新北市教育研究發展中心資訊組長資安課程個資法實施因應之道 日期 :100/05/3
講師介紹 葉益禎 (Ivan Yeh) 專業資歷 : 精誠資訊公司顧問 昇達價值管理公司技術總監 巨安資訊科技公司技術總監 KPMG 資訊技術顧問經理 叡揚資訊公司經理 財政部財稅資料中心駐部資訊小組聘雇人員 ISO 27001 主導評審員訓練考試合格 (KPMG) BS 25999 主導評審員訓練考試合格 (BSI) ISO 20000 稽核員考試合格 (itsmf) 講授經驗 : 台灣省政府 法務部 主計處資安講座 政府單位與國營事業 : 警政署 臺北市政府警察局 花蓮縣警察局 雲林縣警察局 衛生署 健保局 署立醫院與北區聯盟醫院 國民健康局 疾病管制局 臺北巿國稅局 高雄市國稅局 台灣省中區國稅局 臺北縣稅捐稽徵處 臺中巿稅務局 雲林縣稅務局 台灣電力公司 國防部資通處 軍事情報局 漁業署 林務局 金管會及所屬各局 內政部國土測繪中心 臺中港務局 花蓮港務局 雲林縣政府 台中縣政府 臺北縣教育研究發展中心 體育委員會 臺北市政府 標準檢驗局 台中市網路中心 國防大學等 私人企業與組織 : 聯電 旺宏 欣銓科技 中華電信 電信技術中心 東海大學 靜宜大學 亞東技術學院 永豐紙業公司土城廠 宏通數碼公司 台灣集保公司等 KPMG ISO27001 主導評審員課程 ISMS 建置課程講師 2
課程大綱 1. 2. 3. 3. 個人資料保護法基本要求教育機構個人資料保護工作事項學校資通安全管理規範 Q & A 3
個人資料保護法 4
個人資料的定義 第 2 條本法用詞, 定義如下 : 一 個人資料 : 指自然人之姓名 出生年月日 國民身分證統一編號 護照號碼 特徵 指紋 婚姻 家庭 教育 職業 病歷 醫療 基因 性生活 健康檢查 犯罪前科 聯絡方式 財務情況 社會活動及其他得以直接或間接方式識別該個人之資料 5
個人資料保護法的常用名詞 ( 第 2 條 ) 二 個人資料檔案 : 指依系統建立而得以自動化機器或其他非自動化方式檢索 整理之個人資料之集合 三 蒐集 : 指以任何方式取得個人資料 四 處理 : 指為建立或利用個人資料檔案所為資料之記錄 輸入 儲存 編輯 更正 複製 檢索 刪除 輸出 連結或內部傳送 五 利用 : 指將蒐集之個人資料為處理以外之使用 六 國際傳輸 : 指將個人資料作跨國 ( 境 ) 之處理或利用 七 公務機關 : 指依法行使公權力之中央或地方機關或行政法人 八 非公務機關 : 指前款以外之自然人 法人或其他團體 九 當事人 : 指個人資料之本人 6
具備當事人施行其權益的管道與程序 7
直接蒐集個資要符合的條件 8
間接蒐集之規定 第九條公務機關或非公務機關依第十五條或第十九條規定蒐集非由當事人提供之個人資料, 應於處理或利用前, 向當事人告知個人資料來源及前條第一項第一款至第五款所列事項 蒐集其他單位取得之個資 有下列情形之一者, 得免為前項之告知 : 一 有前條第二項所列各款情形之一 二 當事人自行公開或其他已合法公開之個人資料 三 不能向當事人或其法定代理人為告知 四 基於公共利益為統計或學術研究之目的而有必要, 且該資料須經提供者處理後或蒐集者依其揭露方式, 無從識別特定當事人者為限 五 大眾傳播業者基於新聞報導之公益目的而蒐集個人資料 第一項之告知, 得於首次對當事人為利用時併同為之 9
目的外利用之規定 外部傳遞屬利用之一種 10
