接命令停止。自己先做的回收，在聲明裡是「主動處理」；被命令的回收，在新聞裡是「遭勒令」。

食品出問題：停售、回收、通報縣市衛生局

餐飲與食品業者要看食品安全衛生管理法第 7 條：發現產品有危害衛生安全之虞時，應即主動停止製造、加工、販賣及辦理回收，並通報直轄市、縣（市）主管機關。通報衛生局是你的義務，不是等衛生局找上門。

衛生局找上門的速度，可能比你想的快。2026 年 4 月，嘉義縣一位民眾在 Threads 貼出便當裡有蟑螂的照片，衛生局獲報當天就到場稽查，發現紗窗紗門有污垢、冰箱食材沒有分類覆蓋等缺失，要求 3 天內改善，店家則先自主停業一天清潔消毒；衛生局也說明，屆期不改可依食安法處 6 萬元以上 2 億元以下罰鍰。（工商時報報導）報導沒寫店名，這裡也不評論店家，要說的是：一則社群貼文到主管機關稽查，可能只隔幾個小時。你的處理時間表，要用這個速度來排。

個資外洩：通知當事人，部分行業 72 小時內要通報

假設一家網路商店發現後台被入侵，會員的姓名、電話、地址可能外流。法律要你做兩件事。

第一件是通知當事人。現行個資法第 12 條規定，違反本法致個資被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人；施行細則第 22 條要求即時以電話、簡訊、電子郵件、書面等方式通知，內容包括被侵害的事實與已採取的因應措施。

很多老闆會想「等查清楚是不是我們的錯再說」。法務部 2017 年的函釋講得很白：違法責任的確認，不是通知義務的前提（那則函釋回答的是公務機關的疑問，但第 12 條同時適用民間企業）。

第二件是通報，要看你屬於哪個行業。數位發展部的〈數位經濟相關產業個人資料檔案安全維護管理辦法〉適用網路零售、軟體、資訊服務、主機網站代管、第三方支付等業者，第 8 條規定事故會危及正常營運或大量當事人權益時，要在知悉後 72 小時內通報數位發展部。其他行業可能有各自主管機關的辦法，要查你所屬那一份，或直接問律師。

罰則也要知道。2023 年修法後，企業沒做好個資安全維護而外洩，可處 2 萬元以上 200 萬元以下罰鍰，情節重大可處 15 萬元以上 1,500 萬元以下（自由時報報導）。個資法第 50 條還規定，企業被罰時，代表人除非能證明已盡防止義務，要並受同一額度罰鍰。依自由時報 2026 年 9 月報導，數位發展部就一起簡訊平台疑似個資外洩事件，對業者的公司與代表人各罰 100 萬元，合計 200 萬元，並令限期改正。對中小企業老闆來說，個資外洩不只是公司的事，也是你自己的事。

消費者申訴：15 天內要妥適處理

最容易被忽略的是消保法第 43 條：企業經營者對消費者的申訴，應於申訴之日起 15 日內妥適處理；沒獲得妥適處理，消費者可以再向縣市政府的消費者保護官申訴。危機時常常同時湧進一批退費、賠償要求，把它們列成清單、一筆一筆回覆，本身就是危機處理的一部分。

公關危機處理流程時間表：把法定期限和對外說明排在一起

前面講的事，放在同一條時間軸上會清楚很多。下面這張表是依本文整理的通用順序，不是法律規定的流程；法定期限那幾格以條文為準，其他時間點是建議。

時間點	對內要做的事	對外要做的事	有沒有法定期限
第一個小時	確認事實、保存證據、先下架或止血、指定一個對外窗口	發暫時聲明；暫停排程貼文與廣告	有安全疑慮時，消保法、食安法要求「應即」回收或停售
當天到隔天	查原因、聯繫受影響的客人、判斷要不要找律師	依承諾的時間更新進度	食品業者發現有危害之虞要通報縣市主管機關
72 小時內	個資事故確認範圍與影響	通知受影響的當事人	適用數位部辦法的業者，嚴重個資事故要通報數位發展部
15 天內	逐筆處理退費、賠償要求	回覆每一位申訴的客人	消保法第 43 條：申訴 15 日內妥適處理
之後	檢討流程、補漏洞	公布調查結果與改善進度	—

