個人資料保護法、BS10012介紹 - ttrc.edu.t€‹人資料保護法與BS10012介紹.pdf · 個資法從10月1日開始正式實施 • 除規範特種個資不得利用的第

個人資料保護法、BS10012介紹

NII產業發展協進會專業講師群

All Rights Reserved by NII產業發展協進會

2


大法官會議對隱私及個人資料之解釋

• 隱私權雖非憲法明文列舉之權利，惟基於人性尊嚴與個人主體性之維護及人格發展之完整，並為保障個人生活秘密空間免於他人侵擾及個人資料之自主控制，隱私權乃為不可或缺之基本權利，而受憲法第22條所保障。

釋字585號

• 就個人自主控制個人資料之資訊隱私權而言，乃保障人民決定是否揭露其個人資料、即在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並保障人民對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權。

釋字603號

個資法從10月1日開始正式實施

• 除規範特種個資不得利用的第 6 條，以及間接蒐集個資1年內告知的第 54 條暫緩實施，等待修法外，其餘條文都正式實施。

• 未來不分產業，公家機關、私人企業、學校機構，甚至是每一個個人，也不管儲存在紙本或是電子形式的個人資料，都需受到個資法的規範。

• 法務部在101年9月26日公告個資法施行細則，並於同年10月1日實施，沒有緩衝期。

3 All Rights Reserved by NII產業發展協進會

暫緩實施的第六條與第五十四條條文個資法第六條：有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：

一、法律明文規定。二、公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。三、當事人自行公開或其他已合法公開之個人資料四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且經一定程序所為蒐集、處理或利用之個人資料。

前項第四款個人資料蒐集、處理或利用之範圍、程序及其他應遵行事項之辦法，由中央目的事業主管機關會同法務部定之。

個資法第五十四條：本法修正施行前非由當事人提供之個人資料，依第九條規定應於處理或利用前向當事人為告知者，應自本法修正施行之日起一年內完成告知，逾期未告知而處理或利用者，以違反第九條規定論處。 4


如何降低個資法之風險？非公務機關

• §29 非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權力者，負損害賠償責任。但能證明其無故意或過失者，不在此限。

• §50 非公務機關之代表人、管理人或其他有代表權人，因該非公務機關依前三條規定受罰鍰處罰時，除能證明已盡防止義務者外，應並受同一額度罰鍰之處罰。

• §31 損害賠償，除依本法規定外，公務機關適用國家賠償法之規定，非公務機關適用民法之規定。

• 施行細則第十二條第二項說明「落實安全維護措施」有十一項。

5


如何降低個資法之風險？

公務機關 • §28 公務機關違反本法規定，致個人資料遭不法蒐集、處理

、利用或其他侵害當事人權力者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。

• §18 公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。

• §31 損害賠償，除依本法規定外，公務機關適用國家賠償法之規定，非公務機關適用民法之規定。

• 施行細則第十二條第二項說明「落實安全維護措施」有十一項。

6 6 All Rights Reserved by NII產業發展協進會

課程大綱

個人資料保護法基本認知說明

個人資料保護法重要條文說明

情境案例

問題與討論

個人資料保護法基本認知說明

個人資料保護法

• 電腦處理個人資料保護法 – 84年8月11日制定公布。

• 個人資料保護法 – 99年5月26日由總統府正式公布修正之全文，施行日期由行政院定之。

• 個人資料保護法施行細則草案預告 – 100 年 10 月 26 日法務部預告「電腦處理個人資料保護法施行細則」修正草案

9


• 規範個人資料蒐集、處理、利用

10


避免人格權受侵害促進個人資

料合理利用

尋求個人資訊隱私權與資料合理流通之利益平衡。

個人資料保護法之立法目的

個資法架構

第一章總則

第二章公務機關對個人資料之蒐集、處理及利用

第三章非公務機關對個人資料之蒐集、處理及利用

第四章損害賠償及團體訴訟

第五章罰則

第六章附則

個人資料保護法 (共56條)


個人資料保護法修正的重要立法旨意

12


• 以往個人資料外洩只要非自動化設備(如:電腦)處理即不適用，新法加入人工處理及增加類型資料，且納入直接與間接識別資料。

擴大保護客體

• 刪除行業別之限制，自然人、法人、公司機構一體適用，解決以往只有列入受管理的政府機關與少數民間產業的不合理情況。

廣泛適用主體

• 限制蒐集特種資料、規範書面同意方式、增客告知義務(權利、正確性及外洩的告知)、放寬查詢權利、限制任意行銷，不遵守行為規範的行政裁罰。

增修行為規範

個人資料保護法修正的重要立法旨意

13


• 中央目的事業主管機關或地方政府得強制檢查、處分或處罰解決因為普遍適用主體後，管制單位的模糊，並將資料保護的查察措施擴及非司法警察機構。

強化行政監督

• 建立團體訴訟機制，對於管理與求償或資料保護實務的進展，納入民間監督與求償，期望提高全民重視與普及。

促進民眾參與

• 加重刑事責任及擴大適用範圍、提高民事損害賠償總額限制、提高行政罰鍰並課負責人、代表人、管理人監督責任，舉證責任倒置。

責任內涵提高

公務或非公務機關之條文

• 公務與非公務機關之定義： – §2 公務機關

•依法行使公權力之中央或地方機關或行政法人

– §2 非公務機關 •指前款以外之自然人、法人或其他團體

14


個資法所保障之法益為人格權


• 由於社會樣態複雜，有些資料雖未直接指名道姓，但一經揭露仍足以識別某一特定人，仍對個人隱私造成侵害，因此參考1995年歐盟資料保護指令第2條、日本個人資料保護法第2條，將「其他足資識別該個人之資料」修正為「其他得以直接或間接方式識別該個人之資料」。

何謂個人資料 ?

一般資料

特種資料

其他資料

自然人的 •姓名 •出生年月日 •身分證號碼 •護照號碼 •特徵 •指紋 •婚姻 •家庭 •教育 •職業 •聯絡方式 •財務情況 •社會活動

• 醫療 • 基因 • 性生活 • 健康檢查 • 犯罪前科

• 得以直接或間接方式識別該個人之資料


一般個人資料內容類別內容

特徵年齡、性別、出生地、國籍、身高、體重、血型、抽煙、喝酒等。

婚姻婚姻之歷史：前次婚姻或同居、離婚或分居等細節及相關人之姓名等。

家庭其他成員之細節：子女、受扶養人、家庭其他成員或親屬、父母等。

家庭是否結婚、配偶或同居人之姓名、前配偶或同居人之姓名、結婚日期、子女數等。

教育學校紀錄：學歷、科系、畢業或肄業等。

學生紀錄：學習過程、相關資格、考試成績或其他學習紀錄等。

職業現行之受僱情形、離職經過、工作經驗、工作紀錄。

病歷

依醫療法(第六十七條)所定之病歷應包括下列各款之資料：一、醫師依醫師法執行業務所製作之病歷。二、各項檢查、檢驗報告資料。三、其他各類醫事人員執行業務所製作之紀錄。(此部份尚未確定)

聯絡方式傳統聯絡方式：電話、地址、電子郵件等。

網路聯絡方式：MSN、SKYPE、Facebook、噗浪、微博、部落格、PTT 帳號等。

財務情況帳戶之號碼與姓名、信用卡或簽帳卡之號碼、收入、所得、資產、投資、銀行、負債、支出、信用評等、貸款、結匯紀錄、票據信用、津貼、福利、贈款等。

社會活動移民情形、旅行及其他遷徙細節、休閒活動及興趣等。 17 All Rights Reserved by NII產業發展協進會

18

•醫療之個人資料，指除病歷及由醫師或其他之醫事人員，以治療、矯正、預防人體疾病、傷害、殘缺為目的，或其他醫學上之正當理由，所為之診察及治療；或基於以上之診察結果，所為處方、用藥、施術或處置所產生之個人資料。（同醫療法之定義） •衛生署對醫療行為之解釋在一定目的下，所為綜合可產生療效之行為。因此以醫療行為所產生之個人資料則認屬醫療之個人資料。

•健康檢查之個人資料，指非針對特定疾病進行診斷或治療之目的，而以醫療行為施以檢查所產生之資料。 •健康檢查亦屬醫療行為之一種，唯其與其他疾病診斷、治療之不同，在於係對外觀健康之人，非以特定疾病之治療或診斷為主要目的。

