個資法衝擊與因應 醫務管理暨醫療資訊學系 陳以德 副教授: 濟世CS 轉

Presentation on theme: "個資法衝擊與因應 醫務管理暨醫療資訊學系 陳以德 副教授: 濟世CS 轉"— Presentation transcript:

1 個資法衝擊與因應 醫務管理暨醫療資訊學系 陳以德 副教授: 濟世CS202-3 07-3121101 轉 2648-25

2 學習目標 個人資料保護法歷史 個資法架構 個人資料總類與實例 人格權、隱私權 施行細則 個資法的損害賠償 因應措施

3 個資外洩

4 搜尋個資 簡易檢查 在 Google 搜尋引擎輸入某項 個人資料 ( 如姓名 ) ，再加上 『 site:kmu.edu.tw 』 ( 限定搜尋本校校內網站 )

5 個人資料保護法歷史 1890 Warren & Brandeis 1974 美國 1980 OECD經濟合作與發展組織
The Right to Privacy: 享受生活不被打擾的權利 1974 美國 沒通知當事人並獲得書面同意前，政府不可將某特定目的資料用在另一目的上 1980 OECD經濟合作與發展組織 個人資料保護8大原則 1995歐盟通過資料保護一般指令，1998生效

6 電腦處理個人資料保護法 1995 臺灣 電腦處理個人資料保護法 2008 吳xx，薇閣。胡xx ，病歷外洩。
政府及8大行業：徵信、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業 13個指定適用行業 2008 吳xx，薇閣。胡xx ，病歷外洩。 營業稅法所指的八大行業 旅館 餐廳 百貨公司 電影院 保齡球館 遊樂場、撞球場、電動玩具業 夜總會、歌廳、舞廳、舞場 酒家、酒吧、特種咖啡廳、理髮廳、KTV、MTV、浴室業

7 個人穩私權 2004/6 駭客入侵, 20萬筆帳密遭竊, 被盜領200餘萬
2009/11/20 減肥名醫, ,洩漏吳xx緋聞女主角孫仲瑜病例 2011/2/15 徵信業買通員警, 海巡, 以每筆3000~8000 盜賣民眾個資 2011/9/23 高等法院庭長喪偶, 私下用司法系統查相親對象個資

8 個人資料保護法 2010.4.27 通過個人資料保護法 2012.9.26 施行細則修正發佈 2012.10.1 正式上路 全體適用
民、刑事及行政責任的加重及提高 本法施行日期，由行政院定之 正式上路 施行細則修正發佈

9 個資法架構 總則(14) 公務機關對個資蒐集、處理、利用 非公務機關對個資蒐集、處理、利用 罰則 損害賠償及團體訴訟 附則

10 一般資料 其他資料 特種資料 個人資料 醫療 基因 性生活 健康檢查 犯罪前科 自然人之姓名 出生年月日 身份證號 護照號碼 特徵、指紋
婚姻、家庭 教育、職業 病歷、聯絡方式 財務狀況 社會活動 得以直接或間接方式識別該個人的資料

11 個人資料保護法 為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。

12 矯枉過正？被告姓名隱匿

13 學生健康檢查 學務處新生健康檢查 學校衛生法第8條規定：「學校應建立學生健康管理制度，定期辦理學生健康檢查；必要時，得辦理學生及教職員工臨時健康檢查或特定疾病檢查。」

14 警察來函要個資 警察來函， 要某位學生的個人資料，該不該給？
為特定目的(逢甲大學個資保護同意書之特定目的)以外之蒐集或處理，依個資法要求，特定目的外的利用，另需經當事人書面同意。 例外狀況，如有人意圖自殺，依個資法第16、20條第三款，為免除當事人之生命、身體、自由或財產上之危險，保護當事人可於特定目的以外之利用。

15 教育部來函要個資 教育部來函，為實施「健康體育網路護照落實計畫」，請學校上傳學生基本資料至教育部體適能網站
依個資法要求特定目的外之利用需取得當事人之同意，雖本校已請學生簽署個資保護同意書，但其目的並不包含上述行為，因此本案作法需請學生另外簽名同意，再行上傳資料。此作法可為其他類似案件參考。

16 演講費等收據 演講費等收據上，為稅務需求，需請當事人提供身份證字號及戶籍地址等資料，可否？
可在蒐集資料之表單下方說明， 資料蒐集之目的，例如依稅務法用於扣繳憑單寄送需要。

17 監視設備 裝置之固定式監視設備，是否為個資蒐集行為？
固定式監視設備為機械化裝置，依東西移動錄製，依時間序會覆蓋(錄影資料)。可認為至調閱時，才視為個資蒐集；只要不是調閱資料，就不算是蒐集。

