這是我初次與這家公司合作開立【個資法與資訊安全】的課程，台北與台南都有，時間上都可以調整。台北的班在二月，台南在三月，但如果有特殊情況，有朋友想在其他縣市上課，可以回饋給我，我再去跟主辦單位討論

台北：2014/02/22 - 2014/02/23 (周末) (https://drive.google.com/file/d/0B2Nmv0XQZkliaHROQjE1Zm5wN0U/edit?usp=sharing)

個人資料保護法在1995年就已經存在，當時是稱作【電腦處理個人資料保護法】，但僅規範屬於電腦處理類之個人資料以及徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業等八大行業。

後來，因為電子商務興起，利用此類管道非法取得個人資料並用以向國人進行詐騙，導致國人隱私以及切身利益蒙受損失，進而促進法務部修訂個人資料保護法之決心，是大家普遍都知道的原因。不過，仍有另一個重大的因素存在，也讓法務部不得不思考個人資料保護法修訂之必要性。

我們常會接到各業者打電話來推銷其公司的產品或服務，這種行為是否可以透過個資法進行遏止？

1.當事者從未在任何場合填寫過個人資料，為什麼進行行銷之業者可以取得我們的姓名、聯絡方式等個人資料

家中有國高中生的家庭常會接到補教業者致電，進行補教宣傳。如果碰到下列問題時，是否適用個資法？

1.當事者從未在任何場合填寫過個人資料，為什麼補教業者可以取得學生的就讀學校、聯絡方式等個人資料

8   由當事人親筆簽名之同意書、切結書、…等文件，是屬於法務部所公佈之「個人資料保護法之特定目的及個人資料之類別」中，C一○二約定或契約類（例如：關於交易、商業、法律或其他契約、代理等）之個人資料，雖然可視為機關取得當事人的同意證據，但在個資法的定義中，仍視為個人資料。

8   此處也許有讀者認為這些文件僅是機關用以證明與當事人間的承諾，不應列為提供資料或進行處理之對象，但在某些情況下，這類文件上除當事人簽名外，可能還包括當事人之身份證或聯絡方式，而這些資訊必然是屬於當事人在簽署該文件時，親自提供，對機關而言，也就是透過『蒐集』而取得之個人資料。

你知道嗎，即便你們的公司不以蒐集、處理或利用個人資料為主，但下列的個人資料一定會出現在公司內。還能說公司不用因應個資法嗎

找遍相關書籍以及Google，都找不到相關的適用情況，筆者想到下列情況也許可以適用：

Ø   去警察局領失物，要看領取者之證件，警察自然無需告知領取人相關告知事項

找遍相關書籍以及Google，都找不到相關的適用情況，筆者想到下列情況也許可以適用：在直接蒐集行為上較少見，可能是『鄰居發現有家暴夫對其妻子施暴，在不告知家暴夫的情況下蒐集其家暴的事項以便能報警，若對該家暴夫進行告知之行為，將可能蒐集不到其施暴之證據，影響其妻子之人身安全』。在間接蒐集中，所稱『深喉嚨』即可用此項來保護祕密證人。

提供個人資料保護與PMP相關教育訓練與顧問服務，如果貴單位有需要，請與我聯繫leohong1973@gmail.com

個人資料保護法規範五項個資當事者所擁有之權利，這些權利不但不可預先被任何機制拋棄，也明文規範機關需確實滿足個資當事人提出行使其個資權利之要求，除非有法律明文規定之例外情況。

在PDCA循環中，代表『從未結束』的整體持續改善作業是證明機關對於個人資料之管理與保護是列為持續之營運項目，不僅僅是要應付目前個人資料保護法各種稽核所作出之表面功夫。這個步驟其實是要求機關需隨時檢視個人資料管理與保護是否有異常，一旦出現異常，是否也同時提出改善計畫，使機關能長長久久小心保護所持有之個人資料。

在PDCA循環中，不可避免的，在完成規畫與執行後，要有一個機制來驗證機關所有採取的作業是符合當初規畫的、是合法的、是有效的。這就是資料安全稽核機制。這個稽核機制必須由一獨立之單位或機構來執行，可以是獨立於個人資料專責組織，也可以是外部第三方公正機構。不管是哪一種，他必須確保機關所有採取之個人資料管理與保護措施暨符合當初規畫的機制，同時也必須達到個人資料保護法之規範。

資料保存

完成前面幾項作業，對機關而言，個人資料管理與保護程度已臻極限，但對這些個資當事人以及政府而言，還不足。原因在於前面作業是站在機關的角度在看個人資料保護，但一旦發生個資事件（不一定是個資外洩），個資當事人要的是如何保證個資的後續安全，而法律要的是機關必須舉證已善盡保管個人資料之責任（這就是舉證責任倒置最嚴重的部分，因為舉證之所在，即敗訴之所在），所以，機關所有管理與保護個人資料之過程，都必須盡可能留下記錄、軌跡資料以及證據，以便能證明機關確實把個人資料當作一回事，所以，這一部分談的不僅是個人資料妥善保管，還囊括所有與個人資料有關之記錄、軌跡資料以及證據。

記錄與證據之內容類型

一般機關內會產生以及必要留存之記錄與證據之類型包括：

業務永續經營管理(Business Continuity Management, BCM)是各類機關必須要有的一套機制，內容不外乎是當機關面臨某些不論是否為意料中之意外時（美國911恐怖攻擊事件在過去應該不是一種常被預測到的營運風險，但現在應該是各機關優先被考量的風險項目之一），機關該怎能作，才能在最短時間內，讓機關回復正常運作的一套機制。這中間包括各種風險之評估以及務實之演練。而個資事件也是其中一種營運風險，只是發生時影響的範圍可能會擴及組織外部之客戶或人員，但其對機關不論是有形還是無形之傷害都是一樣的。

個資事故之預防

8  機關本身對個資事故之預防：個資法施行細則規範之11項必要措施

個人資料與設備之安全管理除了仰賴各種軟硬體工具協助外，最重要的是人員的安全管理。所謂『人員安全管理』是要求人員該如何合法合理接觸個人資料檔案，因為個人資料檔案安全的最大威脅如同機關之各種機敏性資料，『人』才是會讓個人資料檔案陷於危險之最關鍵因素。

上傳到FB的照片最好是不要標示其他人，不然哪天被標示的人反告時，就不能用個資法第51條來開脫，因為個資法說僅有照片不打緊，但不能結合其他的個人資料，解否?

不過，即便沒標示名字也不代表就沒事，因為如果一起拍照的人沒有同意你公開照片(理論上這種情況不多)，雖不能用個資法，但可以用違反肖像權法，大家多注意。