特種個人資料內容

19


http://www.google.com.tw/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=UZED2ldcKTAtJM&tbnid=fJoC9uWblS4P2M:&ved=&url=http%3A%2F%2Ftw.people.com.cn%2FBIG5%2F26741%2F13098215.html&ei=KjxJUrmXH4W9kQXRzIDACA&psig=AFQjCNF6Pp2vKM0Lh3la-OpAF6TmRSjYfw&ust=1380617643006249

20

威尼斯2名男同性戀被歐打

在倫敦街頭暴力事件中遭到毆打的同性戀者

巴西恐同仇恨犯罪

•性生活之個人資料，指性取向或性慣行之個人資料。 •性生活應屬有關極為敏感且容易引起偏見或足使個人人格遭受歧視之性生活個人資料。 •本項參酌澳洲1998年隱私權法第6條規定及2007年澳洲法律改革委員會之修法建議。


http://www.google.com.tw/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=sgXcfhRCFnNtSM&tbnid=6pule0ACX4xRbM:&ved=0CAUQjRw&url=http%3A%2F%2Fwww.songyy.org.tw%2Faction_3.asp%3FACTID%3DACT1312221934848&ei=Lj5JUqDzLISFkAWf44HgDA&psig=AFQjCNEETz1B0fefZXCZhcq0NUcfc7FfkA&ust=1380617975886318

21

基因之個人資料，指由人體一段去氧核醣核酸構成，為人體控制特定功能之遺傳單位訊息。


http://www.google.com.tw/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=AnDgstNdwHbw6M&tbnid=BxJiSe8D9Rp-QM:&ved=0CAUQjRw&url=http%3A%2F%2Fhep.ccic.ntnu.edu.tw%2Fbrowse2.php%3Fs%3D867&ei=UDdJUq-gIcmokAWE6YGYBA&psig=AFQjCNFyodEqgQoCu34sVLcgadaDuYJRRQ&ust=1380616384370747

22

•犯罪前科之個人資料，指經緩起訴、職權不起訴或法院判決有罪確定、執行之紀錄。

•此外，有關有罪判決或有罪認定之執行記錄，亦屬之，以保護當事人之個人資料隱私權益。


何種情況下才能夠蒐集特種個資? 個資法第 6 條 • 只有在下列情形時，才能夠蒐集特種資料：


法律明文規定：醫療法第 67 條

醫療機構應建立清晰、詳實、完整之病歷。前項所稱病歷，應包括

下列各款之資料：

一、醫師依醫師法執行業務所製作之病歷。

二、各項檢查、檢驗報告資料。

三、其他各類醫事人員執行業務所製作之紀錄。醫院對於病歷，應

製作各項索引及統計分析，以利研究及查考。

http://mohwlaw.mohw.gov.tw/Chi/FLAW/FLAWDOC01.asp?lsid=FL013534&lno=67http://mohwlaw.mohw.gov.tw/Chi/FLAW/FLAWDOC01.asp?lsid=FL013534&lno=67http://mohwlaw.mohw.gov.tw/Chi/FLAW/FLAWDOC01.asp?lsid=FL013534&lno=67http://mohwlaw.mohw.gov.tw/Chi/FLAW/FLAWDOC01.asp?lsid=FL013534&lno=67



所稱適當安全維護措施指公務機關或非公務機關為防止個人資料被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施。措施得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：一、配置管理之人員及相當資源。二、界定個人資料之範圍。三、個人資料之風險評估及管理機制。四、事故之預防、通報及應變機制。五、個人資料蒐集、處理及利用之內部管理程序。六、資料安全管理及人員管理。七、認知宣導及教育訓練。八、設備安全管理。九、資料安全稽核機制。十、使用紀錄、軌跡資料及證據保存。十一、個人資料安全維護之整體持續改善。



當事人自行公開之個人資料，指當事人自行對不特定人或特定多數

人揭露其個人資料。

已合法公開之個人資料，指依法律或法律具體明確授權之法規命令

所公示、公告或以其他合法方式公開之個人資料。

哪些個人資料不受個資法保護? 個資法第 51 條

• 例如社交活動、寄送喜帖、親友通訊錄等

• 上述資料的蒐集必須與職業或業務職掌無關

自然人為單純個人或家庭活動之目的，而蒐集、處理或利用個人資料

• 例如運動會照片、遊樂場拍攝小孩與其他小孩一起遊玩的影片等

• 為解決合照或其他在合理範圍內之影音資料須經其他當事人書面同意始得蒐集、處理或利用之不便，因此排除個資法對上述影音資料的適用，回歸民法規定。

於公開場所或公開活動中所蒐集、處理或利用之未與其他個人資料結合之影音資料


個人資料保護法的適用於個人嗎? 保護對象為?

個資法第 51 條

• 包括各行各業及個人 (§2) • 受委託蒐集、處理或利用個人資料者，視同委託機關 (§4)

個資法適用對象

• 以任何方式（包括紙本）留存的資料

• 任何方式取得個人資料 (§2) • 生存之特定或得特定之自然人

個資法保護客體


個人資料保護法規範的行為

• 依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合非經電腦處理的個人資料（如紙本）亦納入規範

個人資料檔案

• 以任何方式取得個人資料不限於為建立「個人資料檔案」取得包括直接向當事人蒐集、間接從第三人取得

蒐集

• 為建立或利用「個人資料檔案」所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。不限於電腦處理，可能是快遞寄送、影印機複製等行為

處理

• 將個人資料為處理以外之使用。直接對當事人使用其個人資料，例如對當事人從事行銷將資料提供當事人以外之第三人亦屬於利用之行為

利用


個人資料保護法重要條文說明

基本原則：不得逾越特定目的

個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。 (§5)


公務機關個人資料之蒐集、處理及利用

• 公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：

1 執行法定職務必要範圍內。

2 經當事人書面同意。

3 對當事人權益無侵害。

• 特定目的內(§15) 特定目的外 (§16) 公務機關對個人資料之利用，除第六條第一項所規定資料外，應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符。但有下列情形之一者，得為特定目的外之利用：

1 法律明文規定。

2 為維護國家安全或增進公共利益。

3 為免除當事人之生命、身體、自由或財產上之危險。

4 為防止他人權益之重大危害。

5 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過處理後或依其揭露方式無從識別特定當事人。

6 有利於當事人權益。

7 經當事人書面同意


法定職務，指於下列法規中所定公務機關之職務：一、法律、法律授權之命令。二、自治條例。三、法律或自治條例授權之自治規則。四、法律或中央法規授權之委辦規則。

非公務機關個人資料之蒐集、處理及利用

• 非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：


2 與當事人有契約或類似契約之關係。

3 當事人自行公開或其他已合法公開之個人資料。

4 學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。


6 與公共利益有關。

7 個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。

• 特定目的內(§19)

類似契約之關係，指下列情形之一者：一、非公務機關與當事人間於契約成立前，為準備或商議訂立契約或為交易之目的，所進行之接觸或磋商行為。二、契約因無效、撤銷、解除、終止而消滅或履行完成時，非公務機關與當事人為行使權利、履行義務，或確保個人資料完整性之目的所為之連繫行為。


契約關係，包括本約，及非公務機關與當事人間為履行該契約，所涉及必要第三人之接觸、磋商或聯繫行為及給付或向其為給付之行為。


• 非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：


2 與當事人有契約或類似契約之關係。

3 當事人自行公開或其他已合法公開之個人資料。

4 學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。


6 與公共利益有關。

7 個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。

• 特定目的內(§19)

蒐集或處理者知悉或經當事人通知依本項但書規定禁止對該資料之處理或利用時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。



特定目的外 (§20)

非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用：

1 法律明文規定。 2 為增進公共利益。

3 為免除當事人之生命、身體、自由或財產上之危險。

4 為防止他人權益之重大危害。

5 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過處理後或依其揭露方式無從識別特定當事人。


非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。


蒐集個資時，應告知當事人哪些事項?