法定期限是硬的，對外說明的時間是你自己承諾的——兩種都要守。中小企業最常漏的是最後兩列：事情一退燒，15 天的申訴期限和「會公布調查結果」的承諾，最容易被忘掉。

第一則回應先發暫時聲明：還沒查清楚也能說的五件事

很多老闆遲遲不回應，是覺得「還沒查清楚，說什麼都不對」。其實第一則回應不需要答案，只需要讓大家知道：你知道了，而且正在處理。英文實務把這叫「暫時聲明」（holding statement），只講五件事：

1. 已經知道這件事（一句話描述，不加形容詞）
2. 正在查證，已經先做了什麼（下架、停售、關閉系統、聯繫受影響的客人）
3. 受影響的人現在該怎麼做（停止食用、修改密碼、憑發票來店處理）
4. 什麼時候會再更新（給具體時間）
5. 有問題找誰（電話、信箱、LINE）

寫出來大概長這樣（示意，不是哪一家的真實聲明）：

本店已經注意到今天上午有顧客反映〇月〇日生產的〇〇麵包疑似有異物。這批商品已全部下架，正在與廠商一起追查原因。若您手上有同一批商品，請先停止食用，可憑發票或購買紀錄到門市辦理退費。本店會在今天晚上 8 點前，在粉絲專頁與官網公布追查結果。有任何問題，請撥打 02-XXXX-XXXX 或私訊粉絲專頁。

它沒有道歉、沒有辯解、沒有推給供應商，也沒有說「絕對安全」，因為這些都還沒查清楚。暫時聲明的任務是爭取時間，不是下結論。

美國疾病管制與預防中心（CDC）的危機與緊急風險溝通（CERC）教材，把原則濃縮成六個詞：要先說、要說對、要可信、要表達同理、要給行動指引、要尊重。（CDC CERC 教材）教材導論對前兩個詞的說明特別值得中小企業記住：「要先說」是因為大眾最先接觸到的資訊來源，往往會變成他們之後偏好的來源；「要說對」則提醒，可以說的內容包括已經知道的、還不知道的，以及正在做什麼把缺口補上。（CDC CERC 導論，2018 年版）所以暫時聲明裡寫一句「原因還在查，查到會公布」完全沒問題，比硬湊一個說不準的原因好得多。上面五件事，就是這六個詞的中小企業版。

為什麼要搶先說？Arpan 與 Roskos-Ewoldsen 在 2005 年發表於《Public Relations Review》的實驗發現，組織自己先公開危機資訊，比讓媒體或第三方先爆出來，可信度評分明顯較高，事件也被看得沒那麼嚴重。（Arpan & Roskos-Ewoldsen, 2005）這是國外實驗，但道理不難懂：同一件事，自己講叫「誠實」，被挖出來叫「隱瞞」。

台灣政府也有類似做法：2019 年時任數位政委唐鳳受訪說明，行政院澄清不實訊息的標準是「2 小時內回應、2 張圖卡說明」，並提到一小時內就有初步回應的澄清效果特別好。（新頭殼報導）至於業界常說的「黃金時間」是 1 小時還是 24 小時，各家說法不一，沒有台灣官方標準；〈該不該找公關公司〉那篇整理過奧美的 DISCO 五原則，可以對照看。

正式聲明怎麼寫：照責任輕重決定要說到哪裡

事實查清楚之後才發正式聲明，回答三個問題：發生了什麼、你的責任是什麼、接下來怎麼辦。聲明要說到哪裡，看責任在誰：責任越重，越要直接承認、道歉、補償，而不是解釋。

危機類型	例子（通例）	正式聲明的重點	要避免的
受害型	被冒名詐騙、被散布不實消息	說明事實、教客人怎麼辨識、說明已報案或保留法律行動	情緒性反擊、點名攻擊特定個人
意外型	機器故障造成一批商品瑕疵	原因、受影響範圍、已做的處理、補償方式	只講「機器的問題」而沒有處理方案
可預防型	員工沒照流程、管理疏失	直接承認、道歉、補償、具體說明怎麼改	推給個別員工或供應商、用「深感遺憾」帶過

