主講:圖資處 薛甘霖 (ISO 27001 LA 、BS 10021 LA、CEH) 個資法教育訓練 主講:圖資處 薛甘霖 (ISO 27001 LA 、BS 10021 LA、CEH)

大綱 個資法 個資管理系統(PIMS) 個資盤點 個資保護

個人資料保護法

先來看一下個資法 1.我不是法律專家，所以有講錯 拜託請糾正我 2.內容很無聊…但當你被告時…就 要靠它救命

個資法架構

什麼是個資?(個資法第二條) 特殊個人資料 姓名 出生年月日 醫療 國民身分證統一編號 基因 護照號碼 性生活 特徵 健康檢查 指紋 婚姻 家庭 教育 職業 病歷 醫療 基因 性生活 健康檢查 犯罪前科 聯絡方式 財務情況 社會活動 其他得以直接或間接方式識 別該個人之資料(學號,車牌) 特殊個人資料

重點 蒐集 利用 處理

蒐集 直接 間接

直接蒐集(個資法第八條、十五、十九) 公務機關或非公務機關依第十五條或第十九條 規定向當事人蒐集個人資料時，應明確告知當 事人下列事項： 一、公務機關或非公務機關名稱。 二、蒐集之目的。 三、個人資料之類別。 四、個人資料利用之期間、地區、對象及方式。 五、當事人依第三條規定得行使之權利及方式。 六、當事人得自由選擇提供個人資料時，不提 供將對其權益之影響。

間接蒐集(從其它單位來的資料) 公務機關或非公務機關依第十五條或 第十九條規定 蒐集非由當事人提供之個人資料， 應於處理或利用前， 向當事人告知個人資料來源及 前條第一項 第一款至第五款 所列事項。(跟直接蒐集一樣)

直接蒐集的免告知之情況 有下列情形之一者，得免為前項之告知： 一、依法律規定得免告知。 二、個人資料之蒐集係公務機關執行法定職務或 非公務機關履行法定義務所必要。 三、告知將妨害公務機關執行法定職務。 四、告知將妨害第三人之重大利益。 五、當事人明知應告知之內容。

間接蒐集的免告知之情況 有下列情形之一者，得免為前項之告知： 一、有前條第二項所列各款情形之一。 二、當事人自行公開或其他已合法公開之個人資料。 三、不能向當事人或其法定代理人為告知。 (無法告知) 四、基於公共利益為統計或學術研究之目的而有必要， 且該資料須經提供 者處理後或蒐集者依其揭露方式， 無從識別特定當事人者為限。 五、大眾傳播業者基於新聞報導之公益目的而蒐集個 人資料。 第一項之告知，得於首次對當事人為利用時 併同為之。

如何告知(細則16條) 言詞 書面 電話 簡訊 電子郵件 傳真 電子文件 或其他足以使當事人知悉或可得知悉之方式為之

同意 指當事人經蒐集者告知本法所定應告 知事項後，所為允許之書面意思表示。 (第七條) 本法第七條所定書面意思表示之方式， 依電子簽章法之規定，得以電子文 件為之。(細則第十四條)

目的外的利用(第十六、二十條) 非公務機關對個人資料之利用，除第六條第一項所規定資料外 應於蒐集之特定目的必要範圍內為之。 非公務機關對個人資料之利用，除第六條第一項所規定資料外 應於蒐集之特定目的必要範圍內為之。 但有下列情形之一者，得為特定目的外之利用： 一、法律明文規定。 二、為增進公共利益。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而 有必要， 且資料經過提供者處理後或蒐集者依其揭露方式無從識 別特定之當事人。 六、經當事人書面同意。

當事人權利(第十條) 個人行使權利要求 查詢或請求閱覽 複製 補充或更正 停止蒐集、處理或利用 刪除

多久時間內須處理要求(第12條) 第十條(查詢、複製、閱覽) 15天 第十一條(更正、刪除、停止蒐集利 用處理) 30天 第十條(查詢、複製、閱覽) 15天 第十一條(更正、刪除、停止蒐集利 用處理) 30天 必要時，得予延長，延長之期間不得 逾(同上述天數)日， 並應將其原因以書面通知請求人。

資料保留的時間 個人資料蒐集之特定目的消失或期限 屆滿時， 應主動或依當事人之請求， 刪除、 停止處理或利用該個人資料。 但因執行職務或業務所必須或經當事 人書面同意者，不在此限。 依各種法律規定:例離職員工資料要留多久???? 研討會資料要留多久???

