個資保護 on 資安見聞錄

[分享] 新版ISO 27701:2025之改變和轉版規劃

Tue, 10 Feb 2026 07:01:00 +0000

新版ISO 27701:2025標準已於2025-10-14發布，正式成為可獨立實施和驗證的隱私資訊管理系統標準，新版標準採用了調和結構 (Harmonized Structure)，包括建立管理體系的本文4~10章，內容架構採用相同標題和文字，方便組織和其他標準進行整合。

在新版標準的附錄A，則針對「PII控制者 (A.1)」和「PII處理者 (A.2)」兩個角色，說明它的控制目標和控制措施。另外，也新增了兩個角色在資安方面需考量的控制措施 (A.3)，並且在附錄B提供了控制措施實作的參考指引，以下列舉新版標準主要的調整和變動。

管理體系的調整

- 原本文5.2~5.8調整為4~10，建立完整的高階管理架構，讓組織更容易和其他標準對齊。

- 原本文6~8調整為新版的附錄B實作指引。

- 原舊版中的附錄A和B，在新版中調整為A.1和A.2，並新增A.3 資安控制措施 (A.3.3~A.3.31)。

控制措施的調整

- 原附錄A.7.2~A.7.5針對「PII控制者」的控制措施，新版調整為附錄A.1.2~A.1.5，包括四個控制領域：蒐集及處理條件、對PII當事人之義務、於設計階段保護隱私及預設保護隱私，以及PII 共享、傳輸及揭露，一共有31個控制措施。

- 原附錄B.8.2~B.8.5針對「PII處理者」的控制措施，新版調整為附錄A.2.2~A.2.5，包括四個控制領域：蒐集及處理條件、對PII當事人之義務、於設計階段保護隱私，以及預設保護隱私及PII 共享、傳輸及揭露，一共有18個控制措施。

- 取消原條款6 ISO 27002 資安控制措施指引，新增附錄A.3「PII控制者和PII處理者的安全事項」，挑選了包括A.3.3~A.3.31共29個資訊安全控制措施，同時也提供了附錄B.3 「PII控制者和PII處理者的實作指引」作為參考。

轉版規劃與準備

目前各家驗證公司還沒有正式發布轉版的細節 (個人預估最晚在2026 Q3可申請進行轉版)，已知的資訊是所有 ISO 27701:2019 舊版證書將於 2028 年 10 月 31 日到期而失效。對於已持有舊版證書，準備要進行轉版的組織而言，可以先透過以下步驟進行規劃與準備：

1. 進行差異分析：可對照舊版和新版的要求事項，評估目前的差異，包括本文新增的條款6.3變更之規劃、條款6.1.3要求建立資訊安全計畫 (information security programme)，以及附錄A.3的29個資安控制措施。

2. 制訂轉版計畫：包括資源的準備，轉版工作的職責分配，本文4~10章管理體系各項流程實施完成時間的安排。

3. 實施新版要求：修訂管理制度文件，實作隱私控制措施，包括隱私風險評鑑和隱私風險處理、更新適用性聲明 (對應新版條款) 及隱私目標規劃與量測等，並且完成內部稽核和管理審查。

4. 申請轉版驗證：跟驗證公司確認轉版稽核時間，安排受稽人員和場地設施，以便順利取得新版證書。

[新知] 新版BS 10012:2017標準已正式發佈

Thu, 13 Apr 2017 16:07:00 +0000

新版BS 10012:2017標準已正式在2017年3月31日正式發佈，新版標準主要是因應歐盟在2016年4月14日所通過的資料保護法規GDPR (General Data Protection Regulation )，它預計將在2018年5月25日正式取代在1995年所通過的歐盟個人資料保護指令European Directive (95/46/EC)之要求。

新版BS 10012:2017的主要改變包括了：

重新定義個人和敏感資料
使用個人資料進行分析的限制
針對資料隱私官(data privacy officers)的管理要求
擬匿名化資料(Pseudonymous data)的涵蓋
廢止通知和註冊之要求
對處理同意提出更嚴格的要求
當事人存取權利的改變
強化刪除的權利和新的盈利權
安全事故的通知要求
隱私設計和隱私衝擊評估要求
將法律延伸涵蓋資料處理者
排除依據安全港協議將資料傳輸至美國

另外，為了讓組織能更加容易整合已實施的多個管理制度和標準，BS 10012:2017也採用了ISO的High Level Structure，使得它的內容章節能夠和其他的國際標準，像是ISO 9000/14000/22301及 ISO/IEC 27001等趨於一致。

其主要之章節如下:

Scope
Normative references
Terms and definitions
Context of the organization
Leadership
Planning
Support
Operation
Performance evaluation
Improvement

[專欄] 個資保護與隱私維護系列(五) - 保護個資的安全控制措施

Mon, 15 Jul 2013 11:56:00 +0000

上一次我們談到了許多和個人隱私有關的事項，雖然同屬於個人資料，但是在不同行業之間，隨著所適用的法規和客戶的期許不同，對個人資料的保護要求也有所差異，本文則將從評估個人資料的價值談起，探討適用於個資的安全控制措施。

依據個人的觀察，雖然個資法的正式實施，已經讓企業明白保護個資是勢在必行的工作，但是究竟該由誰來負責或主導，仍然存在著許多不同的意見。

有些人認為，公司內部和個人有關的資料，大多存放在人事和財務部門，因此應該要由這些部門來率先實施推動；人事和財務部門則認為，個人資料都存放在公司的檔案伺服器和資料庫中，負責維護管理的是資訊部門，而且個資保護又和資訊安全有關，所以理應由資訊部門來主導；資訊部門則摸著頭殼說，可是這些個人資料都不是由我們來蒐集和利用，充其量只是透過資訊系統來處理儲存而已，應該是由蒐集個資的業務和利用個資的行銷部門來運作才對，怎麼會是我？

探究大家不願意主導或負責的原因，主要還是來自於面對這項新的議題，心裡卻不太清楚究竟該從何做起，如果真的被老闆賦予任務而接手了，與其將燙手山芋攬在自己身上，倒不如一開始就放手把它交給別人來應對就好。

事實上，許多企業在資安方面都已經有所要求，有些甚至都已取得了ISO 27001的資安管理標準認證，如果藉由資訊安全的角度來出發，一樣採取企業風險管理的方式來因應，在個資保護與隱私維護方面，它就會是很好的第一步了。

參考個資保護相關標準

對於個人資料的安全保護，如果還是不了解要如何實施，最簡單的方式就是參考其他也有個資法律國家的相關經驗，或是參考受到國際認可的實務準則和標準。舉例來說，在先前的文章曾經提過的OECD八項隱私保護原則、APEC的九項隱私保護綱領，以及美國的安全港架構協定，就是可用的參考依據。

至於在國際認可的個資保護標準方面，由英國標準協會所提出的BS 10012個人資訊管理標準，也是目前在個資管理方面一項很好的參考來源，它採用了常見的PDCA (Plan, Do, Check, Act)管理流程，可將企業對於個資保護的期許和法律要求作為基礎，進而建立一項個資保護的管理計畫(P)，然後根據這項計畫在企業中實施運作(D)，接著藉由運作過程中所產出的相關文件記錄，透過管理審查和稽核方式進行監督(C)，再依照稽核的結果要求進行改善行動(A)，以確保個資管理制度實施的有效性。

除了英國的BS 10012標準之外，目前由經濟部委託資策會所研擬，針對電子商務業者的「台灣個人資料保護與管理制度(TPIPAS)」，也可作為企業在實施個人資料保護措施的參考。

TPIPAS制度的運作分為三個階段，它先從制度的規劃開始來確立個資保護的要求，然後透過教育訓練的方式來培育所需的建置和稽核人員；接下來則是透過受過訓練的內部人員來自行建置，或是藉由外部輔導顧問的協助，將個資保護與管理制度導入企業之中；最後再由合格的稽核人員進行實地審查，確認制度實施的有效性之後，再向主管單位申請發放合格的隱私標章，以此作為企業落實個資保護的一項證明。

進行個資盤點是第一步

如果企業有心要保護個人資料，就必須要了解目前到底持有多少的個人資料，由哪些部門來進行蒐集、採取什麼方式來處理、存放在什麼地點，以及如何地利用這些個人資料。一般而言，需要先釐清資料的蒐集方式(自動化或人工)，以作為進行個資盤點的基礎，然後再藉由實際的業務流程來追蹤資料的產生過程，接著再清查並掌握部門所持有的個人資料清單，資料清單上面請務必清楚記錄以下幾個重點。

資料的內容：記錄資料的名稱，並且描述是屬於何種業務流程而產生。
資料存在形式：通常資料的形式可簡單區分為紙本和電子檔案兩種。
資料儲存位置：若是紙本文件，記錄其儲存的地點位於哪一樓層與檔案櫃編號；若是電子檔案，則註明其儲存的應用系統、伺服器或資料庫，也可以視情況加入存放的儲存媒體，例如光碟、磁帶、磁卡等。
蒐集目的：說明蒐集的目的為何，這部分可參照由法務部所公布的個資蒐集目的和類別。
蒐集單位：記錄個資是由哪個部門或人員所蒐集的。
處理單位：記錄個資是由哪個部門或人員進行編輯和建檔。
利用單位：記錄個資是由哪個部門來使用，包括可能利用的其他第三方單位。
資料保護措施：說明針對此項個資的保護作法，例如加密、上鎖、權限控管等。