18 學校認同卡 學校是否可以寄發認同卡給校友或學生？ 寄發認同卡已構成利用校友資料之行為，因此須確認是否逾越蒐集時所告知之特定目的。
若逾越特定目的時，除非取得校友之書面同意，不得為之。

19 蒐集、處理及利用 蒐集：指以任何方式取得個人資料 處理：建立、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結、內部傳送
不論是使用合法或是非法的手段，都屬於蒐集 處理：建立、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結、內部傳送 利用：處理以外之使用

20 人格權 人格權乃構成人格不可缺少之權利 例如生命、身體、健康、名譽、自由、信用、隱私、貞操、姓名、肖像等權利均屬之

21 隱私權 隱私權(身體、 空間、資料) 生存的自然人才受個資法保護，死的人不在此限
與人格權一樣，是一種權利，所以當權利受到損害時(侵權)，就會有「救濟」行為 財產 非財產(精神) 人格權才能賠 能告嗎? 國家賠償法. 生存的自然人才受個資法保護，死的人不在此限 國家賠償法要先協調後才能提

22 隱私權 釋字第603號 就個人自主控制個人資料之資訊隱私權而言，乃保障人民決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權 並保障人民對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權

23 法律關係 縣市政府 2008/6/15 大正資訊標到國中基測業務, 結束後將考生資料以100~180萬元, 賣給補教業者 公司行號 公務機關
顧客資料 非公務機關 公務機關 委外處理 律師, 消基會 2008/6/15 大正資訊標到國中基測業務, 結束後將考生資料以100~180萬元, 賣給補教業者

24 不得預先拋棄 或以特約限制 個人資料當事人擁有之權利第三條 個人資料 查詢或請求閱覽 請求刪除 請求製給複製本 請求補充 或更正
請求停止蒐集、處理或利用 請求刪除 不得預先拋棄 或以特約限制

25 書面意思 蒐集或處理：告知本法所定應告知事項後，所為允許之書面意思表示。
利用：明確告知特定目的外之其他利用目的、範圍及同意與否對其權益之影響後，單獨所為之書面意思表示。 告知： １公務機關或非公務機關名稱 ２蒐集之目的 ３個人資料之類別 ４個人資料利用之期間、地區、對象及方式 ５當事人依第三條規定得行使之權利及方式 ６當事人得自由選擇提供個人資料時，不提供將對其權益之影響 告知:針對特定人, 以電話, 當面, 存證信函, 並以書面簽名同意 如推廣教育, 如不填寫將影響報名

26 書面意思表示？ 施行細則第 14 條 電子簽章法第 4 條： 施行細則第 15 條 依電子簽章法之規定，得以電子文件為之
經相對人同意者，得以電子文件為表示方法 依法令規定應以書面為之者，如其內容可完整呈現，並可於日後取出供查驗者，經相對人同意，得以電子文件為之 前二項規定得依法令或行政機關之公告，排除其適用或就其應用技術與程序另為規定。但就應用技術與程序所為之規定，應公平、合理，並不得為無正當理由之差別待遇 施行細則第 15 條 單獨所為之書面意思表示，如係與其他意思表示於同一書面為之者，應於適當位置使當事人得以知悉其內容後並確認同意 IBM 個人資料保護法 張紹斌

27 蒐集免告知 依法律規定得免告知 個人資料之蒐集係公務機關執行法定職務或非公務機關履行法定義務所必要 告知將妨害公務機關執行法定職務
告知將妨害第三人之重大利益 當事人明知應告知之內容

28 蒐集非由當事人提供之個人資料 有前條第二項所列各款情形之一 當事人自行公開或其他已合法公開之個人資料 不能向當事人或其法定代理人為告知
基於公共利益為統計或學術研究之目的而有必要，且該資料須經提供者處理後或蒐集者依其揭露方式，無從識別特定當事人者為限 大眾傳播業者基於新聞報導之公益目的而蒐集個人資料 首次對當事人 利用時併同為之

29 查詢、更正、補充之請求 查詢之請求，15日內回覆，可延長15日 更正或補充請求，30日內回覆，可延長30日 得酌收必要成本費用
收到錢就要辦事, 一個月理他一次就好了. 若隔天又來, 就不要收錢了. 更正或補充請求，30日內回覆，可延長30日 得酌收必要成本費用

30 公務機關對個資之蒐集、處理 - 執行法定職務必要範圍內 - 經當事人書面同意 - 對當事人權益無侵害

31 公務機關對個資之利用 法律明文規定 為維護國家安全或增進公共利益 為免除當事人之生命、身體、自由或財產上之危險 為防止他人權益之重大危害
公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人 有利於當事人權益 經當事人書面同意