直接蒐集向當事人蒐集個資、以及間接向當事人蒐集個資的情境，個資法有不同的告知義務規定。(§8, §9)


直接蒐集個人資料的告知義務

何時應該告知? 向當事人蒐集之前

應告知事項

1 機關名稱。

2 蒐集目的。

3 個人資料類別。

4 利用期間、地區、對象及方式。

5

當事人依第3條規定得行使之權利及方式： (1) 查詢或請求閱覽。 (2) 請求製給複製本。 (3) 請求補充或更正。 (4) 請求停止蒐集、處理或利用。 (5) 請求刪除。上述權利，不得預先拋棄或以特約限制。

6 如當事人得自由選擇提供個人資料，不提供將對其權益之影響。

得免為告知之情況

1 依法律規定得免告知

2 個人資料之蒐集係公務機關執行法定職務所必要

3 告知將妨害公務機關執行法定職務

4 告知將妨害第三人之重大利益

5 當事人明知應告知之內容










案例：

艾鎂在百貨公司客服部上班，每天都負責受理客戶申請為百貨公司的會員，在申請書上，客戶須填載名字、出生年月日、年所得、職業、email信箱、購物愛好等欄位，才能成為會員並取得會員卡，聽說個人資料保護法施行後，要向客戶蒐集個人資料時要向客戶告知若干事項，否則有違法之虞，不知是否屬實？

百貨公司在會員申請書上要求客戶填載資料，屬於非公務機關蒐集個人資料，當有個人資料保護法之適用，此外也無上述免除告知之情形，因此於蒐集時依法必須明確向客戶告知本法第8條所規定之內容。









例如：戶政事務所依戶籍法第68條規定，為查證戶籍登記事項，可以請求有關機關、學校、團體、公司或人民提供資料；金融機構依洗錢防治法第7條規定，對於達一定金額以上之通貨交易、應確認客戶身分及留存交易紀錄憑證；醫生依傳染病防治法第39條規定，於發現傳染病或疑似傳染病時，應立即報告當地主管機關報告，同法第31條規定，醫療機構人員（包含醫師）於病人就診時，應詢問其病史、就醫紀錄、接觸史、旅遊使及其他與傳染病有關之事項，病人或其家屬應據實陳述，因此，醫師發現有疑似傳染病而對病人蒐集必要個人資料時，毋需再履行告知義務。

案例：春嬌在國稅局上班，有天發現志明似有漏報租賃所得的情形並向上級報告，經上級審核後指定其為調查人員，向志明進行調查，請志明說明其名下A屋是否出租予他人，若有，請其提出租賃契約以供調查，請問上述春嬌向志明本人蒐集個人資料時是否負有向其告知相關事項之義務？依稅捐稽徵法第30條第1項規定，稅捐稽徵機關或財政部賦稅署指定之調查人員，為調查課稅資料得向有關機關、團體、個人進行調查，要求提示有關文件或通知納稅義務人到達其辦公處所備詢。可見，春嬌或所屬國稅局向志明調查其所有A屋是否出租等情事，是執行法定職務，屬於上述免於告知的情形。

直接蒐集個人資料的告知義務得免為告知之情況







例如：檢察機關偵辦刑事案件，或行政執行機關辦理強制執行等

案例：建國任職於台北市信義區警察局某派出所，擔任副所長職務，某月夜間凌晨三時左右，其與同事大明執行轄區巡邏勤務時，行經忠孝東路五段由東往西方向靠近基隆路處，發現有自小客車蛇行且行徑路線飄忽不定，遂將該車攔停並要求駕駛人小方出示相關證件以查其身分，請問此時建國是否要履行個人資料保護法第8條所規定之告知義務？警察職務行使法第8條規定，警察對於依客觀合理判斷易生危害之交通工具，得予以攔停並要求駕駛人或乘客出示相關證件或查證其身分。因此，建國要求小方出示相關證件，可以妨害公務機關之執行法定職務為由拒絕告知義務之履行。









例如：告知將妨害於第三人個人之生命、身體、自由、財產或其他重大利益者。









因當事人既已明瞭告知的內容即無立法目的之考量，故無重複告知的必要。

間接蒐集個人資料的告知義務何時應該告知? 處理或利用當事人的個資前

應告知事項

1 機關名稱。

2 蒐集目的。

3 個人資料類別。

4 利用期間、地區、對象及方式。

5

當事人依第3條規定得行使之權利及方式： (1) 查詢或請求閱覽。 (2) 請求製給複製本。 (3) 請求補充或更正。 (4) 請求停止蒐集、處理或利用。 (5) 請求刪除。上述權利，不得預先拋棄或以特約限制。

6 個人資料來源。


1 依法律規定得免告知。

2 個人資料之蒐集係公務機關執行法定職務所必要。

3 告知將妨害公務機關執行法定職務。

4 告知將妨害第三人之重大利益。

5 當事人明知應告知之內容。

6 當事人自行公開或其他已合法公開之個人資料

7 不能向當事人或其法定代理人為告知。

8 基於公共利益為統計或學術研究之目的而有必要，且該資料須經提供者處理後或蒐集者依其揭露方式，無從識別特定當事人者為限。

9 大眾傳播業者基於新聞報導之公益目的而蒐集個人資料。


資料違法外洩時，一定要和當事人說嗎?

43


• 公務機關或非公務機關違反本法規

定，致個人資料被竊取、洩漏、竄

改或其他侵害者，應查明後以適

當方式通知當事人。(§12)

44


個資法規定的安全保護相關規定有哪些?

45


個人資料之安全保護相關規定

公務機關非公務機關保有個人資料檔案者，應採行適當之

安全措施，防止個人資料被竊取、竄改、毀損、滅失或

洩漏。中央目的事業主管機關得指定非公務機關訂定個人

資料檔案安全維護計畫或業務終止後個人資料處理方法。

前項計畫及處理方法之標準等相關事項之辦法，由中央目

的事業主管機關定之 (§27) 。

46


個資法施行細則草案所列的安全維護事項

保護標的：防止個人資料被竊取、竄改、毀損、滅失或洩漏

1 成立管理組織，配置相當資源。 2 界定個人資料之範圍。 3 個人資料之風險評估及管理機制。 4 事故之預防、通報及應變機制。 5 個人資料蒐集、處理及利用之內部管理程序。 6 資料安全管理及人員管理。 7 認知宣導及教育訓練。 8 設備安全管理。 9 資料安全稽核機制。

10 必要之使用紀錄、軌跡資料及證據之保存。 11 個人資料安全維護之整體持續改善。

必要措施以所須支出之費用與所欲達成之個人資料保護目的符合適當比例者為限。

此11項安全措施內容為參照英國BS10012:2009 及日本JISQ15001:2006 等個人資料管理系統之規範，以P-D-C-A 循環之概念予以建立。


若違反個資法，只要罰錢就可以了嗎?

48


公務機關之法律責任

違法蒐集處理或利用敏感性資料

刑事責任

違法蒐集及處理個人資料

違法利用個人資料

非法妨害個人資料正確性

違法進行國際傳輸

非意圖營利：兩年以下有期徒刑意圖營利：五年以下有期徒刑

五年以下有期徒刑

民事責任非財產損害得請求賠償相當金額

最高賠償總額 2 億元

公務員假借職務上之權力、機會或方法，犯本章之罪者，加重其刑至二分之一。 (§44)

公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。 (§28)


非公務機關之法律責任

民事責任非財產損害得請求賠償相當金額

最高賠償總額 2 億元

違法蒐集處理或利用敏感性資料

刑事責任

違法蒐集及處理個人資料

違法利用個人資料

非法妨害個人資料正確性

違法進行國際傳輸

非意圖營利：兩年以下有期徒刑意圖營利：五年以下有期徒刑

五年以下有期徒刑

非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。 (§29)

50


非公務機關之法律責任 (續)

行政責任罰鍰(雙罰、每次2萬至50萬)

行政檢查

處分禁止蒐集處理或利用

命令刪除經處理之資料

公布違法情形及其姓名或名稱與負責人

沒入或銷毀

代表人、管理人或其他有代表權之人除能證明已盡防止義務外應並設同一額度罰鍰

51


BS 10012標準介紹教育訓練

講師：NII產業發展協進會專業講師群


1.善盡告知義務

2.依特定目的蒐集個資

3.公正且合法使用個資

4.保護個人隱私相關項目

5.確保存取控制之安全

6.確保資料之正確性

7.確保資料傳輸之安全

8.確保個人修改之權利

9.妥善處理抱怨與申訴

10.落實委外安全管理

BS 10012相關管理規範摘要

英國標準BS 10012(PIMS) V.S 國內個人資料保護法

53

國內個人資料保護法相關管理規範摘要

1.善盡告知義務

2.依特定目的蒐集個資

3.公正且合法使用個資

4.保護個人隱私相關項目

5.確保存取控制之安全

6.確保資料之正確性

7.確保資料傳輸之安全

8.確保個人修改之權利

9.妥善處理抱怨與申訴

10.落實委外安全管理

11.個資定義不同(未包含種族

、政黨等)