著手評估個資的影響價值

依據個人資料保護法的定義，只要能夠以直接或間接方式識別到特定個人的資料，就屬於應該要妥善加以保護的個人資料。換句話說，個人資料除了常見的姓名、電話、地址、身分證字號之外，可能涵蓋的內容會有百百種，因此到底有哪些資料應該要優先進行控管，就是一個必須要釐清的問題。

從風險管理的角度來看，對企業最有價值的資料，就是萬一不小心遺失、損毀或外洩時，會對企業造成最多損失且影響最大的資料，這也就是首先要保護的對象，但是損失多寡和影響程度到底要如何來判定呢？

判斷個人資料的價值，我們可以從資料本身所具有的機密性、完整性及可用性著手，以機密性而言，取決於所賦予的機密等級，不管是電子檔案或紙本文件，我們都可以將其簡單地分為高度機密、機密、內部使用和公開等級別，在實務方面，只要是包含有個人資料在內的文件或檔案，通常會是屬於機密級別，如果其中包括了敏感個資如健康檢查或醫療記錄，則會指定更高的等級為高度機密。

資料分級的目的，主要是為了確保讓所有人員在處理這些檔案和文件時，明白需要採取的相對安全措施是什麼，例如傳遞屬於機密等級的電子檔案時必須先進行加密，紙本的機密文件則必須要將內容彌封起來；針對高度機密的資料則有更嚴格的身分驗證機制，確保只有少數經過授權的人員才可以存取等，這些都是常見的安全控制措施。

除了機密性之外，我們也要從資料的完整性和可用性來加以評估，判定如果資料內容受到不當竄改或是不正確時，以及資料在特定的時間內無法順利地存取時，對於使用者、部門和企業的衝擊程度有多大，或是估算可能造成的損失金額有多少，一旦發現這些衝擊程度大和損失金額多的資料，肯定就是優先需要實施保護的對象。

制訂個資交換安全政策

在企業中完成個人資料的盤點清查，評估個資可能的衝擊與價值，選擇適當可行的控制措施，並定期的實施內部審查稽核，再針對需要改善的項目採取行動，這些作法都是企業整體風險管理中的一部分，而且是需要持續來重覆進行的。

針對企業可能與外部交換個人資料的高風險行為，建議也要制訂一項資料交換的安全政策，作為企業內部人員可遵循的參考依據，個資交換安全政策的內容重點如下：

交換目的：要求內部人員與外部進行資料交換時，必須明確說明交換的目的，也要事先獲得主管的授權，並將授權的記錄歸檔留存。

交換內容：要求明確說明資料交換的內容是什麼，以及所屬的機密等級為何，如果內容涉及敏感性的個資，需要確認是否符合法律的規定，並且已獲得當事人的同意。

交換方式：要求說明所採取交換資料的方式，例如使用電子郵件、網路FTP檔案傳輸，或是存放在USB可移動式儲存媒體、燒錄光碟，以及透過郵寄、專人送達等。

安全責任：說明個資交換應遵守的法律規定和內部的作業規範，以及內部人員應有的安全責任和外部人員必要的保密要求等。

安全措施：要求依據所交換資料被指定的機密等級，實施相對應的安全控制措施，例如檔案加密和電子簽章、使用可上鎖的容器、專人傳遞和確認當事人簽收等。

交換記錄：針對以上的項目，在資料交換的過程中，要求保存相關的文件化記錄，例如個資交換申請表、檔案傳輸記錄、簽署的保密協定、簽收單據等。

總結

個資保護與隱私維護所牽涉的層面相當廣泛，包括需要理解法律和主管機關的要求、建立管理面的保護制度，以及導入技術面的控制措施等，這些實在不是三言兩語就能交待清楚，並且可以順利完成的。但無論如何，身為資訊相關人員的您，在這場個資保護大戰之中，肯定是不可或缺的一員，與其被動的等待他人要求和執行，倒不如積極地從各個層面去了解可行的作法，持續累積和補充所需的實務知識，然後把它應用在自己的工作之中，藉此也將創造出更寬廣的職場生涯之路。(本文刊載於2013年5月號網管人雜誌)

[證照] CIPP/IT 資訊科技隱私專家證照入手

Mon, 08 Jul 2013 13:53:00 +0000

之前曾經介紹在個人資料保護與隱私維護方面，唯一受到全球業界廣泛認可的資訊科技隱私專家證照-CIPP/IT，在我通過考試的一個多月之後，由官方所頒發的證書總算寄到了。

目前看起來，這應該是台灣的第一張，但我期待未來能有更多朋友能夠取得這張證照，所以希望透過訓練課程來協助大家準備，並且順利地通過考試。

如果您想要了解這張證照的相關資訊，可以先參考之前已發佈的「資訊科技隱私專家證照–CIPP/IT」這篇文章。

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

以下則是額外幾個有關這張證照的Q&A分享。

Q. 若要報名CIPP考試，是否需要先加入IAPP會員？但會員的身分有好多種，需要以哪一種加入才行呢？

A: 一般而言，只要具備了任何一種身分，就能參加考試。如果您不是學生、政府、非營利組織和其認可的教育單位員工，就只能選擇加入專業會員(US$250)，會員除了可直接報名參加考試之外，還有個人可享的專屬福利，也就是網站上豐富的知識訊息和全球人脈的互動。

Q. CIPP基礎認證要考90題，CIPP/IT認證要考60題，都是單選題嗎？各要答對幾題才能過關呢？又，基礎認證考試要先通過，才能再報名CIPP/IT認證考試嗎？

A: 所有題目皆為單選題，但IAPP並沒有公布總分和計分方式，考試結果也只有告知每個知識領域的答對率，沒有顯示得分，若通過則最後一行會顯示Pass。在基礎認證方面，個人評估必須要達到各知識領域平均的70%才行，CIPP/IT則是答對70%的題目就過關了。兩項考試沒有先後順序，但必須兩個考試都通過了，才能取得證照。考生可以同時報名兩項考試，也可以安排在同一天考試，但自己要預約並且預留足夠的考試時間(90分鐘+70分鐘)。

Q. CIPP指定的考場（Kryterion）滿少見的，目前台灣有幾個地方可以考試呢？

A: 目前資策會是唯一獲得Kryterion官方授權的考場，考試地點是在台北市復興南路一段390號2樓(捷運大安站旁)。考生可透過IAPP網站以會員登入之後，自行選擇想要考試的時間，要注意的是，並非7x24的所有時段都能考試，在預約了之後若要更動，必須提早在考試三天前才能進行。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

LiChiu（2013-07-12）

恭禧Jack老師！我就說老師是先驅咩！

傑克小花（2013-07-14）

呵~謝謝~希望有興趣的大家也一起來加入喔~

匿名（2016-01-29）

老師您好，最近剛得知個資證照，但資訊真是少的可以。想請問老師考取證照該從何準備？目前市面上有書還是有任何資料可以參考準備的嗎？謝謝

傑克小花（2016-02-03）

Hello 您好, 目前針對個資的相關證照其實不多，國際上以IAPP協會所推出的CIPT(前身為CIPP/IT)和CIPM最為受到推崇，如果有興趣想要準備考試的話，在官方網站上有販售考試的參考書，可以作為學習的教材。相關資訊可參考以下網址喔~ https://iapp.org/certify/prepare

[專欄] 個資保護與隱私維護系列(四) - 特定行業的個資隱私保護要求

Thu, 06 Jun 2013 14:54:00 +0000

上一次，我們談到了在個資保護與隱私維護方面，因為世界各國有著不同的法律，所以對隱私保護的要求也有所不同，不過基本上，大致仍遵循著一些共通的規範原則，本文將探討不同行業之間對個人資料應有的保護要求。

依據個人資料保護法第二條的定義，只要是得以直接或間接方式，能夠識別該個人之資料，就是屬於受到法律保護的個人資料。換句話說，除了最常見的姓名、電話、地址、身分證字號、出生日期之外，還有許許多多可連結識別到特定個人的資料，這些都是各行各業不可忽視的個人資料內容。

其中比較特別的是在個資法第六條中指出，有關醫療、基因、性生活、健康檢查及犯罪前科等個人資料，除非符合了特定的要件，否則預設是不能夠任意的蒐集、處理及利用的，這也就表示，如果您的組織是屬於經常性的會接觸到這些資料的產業，像是醫院、保險公司、健檢中心等，就更必須明白有些法律針對特定的敏感資料，它的要求與一般的個人資料是不太一樣的。

醫療業的個資保護事項

對醫療業而言，保護病患的隱私，基本上已是醫療從業人員的義務和責任，尤其是關於醫生與患者之間的保密要求，更經常出現在世界各國的醫療法規之中。醫療資訊的重要性，不同於一般個人資料的原因，就在於它明顯的反應了一個人的內在，包括身體的情況和心理的狀態，若是受到不當的揭露，對於個人的衝擊，明顯地大於許多可識別至個人的資料。

換句話說，醫療業者必須要確保醫療資訊的安全和妥善的隱私保護，才能夠獲得患者的信任，使其願意提供個人的身體和心理的真實情況，才可有助於醫生判斷病情，讓病症獲得正確的診治。所以，醫療業者對於個人資料的保護責任不在話下，面對與醫療有關的個人資料蒐集、處理和利用，自是應該遵守個人資料保護法和相關醫療法規的要求，即使有些醫療資訊是為了提供給學術研究或疾病統計之用，也要注意是否已將資料作了適當的匿名化處理，使其無法識別至特定的個人，以免誤觸了法網。

此外，醫療資訊對許多職場工作者來說也是重要的，如果雇主能夠任意地取得員工的醫療記錄，對於評估為可能屬於高風險的員工，有些雇主為了避免付出過高醫療保險費用，可能就會實施惡意性的解雇，或是針對性向不同的員工，主觀認為可能會對其他員工造成影響，而將之惡意性的汰換，導致個人的工作權益受到損害。