32 非公務機關對個資之蒐集、處理 但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限 法律明文規定
與當事人有契約或類似契約之關係 當事人自行公開或其他已合法公開之個人資料 學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人 經當事人書面同意 與公共利益有關 個人資料取自於一般可得之來源 但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限

33 非公務機關對個資之利用 當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷並支付拒絕接受行銷所需費用 法律明文規定 為增進公共利益
為免除當事人之生命、身體、自由或財產上之危險 為防止他人權益之重大危害 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人 經當事人書面同意 當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷並支付拒絕接受行銷所需費用

34 法律效用 民法1084條 個資法18條 子女應孝敬父母 父母對於未成年之子女，有保護及教養之權利義務
公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏

35 中央派員檢查 主管機關或縣、市政府…，得派員檢查，… 得沒入或可為證據之個人資料或其檔案 檢查時，得率同資訊、電信或法律等專業人員共同為之
不用搜索票吔!

36 檢查結果 違反 未違反 一、禁止蒐集、處理或利用個人資料 二、命令刪除經處理之個人資料檔案 三、沒入或命銷燬違法蒐集之個人資料
四、公布非公務機關之違法情形，及其姓名或名稱與負責人 未違反 公布檢查結果

37 安全維護計畫 非公務機關 損害賠償請求權，自請求權人知有損害及賠償義務人時起，因二年間不行使而消滅；自損害發生時起，逾五年者，亦同
訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法 畢業紀念冊 損害賠償請求權，自請求權人知有損害及賠償義務人時起，因二年間不行使而消滅；自損害發生時起，逾五年者，亦同 請求權，不得讓與或繼承 團體訴訟: 不能先和解, 不然比照辦理

38 個資法的損害賠償 回復名譽 500~20000 無過失責任 舉證免責 推定２億 舉證>2億 公務機關 非公務機關

39 刑責 違反第六條第1, 15, 16, 19, 20條第1項規定，或中央目的事業主管機關依第21條限制國際傳輸之命令或處分，足生損害於他人者，處2年以下有期徒刑、拘役或科或併科新臺幣20萬元以下罰金 意圖營利…，處5年以下有期徒刑，得併科新臺幣100萬元以下罰金。 本章之罪，須告訴乃論。但犯第41條第2項之罪者，或對公務機關犯第42條之罪者，不在此限。

40 第50條 新版個資法加重法人的負責人和非法人之代表人和管理人對個資保護的責任，這是「兩罰制」
公司被罰一遍，公司代表人或管理人受到同樣的處罰，並不是公司代表人或管理人負起個資保護不周的「連帶責任」

41 非公務機關違反個資法之行政責任 無正當理由蒐集特種資料 違背蒐集、處理、利用、國際傳輸規定
新臺幣5~50萬元罰鍰，並令限期改正，屆期未改正者，按次處罰之 (47)

42 非公務機關違反個資法之行政責任 限期改正，屆期未改正者，按次處新臺幣2~20萬元罰鍰 (48) 向當事人或非當事人蒐集個人
資料時，未履行相關告知義務 個資於蒐集目的外之利用，經 當事人表示拒絕接受而繼續 拒絕、遲延當事人查閱、副 本給予、更正、補充之請求 個資於蒐集目的外之利用， 未提供當事人拒絕接受機會 個資被竊取、洩漏、竄改或其 他侵害者，未通知當事人 未採行適當之安全措施或訂定 個資檔案安全維護計畫等 限期改正，屆期未改正者，按次處新臺幣2~20萬元罰鍰 (48)

43 施行細則 施行細則草案第 5 條，把「備份檔案」和「軌跡資料(log)」都列為個人資料檔案
「內部傳送」，包括機關內部跨國（境）的資料傳送，也是屬於「處理」 資料第三人使用，不同資料擁有者之間對個資使用，都是「利用」 臺、澎、金、馬以外的資料跨國（境）傳輸，不論是屬於個資的「處理」或「利用」，都符合「國際傳輸」的規定

44 國際傳輸 例如：總公司將資料傳送給分公司、公務機關將資料傳送給國外辦事處等；或將資料提供當事人以外第三人（屬資料利用），
例如：母公司將資料提供給子公司或他公司、公務機關將資料傳送給他公務機關，只要該資料作跨國（境）之傳輸，不論是屬處理或利用行為，皆屬本法所稱之「國際傳輸」 大陸算「國際傳輸」