12.提供閱覽或製給複製本

13.規範特種資料不得蒐集

14.區分公務機關與非公務機

關之處理方式

15.具團體訴訟機制


國際間個人資料保護法律比較

部份資料參考來源：經濟部 54

比較項目日本韓國德國英國台灣

個人資料保護

主要法規個人情報保護法

資通訊網路利用及資訊保護法

聯邦個人資料保護法

聯邦個人資料保護審驗法



台灣個人資料保護與管理制度（TPIPAS）

法律規範內容企業負有個人資料保護義務

網站經營者及線上企業負有個人資料保護義務

企業個人資料保護義務及審驗權責機關、審驗客體及程序等

當事人之權利、持有者之義務、除外規定及主管機關監督規定

當事人之權利、持有者之義務除外規定及主管機關監督規定

標章發放 P-Mark ePrivacy-Mark 個人資料保護標章無

無

電子商務業者

「個人資料隱私保護標章（ Data Privacy Protection Mark；DP Mark）」

適用範圍企業個人資料透過網際網路所蒐集的個人資料

資通訊產品、服務以自動化設備處理之資料或已建檔之資料

指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合

管理制度/標

章發放組織

日本情報處理開發協會 (JIPDEC)

韓國資訊通信協會(KAIT)

個人資料保護審驗機構英國標準協會(BSI) 設計制度

個人資料保護法-法務部

台灣個人資料保護與管理制度（TPIPAS）」-經濟部商業司

機構維運初期：政府資金

穩定後：自行維運

依法設立，

享有政府預算

個人資料保護審驗機構自行維運

機構自行維運依法設立

機構自行維運


各國管理制度與標章發放多由政府委託監督民間公

正單位執行，僅英國為民間標準協會自發性建置。

各國制度依循國家法令及產業狀況而有所不同，推

行之實際狀況亦多有差異，需建立連結關係深入瞭

解，方能汲取經驗健全我國制度規劃。

國際間個人資料保護法律比較(續)

資料參考來源：經濟部 55 All Rights Reserved by NII產業發展協進會

BS 10012 個人資料管理系統

• BS 10012的全名為「資料保護─個人資訊管理系統之要求（Data protection–Specification for a personal information management system）」，其中，資料保護法案所要求應遵守的8項資料保護原則，非常適合各組織作為制定個人資料保護的參考，內容說明如下：

• 個人資料不可以非法或不公正方式蒐集、處理。 • 個人資料應限於以特定目的之方式蒐集、處理。 • 個人資料應以充分、相關，而非逾越其原本之目的處理。 • 個人資料應求準確，並在必要時及時更新。 • 個人資料之保存，不得超過其原定目的之保存期限。 • 個人資料之處理，應依照當事人之權限及法令規範。 • 組織應採取適當的資料保護技術和措施，防止個人資料遺失或毀壞。 • 個人資料不得轉移到歐洲經濟區以外的國家或地區。


何謂個人資料管理系統(PIMS)?

• 部分有關建制、導入、作業、監控、審核、

維護和改善個人資料的管理的整體框架

BS 10012:2009


Plan-Do-Check-Act (PDCA) 循環


59

PDCA 持續改善的精神

Act Plan

Check Do Maturity/Quality Level


名詞解釋

• Data Protection Act 1998(DPA) (英國個資法)

• European Economic Area(EEA)(歐盟)

• “Personal information ” = “ personal data ” (個人資訊 = 個人資料) • 個人資訊---可識別與個人生活相關的個人資料


敏感性個人資料

BS 10012敏感性個人資料 • 種族或人種, • 政治觀點, • 宗教或其他信仰, • 會員資格, • 身體或精神狀態, • 性生活, • 委員會或委員會的任何指控的罪行,

• 任何犯罪的的訴訟，或已承認犯行，處置這類訴訟或任何此類訴訟的法院的判決。

個人資料保護法特種個資 • 醫療 • 基因 • 性生活 • 健康檢查 • 犯罪前科


3. 規劃個人資料管理系統(PIMS)

• 控制目標

–規劃個人資料管理系統，使其可提供遵循資料

保護法令及最佳實務之指引與支援。


規劃個人資料管理系統PIMS

• 3.1 建立和管理 PIMS – 組織應建立、實作、維護及持續改進PIMS以符合3.2～3.7的要求

• 3.2 界定PIMS 適用範圍及設定目標組織 – 應依據下列項目界定PIMS 的範圍並設定個人資料管理目標：

• a) 個人資料管理需求

• b) 組織的目標與義務

• c) 組織可接受的風險等級

• d) 適用之法令、規章、契約(合約)與專業職責

• e) 個人和其他利害關係人之利益


• 3.3 個人資料管理政策 –組織應確保高階管理階層被賦予發行及維護個

人資料管理政策之責，而其政策中應明訂政策

的框架，並展示對於遵循資料保護法令與最佳

實務的支持與承諾。

NOTE Senior management might consist of the Board of Trustees/Directors, the

Chief Executive and senior workers, the partners of the organization or the owner

of a sole trader company.



• 3.4 政策內容 – 個人資料管理政策中應陳述組織對於遵循資料保護法令與最佳實務的承諾，包含：

• a) 僅於個人資料管理政策中應陳述組織對於遵循資料保護法令與最佳實務的承諾，包含：合法的組織需求下，始得進行個人資料之處理；

• b) 僅針對特定目的蒐集必要的個人資料，且不過度的處理個人資料； • c) 明確告知當事人其個人資料將如何被使用及被誰使用； • d) 僅處理相關且適當的個人資訊； • e) 公平與合法地處理個人資訊(參考4.7)； • f) 組織應維護一份個人資料清冊(參考4.2)； • g) 確保個人資料的正確性，並於必要時進行更新； • h) 僅依法或合法的組織目的下保存個人資料； • i) 尊重當事人對其個人資料所能行使之權利，包含其申請閱覽權； • j) 確保所有個人資料的安全； • k) 當組織將個人資料傳輸至非歐洲經濟區成員之國家時，應確保其具良善保護之機制； • l) 個人資料保護法令所允許之例外情形的應用； • m) 建立與實施PIMS，以確認個人資料保護政策的實行； • n) 鑑別內外部利害關係者及其參與PIMS 治理與運作的程度； • o) 於PIMS 運行中，明確界定員工之責任與義務(參考3.5)。



• 3.5 職責和歸責性

– 高階管理團隊之成員應負起組織管理個人資料之責，以展示組織遵循資料保護法令及最佳實務之決心。(可參考4.1.1)

– 職責應包含：

• a) 核准個人資料管理政策

• B) 依個人資料管理政策建立與實行PIMS

• c) 遵循個人資料管理政策執行安全與風險管理(可參考4.13.1)

– 應指派一位或多位合適或具經驗的同仁負責日常個人資料管理政策的遵循(可參考4.1.2)

– 藉由流程與程序的實行、適當的員工發展或對於不符合事項制訂管控程序，以確保所有同仁皆能遵循個人資料管理政策之要求



• 3.6 資源提供

• 組織應決定並提供建立、實行及維運PIMS

所需的資源。



• 3.7 將PIMS嵌入組織文化 • 為確保個人資料管理可成為公司核心價值的一部分並可有效管理，組織應該： – a) 透過持續的教育訓練與認知課程，以提高、強化與維持所有員工對PIMS的認知

– b) 建立對PIMS認知訓練有效性評量程序 – c) 對所有員工傳達以下的重要性：

• 1) 達成PIMS目標 • 2) 遵循政策 • 3) 對政策的持續改善

– d) 確保每個員工都瞭解他們如何影響組織PIMS



• 4.1 責任的配置 • 為確保組織能依個人資料管理政策委派適當之權責予同仁。 – 4.1.1 高階管理階層 –高階管理團隊之成員應負起組織管理個人資料之責，以展示組織遵循資料保護法令及最佳實務之決心。


實作與運作個人資料管理系統(PIMS)

• 4.1.2 日常遵循政策之責任 • 應指派一位或多位合適或具經驗的同仁負責日常個人資料管理政策的遵循，並依組織的大小與個人資料的處理性質，將該責任指派予全職或兼職的人員。



• 受指派的人員應承擔下列責任： – A) 遵循個人資料管理政策之責 – b) 發展與審核個人資料管理政策 – c) 確保個人資料管理政策的實行 – d) 個人資料管理政策的管理審查作業(參照5.2) – e) 依個人資料管理政策之需求進行教育訓練與持續的認知宣導(參照4.3)