金融業的個資保護事項

保護個人金融與信用方面的資訊，是金融業必須重視的要項之一，保護客戶的信用與借貸資料，目的是希望客戶能夠安心地揭露個人的資產與債務情況，有助於銀行業者來評估借貸者的還款能力。另外，確保個人信用資料的安全，也能夠避免個人的身分不會受到非法的冒用，或是個人金融交易受到不當的損害。

許多法規對於金融資訊的保護都有其要求，例如美國在1999年實施的GLBA法案，建立了針對金融機構一系列的個人資料保護要求；日本的個人情報保護法，針對屬於金融方面的個人資料，也有相關的使用規範。而為了進一步確保金融資訊的安全，各國針對銀行幾乎都有對應的法律要求，除了確保從業人員需盡到業務保密的責任之外，若是沒有正當的理由或未經個人同意之下，即使是政府單位想要調閱金融資訊，都可能受到限制，目的就是要保護個人的隱私。

不過近年來，為了反制恐怖行動和反制國際洗錢的犯罪行為，金融業者對於客戶金融資料的保護也面臨了種種的壓力與挑戰，因此在特定類型的交易資料方面，相關的安全機制和通報的要求，就需要多方的審慎考量。另外，透過網路的信用卡支付方面，也有別於傳統銀行業的交易模式，針對線上的身分驗證、資料傳輸及用戶端的個人資料保護，可以參考PCI-DSS標準的內容，實施對應的安全措施。

電子商務的個資保護要求

對電子商務業者而言，主要是透過網站來蒐集和個人有關的各項資料，一般可分為兩種方式來進行，第一種是主動式的蒐集，例如在進行線上交易之前，網站通常會要求消費者必須加入會員才能進行購物，因此就會在網頁上提供會員註冊表單，讓消費者可以採用選單選擇或直接依照項目說明填入所需的資料，最後按下送出即可完成。

第二種蒐集消費者個人資料的方法，是採取被動的蒐集方式進行，也就是電子商務業者會在消費者無法發覺的情況之下，透過網站互動技術像是Cookie，在背景之中蒐集消費者的瀏覽資訊，包括了瀏覽過的網頁、所使用的瀏覽器版本、作業系統，甚至所在的位置等，藉此來追蹤統計消費者的購物和網站使用習慣，作為後續的行銷之用或廣告點選次數計算等。

無論是採取了主動或被動的資料蒐集方式，只要蒐集的資料可以識別到特定的個人，這種行為就屬於個人資料保護法中所定義的蒐集個人資料，因此必須依照法律的要求，除了要說明蒐集的目的，同時也要盡到所謂告知的義務。目前最簡單的實務作法是在網站上提供適當的聲明或是附上隱私政策的宣告，讓消費者可以知道其個人資料是如何被蒐集、處理和利用的。

除此之外，電子商務業者針對網站所蒐集到的個人資料，也必須採取適當的安全措施來加以保護，至少包括了網站本身的主機安全、應用程式與資料庫的安全，以及資料在傳輸時的安全。如果線上交易的對象跨越國界，也不要忘了注意跨國購物和資料跨國傳輸的相關法規要求。

電信業的個資保護要求

憲法第十二條中規定：「人民有秘密通訊之自由。」目就是在確保人民就通訊之有無、對象、時間、方式及內容等事項，有不受國家及他人任意侵擾之權利。依據大法官的解釋，即使國家採取各項限制手段時，除應有法律依據外，限制之要件應具體、明確，不得逾越必要之範圍，所採行之程序也應合理、正當，才能符憲法保護人民秘密通訊自由之意旨。

目前電信業者對於和個人資料保護與隱私維護的重點，大致涵蓋了三個方向，首先是通訊的內容保護，包括了語音通話和傳真數據的內容，還有簡訊或電子郵件的訊息安全；其次是可識別至特定個人的資訊，包括了發話者和受話者的身分，所使用綁定的電話號碼等；最後則是各項的通聯記錄和歷史軌跡資料，從中可以得知過去通訊的時間、使用的設備，甚至所在的地點等。

對於政府和執行單位而言，這些與個人有關的資料是非常具有價值的，尤其是在防制非法活動和犯罪行為調查方面，提供了一個有效而明確的偵辦方向，但從另一個角度來看，這些資料都是屬於個人私密的訊息，而且是憲法所賦予的通訊自由。因此，有關通聯記錄的調閱、通話內容的監聽等行為，應該受到明確的規範、限制授權和合理的實施程序，尤其是非政府單位所提出的通訊監控要求，或是存取相關的通訊記錄，更應該受到嚴格的禁止。

近年來，人們的通訊隱私更是受到一大挑戰，因為只要連接上了網際網路，地理位置等相關資訊就可能受到蒐集和利用，尤其是行動裝置的普及，更可以精確的鎖定精準的位置，所以對於電信業者來說，如何加強內部人員的管理，避免相關的個人資料受到不當的存取，勢必是未來要妥善因應的重要關鍵。

人力派遣業的個資保護要求

目前有許多的公司行號，採用了人力派遣業者所提供的人力資源，所以這些業者手上握有最多的商業資訊，就是各種不同工作者的履歷資料。這些履歷資料可能是工作者自行提供，或是來自於和人力銀行的合作，所包括的個資，除了姓名、連絡電話、學經歷、個人照片之外，可能還包括了親屬聯絡人和身高體重等健康資料。

對人力業者而言，為了符合個人資料保護法的規定，一開始在蒐集個人資料時，就要注意內容是否與該當事人所應徵的職務，有著明顯和正當的關聯，除了工作所需的必要資料之外，其他可能無關的政黨支持、宗教理念、性別傾向及身體特徵等，就不需要過度的蒐集，以免因保護或利用不當而導致不必要的損害發生。

在處理個人資料時，除了要求內容的正確性和確保資料存放的安全外，針對內容的新增、修改、刪除，以及查詢、記錄和更正，都需要有相關的回應處理方式，以符合法律所賦予當事人可對其個人資料主張的權利。

在利用個人資料時，則必須確實遵守與當事人告知的使用目的，如果與當初蒐集的目的不符時，就必須要重新獲得當事人的書面同意。如果相關的履歷資料需要提供給可能的雇主參考時，也別忘了提醒對應的企業人力資源部門，對於所交付的個人資料，也必須盡到所需的保護責任。(本文刊載於2013年4月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(三) - 各國隱私法規與個資保護要求

Thu, 16 May 2013 07:58:00 +0000

雖然隱私的維護要求並沒有國界之分，但各國對於隱私維護所制訂的法規卻有所不同，因此在個資保護方面，也必須依照不同國家的法律規定，評估可能面臨的最大風險，再來實施相對應的控制措施。

針對隱私保護，世界各國的法律要求皆有所不同，主要原因是不同的國家，由於其社會經濟發展的腳步並不一致，因此在保護的重點和程度上，皆有其各自的考量，也衍生出了不同的觀點。

以歐盟為例，它採用了廣泛性的一般適用原則，無論是政府或民間企業，都必須遵守其所頒布的資料保護法規，並且由專責的資料保護機構來予以監督，在這個原則之下，歐盟各國仍然保有其自主彈性的空間，可依據本身的國情與民眾的期待，實施所需的個人資料保護作法，以達成歐盟對於隱私維護的精神。

作為世界另一大經濟體的美國，對於個人資料保護的做法，則是以不同的產業要求作為區分，以金融行業為例，主要保護的對象是客戶的金融訊息和記錄，若是醫療產業，則保護的主體是和個人有關的醫療及健康資訊，不同的產業都有其所屬行業要求的法規，並沒有非常明確的國家法律來要求所有組織都要遵守才行。

至於加拿大和澳洲，其個人資料保護是由各個產業發展出必須要遵守的一套標準，然後再交由隱私的專責機構(資訊隱私委員會)來作統一監督，確保隱私維護與個資保護的相關規定，能夠在所有的行業中都予以落實。

OECD的隱私保護原則

在1980年，由美國、日本和歐洲國家所組成的經濟合作與發展組織(OECD)，公布了一項名為保護隱私與跨境傳輸個人資料的隱私指導原則，成為了世界各國最廣泛認可的實務參考，同時也受到美國聯邦貿易委員會(FTC)的支持，它提出了以下八項隱私保護原則，非常適合組織作為制定隱私保護政策時的參考。

限制蒐集原則 - 強調個人資料的蒐集應受到限制，並且要在公平合法的情況下被取得，同時以適當的方式來取得當事人的同意。
資料品質原則 - 個人資料的內容應與蒐集的目的有關，或是符合其使用目的而產生的必要性，個人資料的內容必須確保正確與完整性，並且及時地更新。
目的明確原則 - 個人資料的蒐集目的，必須在開始蒐集時即明確指出，隨後在利用這些個人資料時，也必須限制在目的之內，日後若需要變更時，更要明確指出其變更後的利用目的為何。
利用限制原則 - 個人資料不應在特定目的之外被揭露或利用，除非已事先獲得當事人的同意或有相關法律作為依據。
安全措施原則 - 針對個人資料可能發生遺失、不當存取、使用、修改、損毀及揭露的風險，應採取相對適當的安全控制措施，以降低可能的風險。
公開原則 - 對於個人資料的發展、實務和政策的制定，應依據公開的原則來進行，針對個人資料持有的種類和使用目的，以及資料控管者的連絡方式，應公開並且易於讓當事人知悉。
個人參與原則 - 個人資料的當事人，應保有以下的權利：(a)有權利向資料控管者或持有之組織，確認是否保有和其有關的個人資料；(b)在合理的時間和費用範圍內，以合理的方式和可了解的形式，向組織查詢和其有關的個人資料；(c)針對所提出的查詢或主張的權利若遭到拒絕時，可以提出異議要求說明；(d)若所提出的異議成立時，可要求組織刪除、變更、修改、補充其個人資料。
責任原則 - 個資的控管者必須負起相關責任，並要求落實以上提到的各項隱私保護原則。