保護個人資料安全 第 18 條公務機關保有個人資料檔案者, 應指定專人辦理安全維護事項, 防止個人資料被竊取 竄改 毀損 滅失或洩漏 第 27 條非公務機關保有個人資料檔案者, 應採行適當之安全措施, 防止個人資料被竊取 竄改 毀損 滅失或洩漏 中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法 前項計畫及處理方法之標準等相關事項之辦法, 由中央目的事業主管機關定之 11
資訊公開項目 第 17 條公務機關應將下列事項公開於電腦網站, 或以其他適當方式供公眾查閱 ; 其有變更者, 亦同 : 一 個人資料檔案名稱 二 保有機關名稱及聯絡方式 三 個人資料檔案保有之依據及特定目的 四 個人資料之類別 12
內部人員不當發佈
內部人員不當發佈 續
如何搜尋網站上的個人資料
設定 Office 檔案權限 Office 2010 點選 檔案, 可設定文件權限
教育機構個人資料保護工作事項 目的 本指引係依據 個人資料保護法 個人資料保護法施行細則 及 教育體系資通安全管理規範 等相關規定為基礎引申訂定之 除遵循上述法令及規範外, 教育機構教 職 員 生 約聘人員及相關委外合作廠商等, 應參考本工作事項之管理措施, 或配合各校所修改或引用適當之規範, 保護機關學校相關程序所產生或經手的各種形式 ( 含書面或電子 ) 之個人資料 名詞解釋 個人資料 : 教育機構中常見之個人資料如教職員人事資料 學生基本資料 家長聯絡方式 家庭狀況 班級成績資料 健康檢查結果 心理輔導檔案等 20
個人資料基本應用原則 限制蒐集原則 : 經當事人同意或於具有其他法律所允許之事由時, 以合法 公正手段於適當場所蒐集 資料內容原則 : 符合蒐集個人資料特定目的, 並確保資料之正確性 完整性和時效性 目的明確化原則 : 應於蒐集個人資料之當時即向當事人明確闡述蒐集的目的, 或依法令另為告知 ; 爾後亦須於當初蒐集的目的範圍內使用, 不得他用 限制使用原則 : 若非經資料當事人之書面同意或經法令規定許可, 個人資料不得任意揭露 販售或用於蒐集時的特定目的以外之用途 安全保護原則 : 資料必須採取合理適當安全保護措施, 以免資料遭遺失 盜用 毀損 竄改或揭露的風險 公開原則 : 對個人資料之開發 蒐集 利用 以及有關之政策等, 應於法律允許之範圍內, 採取一般的公開政策 21
個人資料基本應用原則 ( 續 ) 個人參與原則 : 當事人權益 : (a). 向資料管理人確認是否保有當事人個人資料及其內容 ; (b). 資料管理人在合理時間內 以合理價格 可接受的態度及可理解的形式, 向當事人聯絡溝通協調其資料之保有與使用 ; (c). 若當事人提出以上 (a).(b). 兩樣請求被資料管理人拒絕時, 應允許當事人有權就此提出質疑, 並有權要求資料管理人提出合理解釋 ; (d) 當事人除有上述 (c) 權利之外, 若質詢不滿意, 應有權要求資料之增刪 校正 或修改 責任義務原則 : 學校機關以及資料管理者應確保學校政策之落實與執行以遵守上述各項原則 22
個人資料保護持續改善管理流程 規劃 1. 機關學校應建立個人資料保護管理政策 2. 機關學校應建立與維護個人資料檔案清冊並依個資法要求於網站上公布檔案大綱 3. 個人資料檔案應指定管理者, 管理者需評估資料處理流程上的風險, 設定資料保護要求 4. 機關學校應確認個人資料之蒐集與利用符合法令規定 包含 : (a) 個人資料之蒐集 處理或利用, 應尊重當事人之權益, 依誠實及信用方法為之, 不得逾越特定目的之必要範圍, 並應與蒐集之目的具有正當合理之關聯 (b) 蒐集個人資料時, 應依法令規定告知當事人蒐集資料之目的 利用範圍等資訊 (c) 除符合法令規定外, 有關醫療 基因 性生活 健康檢查及犯罪前科之個人資料, 不得蒐集 處理或利用 (d) 當資料利用範圍超出蒐集的特定目的時, 應依個資法規定取得當事人之書面同意 23