保留條件(細則第21條) 有下列各款情形之一者， 屬於本法第十一條第三項但書所定因執行 職務或業務所必須： 有下列各款情形之一者， 屬於本法第十一條第三項但書所定因執行 職務或業務所必須： 一、有法令規定或契約約定之保存期限。 二、有理由足認刪除將侵害當事人值得保 護之利益。 三、其他不能刪除之正當事由。

特定目的消失(細則第二十條) 本法第十一條第三項所稱特定目的消失， 指下列各款情形之一： 一、公務機關經裁撤或改組而無承受業務機關。 本法第十一條第三項所稱特定目的消失， 指下列各款情形之一： 一、公務機關經裁撤或改組而無承受業務機關。 二、非公務機關歇業、解散而無承受機關，或 所營事業營業項目變更而與 原蒐集目的不符。 三、特定目的已達成而無繼續處理或利用之必 要。 四、其他事由足認該特定目的已無法達成或不 存在。

怎樣才叫外洩? 這樣可以提告嗎?

如果是這樣呢?

賠償

第二十八條 $500~$20,000 (每人每一事件) 最高總額以新臺幣二億元為限 損害賠償請求權，自請求權人知有損害 及賠償義務人時起，因二年間不行 使而 消滅；自損害發生時起，逾五年者，亦 同。(三十條)

第二十九條 非公務機關違反本法規定，致個 人資料遭不法蒐集、處理、利用 或其他侵 害當事人權利者，負損 害賠償責任。但能證明其無故意 或過失者，不在此限。

第四十一條 個資法第41條「違反第19條、第20條第1項， 足生損害於他人者，處二年以下有期徒刑」 拘役或科或併科新臺幣二十萬 元以下罰金。 十九、二十條(蒐集、處理、利用、目的內 外的使用) 行為人（而非公司老闆）負刑責!!!!!!!

第四十八條 非公務機關有下列情事之一者，由中央目的事業主管 機關或直轄市、縣（ 市）政府限期改正，屆期未改正 者，按次處新臺幣二萬元以上二十萬元以 下罰鍰： 一、違反第八條或第九條規定。 二、違反第十條、第十一條、第十二條或第十三條規 定。 三、違反第二十條第二項或第三項規定。 四、違反第二十七條第一項或未依第二項訂定個人資 料檔案安全維護計畫或業務終止後個人資料處理方法。

第五十條 非公務機關之代表人、管理人或 其他有代表權人，因該非公務機 關依前三條規定受罰鍰處罰時， 除能證明已盡防止義務者外，應 並受同一額度罰鍰之處罰。

案例 中國信託 http://briian.com/?p=10793 中國信託的回應 http://www.freeimagehosting.net/z7y7b 知名網路國考書店個資外洩 多考生網購遭詐 http://news.cnyes.com/Content/20130520/KH7X3G7ACJPOQ.shtml?c=event_news

個資管理系統(PIMS)

德國個資保護驗證標章（Trusted Site Privacy，TSP） TPIPAS制度規範 臺灣個人資料保護與管理制度規範（2012年版）  版 次：2012 V.1 公告施行日期：2012年09月04日 BS 10012標準(PIMS)

什麼是PIMS PIMS(Personal Information Management System) 個資管理系統 BS 10012:2009個人資料管理系統(Personal Information Management System；PIMS)是BSI英國標準協會於2009年6 月正式發佈，此標準是參考國際組織OECD（經濟合作 與發展組織）對於個人隱私權保護的八大原則*在內， 針對個人資料保護提出的「個人資料保護標準」，此 標準具體說明對個人資訊管理系統的各項要求，並依 據完整的P(計畫)、D(執行)、C(查核)、A(矯正)循環流程， 建立出完善的個資保護框架。

歐盟個資保護八大原則 1. 個人資料不可以非法或不公正方式蒐集、處理。 2. 個人資料應限於以特定目的之方式蒐集、處理。 3. 個人資料應以充分、相關，而非逾越其原本之目的處 理。 4. 個人資料應求準確，並在必要時及時更新。 5. 個人資料之保存，不得超過其原定目的之保存期限。 6. 個人資料之處理，應依照當事人之權限及法令規範。 7. 組織應採取適當的資料保護技術和措施，防止個人資 料遺失或毀壞。 8. 個人資料不得轉移到歐洲經濟區以外的國家或地 區。 