– f) 個人資料處理程序之核准作業，例如： • 1) 隱私權公告的管理與溝通(參照4.7.1)；

• 2) 處理來自當事人之需求(參照4.12.1)；

• 3) 個人資料的蒐集與處理(參照4.7.1)；

• 4) 抱怨事件的處理(參照4.12.2)；

• 5) 資安事故的管理(參照4.13.6)；

• 6) 委外與岸外生產(off-shoring)(參照4.14)；



– g) 與組織內負責風險管理與安全議題的單位/人聯繫(參照4.13)； – h) 提供有關資料保護法令相關事項的專家意見與指引文件； – i) 說明與應用個人資料處理的各種例外狀況(參見簡介或4.8.1)； – j) 提供資料分享方案之建議(包含資料處於異地之資安議題)(參照

4.8.3)； – k) 確保組織可接收與資料保護法令相關之法例修訂及合適的指導綱要(參照4.5)；

– l) 持續確認法律、實務與科技的變化對PIMS 帶來的改變(參照4.5)；

– m) 在資料保護法令的要求下，填寫、提交及管理隱私權通告予資料保護長(Information Commissioner)(參照4.6)；

– n) 考量任何具強制或諮詢性單位針對個人資料處理所制定之法規，經評估其適用性後於組織內實行。



• 4.1.3資料保護代表

• 當組織由多個執行個人資料處理作業的部門或系

統組成時，組織應決定是否設立個人資料保護代

表，以：

– a) 代表於管理個資具高風險之部門或系統(參見

4.2.2)

– b) 協助員工日常的政策遵循。



• 4.2 辨識及記錄個人資料的使用情況

• 控制目標：

–確保組織瞭解個人資料之類別，及不同類別資

料的處理過程及其風險。



• 4.2.1 概述

–組織應維護一份個人資料分類清冊。此清冊亦

應記錄各類個人資料之使用目的。

–注意：個人資料清冊需能明確的通告組織處理

資料的方式。組織應記錄個人資料在組織中之

流向。



• 4.2.2 具高風險的個人資料 • 個人資料清冊(參見4.2.1)中應明確的鑑別與描述，組織中具高處理風險之個人資料類別。具高風險之個人資料類別可能包含： – a) 敏感的個人資訊(定義於DPA 之Section2)；

– b) 個人銀行帳戶與其他財務資訊；

– c) 身分識別號碼；

– d) 弱勢成人與兒童之個人資訊；

– e) 個人特徵的詳細說明；

– f) 對個人將產生負面影響的資訊。

• 注意：當大量處理個人資料時，將會提升風險程度。



• 4.3 認知與教育訓練 • 控制目標：

–確保所有員工皆明白在處理個人資料時應負之責任。組織應確保負責日常個人資料管理政策遵循之同仁(參見4.1.2)皆能展現其瞭解資料保護法令與最佳實務及如何具體實現之能力。

• 組織應與外部相關團體維持適當的溝通管道，以持續提供負責日常個人資料管理政策遵循之同仁關於個人資料處理之相關議題。

• 組織應證明所有員工皆瞭解其本身在個人資料保護上的責任，以確保其皆能依適當之程序以保護及處理個人資料，並考量到相關的安全需求。

• 所有員工皆應接受教育訓練，以確保其皆能依適當之程序處理個人資料。另外，教育訓練應依組織內不同之角色而分別舉辦。 77 All Rights Reserved by NII產業發展協進會


• 4.4 風險評鑑 • 控制目標：

–確保組織能瞭解在處理各種特定類型之個人資料所可能產生的風險。組織應評估在處理個人資料的過程中，對當事人可能產生的風險等級。本評估亦應包含處理該個人資料之其它組織。組織應管理在風險評鑑過程中所識別的各項風險，以減輕違反政策要求的各種可能性。

• 風險評鑑之程序應包含經由負管理個人資料之責的人員(參見3.5)檢視任何可能造成當事人困擾或損失的個人資料處理過程後，所做出提升其個人資料處理風險等級之過程。



• 4.5 PIMS 的持續更新

• 控制目標：

–為評估組織之PIMS 能持續提供一架構，以維

持及改善資料保護法令與最佳實務之遵循。

• 負責日常政策遵循之員工應持續評估組織遵循資料保護法令與最佳實務之狀

況，並適時加以調整。

• 此評估應包含當組織需求或科技環境改變時，重新審視PIMS。



• 4.6 通告

• 控制目標：

– 確保組織依據DPA 的要求，將處理個人資料過程

之細節通報資訊保護安全官(theInformation

Commissioner)。PIMS 中應包含觸發通報之程序(

除非該組織被DPA 排除在通報的對象之外)，並確

保所通報之訊息能保持其真確性且處於最新狀態。



• 4.7公正與合法的處理

• 控制目標：

– 確保組織公正且合法的處理個人資料，並於處理個

人資料前，清楚識別法令上之各項要求。



• 4.7.1 個人資料的蒐集與處理 • PIMS 應制訂相關程序以確保下列要求：

– a) 組織應公正且合法的處理個人資料；

– b) 組織應依據DPA Schedule 2 的要求，僅在合理的情形下處理個人資料；

– c) 組織應僅在符合組織目標及DPA Schedule2 及3的要求下，處理敏感性個人資料。

– d) 組織應針對提供個人資料之當事人提供(線上)隱私權聲明(privacy notice, privacy statement)，不論該通知或聲明為完整、抽取片段加超連結或僅為超連結，其皆應明確陳述下列訊息：



• 4.7.1 個人資料的蒐集與處理 • PIMS 應制訂相關程序以確保下列要求：

– a) 組織應公正且合法的處理個人資料； – b) 組織應依據DPA Schedule 2 的要求，僅在合理的情形下處理個人資料；

– c) 組織應僅在符合組織目標及DPA Schedule2 及3的要求下，處理敏感性個人資料。

– d) 組織應針對提供個人資料之當事人提供(線上)隱私權聲明(privacy notice, privacy statement)，不論該通知或聲明為完整、抽取片段加超連結或僅為超連結，其皆應明確陳述下列訊息：

• 1) 組織之身份資訊； • 2) 處理個人資料之目的； • 3) 將個人資料揭漏予第三方之相關資訊； • 4) 當事人對於其個人資料可行使之權利； • 5) 個人資料是否被傳輸至非歐洲經濟區成員之國家； • 6) 對組織處理個人資料之過程有任何疑問時，詳細的組織聯繫方式； • 7) 於網站上蒐集當事人個人資料之任何技術之描述，如cookies； • 8) 說明組織可公正地處理個人資料之其它資訊。



• 為目前或未來之行銷目的所蒐集之個人資訊，PIMS 應制訂提供當事人表示拒絕接受行銷之方式，並能明確告知當事人。

• PIMS 中應制訂曾經當事人同意之個人資料處理作業被撤銷後，相關作業將被終止之程序。

• 當其他利害關係團體或法令要求清楚說明行銷目的時，PIMS 應包含蒐集當事人同意處理權之程序。

• 當組織為特定目的而蒐集敏感性個人資料時，其PIMS 中應制訂一確保隱私權聲明得以明確陳述該敏感性個人資料之使用目的程序。

• PIMS 中應制訂相關程序，其可確保新設立的個人資料蒐集方法由合適且具經驗之人員(參見4.1.2)加以檢視，並留下簽署紀錄，進而確保該方法得以遵循資料保護法令與最佳實務。 84 All Rights Reserved by NII產業發展協進會


• 4.7.2隱私公告與聲明之紀錄

• PIMS 中應制訂一維護(線上)隱私權聲明紀錄之程序。該

紀錄之保存時限應至少等同於其個人資料。

• 4.7.3 隱私公告與聲明之取得

• PIMS 中應制訂當組織直接從當事人端取得其個人資料時

，於取得其個人資料前，組織得以提供當事人取得(線上)

隱私權聲明或其取得方式之程序。



• 4.7.2隱私公告與聲明之紀錄 • PIMS 中應制訂一維護(線上)隱私權聲明紀錄之程序。該紀錄之保存時限應至少等同於其個人資料。

• 4.7.3 隱私公告與聲明之取得 • PIMS 中應制訂當組織直接從當事人端取得其個人資料時，於取得其個人資料前，組織得以提供當事人取得(線上)隱私權聲明或其取得方式之程序。

• 4.7.4 隱私公告與聲明之可用性 • PIMS 中應制訂一確保任何的(線上)隱私權聲明內容易於當事人瞭解且取得之程序。

• 注意：對弱勢人士、閱讀困難之人或孩童，隱私權聲明之設計必需以他們所能理解之形式或語言呈現，並需便於取得。



• 4.7.5 第三方

• PIMS 中應制訂一確保第三方得公正且合法取得個人資料之程序。

• PIMS 中應制訂一確保組織得以提供(線上)隱私權聲明(參見4.7.1)之程序，除非該作業會造成不相稱之投入(disproportionate effort)，即該作業已超出組織所評估之相對成本。

