<4D F736F F F696E74202D20ADD3A448B8EAAEC6AB4FC540AA6BB0F2C2A6ABC5BEC9BDD2B57B >

Size: px

Start display at page:

Download "<4D F736F F F696E74202D20ADD3A448B8EAAEC6AB4FC540AA6BB0F2C2A6ABC5BEC9BDD2B57B >"

颗快祝
6 years ago
Views:

1 個人資料保護法基礎宣導課程科技 ( 股 ) 公司副總經理彭至賢 [email protected] Mobile: October 16, 2012

2 課程大綱一個資管理發展與國際趨勢二非公務機關個資法基礎認知三個資法之罰則分析四個人資料保護防護策略 2.

3 一個資管理發展與國際趨勢

4 國際趨勢 vs. 國內現況觀察個人隱私保護與管理受國際組織與主要國家重視主要國家已有多項修法及個人隱私管理制度的建置個資法制面國際 : 主要國家皆重視個資保護立法 ( 如 : 日韓德英加法 ) 國際組織 (APEC OECD 歐盟) 國內 : 新個資法已通過並公告法務部正研議配套子法中各目的事業主管機關另需視需求修訂相關法令電子商務個人隱私保護 / 管理配合法令建置個人資料管理制度為國際趨勢實務管理面國際 : 主要國家已建置推行個人資料管理制度 ( 如 : 日韓德英 ) 國內 : 尚無建置個人資料管理制度已出現建立管理制度之聲浪, 以因應法制變遷與國際組織要求個人資料保護標章 BS 資料來源 : 經濟部商業司 4 eprivacy 標章 i-safe 標章 ( 私部門 )( 公部門 )

5 比較項目日本韓國德國英國個人資料保護主要法規個人情報保護法資通訊網路利用聯邦個人資料保護法及資訊保護法聯邦個人資料保護審個人資料保護法驗法法律規範內容 5 企業負有個人資料保護義務網站經營者及線上企業負有個人資料保護義務企業個人資料保護義務及審驗權責機關審驗客體及程序等當事人之權利持有者之義務除外規定及主管機關監督規定標章發放 P-Mark eprivacy-mark 個人資料保護標章無適用範圍管理制度 / 標章發放組織機構維運國際個人資料管理制度比較企業個人資料日本情報處理開發協會 (JIPDEC) 初期 : 政府資金穩定後 : 自行維運透過網際網路所蒐集的個人資料韓國資訊通信協會 (KAIT) 依法設立, 享有政府預算資通訊產品服務個人資料保護審驗機構個人資料保護審驗機構自行維運以自動化設備處理之資料或已建檔之資料英國標準協會 (BSI ) 設計制度機構自行維運各國管理制度與標章發放多由政府委託監督民間公正單位執行, 僅英國為民間標準協會自發性建置各國制度依循國家法令及產業狀況而有所不同, 推行之實際狀況亦多有差異, 需建立連結關係深入瞭解, 方能汲取經驗健全我國制度規劃

6 台灣個資保護轉型之契機法制面個資保護法之通過國際組織 APEC 之要求企業與消費者電子商務跨國貿易蓬勃, 營造企業形象與聲譽詐騙事件頻傳, 消費者隱私保護意識抬頭經濟部推出電子商務個資管理建置計畫 Ref by: 經濟部商業司

7 驗證程序臺灣個人資料保護與管理制度 -TPIPAS 標章授與以企業為中心, 自願導入 TPIPAS, 並提出驗證申請驗證申請 DP Mark 授證機構如經濟部資策會法務部啟動經登錄的輔導業者公平嚴謹的驗證機構 Ref by: 經濟部商業司

8 二非公務機關個資法基礎認知

9 個人資料保護法立法院於 99 年 4 月 27 日, 將電腦處理個人資料保護法, 修訂並三讀通過為個人資料保護法修訂方向 : 擴大保護客體增修行為規範妥適調整罰則普遍適用主體強化行政監督促進民眾參與