為何要建置PIMS 個資法第二十七條 非公務機關保有個人資料檔案者，應採行適當 之安全措施， 防止個人資料 被竊取、竄改、毀損、滅失或洩 漏。 中央目的事業主管機關(教育部)得指定 非公務機關訂定個人資料檔案安全維護計畫 或業務終止後個人資料處理方法。 前項計畫及處理方法之標準等相關事項之辦法， 由中央目的事業主管機關定之。

安全措施(細則第12條) 指公務機關或非公務機關 為防止個人資料被竊 取、竄改、毀損、滅失或洩漏，採取技術上及 組織上之措施。 可以主張－已盡防止義務　

前項措施，得包括下列事項，並以與所欲達成之個人資料保護目的間，具 有適當比例為原則： 一、配置管理之人員及相當資源。(PIMS) 七、認知宣導及教育訓練。 (教育訓練) 二、界定個人資料之範圍。(個資盤點) 八、設備安全管理。 (ISMS) 三、個人資料之風險評估及管理機制。(PIMS) 九、資料安全稽核機制。(ISMS) 四、事故之預防、通報及應變機制。(PIMS) 十、使用紀錄、軌跡資料及證據保存。 (ISMS) 五、個人資料蒐集、處理及利用之內部管理程序。 (PIMS) 十一、個人資料安全維護之整體持續改善。(稽核) (PIMS) 六、資料安全管理及人員管理。 (PIMS)

PIMS建置相關 PLAN 個資管理計劃 導入與施行 DO 監控與審查 CHECK 持續改善 ACT

學校如何建置pims 1.重要職責指派 (1)高階管理階層(2)日常政策導循之責任 (3)資料保護代表[各單位] 1.重要職責指派 (1)高階管理階層(2)日常政策導循之責任 (3)資料保護代表[各單位] 2.識別並記錄個人資訊用途(個資盤點) 3.教育訓練 4.訂定各單位個資蒐集相關規範 (告知,特定目的,非特定目的,使用者權利) (如何蒐集,蒐集的範圍,適當不過度) 5. 風險評鑑 6.個資事件處理程序 7.外包相關規範 8.安全性議題(儲存，處理，記錄) 9.外部稽核

個資盤點

重點 全面清查 風險等級 控制措施

怎麼盤? 以流程來看 鑑別營運流程 細項分解出 流程架構 作業流程圖 資料輸入/輸出

流程圖

檢視流程 單位 個人資料檔案名稱 保有依據 特定目的 個人資料類別 圖資 處 校外人士借書證申請書 正修科大 圖書館借閱辦法 上述流程會產生的文件 申請書 有那些個資? 類別代號 最好加上保留期間 單位 個人資料檔案名稱 保有依據 特定目的 個人資料類別 圖資 處 校外人士借書證申請書 正修科大 圖書館借閱辦法 個人借閱資料管理 C001辨識個人者, 教務處課務組 教學評量問卷系統 XXXXXXX教學反應評量實施要點 109教育或訓練行政 C001辨識個人者,C057學生(員)、應考人紀錄,C071工作之評估細節

個資盤點清冊 單位 個人資料檔案名稱 保有依據 特定目的 個人資料類別 保留期限 管理人員 圖資處 校外人士借書證申請書 正修科大 圖書館借閱辦法 個人借閱資料管理 C001辨識個人者,  停止使用後二年  XXX 教務處課務組 教學評量問卷系統 XXXXXXX教學反應評量實施要點 109教育或訓練行政 C001辨識個人者,C057學生(員)、應考人紀錄,C071工作之評估細節  學生畢業後三年  XXXX

最小蒐集原則 不該蒐或不用蒐的…千萬別留 個資愈多!風險責任愈大

協助軟體 單機版個資檢測與盤點工具(免費使用) http://cdpa.org.tw/privacyagent.html

個資保護

斷、捨、離 斷: 蒐集來源固定、明確、不該來的不要蒐集 捨: 別存太多資料、要用再蒐集 離:沒用到的資料確實移除

可能洩漏方式 網路 紙本 通訊軟體 駭客

Google大神 一起來搜尋個資 語法 身份證字號 site:XXX.edu.tw 用你的個資去搜尋 例: 電話 09XXXXXXXX ,身份證字號,地址

檔案加密 壓縮加密 Office加密

最後提醒 個資保護 時時注意、常常搜尋