歐盟的個人資料保護指令

在1981年，歐洲的議會針對自動化處理的個人資料，通過了個人保護協定(COE convention)，它所要求的個人資料保護原則和OECD類似，可作為歐洲國家在制定個人資料保護法令的參考。到了1990年代，由於歐洲各國在個人資料保護方面仍缺乏一致性，加上實務面各國都有跨境傳輸個人資料的需求，可是在取得當事人的同意和接收國的保護措施方面，要求的程度都有所不同，因此促成了歐盟起草資料保護指令(EU Data Protection Directive)的契機。

歐盟的個資保護指令在1995年被採納，並且在1998年正式生效，對歐盟的會員國而言，只要是遵守個資保護指令的國家，也就等同於採納了各國所屬的個人資料保護法，可以獲得跨境傳輸資料的允許和信任。事實上，歐盟的個資保護指令的確在歐盟會員國之間產生了個資保護的關鍵性作用，而隨著資訊科技的演進，在2012年個資保護指令已進行了更新與修改，期許未來不只在歐洲地區，對歐盟以外的國家也可提供重要的隱私保護資訊與要求。

APEC的隱私保護綱領

對亞太地區而言，於1989年成立的亞太經濟合作組織，則是扮演了重要的經濟與文化交流的推手，針對隱私維護與個人資料保護的要求，在2003年所成立的隱私保護小組也致力於此項議題的發展，並於2004年11月正式通過了隱私保護綱領(APEC Privacy Framework)，包含了以下九項的隱私保護原則。

損害避免原則 - 針對當事人對於其個人資料的合理期待，針對可能損及當事人權益的風險，應採取適當的風險處理措施以避免損害。
告知原則 - 在蒐集個人資料時，應告知當事人被蒐集的目的、資料類型、蒐集者的聯絡方式與當事人可主張的權利。
限制蒐集原則 - 個人資料的蒐集應與被告知的目的相關，要求採取公正的方式進行，並且限制其所蒐集的範圍。
利用原則 - 個人資料的利用應獲得當事人的同意，並且僅限於當初所蒐集的目的範圍內，不可任意作為其他的用途。
選擇原則 - 當事人應被提供可選擇的權利，能夠針對其個人資料的蒐集、處理和揭露，主張其個人的意願和選擇。
完整原則 - 個人資料務必確保其正確與完整，並且要持續地更新以維護當事人的權益。
安全原則 - 保有個人資料的組織，應針對可能的安全風險，實施對應的安全控制措施，以避免個人資料受到不當的揭露與損毀。
存取和更正原則 - 組織應提供個人資料的當事人，可在合理的時間內，以適當的方式對其個人資料提出查詢和閱覽的請求，並且不得無故拒絕其補充或更正的申請。
責任原則 - 保有個人資料的組織，應負責遵守法規和個資保護的責任，尤其當資料需傳輸至第三方和不同國家時，務必要求以對等的保護方式來維護當事人的隱私和資料安全。

美國的安全港架構協定

目前有許多的組織，在網站的資料收集和隱私權政策中，經常會提到它們會遵守所謂的「安全港架構(Safe Harbor Framework)」，到底這是什麼樣的架構？和隱私保護有什麼關係？必須要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的協定，可以減少或消除當事人在法律的責任，但其要件是當事人的各項行為，必須能夠履行良好的誠信原則，或者符合所定義的法規標準。

目前美國和歐盟都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，為了避免資料在跨國傳輸時，被認定為保護措施不足而受到限制，歐盟在2000年時認可了只要是符合安全港架構的組織，歐盟的成員國就可允許其傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的組織也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

如果想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，每年以書面方式向相關單位證明確實遵循了安全港的隱私原則，以達到美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。關於安全港的隱私原則，共有以下七項要求：

告知 - 組織必須告知當事人關於其個人資料的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及提供可用來限制使用和揭露的選擇。
選擇 - 組織應給予個人選擇同意或退出的機會，選擇是否提供可將個人資訊透露給第三方或用於不符合當初蒐集目的的授權，組織必須尊重當事人依其權利所作法的選擇。
轉送 - 若組織要將個人資訊揭露給第三方，必須符合以上提到的告知和選擇原則，同時若作為轉讓資訊的代理人，必須確保第三方同樣遵守安全港隱私保護原則，像是訂立書面協議，要求第三方至少也要提供相同水準的隱私保護方式。
存取 - 個人擁有合理存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非此要求將產生和個人隱私不相稱的風險，或是會侵犯到其他人的權利，組織才可拒絕提供。
安全 - 組織必須採取合理的預防措施，保護個人資訊不會遺失、被濫用，以及受到未經授權的存取、洩露、竄改和毀壞。
資料完整性 - 個人資料必須使用於和蒐集有關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期合理的使用、正確完整和及時更新。
執法 - 為了確保符合安全港的隱私保護原則，組織必須：(a)建立易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)若未遵守原則時，必須負起矯正所產生問題的義務，同時制裁措施必須夠嚴格，未符合要求就無法列入安全港組織清單中。組織如果未能提出年度的自我認證書，也會被從參與者名單中除名，組織遵守安全港的利益也將無法被保證。(本文刊載於2013年3月號網管人雜誌)

[參考資料]

1. IAPP - Information Privacy (Official reference for CIPP)

2. U.S.-EU Safe Harbor Overview - http://export.gov/safeharbor/

[專欄] 個資保護與隱私維護系列(二) - 個資保護與隱私維護的基本原則

Tue, 23 Apr 2013 14:08:00 +0000

隨著個人資料保護法的實施，個資保護已成為政府與企業不得不進行的重要工作之一，但是在立法的精神之中，除了強調個資保護責任，隱私維護更是不可或缺的重要支柱，如果無法維護個人隱私，也就意謂著個資保護一定不夠周全。

在資安的領域之中，若是談到資料的保護，實施起來並不是一件十分困難的事，只要組織的管理階層願意提供支持，同時參考資安相關的標準來建立管理制度，並且採取適當的技術控制措施，在資安方面，即可達到一定程度的防護要求，也能大幅降低因發生資安事件而對營運造成衝擊的風險。

不過，只要在保護的資料之中牽涉到個人資料，並且含括了隱私維護的要求，單靠技術層面的控管，恐怕就不足以因應法律層面的要求。因此，如果要落實個人隱私維護，就需要補充更多對法令的認識，以及對於個人隱私的認知與尊重，這和單純的資安防護比較起來，有著相當不同的思維與因應作法，也是一項更加多元的挑戰。

近代隱私維護發展的歷史

所謂的隱私，指的是個人能夠自由地選擇在什麼情況之下，向哪些人揭露多少程度的個人資料和行為，主張個人有權利去保護針對個人生活與家庭可能產生的直接侵擾，並且限制與個人有關的資訊被發布。

從歷史發展的角度來看，隱私的概念最早源自古希臘和聖經，在回教可蘭經中也有相關的記載，對支持隱私權的人士來說，在1890年由Samuel Warren和Louis Brandeis在「The right to privacy」這篇論文中所提到的「the right to be let alone」，已成為支持隱私權最重要的引用基礎。

至於現代第一部個人資料保護法，是在1970年由德國公布，主要目的是因應資訊科技的高度進步和發展，可能會對個人隱私所造成的影響；同年，美國也誕生了第一部有關隱私的法律，但主要是針對保護消費者的信用資訊。而隱私保護最知名的論點，則是來自於小說「1984」裡的老大哥隨時都在看著你(big brother is watching you)，讓人們得以了解個資保護與隱私維護的重要性。

個資的類別與區分原則

依據個人資料保護法的定義，所謂的個資是指可以直接或間接識別到特定個人的資料，這部分與歐盟的個資定義相同，換句話說，只有屬於可識別到個人的資料，才會受到個資法的保護。因此，如果有些資料加以去識別化，或是採取匿名或遮蔽的方式，就不適用於個資法的要求，即可歸屬於非個人資料。

在個資法尚未實施之前，大多數企業對於資料保護的要求，主要都是針對非個人資料，包括像是營運資訊、研發產權、產品與服務資訊等，所採取的方式也比較簡單，只需保護資料本身即可，不需要兼顧所謂的個人隱私要求。只不過，在所謂「可識別至特定個人」這條線之間，仍然存在的許多模糊地帶，例如以網路IP位址為例，到底它是否屬於個資，在不同國家的法律和法庭之間，就有著不同的認定方式。

以歐盟(EU)而言，IP位址是被視為可識別至特定個人的個資，美國聯邦貿易委員會(Federal Trade Commission；FTC)也認為，若IP位址與醫療健康資訊有關，就會被認定為個資之一。但是，在愛爾蘭的法庭卻認為，IP位址並不構成所謂個人資料的要件，因此不被視為是需要保護的個資。