10 個人資料外洩嚴重資料外洩以及個人隱私被侵犯情況嚴重刑事警察局犯罪預防科根據 2009 年的統計資料指出,165 反詐騙諮詢專線接獲詐騙投訴電話, 排名第一的是個資外洩詐騙事件, 占總數的 35%, 未收到網購產品的詐騙事件則名列第二詐騙問題在十大民怨調查當中高居第二突顯個人資料外洩已嚴重影響到民眾與消費者之財產安全與生活品質

11 無所不再之個人資料

12 個資法之新舊比較新法擴大適用對象新法擴大保護對象新法擴大規範行為新法加重罰責哪些是個人資料? 哪些個資項目要被保護? 行為主體哪些人被規範在內? 醫院醫師教師學校行政人員志工委外單位保護客體日三讀通過總統公佈規範行為處罰如違反要受到哪些處罰? 哪些行為是個資法所禁止?

13 個資法之新舊比較電腦處理個人資料保護法個人資料保護法 ( 以下簡稱舊法 ) ( 以下簡稱新法 ) 個資法保護對象 : 包括數位化資料 + 人工資料施行日期 : 待行政院公佈 ( 估計約 1 年 ) 姓名 : 姓名王小花就診 : 王小明生日科別 : 06 小兒科月 06 日姓名 : 王小花就診 : 科別 : 小兒科舊法新法

14 個資法之新舊比較

15 個人資料保護法整體架構 15.

16 立法目的 16.

17 個人資料之定義個資法第二條用詞定義如下 : 個人資料 : 指自然人之姓名出生年月日國民身分證統一編號護照號碼特徵指紋婚姻家庭教育職業病歷醫療基因性生活健康檢查犯罪前科聯絡方式財務情況社會活動及其他得以直接或間接方式識別該個人之資料細則第二條本法所稱個人, 指現生存之自然人 17.

18 特種個人資料之定義本法第二條第一款所稱病歷, 應指下列各款資料 : 醫師依醫師法執行業務所製作之病歷各項檢查檢驗報告資料其他各類醫事人員執行業務所製作之紀錄醫療 : 指除前項病歷以外, 其他以治療矯正或預防人體疾病傷害殘缺為目的, 所為之診察診斷及治療 ; 或基於診察診斷結果, 以治療為目的, 所為之處方用藥施術或處置等行為全部或一部所產生之個人資料基因 : 指由一段去氧核醣核酸構成, 為生物體控制特定功能之遺傳單位訊息性生活 : 指性取向或性慣行之個人資料健康檢查 : 指對於無明顯疾病症狀, 非出於對特定疾病診斷或治療之目的, 以醫療行為所為診察行為之全部或一部之總稱犯罪前科 : 指經緩起訴職權不起訴或法院判決有罪確定之紀錄 18.

19 個人資料檔案指依系統建立而得以自動化機器或其他非自動化方式檢索整理之個人資料之集合施行細則草案 5: 本法第二條第二款所稱個人資料檔案, 包括備份檔案及軌跡資料注意軌跡資料可能之衝擊影響? 個人資料檔案的類型 19.

20 個資法 - 規範行為定義蒐集為建立個人資料檔案而取得個人資料取得方式不限, 任何方式取得皆為蒐集包括直接蒐集與間接蒐集處理為建立或利用個人資料檔案所為之紀錄輸入儲存編輯更正複製檢索刪除輸出連結或內部傳送利用將蒐集之個人資料為處理外之使用國際傳輸將個資作跨國 ( 境 ) 之處理或利用組織內部資料傳送 - 處理將個資提供第三人 - 利用 20.

21 個資 vs 個案 21.

22 個資當事人權利 22.

23 哪些個人資料不宜蒐集? 個資法第六條有關醫療基因性生活健康檢查及犯罪前科之個人資料, 除法有規定, 不得蒐集處理或利用但有下列情形之一者, 不在此限 : 法律明文規定公務機關執行法定職務或非公務機關履行法定義務所必要, 且有適當安全維護措施當事人自行公開或其他已合法公開之個人資料公務機關或學術研究機構基於醫療衛生或犯罪預防之目的, 為統計或學術研究而有必要, 且經一定程序所為蒐集處理或利用之個人資料 23.