45 施行細則「刪除」 第3條規定當事人權利中的「刪除」，若因法律、契約和證據保存等相關因素的原因，企業就可以不予刪除；
另外，若是符合施行細則草案第3條規定的，資料查詢將「耗費過巨、需時過久」，也可不予刪除。

46 法律 因應措施 管理 資訊安全 ISMS ISO 27001 27005 PIMS BS10012:2009 ISO 29100
個資專責人員組成 個資文件管理 權限控管 管理 PIMS BS10012:2009 ISO 29100 實體安全 網路安全 電腦安全 資訊安全 ISMS ISO 27001 27005 當事人權利、契約、當事人同意 合法蒐集、處理、利用、國際傳輸 委外處理、監督義務 法律 IBM 個人資料保護法 張紹斌

47 施行細則 細則第十二條 本法第六條第一項第二款所稱適當安全維護措施、第十八條所稱安全維護事項、第二十七條第一項所稱適當之安全措施，指公務機關或非公務機關為防止個人資料被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施。 前項措施，得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：

48 11條安全維護措施 一、配置管理之人員及相當資源。 二、界定個人資料之範圍。 三、個人資料之風險評估及管理機制。 四、事故之預防、通報及應變機制。 五、個人資料蒐集、處理及利用之內部管理程序。 六、資料安全管理及人員管理。 七、認知宣導及教育訓練。 八、設備安全管理。 九、資料安全稽核機制。 十、使用紀錄、軌跡資料及證據保存。 十一、個人資料安全維護之整體持續改善 Ｐ　　Ｄ　 ＣＡ 總經理或副總

49 個資盤點 單位 資料名稱 保有依據 特定目的 個資類別 個資範圍 有特種個資? 擁有方式 推廣教育中心 學員報名表 推廣教育實施辦法
學員資料管理 1辨識個人者 2個人描述 3資格或技術 姓名, 身分證, 出生日期, 性別, 通訊方式, 學歷 非特種資料 紙本 電腦檔案 資訊系統(資料庫)

50 Log至少保存5年(因為資事件發生5年內均可求償)
施行細則11條 一、配置管理之人員及相當資源。 二、界定個人資料之範圍。 三、個人資料之風險評估及管理機制。 四、事故之預防、通報及應變機制。 五、個人資料蒐集、處理及利用之內部管理程序。 六、資料安全管理及人員管理。 七、認知宣導及教育訓練。 八、設備安全管理。 九、資料安全稽核機制。 十、使用紀錄、軌跡資料及證據保存。 十一、個人資料安全維護之整體持續改善 如何蒐集,利用,處理做成ｓｏｐ隨時更新 如何通知當事人, 提供詢問申訴管道 分級控管個資, 加密保護 Information security management system ISMS,BS ,2,3 Log至少保存5年(因為資事件發生5年內均可求償)

51 管理 PIMS BS 10012 Data protection principles 資料保護原則 Scope 範圍
Terms and definitions 專門術語與定義 Planning for a personal information management system (PIMS) 規劃個人資訊管理系統 Implementing and operating the PIMS 實行與運作個人資訊管理系統 Key appointments 重要人員之指派 Identifying and recording uses of personal information 識別並記錄個人資訊的用途 Training and awareness 訓練與意識提升 Risk assessment 風險評估 Keeping PIMS up-to-date 維持最新的個人資訊管理系統 Notification 通知

52 管理 PIMS BS 10012 Cont. Fair and lawful processing 公平合法地處理
Processing personal information for specified purposes 為具體指明處理個人資訊 Adequate, relevant and not excessive 適當、相關且不過度 Accuracy 正確 Retention and disposal 保留與處置 Individuals` rights 個人的權利 Security issues 安全議題 Disclosure to third parties 對第三方揭露資訊 Sub-contracted processing 轉包處理 Maintenance 維護 Monitoring and reviewing the PIMS 監督與檢討個人資訊管理系統 Improving the PIMS 改善個人資訊管理系統

53 ISO 27001: 2013

54 ISO 27001: 2013 附錄A

55 ISO 27002: 2013

56 ISMS

57 資訊安全 個資 入侵偵測 防火牆 用戶端防毒 弱點掃瞄 流量監控&log 實體防護 密碼學

58 法律 個資清查 定訂措施 工具防護 稽核管控

59 Summery 個人資料保護法歷史 個資法架構 個人資料總類與實例 人格權、隱私權 施行細則 個資法的損害賠償 因應措施

60 參考資料 全國法規資料庫（http://law.moj.gov.tw）
逢甲公版同意書 /Users/Xnzwvr.2239/Wiki 第一科大個資中心 60

61 謝謝指教 Google 陳以德 or Yiter