• 注意：不相稱之投入(disproportionate effort)在此不僅指"大量的成本投入"，也可以指當資料處理流程可能對當事人產生不好的影響時，要提供相當長度的說明。



• 4.8個人資料處理的目的

• 控制目標：

– 為確保個人資料僅為某些特定目的所取得，而不用

於任何違反原目的之處。



• 4.8.1 處理準則

• PIMS 中應制訂一確保第三方得公正且合法取得個人資料之程序。

• PIMS 中應制訂相關程序，以確保於處理個人資料的過程中，不會產生違反或潛在可能違反任何法定義務之情況，包含法令條文、一般法律或契約條款等。

• PIMS 中應制訂相關程序，以確保為特定目的所蒐集之個人資料不會用於其他目的，除非：

– a) 有相關法令免責之規定；或

– b) 當事人已同意其個人資料可被使用於新設立之目的上。

• PIMS 中應制訂相關程序，以確保當敏感性之個人資料被使用於其他新設立的目的時，應於其資料處理前取得當事人的同意，除非有其他免責之情況。



• 4.8.2 新目的同意

• PIMS 中應制訂相關程序，以確保對新目的之任

何同意承諾是出於自由意識且充分明確的表達。

• PIMS 中應制訂相關程序，以確保：

– a) 為新處理目的，已明確取得當事人之同意。

– b) 為新處理目的所取得之當事人同意紀錄的保存。



• 4.8.3 資料分享 • PIMS 中應制訂相關程序，以確保組織分享個人資料予其他組織時，雙方的權責皆可以

正式協議書或契約等方式記錄之。PIMS 中應制訂相關程序，以確保其他組織得依據其所設定之目的使用個人資料：

– a) 於書面協議或契約中說明雙方使用資料的目的，以及若為其它目的使用該資料時，其相關限制為何；及

– b) 其他組織應提供其處理個人資料時，並不會違反DPA 要求之保證或其他承諾之證據。PIMS 中應制訂相關程序，以確保任何涉及將資料提供給第三方之新處理程序，皆需視情況調整組織之隱私通告(參見4.6)及組織所提供之(線上)隱私權聲明(參見4.7.1d)。不管有沒有可能，組織都應確保：

• 1) 資料分享的法令依據；及 • 2) 若需要，資料分享前應取得當事人的同意。

• 當資料分享可不需取得當事人同意時，PIMS 應制訂相關程序，以確保此資料分享所使用的協定或控制措施，皆能被記錄並稽核之。當資料必需分享給第三方時，如法令要求，PIMS應制訂相關程序，以確保資料分享所使用之協定與

• 控制措施，皆能被記錄之。 • 當個人資料可與其他資料配對，造成組織可提升其識別特定當事人之能力時，PIMS 應

制訂相關程序，以確保經配對的資料僅被使用於適宜的目的下，即在法令獲許或取得當事人同意的情況下。 91 All Rights Reserved by NII產業發展協進會


• 4.8.4 資料配對

• 當個人資料可與其他資料配對，造成組織可提升

其識別特定當事人之能力時，PIMS 應制訂相關

程序，以確保經配對的資料僅被使用於適宜的目

的下，即在法令獲許或取得當事人同意的情況下

。



• 4.9 適當、相關及不過度

• 控制目標：

– 為確保個人資料為適當、相關及不過度之處置。



• 4.9.1 適當性 • PIMS 應制定相關程序，以確保組織所蒐集的個人資料皆符合組織之目的。

• PIMS 應制訂相關程序，以定期檢視處理個人資料之科技與程序，確保資訊得以持續符合其使用目的。

• 4.9.2 相關且不過度 • PIMS 應制訂相關程序，以確保：

– a) 組織所處理之個人資料數量，在符合其法令目的下，使其最小化。 – b) 組織不處理無關或超過原來所陳述之使用目的的額外個人資料，除非使用此資料並無特定規範或僅於取得當事人同意後方才使用。

– c) 處理個人資料之新系統或程序得以定期檢視，以確保個人資料處理之適當性及不過度使用。當個人資料的處理程序與組織的目的無關或不必要，PIMS 應確保該個人資料不被處理。 94 All Rights Reserved by NII產業發展協進會


• 4.10 正確性 • 控制目標：

– 確保個人資料的正確性，並適需求持續更新。 • PIMS 應制訂相關程序，以確保個人資料之完整性與真確性得以維護。 • PIMS 應制訂相關程序，以確保當事人可質疑其個資料之正確性，並視需要修

改之。當個人資料發生錯誤且無法被更正時，如歷史資料，PIMS 亦應制訂一程序，以記錄該錯誤資訊，並視情況記錄正確之個人資料。PIMS 應制訂相關程序，以檢視所宣稱之錯誤資訊

• 是否為真。 • PIMS 應制訂相關程序，以確保所有員工皆瞭解保持正確個人資料之重要性，

及當進行重要決策時， • 必需使用正確之個人資料。 • PIMS 應制訂相關程序，以

– a) 通知第三方過去曾提供錯誤或非最新之個人資訊，不可使用在會影響客戶權益的決策上；及

– b) 必要時傳遞正確之個人資料予第三方。PIMS 應制訂相關程序，以檢視與處理個人資料有關之新系統與流程，以便：

• 1) 確保這些系統或流程盡可能避免記錄任何錯誤或過時的個人資訊，及

• 2) 允許修正錯誤或過時的個人資訊。



• 4.11 保留及處置 • 控制目標：

– 確保個人資料僅保留於其所需之時間內。 • PIMS 應參照個人資料之保存計畫，其應：

– a) 包含組織與法令所規定之最低資料保存期限； – b) 明確設定個人資料保存期限的判斷標準與依據；及 – c) 記錄任何當個人資料超過其所陳述之最低資料保存期限的說明，例如其為歷程紀錄或因研究使用。

• PIMS 應制訂相關程序，以實施個人資料之保存計畫，並與所有相關之同仁確認該計畫。

• PIMS 應制訂相關程序，以確保不需要之個人資料皆被銷毀。 • PIMS 應制訂或參考相關程序，以控管：

– 1) 其為被核准之程序； – 2) 其安全等級符合個人資料之敏感程度；及 – 3) 其與公司資訊安全風險評鑑之要求一致。



• 4.12 個人權利

• 控制目標：

– 為確保組織制訂實現個人權利之適當程序。 – 4.12.1 個人權利

• PIMS 應制訂相關程序，以確保個人權利的實現及實現該權利

之法定時間限制。

– 4.12.2 抱怨與申訴

• PIMS 應制訂當事人抱怨受理之程序，以確保當事人對於組織

處理其個人資料的不滿能得體地被受理。該程序亦應包含組織

於處理當事人抱怨事件後，當事人可再申訴之程序。 97 All Rights Reserved by NII產業發展協進會


• 4.13 安全議題

• 控制目標：

– 為確保個人資料免於遺失或損毀及未經授權或非法

的處理，組織得以實施適當的管理與技術層面之安

全控管機制。



• 4.13.1 安全控管 • PIMS 應實施具體之控管措施：

– a) 於不同之個人資料類別；及 – b) 於當個人資料外洩時，造成當事人損失或困擾之風險(參見4.4)

• 4.13.2 儲存與處理 • PIMS 應制訂相關程序，以確保個人資料可根據其機敏性得以安全的儲存與處置。

• 4.13.3 傳輸 • PIMS 應制訂相關程序，以確保當個人資料以電子或人工方式在組織內外傳輸的過程中，皆施予合適之控管措施，進而提供資料傳遞之安全防護。



• 4.13.4 存取控制 • PIMS 應制訂相關程序，以確保人員僅於其職掌角色所需，始得取得個人資料存取權限。

• PIMS 應制訂相關程序，以確保組織能明確告知所有人員經合法授予之個人資料存取權僅可使用於工作目的，而個人資料的存取作業亦應在合法目的下方可執行。

• 於處理具高風險的個人資料(參見4.2.2)時，PIMS應制訂相關程序，以確保組織所實行之存取控制措施符合該個人資料之敏感等級。

• PIMS 應制訂相關程序，以確保所有個人資料的存取作業皆被監視，且經資訊安全風險評估。



• 4.13.5 安全評估

• PIMS 應制訂相關程序，以確保資訊安全評估可被定期執

行。

• 此安全評估應確認現存之安全控制措施是否合適，並給予

相關的改善建議。

• 此安全評估應考量當資安事故發生時，當事人所受到之傷

害、損失及困擾等風險。



• 4.13.6 資安事故的管理 • PIMS 應制訂相關程序：

– a) 以評估及管理涉及個人資料之資安事故，包含降低損害之程序；

– b) 以記錄每筆資安事故，包含評估該事故的發生原因、採用什麼矯正措施以及可以從資安事故中學習到什麼；

– c) 以決定是否需通報主管機關(如Information Commissioner 或FSA)或通知當事人；及

– d) 以留存任何通報及報知紀錄。 102 All Rights Reserved by NII產業發展協進會


• 4.14 將個人資料傳輸於EEA 外 • 控制目標：

– 為確保當個人資料傳輸至非歐洲經濟區(EEA, European Economic Area)成員之國家時，該個人資料將獲得適當等級之保護。

• 當組織將個人資料傳輸至非歐洲經濟區成員之國家時，PIMS 應制訂相關程序以確保當事人之權利仍受到保護，例如：

– a) 藉由契約條款以確保資料的保護及處理方式，如使用標準契約(model contracts)或受到共同約束條款(BCR, binding corporate rules)的管理；