個人資料保護持續改善管理流程 ( 續 ) 執行 機關學校應依 教育體系資通安全管理規範 或 國中 小學資通安全管理系統實施原則 以及本工作事項之安全原則及參考注意事項實施個人資料相關資訊安全控管措施 檢查 機關學校應定期執行稽核作業, 以確保相關管理措施之有效性 改善行動 1. 機關學校應訂定個人資料資訊安全事件處理程序 2. 針對資訊安全事件及稽核缺失應訂定改善行動或預防措施, 以減低事件再次發生機會 24
個人資料保護及安全原則 機關學校應指定單位副首長為機關召集人, 統籌決策與執行單位內資訊安全與個資隱私業務之資源整合運用 機關學校應指定專人依相關法令辦理安全維護及保管事項, 作為機關內部之個人資料管理代表 機關組織編制較小者, 則統一由該機關 個資保護聯絡窗口 兼辦專責人員業務 機關學校應設置並指定 個資保護聯絡窗口, 作為機關學校間個資業務協調聯繫之對口 機關學校本身個資安全事件通報之對口, 以及重大個資外洩事件之民眾聯繫單一窗口 另單位應將 個資保護聯絡窗口 之聯繫方式 ( 如 : 電話 email) 置於單位網站, 以便利民眾提出申訴與救濟 25
個人資料保護及安全原則 ( 續 ) 個人資料檔案應定期備份, 並防止個人資料被竊取 竄改 毀損 滅失或洩露 個人資料輸入 輸出 存取 更新 更正或註銷等處理行為, 宜釐定使用範圍及調閱或存取權限 個人資料檔案之處理行為應設置使用者代碼及通行碼, 不得與他人共用並定期更新 另視需要考量採取權限區隔 資料加密機制, 或相關核准程序加以控管, 並留存使用者身分 識別帳號與其行為紀錄以供事後稽查 個人資料檔案儲存於個人電腦者, 應於該電腦設置可辨識身份之登入通行碼, 並視業務及資料重要性, 考量其他輔助安全措施 個人資料檔案使用完畢後, 應即退出應用程式, 不得留置於電腦終端機 26
個人資料保護及安全原則 ( 續 ) 含有個人資料之紙本報表的申請 讀取 列印 使用 存檔 轉交及銷毀等處理及利用行為, 宜建立相關之授權 監督及行為記錄機制 內部傳遞或與其他機關交換個人資料時, 應選擇可靠且具備保密機制之傳遞方式, 如於實體文件封袋加上彌封 或對資料檔案壓縮加密, 並對轉交或傳輸行為加以記錄流向備查 對於個人資料之調閱宜經申請並核准, 並加以記錄其調閱身分及行為 調閱紀錄可視機關實際需求存檔, 以利後續人員查詢及追蹤 以電腦處理個人資料時, 需核對個人資料之輸入 輸出 編輯或更正是否與原件相符 個人資料提供利用時, 對資料相符與否如有疑義, 應調閱原檔案查核 27
個人資料保護及安全原則 ( 續 ) 機關學校單位管理之網站或網頁內容, 於確有必要公布個人資料時, 需經所屬單位主管核准, 且依相關法律及規範處理, 始得公布 學校應於法律允許之範圍內提供資料當事人下列權利 : 1. 查詢或請求閱覽 2. 請求製給複製本 3. 請求補充或更正 4. 請求停止蒐集 處理或利用 5. 請求刪除 28
參考注意事項 處理個資之資訊設備使用參考注意事項 設備管理參考注意事項 人員管理參考注意事項 系統開發及委外管理參考注意事項 29
建議學校對於個資法的因應措施 建立與實施個人資料及資安管理措施 實施 OO 學校資通安全管理規範 與 新北市政府教育局各學校資安訪視檢查表 盤點學校保有之個人資料 電子資料與紙本資料 評估可能會面臨的風險 採取適當保護措施 30
學校資通安全管理規範 根據 國中 小學資通安全管理系統實施原則 修訂 主要章節 目標 適用範圍 實施規定 網路安全 系統安全 實體安全 人員安全 應對以下各項相關法令有基礎之認知 附件 31
問題與討論