完成個人資料檔案衝擊暨風險分析後，機關所有個人資料檔案管理之基礎已全部完備，此時要進行的關鍵作業即是將各類個人資料檔案該如何被管理、各類風險該如何被處理、機關所有與個人資料相關之營運流程是否該調整、以及人員該如何合法接觸個人資料檔案、...等，都必須一一訂出規範，以建立個人資料管理暨保護機制。
管理與保護的第一步就是要遵守個人資料保護法對個人資料蒐集、處理與利用之規範，同時，在風險評鑑中所找出的弱點、威脅與風險，其所必須採取之措施才能達到保護個人資料之改善建議也必須一併納入此管理與保護機制。
1.1 依據個人資料保護法，機關必須遵守之個人資料蒐集規範如下：
1.1.1 個人資料之範圍：
1.1.1.1 一般個人資料：姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、聯絡方式、財務情況、社會活動。
1.1.1.2 特種個人資料：醫療、基因、性生活、健康檢查、犯罪前科。
1.1.1.3 其他得以直接或間接方式識別該個人之資料。
1.1.2 個人資料之蒐集、處理或利用，應尊重當事人之權益，一般情況下應讓當事人有決定被蒐集、處理或利用之權利。
1.1.3 機關對個人資料之蒐集、處理或利用不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。
1.1.4 前述所提之特種個人資料（醫療、基因、性生活、健康檢查、犯罪前科）之規範：
1.1.4.1 不論當事人是否同意，都不允許進行蒐集、處理或利用。
1.1.4.2 需下列情況下方可使用：
1.1.4.2.1 法律明文規定。
1.1.4.2.2 公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。
1.1.4.2.3 當事人自行公開或其他已合法公開之個人資料。
1.1.4.2.4 公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且經一定程序所為蒐集、處理或利用之個人資料。
1.1.5 直接向個資當事人蒐集資料：
1.1.5.1 需明確告知當事人下列事項：
1.1.5.1.1 公務機關或非公務機關名稱。
1.1.5.1.2 蒐集之目的。
1.1.5.1.3 個人資料之類別。
1.1.5.1.4 個人資料利用之期間、地區、對象及方式。
1.1.5.1.5 當事人得行使之權利及方式：
1.1.5.1.5.1 查詢或請求閱覽。
1.1.5.1.5.2 請求製給複製本。
1.1.5.1.5.3 請求補充或更正。
1.1.5.1.5.4 請求停止蒐集、處理或利用。
1.1.5.1.5.5 請求刪除。
1.1.5.1.6 當事人得自由選擇提供個人資料時，不提供將對其權益之影響。
1.1.5.2 可以免告知之情況：
1.1.5.2.1 依法律規定得免告知。
1.1.5.2.2 個人資料之蒐集係公務機關執行法定職務或非公務機關履行法定義務所必要。
1.1.5.2.3 告知將妨害公務機關執行法定職務。
1.1.5.2.4 告知將妨害第三人之重大利益。
1.1.5.2.5 當事人明知應告知之內容。
1.1.6 間接向個資當事人蒐集資料：
1.1.6.1 若無法在蒐集當下立即告知當事人，可於首次利用時一同告知。
1.1.6.2 需明確告知當事人下列事項：
1.1.6.2.1 公務機關或非公務機關名稱。
1.1.6.2.2 蒐集之目的。
1.1.6.2.3 個人資料之類別。
1.1.6.2.4 個人資料利用之期間、地區、對象及方式。
1.1.6.2.5 當事人得行使之權利及方式：
1.1.6.2.5.1 查詢或請求閱覽。
1.1.6.2.5.2 請求製給複製本。
1.1.6.2.5.3 請求補充或更正。
1.1.6.2.5.4 請求停止蒐集、處理或利用。
1.1.6.2.5.5 請求刪除。
1.1.6.2.6 個人資料來源。
1.1.6.3 可以免告知之情況：
1.1.6.3.1 依法律規定得免告知。