– b) 若將資料傳輸至美國境內，即必須遵循美國隱私權豁免原則(Safe Harbor)； – c) 經歐洲委員會(European Commission)評估過，該國家或地區已具備完善的資料保護機制；及

– d) 由其它組織處理其個人資料時，可於該組織中實施實質審查(Due Diligence)。 • PIMS 應制訂相關程序，以確保負遵循資料保護法令與最佳實務之責的同仁(參見4.1.2)

，於個人資料初次傳輸至非歐洲經濟區成員之國家時，執行審核作業。此審核作業則為確認該傳輸行為已受到良善的保護。

• PIMS 應制訂相關程序，以確保當由承包商代表該組織執行個人資料處理作業時，且該承包商非為歐洲經濟區成員，其皆應遵循由歐洲委員會(European Commission)為個人資料保護所要求的標準契約，除非另有其它適當的程序可保護。



• 4.15 揭露予第三方 • 控制目標：

– 為確保揭露個人資料予第三方之相關作業皆可遵循資料保護法令及最佳實務之要求。

• PIMS 應制訂相關程序以確保第三方可提出下列之證據： – a) 其存取個人資料之權利；及 – b) 必要時提出其第三方身份識別資料。

• PIMS 應制訂相關程序，以確保組織已檢核其揭露個人資料予第三方之作業是依法有據，並僅揭露最少數量之個人資料予第三方。

• PIMS 應制訂相關程序，以維護揭露個人資料予第三方之作業紀錄。該紀錄中應證實其揭露作業為合法行為，且應使組織掌握其個人資料之揭露動態。



• 4.16 轉包處理 • 控制目標：

– 為確保代組織處理個人資料之第三方皆能遵循資料保護法令及最佳實務。 • PIMS 應制訂相關程序，以確保當個人資料交由其它組織處理時：

– a) 該組織僅選擇在技術面、實體面及組織面皆可提供符合組織對個人資料保護需求之第三方廠商；

– b) 於其它組織處理個人資料前，評估其實行之安控措施，以做為實質審查(Due Diligence)的一部分。此外，組織也可視情況於簽定契約前對該組織之安控措施實行稽核作業，其情況可考量欲處理之個人資料的特性或於特殊情況下處理個人資料；

– c) 一旦選定第三方廠商後，組織應與其簽訂正式之書面協議，以確保履行契約的過程中，第三方廠商在處理個人資料時，可提供適當之控管措施；

– d) 於第三方廠商獲得存取個人資料權限之期間，組織與第三方廠商所簽訂之契約中，應保留對其安控措施之稽核權；

– e) 若該第三方廠商欲進一步將個人資料處理作業再進行轉包，其得依據契約的條款取得組織之許可。

– f) 若該第三方廠商將個人資料處理作業進行轉包，則其所簽訂之契約亦應要求承接方至少實行與該第三方廠商一樣的安控措施，以及該第三方廠商所要求之條款；及

– g) 與第三方廠商所簽訂之契約中應明確陳述，當契約終止時，相關之個人資料應被銷毀、交還原組織或其指定之單位。 105



• 4.17 維護

• PIMS 應制訂定相關程序，以確保組織得以持續維護其所

制訂的程序及運用的技術之正確性及功能適切性。



5.監視與審查個人資料管理系統(PIMS)


• 控制目標 –為確保PIMS 之有效性得以被監控與審查。

監視與審查個人資料管理系統

• 5.1 內部稽核 – 5.1.1 內部稽核計畫 – 組織應制訂內部稽核程序，以監控及審查處理個人資料過程之有效性，且該程序應被規劃、建立及維護，亦可將個人資料管理政策之考量納入。

– 內部稽核程序之範圍應涵蓋所有具高風險之個人資料處理流程(參見4.2.2)及所有由其它組織所執行之個人資料處理流程(參見4.16)。

– 5.1.2 稽核員的挑選 – 為確保內部稽核之客觀及公平性，組織應選擇適當之稽核員並審慎的執行稽核作業。



– 5.1.3 內部稽核需求 –內部稽核應依所規劃之時間執行，以確認PIMS 是否：

• a) 依個人資料管理政策及既有之程序執行；及 • b) 依技術需求執行及維護之。

–稽核報告應詳實說明任何違背政策及程序之事項，並應將之提供予管理階層。

–稽核報告亦應識別所有可能會影響政策遵循之技術或程序的議題。


110

內部稽核應注意事項 • 針對受稽單位之個資收集的作業流程，應按時間(例如：每周或每月)累進的增加數量，按照合適之比例進行抽樣確認。抽樣數量與抽樣方式需能代表樣本母體，且應考慮下列事項： – 剩餘之稽核時間； – 作業流程之複雜度； – 個資之防護措施的現況情況； – 過去一年是否有重大客訴案件； – 過去一年是否有關之法律爭議； – 是否有委外處理或派遣人員經手個資(例如：收集、存放、帳單列印或銷毀)。


111

內部稽核應注意事項

• 稽核中所抽樣之個資資訊，任何能直接或間接識別特定人之資訊，稽核員不得註記於任何工作底稿中，以避免洩密之風險並降低受稽單位之顧慮。

• 稽核中，註記抽樣之個資樣本應以代碼、案號、進案日期、身份證字號第一碼(英文字母)與最後六碼(數字)，或是以僅能由受稽方進行單向確認的資料存錄方式進行註記。

• 此一作法應於啟始會議(Opening meeting)與閉幕會議(Closing meeting)中，由領隊明確說明並澄清任何有關之疑慮。


112

內部稽核應注意事項

• 為因應個資法的要求，稽核員應抽樣確認個資資訊收集的範圍是否超出其宣告，並確認其運用是否與個資擁有者之授權相符合。如為書面授權，則應一併確認其保存方式與保存狀況。

• 實地稽核均應確認受稽單位之風險評鑑(risk assessment)的內容與結果，定期追查則應確認前後兩次的風險評鑑的異動與理由的適當性與合理性。

• 應確認後續之風險處置(risk treatment)以善盡專業之責(due diligent)。



• 5.2 管理審查 – 組織應執行PIMS 之管理審查，其執行頻率可為定期、於預先安排的期間或發生重大變更時，以確保該體制得以持續維持其適當及有效性。

– PIMS 之管理審查應依據： • a) 來自PIMS 使用者之回饋； • b) 由組織人員所辨識及提升之風險； • c) 稽核結果； • d) 程序審查之紀錄； • e) 資訊技術提升及替換之結果； • f) 來自主管機關評估後之正式要求； • g) 抱怨事件的處理；及 • h) 已發生之資安事故及資料外洩事件。

– 管理審查應提供所有可能造成PIMS 變更之詳細資訊，其資料來源可為政策的調整、可能影響作業遵

– 循之程序與技術。 – 當PIMS 發生重大變更後，應立即執行稽核作業。


6. 改進個人資料管理系統(PIMS)


• 控制目標

–組織宜藉由實行矯正措施，以持續改進PIMS

之有效性。


• 6.1 矯正與預防措施 – 6.1.1 概述

• 組應應藉由實行適當之矯正及預防措施，以持續改進PIMS。 • 所有被提出之變更及改善建議皆應於執行前進行評估，以確保其符合政策之需求。 • 應審查所有可能影響資料保護法令或最佳實務之遵循的變更，例如將個人資料轉換為新的儲存格