24 直接蒐集個資 - 告知之義務本法第八條公務機關或非公務機關依第十五條或第十九條規定向當事人蒐集個資時, 應明確告知當事人下列事項 : 一公務機關或非公務機關名稱二蒐集之目的三個人資料之類別四個人資料利用之期間地區對象及方式五當事人依第三條規定得行使之權利及方式六當事人得自由選擇提供個人資料時, 不提供將對其權益之影響告知之方式細則第十三條 : 依本法第八條第九條及第五十四條所定告知之方式, 得以書面電話傳真電子文件或其他適當方式為之 24.

25 得免為告知之情形有下列情形之一者, 得免為前項之告知 : 一依法律規定得免告知二個人資料之蒐集係公務機關執行法定職務或非公務機關履行法定義務所必要三告知將妨害公務機關執行法定職務四告知將妨害第三人之重大利益五當事人明知應告知之內容 25.

26 間接蒐集個資 - 告知之義務本法第九條公務機關或非公務機關依第十五條或第十九條規定蒐集非由當事人提供之個人資料, 應於處理或利用前, 向當事人告知個人資料來源及前條第一項第一款至第五款所列事項有下列情形之一者, 得免為前項之告知 : 一有前條第二項所列各款情形之一二當事人自行公開或其他已合法公開之個人資料三不能向當事人或其法定代理人為告知四基於公共利益為統計或學術研究之目的而有必要, 且該資料須經提供者處理後或蒐集者依其揭露方式, 無從識別特定當事人者為限五大眾傳播業者基於新聞報導之公益目的而蒐集個人資料第一項之告知, 得於首次對當事人為利用時併同為之 26.

27 個資法第十二條適當方式通知當事人公務機關或非公務機關違反本法規定, 致個人資料被竊取洩漏竄改或其他侵害者, 應查明後以適當方式通知當事人施行細則第十八條所稱適當方式通知, 係指即時以書面電話傳真電子文件或其他足以使當事人知悉或可得知悉之方式為之但耗費過鉅者, 得斟酌技術之可行性及當事人隱私之保護, 以網際網路新聞媒體或其他足以使公眾得知之方式為之依本法第十二條通知當事人, 其內容應包括個人資料被侵害之事實及已採取之因應措施 27.

28 非公務機關對個人資料之蒐集或處理個資法第十九條非公務機關對個人資料之蒐集或處理, 除第六條第一項所規定資料外, 應有特定目的, 並符合下列情形之一者 : 一法律明文規定二與當事人有契約或類似契約之關係三當事人自行公開或其他已合法公開之個人資料四學術研究機構基於公共利益為統計或學術研究而有必要, 且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人五經當事人書面同意六與公共利益有關七個人資料取自於一般可得之來源但當事人對該資料之禁止處理或利用, 顯有更值得保護之重大利益者, 不在此限 28.

29 非公務機關特定目的外之利用個資法第二十條非公務機關對個人資料之利用, 除第六條第一項所規定資料外, 應於蒐集之特定目的必要範圍內為之但有下列情形之一者, 得為特定目的外之利用 : 一法律明文規定二為增進公共利益三為免除當事人之生命身體自由或財產上之危險四為防止他人權益之重大危害五公務機關或學術研究機構基於公共利益為統計或學術研究而有必要, 且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人六經當事人書面同意非公務機關依前項規定利用個人資料行銷者, 當事人表示拒絕接受行銷時, 應即停止利用其個人資料行銷非公務機關於首次行銷時, 應提供當事人表示拒絕接受行銷之方式, 並支付所需費用 29.

30 防範個資外洩之法律義務本法第二十七條非公務機關保有個人資料檔案者, 應採行適當之安全措施, 防止個人資料被竊取竄改毀損滅失或洩漏中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法 30.

31 個人社交活動不適用本法個資法第五十一條自然人為單純個人或家庭活動之目的, 而蒐集處理或利用個人資料於公開場所或公開活動中所蒐集處理或利用之未與其他個人資料結合之影音資料 31.