1.1.6.3.2 個人資料之蒐集係公務機關執行法定職務或非公務機關履行法定義務所必要。
1.1.6.3.3 告知將妨害公務機關執行法定職務。
1.1.6.3.4 告知將妨害第三人之重大利益。
1.1.6.3.5 當事人明知應告知之內容。
1.1.6.3.6 當事人自行公開或其他已合法公開之個人資料。
1.1.6.3.7 不能向當事人或其法定代理人為告知。
1.1.6.3.8 基於公共利益為統計或學術研究之目的而有必要，且該資料須經提供者處理後或蒐集者依其揭露方式，無從識別特定當事人者為限。
1.1.6.3.9 大眾傳播業者基於新聞報導之公益目的而蒐集個人資料。
1.1.7 蒐集或處理個人資料（特種個人資料除外）：
1.1.7.1 必須有特定目的。
1.1.7.2 需符合下列情形之一：
1.1.7.2.1 公務機關：
1.1.7.2.1.1 執行法定職務必要範圍內。
1.1.7.2.1.2 經當事人書面同意。
1.1.7.2.1.3 對當事人權益無侵害。
1.1.7.2.2 非公務機關：
1.1.7.2.2.1 法律明文規定。
1.1.7.2.2.2 與當事人有契約或類似契約之關係。
1.1.7.2.2.3 當事人自行公開或其他已合法公開之個人資料。
1.1.7.2.2.4 學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
1.1.7.2.2.5 經當事人書面同意。
1.1.7.2.2.6 與公共利益有關。
1.1.7.2.2.7 個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。
1.1.7.3 蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之處理或利用時，非公務機關應主動或依當事人之請求，刪除、停止處理或利用該個人資料。
1.2 依據個人資料保護法，機關必須遵守之個人資料利用規範如下：
1.2.1 對個人資料之利用，除特種個人資料外，公務機關應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符；非公務機關應於蒐集之特定目的必要範圍內為之。
1.2.2 可為特定目的外之利用：
1.2.2.1 公務機關：
1.2.2.1.1 法律明文規定。
1.2.2.1.2 為維護國家安全或增進公共利益。
1.2.2.1.3 為免除當事人之生命、身體、自由或財產上之危險。
1.2.2.1.4 為防止他人權益之重大危害。
1.2.2.1.5 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
1.2.2.1.6 有利於當事人權益。
1.2.2.1.7 經當事人書面同意。
1.2.2.2 非公務機關：
1.2.2.2.1 法律明文規定。
1.2.2.2.2 為增進公共利益。
1.2.2.2.3 為免除當事人之生命、身體、自由或財產上之危險。
1.2.2.2.4 為防止他人權益之重大危害。
1.2.2.2.5 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
1.2.2.2.6 經當事人書面同意。
個人資料蒐集一般規範
1.1 個人資料蒐集之原則：
1.1.1 符合法律規範。
1.1.2 符合本公司營運之需求。
1.1.3 『蒐集最小化』為原則。
1.1.4 凡蒐集必先取得組織正式核可。
1.1.5 凡蒐集必先完成必要之風險分析。
1.1.6 蒐集後必須要有保護其完整生命週期之能力。
1.1.7 所有蒐集皆需明確告知當事者並保留相關記錄。
1.2 個人資料蒐集作業規範：
1.2.1 所有員工嚴禁私自蒐集與個人相關之資料（例如：單位通訊錄），未經授權蒐集、處理或利用個人資料者，除自負法律責任外，依組織相關規定議處。
1.2.2 若有個人資料蒐集之需求，需進行個人資料蒐集作業程序。
1.2.3 新個人資料蒐集作業程序：
1.2.3.1 檢視組織之『個人資料檔案清冊』，確保組織目前無所欲蒐集之個人資料。
