個人資料保護顧問的旗艦店

非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。

中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。

前項計畫及處理方法之標準等相關事項之辦法，由中央目的事業主管機關定之。

–             安全措施應指：

• 環境方面：
  • 對保管資料檔案之地方應有符合標準之環境，例如：溫濕度、防火設備
  • 人員進出應有管制記錄，例如：門禁管制、攝影設備、進出簽到簿
• 硬體方面：
  • 對資料檔案應設置保全或防範設施，例如：上鎖、加密、嚴格保管
• 軟體方面：
  • 應加強對資料檔案存取程序之管制，避免人為疏失，例如：訓練員工具有個人資料保護意識、制訂蒐集處理個人資料流程之標準、嚴格限制接觸個人資料之權限
  • 設置防護系統，例如：防毒軟體、IDS、IPS
• 人員方面：
  • 訓練人員對個人資料保護有概念、有責任
  • 確保人員有職業道德，不作出損害個人資料之行為

–             個人資料檔案安全維護計畫：

• 目的：確保機關所持有之個人資料能在妥善之保護機制下被蒐集、處理或利用，亦或是進行國際傳輸。依本文之規定，中央目的事業主管機關應制定出範本，讓各機關能具以訂定出適用於機關運作之專屬保護機制與計畫
• 安全維護計畫所依據的，是『個人資料保護法施行細則』§12所提及，公務機關或非公務機關為防止個人資料被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施。細則中所提及之『必要措施』，至少需包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：

一、  配置管理之人員及相當資源。

二、  界定個人資料之範圍。

三、  個人資料之風險評估及管理機制。

四、  事故之預防、通報及應變機制。

五、  個人資料蒐集、處理及利用之內部管理程序。

六、  資料安全管理及人員管理。

七、  認知宣導及教育訓練。

八、  設備安全管理。

九、  資料安全稽核機制。

十、  使用紀錄、軌跡資料及證據保存。

十一、         個人資料安全維護之整體持續改善。

• 配置管理之人員及相當資源
  • 建議成立管理組織：

¤   2011/10/27公佈之施行細則預告版是要求要成立管理組織，最後正式版則是改為配置管理之人員，應該是考量規模不大之單位如果硬要成立專責管理組織，人力調配上會有一定難度。但筆者建議，機關在人力許可下，仍應有一專責組織統籌機關內之個人資料管理業務，再由該組織指派專人管理個人資料，並進行定期之稽核。

¤   設置個資管理代表、個資保護窗口（至少對外的統一窗口）、內評（稽）代表。

¤   機關內負責統籌個資管理之最高主管，位階不宜太低，至少是副總以上，有能力也有權力進行跨單位協調之人員。

¤   每一位專責之人員，除了要明確定義角色所需負責之業務，也必須依其職務性質，進行必要之專業訓練，例如：資訊安全、數位鑑識、...。

¤   規劃、訂定、執行與修訂個人資料檔案安全維護計畫程序。

¤   定期向負責人彙報個資管理之狀況。

• 資源配置：

¤   行政院主計總處電腦應用概況報告：(http://www.dgbas.gov.tw/np.asp?ctNode=405&mp=1)

Ö  資訊人力比。

Ö  資安設備投入金額與單位規模比。

¤   都要有留下相關證據

• 個人資料範圍：
  • 盤點個資重點：

¤   與個人資料相關之營運流程分析。

¤   蒐集、處理或利用之說明。

¤   個人資料檔案名稱。

¤   接觸人員。

¤   接觸方式。

¤   個人資料檔案類型。

¤   個人檔案儲存位置。

¤   所使用之個人資料類別。

¤   盤點個資『處理』方式：

Ö  存放及保護方式。

Ö  處理流程。

¤   盤點現有『利用』方式：利用期間、利用地區、利用對象及利用方式。

• 風險評估機制：
  • 找出流程、人員、技術上之弱點與可能威脅。
  • 依據業務流程分析可能發生之風險。
  • 建立風險評估機制。
  • 定期評估相對應之安全維護措施強度：風險越高è防護強度就需要越強（安全維護措施）。
• 事故預防通報應變機制：(http://www.moj.gov.tw/np.asp?ctNode=27458&mp=001)
  • 建立程序：