32 被誤導之觀念如何證明無過失, 以減免損害賠償責任? 通過標準驗證, 能否免除機關之法律責任? 取得隱私標章, 能否免除機關之法律責任? 通過 BS10012 通過 ISO27001 通過 TPIPAS 32.

33 三個資法之罰則分析

34 個資法之罰則分析

35 個資法罰則分析圖表解說個資法之罰則分析

36 四個人資料保護防護策略

37 個人資料生命週期管理

38 個資保護生命週期 ( 防護策略 ) 38.

39 39

40 適當安全維護措施 (1/2) 細則第九條本法所稱適當安全維護措施安全維護事項或適當之安全措施, 指公務機關或非公務機關為防止個人資料被竊取竄改毀損滅失或洩漏, 採取技術上及組織上之必要措施前項必要措施, 應包括下列事項 : 管理及技術規範一成立管理組織, 配置相當資源二界定個人資料之範圍三個人資料之風險評估及管理機制四事故之預防通報及應變機制五個人資料蒐集處理及利用之內部管理程序 40.

41 適當安全維護措施 (2/2) 六資料安全管理及人員管理七認知宣導及教育訓練八設備安全管理九資料安全稽核機制十必要之使用紀錄軌跡資料及證據之保存十一個人資料安全維護之整體持續改善管理及技術規範第一項必要措施, 以所須支出之費用與所欲達成之個人資料保護目的符合適當比例者為限 41.

42 成立管理組織, 配置相當資源控制目標本院為有效執行個人資料保護與管理各項工作, 特成立個資保護管理組織, 規範組織內所有成員之責任與分工, 確保遵循個人資料保護法及本院個資保護管理規範之各項要求, 以遵循法令及持續有效地落實個資保護最佳實務具體作法成立個資保護管理組織本院將成立個資保護管理執行小組, 明訂各小組成員個資保護之責任與職掌各單位設置個資保護專責人員 42.

43 個資保護管理組織 43.

44 界定個人資料之範圍控制目標確保本院能清楚鑑別個人資料之檔案名稱法律保有依據特定目的個人資料類別個人資料之範圍等相關訊息, 確保個人資料之蒐集處理及利用無違反個資法之虞個人資料之範圍範例例如 : 法律事務司掌有之行政執行法研究修正專案小組委員聯絡名單, 其個人資料類別為 : 識別類 (C001 識別個人者 C003 政府資料中之辨識者 ) 特徵類 ( C011 個人描述 ) 社會狀況 (C038 職業 ) 教育技術或其他專業 (C054 職業專長 ) 等本院各單位內部保有及管理個人資料之項目彙整表 44.

45 個人資料檔案清查 45.

46 個人資料之風險評估及管理機制控制目標確保本院所合法蒐集處理及利用之個人資料能定期進行隱私權衝擊分析及風險評鑑作業, 以鑑別各項個資之弱點及威脅而導致的風險, 並依據評鑑結果採取對策或控制措施, 降低個人資料外洩違反個資法之的風險具體作法建立個資保護風險管理作業程序定期 or 不定期執行隱私權衝擊分析及風險評鑑作業可透過自動化盤點工具輔助, 進行完整的個資盤點及隱私權衝擊分析作業 46.

47 隱私衝擊評鑑 47.

48 隱私衝擊分析步驟 48

49 控制目標 : 事故之預防通報及應變機制確保本院個人資料安全事件 ( 個資洩露毀損滅失或竊取 ) 發生時, 能迅速依通報程序進行通報, 並採取必要之緊急應變措施, 降低個資事件可能帶來之衝擊與損害具體作法建立個資事件通報及處理作業管理程序, 落實執行個資事件發失時之內部 ( 院內 & 上級單位 ) 及外部 ( 個資當事人 ) 通報管理作業程序建立個資事件通報及處理作業程序 ( 草案 ) 49.