從隱私的角度來看，目前與個人資料有關的隱私類別，可以區分為以下四類。

資訊隱私：包括了醫療資訊、金融資訊、網路使用與社交活動記錄等，主要關注於需建立規則來妥善地管理和個人資料有關的蒐集與處理行為。

身體隱私：與身體有關的隱私包括了所進行的身體檢查、藥物測試、基因測試，也包含了和個人有關的血統、墮胎、收養等資訊，它主要專注在與個人身體有關的各項行為。

通訊隱私：要求保護與個人通訊有關的意圖和內容，包括了傳統信件、電子郵件、電話溝通及其他可用來實現通訊行為的軟硬體設備，像是現今流行的即時通訊App等。

領域隱私：它是和個人環境有關，這些區域包括了個人住宅、工作場所和公共區域等，主張可以用來侵擾他人領域的能力，都應受到適當的限制，例如架設可監控錄影的攝影機、要求出入需要檢查身分證件，以及其他類似的做法等。

企業面臨的個資與隱私風險

為了保障個人隱私和說明個資被蒐集的情況，許多組織都會在其用來蒐集個資的管道中，透過個資保護政策(policy)或隱私聲明(notice)來告知使用者，這些隱私政策和聲明的目的，除了可以宣達組織的個資保護責任之外，同時也是為了教育使用者的隱私觀念。

對組織而言，由於隱私所牽涉的範圍很廣，可能包括了個人、法律和商業運作等諸多層面，加上許多的隱私保護要求，也是來自於法律法規、產業協定和商業合約等，除了需要考慮這些外部要求之外，內部的聲音同樣也不能忽視，包括像是保護員工個人資料、提供工作場所的隱私維護、實施資訊系統的監控與記錄等，都是企業在評估個資與隱私風險時，不可遺漏的一環。

為了有效管理個資與隱私所帶來的風險，最簡單的方式是從個資生命週期來著手，以下是在各個階段需要審慎考量的重點。

蒐集階段：個資的蒐集應受到適當的限制，更要取得當事人的同意，以避免過度蒐集。舉例來說，以往一些大賣場在舉辦抽獎活動時，總是要求消費者必須在抽獎券上填寫其個人資料如姓名、電話、身分證字號等，但讓人無法理解的是，難道沒有身分證字號就無法進行抽獎嗎？其中之一的解釋理由是因為獎品有課稅問題，所以就必須要填寫身分證字號，可是事實上，如果已經有了姓名和電話，在中獎之後再通知中獎人填寫即可，若在一開始的時候就強制要求，這就是所謂的過度蒐集了。
處理階段：所謂處理是指將所蒐集的個人資料編輯成為個人檔案的過程，在這個過程之中，必須確保資料的正確性與完整性，並且實行安全措施以防止資料受到未經授權的竄改。處理過後的資料，組織通常會加以儲存，在儲存時必須注意資料所存放的地點是否安全，以及指定所需保存的期限。
利用階段：組織必須確保個人資料的利用需符合當初蒐集時所告知的使用目的，並且限制只能在此範圍內利用。如果需要做不同的用途時，依照個人資料保護法的規定，必須重新取得當事人的書面同意才行。
傳輸階段：個人資料在傳輸時，必須注意所使用的資料載體是否安全，最常見的載體包括了網路和可移動式儲存裝置(如USB硬碟、隨身碟、光碟、磁帶等)。在透過網路傳輸時，請務必採取加密的方式(如SSL或VPN)，至於使用可移動式儲存裝置時，則需要了解原先設定的權限控管方式，若無法延伸至這些設備上時，就要採取補償性的控制措施才行，像是對資料進行加密，或採用可上鎖的箱子來攜帶資料，這些都是實務上可行的辦法。
銷毀階段：一旦個人資料過了需要保存的年限，最好的方式就是把它銷毀，以降低持續保管可能帶來的風險。對硬體設備而言，實體破壞是確保資料完全消失的最好作法，其他可採取的方式還包括低階格式化和消磁等。至於紙本文件的銷毀，則可採取集中焚毀或是水銷方式進行，目前也有業者提供了可全程監控，並且附上證明的資料銷毀服務。

尊重個資當事人應有的權益

對個資的當事人來說，除了應告知其個資將如何被蒐集之外，最重要的前提是必須獲得當事人的同意才行，因此蒐集個資的組織除了提供明顯的宣告之外，並且也要明確陳述其利用目的，以便足以讓當事人明瞭並獲得其同意。

目前，個人資料來源主要有以下三個：

公開記錄：通常是由政府來蒐集並提供公開查詢，例如房產交易與地政資訊等。

公眾可得的資訊：指容易被大眾所取得的個資，包括電信公司提供的用戶電話簿、報章雜誌、媒體報導，以及今日最常見的網路搜尋引擎、社群網站等，可由此輕易獲得眾多和個人有關的資訊。

非公開的資訊：指受到法律保護或依慣例不太容易被取得的資訊，包括了醫療記錄、金融交易資訊、員工受雇資料等。組織在蒐集個資時，還必須要給予當事人選擇提供與否的權利，實務上常見的作法為提供「Opt in(選擇參與)」和「Opt out(選擇退出)」這二種方式。Opt in是指當事人主動地確認其個人資訊可被蒐集或分享給第三方，例如在填寫會員申請表時主動勾選同意分享其資料供其他合作廠商作為寄發廣告之用，或是願意收到來自第三方所寄送的產品資訊。另一種Opt out方式，則是提供給當事人退出的選項，例如在加入網路新聞論壇時，若當事人未勾選拒絕接受所傳送的電子郵件訊息時，相關的訊息將會持續發送給當事人，直到其主動表達拒絕為止。

如今，依據個人資料保護法所賦予當事人的權利，當事人可以向持有其個資的組織，要求提供查詢、閱覽其個資檔案或是提供複製本，並且也可以要求組織補充、更正或刪除其個人資料，甚至可要求停止蒐集、處理和利用其個資。

因此，組織務必要指派相關人員，並且制訂一項個資查詢回覆的作業流程，以因應當事人依法所提出的請求。對許多組織而言，從現在開始理解並尊重個資當事人的隱私權利，或許就是邁向善盡個資保護責任的第一步了。(本文刊載於2013年2月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[觀點] 個人資料的資安控制措施

Tue, 27 Nov 2012 15:15:00 +0000

在個人資料保護法尚未三讀通過之前，個資保護並不是一個受人矚目的熱門議題，個人資料頂多只是附屬在資訊安全工作中，需要被記錄的一項資訊資產。

雖然資訊安全是一項重要的工作，但是在過去，對於許多企業組織而言，卻不見得是一項必須要達成的營運目標，只有那些具有遠見的管理人員，為了降低可能因為駭客入侵或不當存取而產生資料外洩的營運風險，或是受到上級主管機關要求的政府單位，才會認為資訊安全是一項需要落實的工作項目，進而要求各個部門需要強化資訊安全。

如今，隨著個人資料保護法的實施，個資保護已成為一項勢在必行的工作，許多過去未曾在意資訊安全的企業組織，突然之間被要求需針對個人資料進行保護，並提出因應的相關做法，這時候往往都會感到不知所措。

即使是過去已經導入資訊安全管理標準ISO 27001的單位或是已具有資安風險意識的組織，在面對個資保護議題時也會出現一個很大的疑問，那就是現在已進行的資安工作到底等不等於個資保護工作？這是一個值得探討的問題。

保護個資先從重視資安開始

若是從個人資料與隱私維護的角度出發，我認為可以把資訊安全視為是一項必要的基礎工作，這也就是說，如果一家企業，它的資訊安全做不好的話，想要達到個人資料保護，似乎是不太可能的事。

因此，我們除了依照個人資料保護法條款的要求，必須盡到個人資料蒐集、處理和利用等相關責任義務之外，或許應該先回歸到資訊安全的基礎，針對個人資料來思考一些技術面或管理面的辦法，實施適當可行的資安控制措施，以確保個人資料的機密性、完整性及可用性。

所以，面對個人資料保護法的種種要求，基本上我們可以依照「大處著眼，小處著手」的策略來因應，首先請把握住大方向的資訊安全原則，再選擇可以針對個人資料實施保護的做法，這樣才不會流於只是東拼西湊，最終自亂陣腳而失去方向。話雖如此，那麼到底應該要從何處開始來著眼與著手呢？

對組織來說，建議可以從個人資料生命週期來予以著眼，也就是思考如何在個人資料的蒐集、處理、利用、傳輸及銷毀的過程中，都能實施相對應的管理辦法。目前，這部份可以參考國際經濟合作發展組織(OECD)和亞太經濟合作組織(APEC)的隱私保護原則來進行。

舉例來說，在個人資料保護法中，「蒐集」是指以任何方式來取得個人資料，而OECD和APEC針對個人隱私保護的指導方針中，就提到了個人資料的限制蒐集和告知原則，要求對於個人資料的蒐集應該有所限制，並且應該採用公正、合法的方式，在當事人同意之後才可以進行蒐集，同時也要透過隱私保護政策的聲明，讓當事人能夠清楚其個人資料被蒐集的類別和使用目的。依據這些可供參考的國際原則，我們就可以一一以文件化的方式來制訂相關的個資管理辦法。

至於小處著手的部分，我們可以將確保資料的機密性、完整性、可用性，作為個人資料的基本保護要求，使位於各處的個人資料都能受到妥善防護，以避免可能發生違法或損害組織的資安事件。

維護個人資料的機密性

想要達到維護個人資料機密性的目標，建議採取的資安控制措施，至少要包括資料分級和加密機制。針對資料的分級，相信許多人都知道，不管是紙本文件或電子檔案都可以依照其機密性來分為公開、內部使用、機密等各項級別，但是千萬別忽略了資料分級的目的，不僅僅是為了分級而進行，而是要讓所有人員能夠清楚在處理這些資料時，應該要採取的相對安全作法是什麼，所以除了要定義企業組織中的資料屬於何種級別之外，也要清楚說明其對應要求的安全措施。