Coombs 整理的研究準則裡，還有兩條很實用：不管哪一型，給受影響者的「行動指引」與「關切」都是基本盤；而「否認」和「反擊指控的人」這兩招，只適合用在謠言或無理質疑的情況——事情是真的時拿出來用，等於否認一件大家都知道的事。另外，只要有人受到嚴重傷害，就該把補償放進回應裡。

幾個實務提醒：

• 用事實取代形容詞。 「非常重視」不如「已下架 120 個、聯繫了 35 位購買的客人」；數字要是真的。
• 承諾只寫做得到的。 寫了「三天內公布檢驗報告」，三天後就一定要公布。
• 說法要一致。 中小企業最常出錯的是員工：客人到店裡問，店員自己編了一個說法。正式聲明發出去之前，先讓第一線員工知道該怎麼回答。
• 涉及傷亡、賠償或可能被提告的事件，聲明發出前讓律師看過。 國外研究提醒，關切或道歉的用語可能被對方律師當成認錯；台灣個案怎麼拿捏，要問律師。

社群上的危機處理：在自己的管道說清楚，不在留言區一則一則辯

多數中小企業的危機是在社群上爆開的，社群怎麼處理，直接決定事情會不會變大。

• 先暫停排程貼文和廣告。 危機延燒時，粉專照常跳出「週年慶全館八折」，看起來就像完全不在乎。
• 正式說明放在自己的管道。 官網、粉絲專頁、LINE 官方帳號是你說了算的地方；爆料在某個社團或論壇的話，留一則簡短回覆告訴大家正式說明在哪，然後就停。
• 指定一個人負責回覆。 小團隊最常見的是每個人都以為別人回了，或各回各的、說法不一樣。危機期間對外回覆只由一個人負責，其他人看到問題轉給他。
• 不在留言區一則一則辯。 你說一句、對方回十句，旁觀的人只看到「這家店在吵架」；公開回覆的讀者是「以後的客人」，不是那位客訴的人。
• 不刪別人的留言。 刪掉批評很容易被截圖成「滅證」。違反平台規則的（人身攻擊、洩漏個資）用檢舉機制處理；自己發錯的貼文可以修正，但要說明改了什麼。

公開回應時最容易自己觸法的兩件事：貼出客人的臉與個資、指控對方造謠

被罵的時候，人很容易想「拿出證據讓大家看看」。但有兩種「證據」貼出去，可能讓你從受害者變成被告。

第一件：貼出客人的臉、全名、監視器畫面。 依聯合報 2026 年 4 月報導，嘉義市一家餐廳的老闆，因兩位顧客在 Google 留負評，就在餐廳臉書貼出其中一人的照片與全名，又放上兩人沒有遮臉的監視器畫面並標註全名。嘉義地院依個資法判處老闆有期徒刑 5 個月，得易科罰金，可上訴。法院認為，店家使用顧客個資要在消費服務的必要範圍內，發布含臉部特徵的影像已超出範圍，目的是引發負面評價。

另一件是民事案。依理律法律事務所的判決解析，智慧財產及商業法院 111 年度民著訴字第 60 號判決中，一家餐廳在粉絲專頁澄清負評時，公開了顧客全名、監視器影像與臉書大頭照，法院認定侵害肖像權與隱私權、不法利用個資，也侵害大頭照的著作權；雙方互告妨害名譽則都不成立。法院也說，顧客若有違規可以向主管機關檢舉，把監視器畫面公開讓大眾公審，不符合比例原則。

兩件判決的教訓是同一個：回應負評，回應的是「事」，不是「人」。可以說明處理流程、價格怎麼訂、當天發生什麼，但不要把客人的臉、名字、訂單資料攤出來。

第二件：公開指控對方造謠、說謊。 「這個人根本在說謊」「惡意抹黑」這類話，拿不出證據或涉及對方私德，可能構成刑法第 310 條的誹謗。反過來，對方捏造事實毀損你的商譽，你可以考慮法律途徑——誹謗與妨害信用怎麼判斷、告訴期間怎麼算，站上〈Google評論〉那篇有整理。不管哪一邊，要指控別人之前，先問律師。