1.2.3.2 填寫『新個人資料蒐集申請表』（附件一）。
1.2.3.3 如需告知，需擬定告知函內容，範本請參考附件二。
1.2.3.4 個人資料管理委員會審核：
1.2.3.4.1 個人資料蒐集適法性分析
1.2.3.4.2 營運必要性分析
1.2.3.4.3 成本分析
1.2.3.4.4 風險分析
1.2.3.4.5 申請內容審核
1.2.3.5 更新『個人資料檔案清冊』
1.2.3.6 執行蒐集作業
1.2.3.7 所有個人資料之蒐集皆需有『特定目的』，且蒐集者必須確保該特定目的符合相關法源。在非必要情況下，不進行『特定目的外』之個人資料蒐集。若有業務上之必要，需求單位部門主管需備妥相關資料，至『個人資料管理委員會』中進行專案報告，取得委員會暨總經理同意後始可進行。
1.2.4 特種個人資料之蒐集、處理或利用：
1.2.4.1 依個人資料保護法之規範，除法律條列情況下，特種個人資料不得蒐集、處理或利用，本公司員工之『健康檢查』個人資料屬於特種個資，依『勞工安全衛生法§12』可蒐集、處理或利用。除此之外，本公司嚴禁在無法源依據下、處理或利用特種個人資料，如因業務必需，需求單位部門主管需備妥相關資料，至『個人資料管理委員會』中進行專案報告，取得委員會暨總經理同意後始可進行。
1.2.4.2 本公司使用特種個人資料之允許情況：
1.2.4.2.1 法律明文規定。
1.2.4.2.2 公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。
1.2.5 向當事人蒐集個人資料時，對當事人進行告知法律規範之事項：
1.2.5.1 以紙本蒐集，需在顯眼處載明需告知之事項，並針對個資告知事項獨立取得當事人之同意簽名。
1.2.5.2 以電子系統取得個人資料：
1.2.5.2.1 在系統實際取得當事者之個人資料前，務必將告知事項標示於顯眼處或以對話視窗告知，且必須明確取得當事人同意以『電子文件』方式同意『個人資料蒐集』之相關內容。
1.2.5.2.2 所有告知事項之內容必須完整記錄於資料庫中。
1.2.5.2.3 必須使用相關流程或技術，以確保提供資料為當事者本人。（例如：可使用簡訊搭配連結至本公司資訊系統進行認證）
1.2.5.2.4 個人資料蒐集時之告知內容如有異動，需經過組織正式核可且發佈後始可變更。所有變更、簽核以及發佈記錄皆需存查。
1.2.5.3 以電話進行個人資料蒐集：
1.2.5.3.1 在實際取得當事者之個人資料前，務必優先進行告知程序。
1.2.5.3.2 所有告知過程需錄音，且需取得當事人錄音之同意。
1.2.5.4 其他蒐集管道：若有蒐集之管道非前述所提，需進行下列程序：
1.2.5.4.1 至個人資料管理委員會進行專案報告，由個人資料管理委員會審核必要性。
1.2.5.4.2 由法務人員評估適法性。
1.2.5.4.3 由資訊單位評估技術可行性。
1.2.5.5 所有告知之過程以及證據皆需妥善保管：
1.2.5.5.1 接觸人員之管制。
1.2.5.5.2 存取之權限管理。
1.2.5.5.3 實體媒體之安全保管措施，例如：採異地多備份。
1.2.6 蒐集時需依法告知當事人，需留下證據、妥善保管。
個人資料處理一般規範
1.1 本公司持有之個人資料與保管權責單位如下：
1.1.1 求職者個人資料：人力資源部
1.1.2 員工個人資料：人力資源部
1.1.3 員工健康檢查資料：人力資源部
1.1.4 股東個人資料：財務部
1.1.5 董監事個人資料：總經理辦公室
1.1.6 供應商個人資料：採購部
1.1.7 客戶個人資料：業務部
1.1.8 其他無法歸類者：總經理辦公室
1.2 所有需處理個人資料時，皆需正式向保管單位取得正式授權。個人資料保管單位需造冊列管所有個人資料被處理或利用之情況。
1.3 個人資料之處理作業包括：記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。