例如以個人資料來說，為了尊重個人隱私並符合法律的要求，我們通常會將含有個人資料的文件或檔案，指定它屬於機密等級，因此在實務作法上，為了確保資料的機密性，針對含有個人資料的資訊系統，建議要實施身分驗證和權限控管，以確保只有經過授權的人才可存取。

另外，針對儲存個人資料的主機和資料庫，也要安裝防毒軟體或入侵偵測系統，並且定期修補、檢測是否存有安全漏洞。如果個人資料若需要透過電子郵件傳送給其他人，那麼就應該採取郵件的加密技術，或是針對附加檔案使用常見的壓縮加密方法，以避免電子郵件中途受到攔截，或是因為不小心寄錯收件人，而導致嚴重的個資外洩。

在此要特別提醒大家注意，資料加密只是為了確保內容不會受到不當揭露的基本作法，加密技術的本身並無法確認傳送資料的來源就是正確的傳送者，所以更好的作法是再搭配可識別身分的數位簽章，以確認資料來源的正確性與合法性。

維護個人資料的完整性

所謂資料的完整性，是指資料內容不會受到不當的竄改，並且能夠確保資料在處理和儲存時的正確與完整。因此針對個人資料，我們需要採取有效的身分驗證和授權方式，以確保唯有合法的使用者才能依照其權限來存取編輯個人資料。

針對身分驗證，基本上有三種應用方式，分別為你知(what you know)、你有(what you have)，你是(what you are)。

「你知」是最常見的一種身分驗證方式，例如個人帳號和密碼，幾乎是所有資訊系統都會內建的一種安全機制。在這個機制之中，要注意的是密碼本身是否要求一定長度(例如8碼以上)，具備足夠的複雜度(例如英文大小寫、數字及符號混合)，並且定期(例如3個月)要求使用者更改。

「你有」則是利用實體的憑證和Token等，來佐證其為帳號的合法使用者。

「你是」則是採用生物特徵，例如指紋、聲紋、臉型、虹膜等方式來確認使用者的身分。

如果存放個人資料的系統，能夠採取兩種以上的身分驗證方式，即是所謂的雙因素驗證，其系統的安全強度將遠高於僅採取一種像是帳號密碼的驗證方式。而除了身分驗證和授權之外，保存系統相關的日誌記錄(log)也十分重要，日誌記錄必須能夠完整的記錄系統的存取過程，因此管理人員所面臨到的第一件事，就是需要確認如何蒐集、如何存放，並且保護哪些日誌記錄。

系統的日誌記錄還需要定期的審查，因為它可能指出了正在發生的安全事件，所以一項好的日誌記錄管理系統，至少要能夠廣泛的支援常見的系統、網路、應用程式等所產生的日誌檔案，並且可以實施正規化以進行相關事件的彙整分析，同時也要儲存原始的記錄，以便作為未來訴訟的事件證據。在個人資料保護法中，和個人行為(如瀏覽網頁)有關的軌跡記錄，可能也歸屬於是一種個資，因此同樣需要實施妥善的保護。

維護個人資料的可用性

所謂的可用性，是要確保個人資料能夠在需要使用的時候可以被順利地存取，換句話說，可能會影響到資料存取使用的風險都應該被考量。一般而言，為了確保系統不會受到像是病毒、阻斷服務攻擊等事件，導致系統當機或網路中斷，間接影響資料無法存取的情況發生，安裝防毒軟體、防火牆、入侵偵測系統，已經成為一項基本的安全配備。

如果為了進一步確保和個資存取相關系統的可用性，事先選擇有效的資料備份方式、資安事件處理流程與災難復原計劃就顯得相當重要。在資料備份方面，通常可採取增量備份、差異備份和完整備份等方式，在此需要考量的重點是資料復原點(RTO)的設計，這就牽涉到企業組織必須評估自己能夠忍受多久的資料無法存取的時間。

另外，一旦資安事件發生時，相關部門必須思考其因應的處理作法，過去許多資安事件的處理可能會被歸於資訊部門應該負責的事，但是隨著資料的主體為個人資料時，和個人資料有關的其他部門，都應被納入來一併思考。

舉例來說，一旦發生員工的個資外洩事件，蒐集和處理員工個資的人力資源部門就需要了解可能的發生原因，並且通知當事人目前的外洩情況；儲存個人資料的資訊部門可能需要調閱個資存取的系統日誌記錄；法務部門可能需要評估法律相關的適用條款與賠償問題等。以上這些問題說來簡單，但往往是個資法實施之後的最大挑戰，因此若能及早因應的話，就能有備而無患了。

[觀點] 工作職場個資與隱私保護

Wed, 21 Nov 2012 14:11:00 +0000

隨著個人資料保護法的正式實施，目前與個人隱私保護有關的議題也逐漸躍上檯面，事實上，個人隱私是屬於憲法保障的人格權之一，因此對企業雇主而言，除了含有隱私的個人資料檔案，必須要有妥善的防護措施之外，如何去尊重員工的個人隱私權，確保工作職場的隱私保護，已是責無旁貸需要重視的地方。

依據個人觀察，有些企業老闆因為擔心員工將公司的網路、電腦拿來公器私用，所以喜歡安裝一些網路監控或電腦監看的軟硬體，以達到監督員工的目的，卻不知道在未告知員工的情況下，擅自實施這樣的作法，很可能已經侵犯到員工的隱私權。

最近，由某家人力資源業者所公佈的一份調查發現，有五成的上班族在求職時，曾遭遇過雇主詢問個人隱私的問題，包括像是身體特徵、婚姻情況、政黨問題等，這項結果也引發立委提案要求修正就業服務法，增列要求雇主不得詢問與工作內容無關的個人隱私資料。

隨著社群網路的興盛，所引發的隱私問題也更受到民眾的關注，這也促使相關業者，像是微軟和Google紛紛增聘了隱私保護專家和律師團隊，處理來自於產品或應用服務本身，所引發的隱私問題。對此，Facebook甚至打算修改隱私政策，禁止公司和政府單位查看求職者的詳細社交資訊，並且由隱私長公開聲明，提醒雇主不得在面試時，要求求職者必須交出個人的Facebook帳號和密碼，因為這將會涉及侵犯隱私，並且可能需要承擔法律的責任。

工作職場個資注意事項

對大多數的企業而言，人力資源部門(HR)是蒐集個人資料的主要窗口，HR所接觸的個人資料，可概分為求職者與內部員工的資料。對求職者來說，想要應徵獲取一份工作，就必須要準備好自己的履歷，無論是自行投遞，還是透過人力銀行業者來發送，在這份履歷之中，至少會提到個人的姓名、住址、電話、學歷、工作經歷、自傳等資訊。

如果HR因為求職者沒有被錄取，不去善盡保管責任而任意棄置履歷，很可能就會損害到個人的隱私。另外，即使求職者順利應徵成功，依約定日期至公司報到之後，通常也需要按照HR的要求，填寫員工的個人基本資料，而在這份資料之中，對於隱私的揭露程度將來得更高，因為員工可能需要填上出生日期、身高體重、服役記錄、個人照片、親屬資料和緊急聯絡人等，關於這些資訊是否都要一一揭露，蒐集的目的到底是什麼，未來隨著個資法的要求，HR必須要了然於心才行。

所以，人力資源部門的朋友們，請務必注意了，一旦個資法實施之後，貴部門可能就是首當其衝的單位，為了因應法規的要求，以往人資單位的個資蒐集流程，像是新人報到需填寫的資料內容，可能就要進行適法性評估，對於這些所建立的員工個人資料檔案，也要建立足夠的安全控制措施。換句話說，在蒐集、處理和利用員工個人資料方面，基本上就要注意以下幾點：

在蒐集個資時 - 是否已依照法令規定告知當事人，所蒐集個人資料之目的和利用範圍等相關資訊。HR要注意所蒐集的個資內容，是否與該員工負責的職務有明顯的關聯需要，以避免個資的過度蒐集。基本上，應避免蒐集太過敏感的隱私資料，例如醫療、基因、性生活、健康檢查和犯罪前科，除此之外，包括宗教理念、性別傾向、政黨理念、身體特徵等，也要盡量加以避免。如果真的需要蒐集敏感個資，那麼就要清楚所引用的法源依據為何，以免受到員工的質疑。

在處理個資時 – 個資的新增、刪除、修改，是否有妥善的身分驗證與存取控制，對於資料的保管地點與保管方式，也要實施安全強度的評估，尤其是存放個資檔案的主機和相關設備，是否有足夠的安全機制，以確保資料的機密性與完整性。另外，也需要制訂個人資料的查詢處理流程，以回應當事人對主張個資權利時的查詢請求。

在利用個資時 – 考量相關的使用是否符合當初的蒐集目的，並且在合法的範圍之內，如果利用目的與當初蒐集時不符，就要重新取得當事人的書面同意。在資料交換方面，萬一個資需要進行跨國的傳輸，就要考量當地的法律限制，並採取加密的保護方式，同時要求對方也要盡到個資保護責任。最後，與個資有關的查詢、調閱等，都要留下記錄，以作為實施資安稽核時的參考。

尊重工作場所的個人隱私

在工作場所中與隱私有關的事項，最常見的就是對於場所的監控錄影，事實上這已是一種普遍的行為，雇主為了要確保資產的安全，在重要的出入口設立門禁管制、監視系統、進出登記等，這些都可以被大多數的員工接受，因為這同時也保護了員工在工作場所的安全，但建議應該在新進員工訓練時，進行相關事項的說明。