• 式，以確認法令遵循的影響程度。 • 由矯正與預防措施所引發之變更應加以記錄，並依其保存期限保留相關之紀錄。

– 6.1.2 預防措施 – 組織應採取措施以消除潛在不符合之原因，並防止其發生，故組織應制訂相關程序，以：

• a) 識別潛在不符合事項及其原因； • b) 決定與實作所需之預防措施； • c) 記錄及審查所採取措施之結果； • d) 識別已變更之風險；及 • e) 確保所有應瞭解該潛在不符合原因及預防措施之人員皆瞭解。


監視與審查個人資料管理系統 – 6.1.3 矯正措施

• 組織應制訂相關程序，於發生不符合事項時，組織得檢視各項不符合事項，並依風險評鑑作業，以：

– a) 消除不符合事項之原因； – b) 降低不符合事項之風險等級；或 – c) 經風險評鑑後，評估其不符合事項之風險調降並不適當，則需將該情況加以詳細記錄之。

• 組織之風險評鑑作業應定期執行，以確保組織是否異動或是否有不符合事項需改善(參見4.4)。

• 組織應確保所有新識別之個人資料風險(不論來自組織內部或外部)皆經評估，如隱私權衝擊分析(privacy impact assessment)。 116 All Rights Reserved by NII產業發展協進會


• 6.2 持續改善

• 組織應藉由稽核結果、矯正與預防措施及管理階

層審查，以持續改進PIMS 之有效性。

• 抱怨事件、資安事故、本人申請閱覽(subject

access request)及其它相關議題皆可促使PIMS

有效性之改善。


個人資料情境案例介紹

NII產業發展協進會專業講師群


• 依據內政部警政署165反詐騙諮詢專線統計，詐騙排名及財損排名如下：(截至2011年1月2日)

165詐騙及財損排名

• 1. 假冒機構(公務員)詐財 • 2. 拍賣(購物)詐財 • 3. 假投資 • 4. 猜猜我是誰 • 5. 假綁架(恐嚇)詐財 • 6. 六合彩 • 7. 金光黨 • 8. 假預付型消費詐財 • 9. 色情應召詐財 • 10. 芭樂票騙貨

詐騙排名 • 1. 假冒機構(公務員)詐財 • 2. 拍賣(購物)詐財 • 3. 猜猜我是誰 • 4. 假推銷 • 5. 假借催討欠款 • 6. 假借個人資料外洩詐財 • 7. 假借銀行貸款詐財 • 8. 假綁架(恐嚇)詐財 • 9. 假交友(徵婚) • 10. 假求職

財損排名


• 根據天下雜誌454期報導，在台灣平均每一個小時就有兩位民眾，因為個人資料外洩，慘遭網路、電信詐騙。

• 最近的個資外洩事件接二連三，國內、國外皆然。 – 台灣前陣子的金流業者被發現數百筆個資遭Google耙走。 – 最近十分火紅的還包括中國軟體開發聯盟CSDN的600多萬筆帳密。

– 美國情報組織Stratfor連續兩批總計被公佈約90多萬筆個資，甚至部份客戶信用卡還被盜刷。

– 澳洲電訊Telstra也不落人後，2011年12月初才因數百萬筆帳密外洩而遭澳洲聯邦隱私委員會(Federal Privacy Commissioner)調查，2012年又隨即傳出有上千筆的客戶個資被張貼在一個雲端試算表服務網站Editgrid.com上。

個資外洩嚴重

原文網址:事不過三？澳洲電訊連續二次資料外洩,Information Security 資安人科技網

120


http://www.cw.com.tw/article/index.jsp?id=41641http://www.isecutech.com.tw/article/article_detail.aspx?aid=6558http://www.isecutech.com.tw/article/article_detail.aspx?aid=6558http://www.isecutech.com.tw/article/article_detail.aspx?aid=6558

科大生駭校改成績緩起訴罰勞務

• 景文科技大學陳姓學生想轉到資管系，居然駭入學校資料庫改自己成績及曠課紀錄，還一舉奪下第一名，卻因偽造系主任簽名而露餡；台北地檢署昨依妨害電腦使用等罪名緩起訴兩年，罰他勞動服務六十小時。

• 檢方查出，陳姓學生去年就讀景文科大電子工程學系一年級，他十一月扮駭客，在住處及網咖攻入學校電腦，竄改自己去年度的缺曠課紀錄，輕鬆將上學期的三十八筆缺曠課紀錄改成十筆，下學期從三十一筆改為零筆。

• 他發現當駭客真棒，今年二月又侵入學校網路，竄改去年度期中、期末成績。檢方查出，期中成績全部被他改掉，他不但將物理科目從四十一分拉高到七十二分，本國文學更從四十六分改成九十分等，有三科勇奪九十分；期末成績更扯，有三科被他從七十多分改成九十六分，拿下四十分的英文則被改為七十六分。

• 不過，由於他改太大，讓他一舉拿下第一名，他改完分數後沒多久，就在轉系申請書上偽造系主任、老師的簽名，表示兩人都同意他轉系。景文審查後，發覺學校資料庫的成績和老師輸入的原始檔不符，才揪出此事。

• 檢方調查時，陳男坦承為了轉系才犯錯，為了彌補錯誤，他甚至願意幫學校找出資訊漏洞。檢方考量他沒前科，學校又原諒他，昨緩起訴兩年，但要求他勞動服務六十小時。據了解，案發後陳被記一大過，景文已加裝資訊安全軟體防堵漏洞。轉載自《自由時報》資料擷取自http://www.bankshung.com/2013_07_01_archive.html 12


日本LINE伺服器遭非法存取，169萬NAVER會員個資外洩

• 日本LINE伺服器遭不明人士非法存取，旗下NAVER入口網站各項服務會員帳號個資總計超過169萬筆可能外流，可能流出的個資包括帳號ID、電子郵件信箱、Hash加密的密碼與帳號暱稱。

• 日本LINE週五（7/19）證實伺服器遭不明人士非法存取，旗下NAVER入口網站各項服務會員帳號個資總計約169萬2496筆可能外流，但不含日本國內外LINE用戶帳密與個資。

• 上周四（7/18）上午，日本LINE系統部發現管理NAVER帳號資料庫的伺服器有疑似非法存取的跡象，立刻會同相關部門展開調查，約1小時後發現非法存取路徑並將其切斷，但這段時間內伺服器已被植入帳號密碼抓取程式，確認有個資外洩的風險。於同日晚間開始執行各項系統詳細檢測，NAVER服務全部切換為安全模式暫停使用者登入服務，至周五晚間起才依序恢復服務。

• 詳細調查後發現，7/17晚間至7/18上午這段期間內均有從外部非法存取伺服器的跡象，導致在日本提供的5項NAVER服務帳號陷入個資外洩風險，可能流出的個資包括帳號ID、電子郵件信箱、Hash加密的密碼與帳號暱稱。

• 截至目前為止日本LINE並未接獲關於帳號遭竄改或個資被不當使用的回報，7/19晚間也陸續針對有個資外洩風險的客戶寄發修改密碼信件，敦促用戶及早更換新密碼以免遭第三者濫用。日本LINE說明，今後將舉全社之力強化網路監控體制，以防止有心人士繼續竊取用戶個資。資料擷取自http://www.bankshung.com/2013_07_01_archiv

e.html 122 All Rights Reserved by NII產業發展協進會

利用手機 USB 連接電腦充電竊取資料

• 一個名叫「USB Cleaver」的 Android App。這個App 的特別之處，是能夠在安裝後，透過 USB 連接電腦，拿取儲存於電腦內的重要密碼，包括瀏覽器儲存的社交網絡、電郵等帳戶和網站登入密碼，甚至是 Wi-Fi 密碼。

• 一些惡意軟件開發商，未來也可能會使用類似方法，把拿取電腦檔案的編碼植入其他Android Apps，並自動上載這些偷取的檔案到網上。

• 這個程式的感染步驟如下： – 安裝後，Android 介面會看到USB Cleaver 的圖示，打開後程式會引領用戶下載另一個約3MB 的檔案。

– Android 用戶可以 USB 接駁電腦，再選擇要拿取的資料和密碼。

原文出處：F-Secure 轉載自《網路攻防戰》資料擷取自http://www.bankshung.com/2013_07_01_archive.html


蘋果開發人員網站被駭，系統全面翻新中 • 駭客於上週四嘗試存取該站的開發人員資料，雖然這些資料無法被存取且是加密的，

但仍無法排除開發人員的姓

Documents

個人資料保護法、BS10012介紹 - ttrc.edu.t€‹人資料保護法與BS10012介紹.pdf · 個資法從10月1日開始正式實施 • 除規範特種個資不得利用的第