50 個人資料蒐集處理及利用之內部管理程序控制目標確保個人資料蒐集之適法性, 不可違法的蒐集個人資料合法蒐集之個人資料, 於特定目的範圍內進行記錄輸入儲存編輯更正複製檢索刪除輸出連結或內部傳送等作業時, 應建立安全控制措施與要求確保個人資料於進行特定目的外之利用時, 均能符合個資法對特定目的外利用之限制具體作法依據本院各單位個資保護管理作業手冊之管理規定辦理 50.

51 資料安全管理及人員管理資料安全管理控制目標 : 確保個人資料在其生命期週期中的各個階段 ( 蒐集使用存取傳輸儲存及清除 ), 均受到適切之保護具體作法 : 個資源頭管制 ( 如 : 去識別化 (UI)/ 匿名, 檔案加密,DRM) 媒體保護 - 存取 / 儲存 / 運輸 / 淨化 (MP) 傳輸安全 ( 加密通道 ) 系統與通信保護 (SC).. 等人員安全管理確保院內同仁承包商及第三方皆明解本院個資保護責任, 並勝任其所被認定之角色, 以降低個資外洩揭露毀損及誤用之風險具體作法 : 鑑別與識別 (IA) 存取控制 (AC)/ 最小化原則稽核與可歸責性 (AU).. 等 51.

52 序號大類小類個人訊息內容遮罩處理服務名稱查詢條件訊息內容公路監理 - 行照換發 / 汽車定檢通知公路監理 - 違規罰單 / 駕照到期通知宜蘭縣停車費繳費通知花蓮縣停車費繳費 / 已繳費通知屏東縣停車費繳費 / 已繳費通知身分證字號 + 車號身分證字號 + 生日 ( 民國 ) 車號車號車號 1. 您的 << 車號 :XX-1234>> 汽車定檢日期為 <<YY 年 MM 月 DD 日 >>, 請先清理欠稅費及違規罰款, 再至監理單位或就近至各委託之代檢廠參加定檢 2. 您的 << 車號 :XX-1234>> 汽車行照有效日將於 <<YY 年 MM 月 DD 日 >> 到期, 請先清理欠稅費及違規罰款, 再辦理換發新行照 1. 您於 <<YY 年 MM 月 DD 日 >>, 違反處罰條例第 << 條例 >> 條罰 << 罰金 >> 元, 請於應到案日前辦理繳納 2. 您的 << 身分證字號 :AXXX456789>> 汽車駕照有效日將於 YYY 年 MM 月 DD 日到期, 請先清理欠稅費及道安講習, 再辦理換發新駕照您於 << 停車日期 :YYYY/MM/DD>> << 路段 >> 有一筆停車費待繳納, 車號 :<< 車號 :XX-1234>>, 單號 << 停車單號 >>, 金額為 << 停車金額 >> 元, 請於 << 繳費期限 >> 前繳納 1. 您於 << 停車日期 :YYYY/MM/DD>> << 路段 >> 有一筆停車費待繳納, 車號 :<< 車號 :XX-1234>>, 單號 << 停車單號 >>, 金額為 << 停車金額 >> 元, 請於 << 繳費期限 >> 前繳納 2. 您於 << 銷帳日期 :YYYY/MM/DD>> 繳納 << 停車日期 : YYYY/MM/DD>> 之停車費, 車號 :<< 車號 :XX-1234>>, 單號為 << 繳費單號 >>, 金額為 << 停車金額 >> 元, 已銷帳 1. 您於 << 停車日期 :YYYY/MM/DD>> << 路段 >> 有一筆停車費待繳納, 車號 :<< 車號 :XX-1234>>, 單號 << 停車單號 >>, 金額為 << 停車金額 >> 元, 請於 << 繳費期限 >> 前繳納 2. 您於 << 銷帳日期 :YYYY/MM/DD>> 繳納 << 停車日期 : YYYY/MM/DD>> 之停車費, 車號 :<< 車號 :XX-1234>>, 單號為 << 繳費單號 >>, 金額為 << 停車金額 >> 元, 已銷帳 52.