隨著資訊科技的發達，現在針對資訊系統的監控也變得非常容易，比較正面的作法像是病毒的偵測、垃圾郵件的過濾、應用系統的存取活動記錄等，這些都是比較容易能夠讓員工理解與接受的行為。但是在這些範疇之外，是否會有假藉監控之名，而行侵犯隱私之實，這就存在著許多模糊的空間。

例如，有些公司會以資產管理名義，以桌面拍照、鍵盤測錄的方式，記錄員工所輸入的所有內容，來掌握員工對內對外的資訊溝通行為。另外，也有公司會監看即時通訊軟體所傳送的資訊，並且記錄利用電腦上網所瀏覽的網站和停留時間。以上這些作法，是否會觸犯隱私相關法律，這些需要留給法律專家來予以解讀，但站在資安管理的實務面來看，建議公司若要進行資訊監控，務必要在管理政策中，公開說明是為了何種目的以及如何來實施，藉由預先告知員工公司的監控行為，取得員工的同意之後再來進行，將可大幅減少有關隱私侵犯的爭議。

以電子郵件的監控而言，有些公司會事先向員工聲明，所提供給員工的各項資訊設備，皆是屬於公司資產，僅限於與工作目的或業務方面的使用，其他與工作無關的個人資料，請勿放置在公司電腦上，也不要透過公司的電子郵件系統來進行發送。而為了能夠有效確保資訊安全，公司保有檢查郵件系統的權限，在過程之中，有可能會檢視到屬於員工帳號的郵件內容，請員工務必要小心注意。在實務方面，若能透過以上的事先聲明，再取得員工同意進行簽署，這種事先告知且尊重員工的作法，會比較容易讓員工理解並接受。

個資安全是兩方皆有的責任

對雇主而言，一旦員工進入公司任職，公司就必須依照內部的管理制度和相關法律，審慎並尊重員工的隱私，直到雇用關係終止，甚至在終止之後仍要盡到法律要求的保密責任。所以在個人資料的處理和利用方面，原則上就應該秉持公開、合理的目的，並且事先讓員工知情，同時管理階層也需要建立明確的個人資料與隱私保護政策，切實遵守以符合員工對於個人隱私保護的期待。

最後，如果不是雇主，而是有員工蓄意違反公司的隱私政策，意圖窺探、濫用或竊取他人的個人資料，針對員工違反個資保護的行為，雇主應該要如何處理呢？建議可以依照以下的步驟來實施：

記錄員工的基本資訊，包括姓名、部門、到職日期、直屬主管、訓練記錄等。
完整描述員工的不當行為，包括日期、時間、違反的行為舉動等。
準備與個資保護有關的法規，包括公司的個資保護政策、個資法條款內容等。
正式發函給員工，通知並要求其立即改善不當的行為，確認此通知函已傳達給員工，保留文件和簽署記錄等。
在通知內容中，說明如果員工行為未實施改善，其可能面臨的懲處後果，提醒這些不當的行為記錄也將呈現在其員工檔案之中。
如果事件已超出公司管理的範疇，則可依照合約或訴諸法律途徑來解決。

在現今的工作職場之中，有關個人隱私保護的相關權責仍然曖味不明，許多員工為了擔心飯碗不保或升職考量，只能選擇默默承受一些不公平的待遇。但雇主的監控行為到底是為了資安管理？還是侵害隱私？這其中的確存在著一條難以界定的界限，只能呼籲雇主務必要參照法律要求和資安專家的建議，審慎地因應以避免觸法了。

[觀點] 網站隱私與個人資料保護

Mon, 12 Nov 2012 15:10:00 +0000

Google之前宣佈，為了精簡與整合60多項所提供的服務使用條款，包括了搜尋、電子郵件、影片、地圖等服務，將在2012年3月1日起實施更新的隱私權政策。雖然Google表示此一調整將讓隱私政策更加簡單易懂，而且絕對不會販售使用者的個人資訊給第三方，仍然在國內外引起了許多的意見與關注，歐盟隱私單位甚至提出在相關的調查結束之前，希望Google能暫緩實施新的隱私政策內容。

目前，透過網站蒐集資料是最簡便快速的方式，組織要如何因應個人資料保護法的要求，確保個人隱私和資料安全，已是必須要審慎因應的重要課題。

對大多數的組織而言，關於個人資料的蒐集，主要區分為二種方式，一種是非自動化的蒐集，也就是所謂傳統的資料蒐集方法，透過人為訪談記錄或填寫紙本文件來取得個人資料；另一種則是自動化的蒐集，也就是透過網站和應用程式來獲得個人資料。

網站蒐集個資的行為

線上服務業者透過網站來蒐集和個人有關的資料，也可分為主動和被動二種模式，主動模式是指透過網頁提供的表單空格、單選或複選的選項、下拉式選單等項目，讓使用者依照網頁說明來輸入或選擇對應的資料。在蒐集時應注意只蒐集必要的資訊即可，並且清楚標示需要使用者提供的內容，讓使用者能夠明白哪些是必要的資訊、哪些則是可以自由選擇是否填寫的內容。

至於被動的蒐集模式，則是指在使用者比較無法察覺的情況下，蒐集使用者瀏覽網頁的行為或使用網站互動功能的記錄，這種蒐集方法，主要是透過一些技術性的措施來達成，例如使用Cookie、Web beacon來獲得使用者的裝置資訊、位置資訊、應用程式版本、偏好語言等資料。

大多數的網站都會使用Cookie來追縱記錄使用者的瀏覽行為或身分資訊，Cookie是一個非常小的文字檔案，在瀏覽網站的時候會儲存到電腦中，它的內容包括了識別名稱或號碼、網域名稱及有效日期等，當使用者下一次再瀏覽同一個網站時，透過Cookie就可以識別使用者，並且自動載入使用者的偏好設定。Web beacon則是一個很小的單點圖像，通常是放在電子郵件中來判斷使用者是否已經開啟郵件，也可以和Cookie搭配使用，用來記錄使用者所瀏覽的特定網頁資訊，以及作為瀏覽人數的計算或廣告點選次數統計等。

無論採取主動或被動的蒐集模式，組織透過網站蒐集個資的行為，都必須要盡到告知使用者的義務，目前最簡單的方式是透過網站蒐集資料聲明或是隱私政策宣告，讓使用者能夠得知個人的資料是如何被蒐集，以及如何被利用。當然，使用者最關心的是所有被蒐集的個人資料，是否會受到妥善的防護，避免不當的揭露或對隱私造成損害。

網站個人隱私政策

在網站的個人隱私保護政策中，建議業者必須具體說明蒐集資料的目的、蒐集的方法，以及將會如何處理和利用。一般而言，至少需要說明以下項目：

所蒐集的資訊內容 – 網站所主動蒐集的資訊，可能包括要求使用者提供姓名、住址、電話、出生日期、電子郵件等，若網站提供了電子商務服務，也會要求提供信用卡號碼和帳單寄送地址等項目。至於被動蒐集的內容，則可能包括時間、日期、使用者裝置的IP位址、作業系統類型、網頁瀏覽器版本、頁面瀏覽的記錄、搜尋的關鍵字內容、點選連結的網址、地理位置資訊等。透過以上這些資訊，將可以用來了解使用者的瀏覽偏好和顯示個人化的廣告內容等行為，建議業者應該在隱私政策中清楚說明所有可能主動或被動蒐集的資訊內容。

隱私政策適用的範圍 – 說明隱私政策是否適用於網站業者提供的所有服務，或是僅限於特定服務的內容，尤其像是網站如果提供了廣告服務，或是某些互動服務可能連結其他特定網站，也需要讓使用者明白隱私政策是否同樣適用這些服務。

資訊的利用與揭露 – 以使用目的來說，蒐集這些個人在網站上的使用資訊，主要是為了搭配網站所提供的互動功能，或是提供使用者更快速的服務，當然也可能是為了提供更精準的個人化廣告。在隱私政策中，業者需要說明所蒐集的資訊將會如何使用，例如用來聯絡通知業者所提供的產品或服務資訊，或是顯示個人化資訊內容和廣告服務。同時如果還需要與其他組織分享所蒐集的資訊，也必須清楚說明使用者的權利並告知使用者，個人資訊若未事先獲得使用者同意，將不會對第三方揭露各項資訊內容，但若是為了因應法律要求，則將會依照相關規定提供執法單位所需要的資訊。

使用Cookie和Web beacon – 大多數的網站都會使用Cookie或Web beacon來追蹤使用者的行為，在隱私政策中，應說明使用者是否可以決定接受或拒絕Cookie，或是刪除已接受的Cookie內容。目前大多數的網頁瀏覽器，都可以讓使用者決定是否自動接受Cookie或是僅接受當下所瀏覽的網站所傳送的Cookie，同時，使用者也可以自行刪除過去瀏覽時曾經接受的Cookie。但是，業者也必須說明若使用者不接受Cookie時可能會造成的影響，包括像是無法使用網站特定服務，或是不提供的網站廣告和互動功能。

如何確保個人資訊的安全 – 說明所蒐集的資訊儲存方式和存取機制，以及所遵守的法規和所採取的安全控制措施，例如說明當個人資訊透過網路傳送時，資訊內容將會採取加密方式，以避免受到不當的竄改或揭露。

使用者的權利 – 說明使用者是否可檢視及編輯網站上的個人資訊、是否可要求更正無法自行變更的資訊、是否可要求停止接收網站所提供的個人化資訊服務如廣告顯示方式和行銷電子郵件等。