1.4 各個人資料保管單位需制訂專屬之個人資料管理機制與作業程序。例如：員工個人資料由人力資源單位保管，人力資源單位需要求各類員工通訊錄必須由人力資源單位提供，嚴禁重新蒐集。
1.5 負責保管個人資料之單位如因組織任務變更或其他因素需轉移至其他單位或個人（例如：原保管責任屬專案性質，該專案已結束），其作業程序如下：
1.5.1 原保管單位或原保管人撰寫簽呈
1.5.2 呈送個人資料管理委員會進行討論與表決，若決議結果為反對，則提案退回，維持原況
1.5.3 新保管單位或人員同意
1.5.4 總經理核覆
1.5.5 新舊保管單位進行移交作業，個人資料管理委員會需派員監交，需留下所有相關佐證記錄
1.6 申請處理個人資料之單位因故不再需要時，個人資料保管單位需派員確認該單位已無持有個人資料，且相關人員或資訊系統已無權限再接觸個人資料。
1.7 所有處理個人資料之作業皆需留下完整記錄以及證據，並可歸責於明確之個體（例如：個人或資訊系統）：
1.7.1 非數位類個人資料：
1.7.1.1 存放個人資料區域需列為管制區域，所有進出需有權限管制以及進出記錄（紙本記錄以及錄影記錄）。
1.7.1.2 存取個人資料需有過程記錄。
1.7.1.3 若有內部傳遞行為，傳遞過程中，個人資料需有安全保護機制（例如：使用封條），且所有接觸之人員（包括傳遞之人員）皆需有簽名。
1.7.1.4 若有外部傳遞行為：
1.7.1.4.1 組織自行進行：
1.7.1.4.1.1 需有專人全程監送。
1.7.1.4.1.2 目的接收人員需確認資料未經非授權之接觸。
1.7.1.4.2 委外進行：
1.7.1.4.2.1 與受託者簽訂保密合約。
1.7.1.4.2.2 受委託者需提出安全傳遞執行計畫，詳述傳遞所採取之安全措施，並取得委託機關之核可後始可進行。
1.7.1.4.2.3 需有證據可證明每一次之傳遞皆符合委託者之安全要求。
1.7.2 數位類個人資料：
1.7.2.1 存取個體之識別與認證記錄。
1.7.2.2 用以存取個人資料之設備記錄。
1.7.2.3 網路使用記錄。
1.7.2.4 存取個人資料相關功能之使用記錄。
1.7.2.5 存取個人資料之記錄（包括檢視、修改、刪除、列印、另存至其他媒體、…）。
1.8 資訊單位需建制必要之監控機制，對所有數位化之個人資料處理過程進行詳實之記錄，並確保該監控機制不被未授權之人員所操控。組織稽核單位應定期檢視已獲授權之監控機制管理人員是否依規定進行作業，以避免監守自盜之事件發生。
1.8.1 需明確告知員工有監控機制之存在。
1.8.2 所有監控行為必須在符合法令之情況下始可進行，尤其需避免觸犯個人隱私。
1.8.3 個人資料之銷毀：請參考『資料安全暨設備安全管理作業程序』之『媒體淨化』。
個人資料利用一般規範
1.1.1 對個人資料之利用，除特種個人資料外，公務機關應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符；非公務機關應於蒐集之特定目的必要範圍內為之。
1.1.2 可為特定目的外之利用：
1.1.2.1 公務機關：
1.1.2.1.1 法律明文規定。
1.1.2.1.2 為維護國家安全或增進公共利益。
1.1.2.1.3 為免除當事人之生命、身體、自由或財產上之危險。
1.1.2.1.4 為防止他人權益之重大危害。
1.1.2.1.5 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
1.1.2.1.6 有利於當事人權益。
1.1.2.1.7 經當事人書面同意。
1.1.2.2 非公務機關：
1.1.2.2.1 法律明文規定。
1.1.2.2.2 為增進公共利益。
1.1.2.2.3 為免除當事人之生命、身體、自由或財產上之危險。
1.1.2.2.4 為防止他人權益之重大危害。
1.1.2.2.5 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
1.1.2.2.6 經當事人書面同意。