¤   建立應變組織。

¤   建立通報與告知流程。

¤   建立應變措施並定期進行演練。

¤   查明事故狀況並通知當事人以及必要時需通報主管機關。

¤   保存完整證據以及處理過程。

¤   事後檢討。

• 留存記錄：

¤   事故發生後所採取之應變措施。

¤   事故發生後通知當事人以及主管機關情形。

• 個資內部管理程序：
  • 制定機關之個人暨隱私保護政策，並公開公告予機關內外部。
  • 建立個人資料資料蒐集管理機制：

¤   需有特定目的。

¤   確認是否符合個資法免告知之情況。

¤   機關蒐集個人資料之程序。

¤   該告知是否有告知、該取得書面同意是否有取得書面同意。

• 建立個人資料處理管理機制：

¤   需有特定目的。

¤   處理人員是否有經過正式授權。

¤   處理過程是否保有軌跡資料。

¤   機關處理個人資料之程序。

• 建立個人資料利用管理機制：

¤   確認資料利用符合特定目的。

¤   是否允許特定目的外之利用。

¤   機關利用個人資料之程序。

• 個人資料正確性維護機制之建立：

¤   個人資料有誤時應進行更正。

¤   依個資當事人之要求進行個人資料之更正。

¤   建立更正或補充個人資料後通知曾提供利用對象之程序。

¤   資料更正需取得正式授權。

¤   資料更正過程需保留相關記錄。

• 個人資料刪除或停止利用機制之建立：

¤   定期確認所持有之個人資料特定目的是否消失或保留期限是否已屆滿。

¤   確認應刪除或停止處理利用之範圍。

¤   個人資料特定目的消失或期限屆滿時，進行刪除或停止蒐集處理利用之程序。

¤   刪除或停止利用個人資料是否取得正式授權。

¤   刪除或停止利用個人資料之作業是否留下記錄。

• 上述所有個資之蒐集處理利用之『告知』行為是否都有具法律證據力之記錄可查。
• 資料安全及人員管理：
  • 資料安全管理：

¤   個人資料檔案媒體之存放安全措施。

¤   個人資料檔案存取之權限控管機制。

¤   制定各類可能影響個人資料安全之資訊工具使用規則，避免資料透過合法管道外洩。

¤   個人資料要銷毀之必要保護機制。

¤   個人資料存取之軌跡記錄。

¤   委外之個人資料安全監督。

• 人員管理：

¤   接觸個資之人員需進行必要之教育訓練與宣導。

¤   依職務需求，僅能接觸職務必要之最少個人資料集合

¤   接觸個人資料之人員需負保密義務並簽署必要保密協訂。

¤   人員職務異動或離職時之管制程序。

¤   外部受委託之人員亦需符合委託單位對人員管理之要求。

• 認知宣導及教育訓練：
  • 定期對機關人員以及委外人員進行必要之宣導與教育訓練。
  • 針對不同業務內容給予不同之訓練。
  • 所有宣導與訓練皆需留下記錄。
• 設備安全管理：
  • 儲存個人資料之設備必須有安全之環境與進出管制機制。
  • 接觸這些儲存個人資料設備之人員或機器必須經過授權。
  • 儲存個人資料設備之移動需經過授權。
  • 未經授權之設備需管制移入機關內部。
• 資料安全稽核機制及記錄：
  • 是否制訂稽核計畫？
  • 是否進行定期稽核？
  • 資料安全稽核機制：是否依個人資料管理機制之規定進行個人資料之保護。
  • 相關應留存之記錄，是否均有保存？
  • 委外部份是否亦進行稽核？
• 必要之使用記錄、軌跡資料及證據之保存：
  • 哪些記錄、軌跡資料及證據要保存？
  • 是否有保存？
  • 如何保存？
  • 存取控制機制為何？
  • 哪些要刪除？是否有刪除？
• 個資安全維護計畫之整體持續改善
  • 定期召開檢討會議。
  • 是否留存檢討與改善記錄。
  • 指定獨立單位或人員定期檢查計畫是否落實執行、留存記錄。
• 監督個資委外作業程序。
• 個資當事人行使個資權利之作業程序。
  • 建立提供個資當事人行使個資權利或提出申訴、諮詢之聯絡窗口：

¤   制定提供當事人行使個資權利之方式、機關回應之機制。

¤   確認當事人身份之程序。

¤   找出機關是否有拒絕當事人行使個資權利之適用情形。

¤   保留所有相關記錄。

• 業務終止後個人資料處理方法。