公關危機什麼時候要找律師：這六種情況別自己扛

老闆不需要變成律師，但要知道什麼時候該打電話給律師。你可以不是頂尖，但你不能沒有常識——危機處理的常識，就是認得出這六種情況：

1. 有人受傷、生病或死亡。 涉及賠償與可能的刑事責任，聲明的每個字都可能被拿出來看。
2. 主管機關已經介入。 衛生局稽查、數位發展部要求提供資料、消保官來函，怎麼回覆先問律師。
3. 個資外洩。 通知怎麼寫、要不要通報、通報給誰，都有法規要求。
4. 你想提告，或對方說要告你。 告訴期間、證據保全、要不要先發存證信函，都要專業判斷。
5. 你準備公開任何人的資料，或指控某人說謊。 這是最容易自己觸法的時候。
6. 聲明要寫到責任歸屬或賠償金額。 寫了就收不回來。

沒有固定配合律師的小公司，可以先用經濟部中小及新創企業署的「中小企業法律諮詢服務網」。依工商時報 2025 年 12 月報導，網站自 2026 年元旦改版，由 155 位中小企業榮譽律師提供免費諮詢，首頁就有線上提問與預約面談。它適合確認「我現在這樣做有沒有問題」，但不能取代正式委任，事件進入訴訟或主管機關調查，還是要找正式委任的律師。

危機處理之後：兌現說過的更新，把這次的漏洞補起來

事情退燒後，很多老闆只想趕快回到正常。可是收尾做不好，前面的努力會打折。前面提到的 Coombs 白皮書，把危機後的工作整理成兩件事：危機期間答應過要提供的資訊，一定要兌現，並持續公布復原、改善與調查的進度。

套到中小企業，是一張收尾清單：

• 回頭公布結果。 說了「晚上 8 點公布」「三天內公布檢驗報告」，就要真的公布，而且公布在同一個地方。
• 把補償做完。 退費、換貨、賠償逐筆確認，消費者申訴記得 15 天期限。補償的設計也會被檢視：根據自由時報 2026 年 3 月報導，一起影響逾 20 萬名台灣用戶的電商個資事件，業者提出每人 1,000 元、需在平台消費後分次折抵的補償，有網友批評太少、像變相促銷，主管機關則表示會了解補償方式是否符合消費者期待。補償要讓受影響的人覺得是在彌補他，而不是要他再消費一次。
• 說明改了什麼。 換供應商、加檢查流程、重新訓練員工，用具體動作說明，不要只寫「會更加注意」。
• 看一下別人搜你名字時看到什麼。 危機相關的貼文與報導，可能在品牌名搜尋結果裡留很久，平時怎麼經營那一頁，〈搜尋口碑優化怎麼做〉有完整說明。
• 內部檢討一次。 怎麼發生的、哪一步慢了、哪句話說錯了，結論要真的改進流程。

危機最怕的不是發生一次，而是同樣的事發生第二次。SCCT 的研究也指出，有過類似前科的組織，下一次出事會被看得更嚴重——第一次大家可能覺得是意外，第二次就會覺得你不在乎。

小公司平常就能準備的危機處理清單

中小企業不需要大企業那種危機小組與演練，但有四樣東西花一個下午就能準備好，出事時省下最慌亂的那一個小時：

1. 緊急聯絡清單：誰決策、誰對外回覆、律師或法律諮詢管道、主要供應商、所在縣市衛生局或主管機關的電話。
2. 暫時聲明範本：照前面五件事寫好，出事時只要填空，不必在最慌的時候從零開始寫。
3. 對外說話的規則：誰可以代表公司發言、員工被問到時怎麼回（例如「已經在處理，正式說明會公布在粉專」）。
4. 你這一行的法定義務清單：賣的東西出事要不要回收、要通報誰；保管哪些客人的個資、外洩時要通知誰、多久內。

Coombs 引述的研究也發現，有書面計畫、有指定團隊、定期演練、事先擬好部分訊息的組織，面對危機時處理得比較好。「事先想過」本身，就是最便宜的保險。

如果你還不確定，出事時官網、社群與品牌名的搜尋結果有沒有一個地方能放正式說明、能讓想查證的人找得到你的說法，可以找晨星行銷一起盤點一次。

常見問題