53 控制目標認知宣導及教育訓練應以適當之教育訓練技術及經驗為基礎, 使執行會影響個資保護要求符合性之工作人員能勝任個資保護與管理的工作具體作法定期辦理不同層級人員適合之個人資料保護與管理課程確保同仁認知其所從事的活動與個資保護之關連性與重要性, 以及如何對個資保護目標之達成有所貢獻, 讓個資保護觀念深植於組織文化 53.

54 設備安全管理控制目標 : 確保存放有個人資料之資訊設施 ( 包含 : 伺服主機 (AP/DB) 桌上型電腦可攜式設備可攜式儲存媒體等 ) 都應有管理面及技術面之安全控制措, 使個資在其生命期週期中, 均能受到適切之防護具體作法實體與環境安全 (PE) 組態管理 (CM) 系統維護 (MA) 系統與通信保護 (SC) 營運持續計劃 (BCP) 變更管理技術脆弱點監控. 等 54.

55 資料安全稽核機制控制目標 : 透過稽核機制, 充分證實本院符合個資法本院個資保護相關管理規範合約個資保護要求上級單位與民眾之個資保護要求辨別個資保護作業活動及相關結果是否符合原先計畫內容, 以及這些計畫內容是否有效地實施, 且適宜於達成個資保護之目標具體作法 : 建置內部稽核作業管理程序 ( 草案 ) 定期執行個資保護內部稽核訓練稽核員成立稽核小組 55.

56 必要之使用紀錄軌跡資料及證據之保存控制目標及具體作法必要之使用紀錄之保存確保適時記錄個人資料於蒐集處理及利用各個階段之歷程資料, 作為後續之追朔與審查 ( 使用紀錄如 : 個資檔案清冊個資存取權限申請單個資使用同意書個資管理規範之各項紀錄.. 等 ) 軌跡資料之保存確保存有個人資料之系統主機及相關設施, 於使用者存取個人資料檔案時, 均能留下使用之軌跡資料 ( 如 : 網路連線暫存檔 Log 檔設定檔. 等 ) 證據力之保存證明本院已採取適當安全措施, 以盡善良管理人責任 ( 降低損害賠償 ) 舉證責任 : 無過失責任主義 ( 公務機關 ) 56.

57 舉證責任倒置

58 軌跡資料之記錄欄位名稱 HASAGREED DESCRIPTION DISPLAYNAME FAMILYDATA HOMEPHONE MAIL MOBILE STREETADDRESS TELEPHONENUMBER BIRTHDAY IP_ADDRESS AGREED_TIME AGREED_CONTENT MESSAGE_DIGEST STOP_USE 58 NEW_ALL_MEMBER 會員資料檔欄位說明是否確認同意書內容身份證字號姓名家人資料住家電話電子郵件手機號碼地址電話號碼生日表達同意之網路位置表達同意之時間表達同意之內容表達同意內容之訊息摘要值停止蒐集處理利用個人資料

59 個人資料安全維護之整體持續改善控制目標藉由個資保護政策個資保護目標個資稽核結果資料分析矯正與預防措施, 及管理階層審查之使用, 以持續改進個資保護管理規範之有效性, 降低個資外洩之風險為了防止再發, 本院應採行適當措施以消除不符合事項之各項原因, 矯正措施應與所遭遇的不符合項目之影響相稱具體作法建立矯正及預防管理作業程序 ( 草案 ) 落實 RCA( 要因分析 ) 59.

60 結論一將他人的個資視同自己的個資加以保護二該做的不要嫌麻煩 ( 善良管理人責任 ) 三凡走過必留下痕跡四規劃 Plan 執行 Do 查核 Check 改善 Action

個人資料保護法問答

個人資料保護法問答 Q1: 為何現行電腦處理個人資料保護法要修正為個人資料保護法? 其修正重點為何? A1: 電腦處理個人資料保護法自 84 年 8 月 11 日公布施行至今, 已近 18 年, 由於資訊通信科技發達的結果, 透過電腦及網際網路處理與傳輸個人資料之情形已今非昔比, 該法的規範顯然已不足夠, 且個人資料外洩事件時有所聞, 尤其是尚有龐大未適用該法的民間產業, 影響個人資料本人的隱私權益甚鉅