1.2 所有對個人資料之利用皆需向保管單位申請，嚴禁重新蒐集。申請程序如下：
1.2.1 填寫『個人資料利用申請表』（附件三）。
1.2.2 經個人資料保管單位以及個人資料管理委員會同意後始可進行。
1.2.3 若屬間接蒐集，在第一次利用時需告知當事人規範之事項，且需留下記錄。
1.3 所有存取之利用行為皆需有完整記錄，並可歸責於明確之個體。
1.4 所有員工嚴禁私自利用與個人相關之資料（例如：單位通訊錄），未經授權蒐集、處理或利用個人資料者，除自負法律責任外，依組織相關規定議處。
1.5 其他個人資料利用規範：
1.5.1 為確保個人資料不被有心人士外洩，所有列印需有列印記錄，包括執行人員、時間、使用之設備編號以及列印之內容。
1.5.2 列印至紙本或紙本之影印需有浮水印及警語。
個人資料其他規範
1 當事人行使個人資料權利之作業規範與程序：請參考『個資當事人行使個資權利處理機制』。
2 個人資料保護措施：請參考『資料安全暨設備安全管理』以及『人員管理』。
3 個人資料委外作業：請參考『個人資料委外作業管理』。
4 稽核：
4.1 稽核單位需不定期針對組織內員工所持有或業務單位所使用之個人資料進行稽核，確保個人資料之蒐集、處理或利用符合本作業程序之規範。
4.2 資訊單位需建置適當檢核系統或工具，對於與外部之資訊溝通皆需嚴格檢核，以避免未經授權之個人資料外洩。
5 本公司個人資料如有委外作業，本管理程序以及其他與個人資料保護相關之政策需明確告知委外廠商並儘可能在合約上載明雙方需盡之責任與義務。
6 本公司於2012/10/01前所有蒐集、處理或利用之個人資料，即日起，由個人資料管理委員會制定通知計畫，依個人資料保護法之規範，在首次處理或利用前進行相關事項之告知。
7 本公司新進人員必須簽署『個人資料蒐集、處理與利用規範同意書』。
8 公司在職人員必須簽署『個人資料蒐集、處理與利用規範同意書』。不同意簽署者，各單位主管需將拒絕簽署名單呈報個人資料管理委員會進行後續之處理。
他機關個人資料蒐集、處理與利用專屬規範
上述這些個人資料保護法對個人資料蒐集、處理與利用之規範是一般機關可以參考套用。但讀者是否還記得在上一章我們對組織內的個人資料相關流程、人員以及技術作了風險分析，在章末有一些待解決的問題，這些屬於可以由建立規範而解決的問題即可納到此處。需先提醒讀者，此處之規範應是機關針對組織內部的問題所提出之改善規範，並不一定適用於其他機關：
|
1. 未來接觸非數位類型之個人資料（例如：紙本），皆需有兩位人員一同作業，以避免出現因人員道德缺陷問題，導致個人資料被非法蒐集、處理或利用。 2. 機關需建立外寄電子郵件審核機制，未來外寄之郵件需經單位副總經理以上主管核可後始可寄出 3. ... |
個資管理暨保護機制
個資保護策略：依據衝擊評鑑、風險評鑑之結果以及個資法之規範擬定管理暨保護機制
8 符合個資蒐集、處理或利用規範：
Ø 不蒐集特種個資，除符合例外條件
Ø 符合特定目的與蒐集目的
Ø 該告知就應該告知
Ø 該通知就應該通知
Ø 該取得同意就該取得同意
8 蒐集以『最小化』與『營運所需』為原則
8 證明已善盡保護責任：防止訴訟成立（尤其是團體訴訟）：
Ø 避免個資不當揭露
Ø 有委外情事，必須確保善盡監督之責
Ø 保留各類軌跡、證據（需具備法律證據力）
Ø 損害因果推論儘量使之不成立
8 證明無犯意
|
個人資料保護＝合理作業流程＋專業且有職業道德之個資管理人員＋有個人資料保護概念之員工＋嚴謹資訊安全技術防護＋適當之個人資料管理稽核 |
這邊所提的都是個人資料管理暨保護之原則，除了流程與人員的作業規範外，屬於技術層面的問題除了建置資訊安全工具外，最重要的是這些資安工具是否能被『合理』且『合法』被使用，否則，有管理者權限之人員，在資安工具上開了後門，這樣即便建構了全天下最嚴謹的防護機制，卻忽略自家的後門開了一個洞，個資事故的發生就變成不可避免的結果。所以在下一章介紹『資料暨設備安全管理』時，雖然皆是從技術層面切入，但仍要機關制定必要的稽核與內控機制，以確保不會發生禍起蕭牆的情況。
留言列表