隱私政策的變更流程 – 說明隱私政策可能會不定時進行更新，以符合服務的內容和相關法規及客戶的要求，在變更生效之前，業者將會採取公告方式，或是個別寄送郵件通知給使用者，以告知所變更的各項內容。

業者的聯絡方式 – 說明若使用者對於隱私政策的內容有意見或問題時，要如何與業者聯繫，通常可提供寄送問題的電子郵件信箱，或是提供電子表單讓使用者自行填寫，也可以直接提供業者的服務電話等。

落實網站個資安全

在隱私政策之中，說明並強調業者所採取的資訊安全措施，也是贏得使用者信賴的一個重要項目。除了基礎的安全技術，像是防火牆、主機安全防護和存取身分驗證之外，建議業者對於網站提供的安全機制，至少還需要包括二大層面，分別是資料傳輸的安全和應用程式的安全。

針對網站資料傳輸，目前最常採用的就是SSL加密機制，在傳輸像是密碼、帳戶等敏感資訊時，可以透過它提供所需的基本安全防護。至於應用程式的安全，則包括了業者在網站應用服務建置的初期，針對應用程式安全就要有妥善的考量，例如使用安全的開發工具、避免使用含有弱點的程式語法，以及進行應用程式弱點掃描、網站滲透測試等，這些都是業者可用來強化安全的實際作法。

除了業者所宣稱的安全措施之外，對使用者來說，也可以透過第三方所提供的信任標章，作為對個人隱私保障判斷的依據。業者想要獲得標章，就必須遵守對於隱私保護的各項要求，例如需要實施的安全技術和管理機制，並且通過定期的稽核，並提出相關報告，才能取得資格在網站上展現此一標章，讓使用者可以驗證其所提供的隱私保護。

目前，國外有三大標章是可信賴網站的象徵，分別為TRUSTe、BBBOnline和WebTrust，在國內則有經濟部針對電子商務產業，所推動的台灣個人資料保護與管理制度(TPIPAS)，其中所提供的資料隱私保護標章，也可作為使用者在進行線上交易或使用網站服務時的隱私保護參考。

[觀點] 談學校因應個資法應有之作為

Tue, 31 May 2011 08:09:00 +0000

不久前，我到一些大專院校演講時，談到了個資法對於學校最大的衝擊，除了在違法時需要負起損害賠償責任，以及相關人員會有刑責之外，在實務方面，其主要的影響來自以下三個層面：

業務面 - 個資法中對於個人資料的蒐集、處理和利用，皆有其規範與要求，因此，學校相關行政和業務單位，勢必需要調整現有的作業程序(例如學藉登錄作業、成績公告作業等)，以因應個資法中相關的規定。

管理面 - 許多學校仍缺乏對於資訊安全的管理要求，並未針對資料的存取進行適當的控管，當然也就沒有建立個人資料的保護政策與相關的作業辦法，因此需要在管理面去加強對於個人資料的保護。

法規面 - 雖然在過去已實施的電腦處理個人資料保護法中，學校已是受到法律要求的單位之一，但是在相關違反法規的懲處方面，並沒有明確的行政處罰與刑責的認知，因此關於法規宣導與要求人員遵守個資法方面，也是迫切需要實施的重點。

所以，為了因應個資法之要求，學校在蒐集、處理和利用個資方面，基本上就要注意：

1. 在蒐集個資時 -

是否已依法令規定告知當事人蒐集個資之目的、利用範圍等相關資訊。
學校如果需要蒐集特種個資，例如學生的健康檢查報告，是否有引用的法源依據？
學校所蒐集之個資內容，應與其使用之目的相關，以避免過度蒐集。

2. 在處理個資時 -

學校是否已制訂個資查詢處理流程，以回應當事人對其個人資料的查詢請求。
對存放個人資料檔案之主機和相關設備，是否有適當的安全措施，確保資料的正確與完整，以避免受到不當的竄改與洩漏。
在個資外洩時，是否能採取適當的方式來通知當事人，以降低後續可能的損害。

3. 在利用個資時 -

利用個資之相關事項，是否符合當初的蒐集目的，並在合理的範圍內使用？
若利用之目的，與當初蒐集的目的不符，是否已重新取得當事人的書面同意？
個人資料若需要作跨國的傳輸，是否已採取適當的保護措施，並要求對方也要盡到個資保護責任？

此外，為了因應個資法第22條，「中央目的事業主管機關或直轄市、縣(市)政府認為有必要或有違法之虞時，得派員攜帶執行職務證明文件進入檢查，並得命相關人員為必要之說明、配合措施或提供相關證明資料。」，未來學校必須準備好配合主管機關的稽查事項，同時也需要依照個資法第27條的要求「訂定個人資料檔案安全維護計畫」。

綜合以上所述，在個資法正式實施之前，建議學校單位應盡快著手的事項有：

實施個資教育訓練 - 學校應邀請所有和個資有關的人員，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估個資技術防護 - 學校應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認。
建立個資管理制度 - 若學校已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001或教育部版本的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個人資料檔案清冊，進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，也可以參考BS 10012，規劃建立具有PDCA架構的個人資訊管理系統(PIMS)。

[觀點] 評估個人資料保護機制與現況

Tue, 25 Jan 2011 03:23:00 +0000

個資法的施行細則，預計在今年6月左右公布，最快可能在2012年初施行，也就是說，無論公務機關或非公務機關，還有一年左右的因應時間，現在正是可以用來提前準備，並評估個人資料保護機制的最佳時機。

上一篇為大家說明了個資法中，對於蒐集、處理、利用個人資料的規範與要求，這部份主要著重在個人隱私的維護，例如：

在蒐集個人資料時要對當事人盡到告知的義務，說明蒐集的特定目的為何，將會使用在哪些用途上；
處理時則是要確保眾多的個人資料，經過內部新增、編輯、傳遞、儲存時的安全，避免受到未經授權的竄改，同時還要尊重當事人對於個人資料的自主權利，提供查詢、複製本和更正的服務；
在利用時則是要符合當初蒐集時的特定目的，若要作其他目的使用，除了有適當的法源依據或符合個資法的要件外，否則都必須要重新再取得當事人的書面同意才行。

所以，接下來就要說明個資法要求的另一項重點，也就是對於透過各種管道所蒐集的個人資料，如何盡到善良管理責任，並實施適當的安全措施。

當然，對非公務機關而言，所謂的適當的安全措施，未來將由目的事業主管機關來加以認定，也就是要依照主管機關所提出的個人資料保護指引準則，擬定個人資料檔案安全維護計劃，並且在發生事故時能夠舉證才行。

在這份個人資料保護指引尚未完備之前，我們可以提早準備的，就是思考對於個人資料應實施哪些安全機制，並且評估個人資料的安全現況，以便先打好基礎，再針對不足的地方加以改進，以避免法律實施時措手不及的情況發生。

思考個資保護安全機制

組織若想要建立個人資料的保護機制，建議可以從三方面來著手。

首先是「人員」，請思考一下，目前組織中的個人資料，大多是由誰蒐集而來，經由誰進行處理，再由誰進行利用，我相信你會發現，這些都和大多數員工脫離不了關係。

根據統計，大部份的資料外洩事件，都是來自於內部人員的作業疏失或刻意的偷竊行為。因此，針對人員的安全機制，主要都會落在教育訓練之上，透過加強人員對於個資保護的認知，了解其應盡的責任與守法義務，並且熟悉內部的個人資料蒐集、處理和利用的作業規範，來避免違反個資法的事件發生。

一般而言，教育訓練區分為兩種，一種是對於個資法的認知訓練，另一種則是資訊安全的防護宣導。

在個資認知訓練方面，必須要確保和個資蒐集、處理、利用有關的人員，都要熟知個資法的要求，例如蒐集個人資料必須要有特定目的，並且要盡到告知的義務。

在資訊安全宣導方面，則是要讓人員了解常見的資料外洩管道與攻擊手法，像是如何避免掉入社交工程的陷阱，避免透過私人郵件寄送個人資料檔案，以及避免使用USB隨身碟下載個人資料並攜出工作場所等。

其次是「流程」，我們必須檢視現行的資料作業流程，其中是否會涉及到個人資料的處理，如果是的話，那麼配套的安全措施是什麼？作業流程中，安全防護的強度到底夠不夠？

舉例來說，像是員工在業務工作上，是否可以任意影印含有個人資料的文件，是否有經過主管的授權，影印時是否使用浮水印的註記，廢棄時是否有適當的資料銷毀方式？

另外，含有個人資料的文件傳遞，是否指定專人處理，文件本身是否有保護措施，傳遞過程中是否有留下記錄。如果有員工對於這些流程的安全控管要求不清楚的話，那麼最好開始建立相關可實行的標準作業程序(SOP)。

最後是「技術」，在各項與個資有關的作業流程中，我們需要去思考是否有相對應的資安防護技術，例如：

對於個人資料的存取方面，人員需申請並賦予唯一的識別帳號，並要求使用一定長度與複雜度的密碼；
依據業務性質和單位屬性的不同，進行網段區隔與存取控制；
網路安全方面，是否佈署適合的防火牆、入侵偵測系統，對於主機是否進行系統防毒與更新修補；
對於敏感的個資檔案，也要實施一定強度的加密機制。

評估個人資料安全現況

對於組織目前的個人資料保護現況，如果本身已導入的資訊安全管理系統(ISMS)，最好的方式就是依照ISO 27001標準所要求的11項領域、133項控制措施，來進行個人資料的安全評估。如果對於標準不是那麼地熟悉，也尚未建立個人資料管理制度，建議可以先從以下四大層面來著手，一一檢視重要的控制措施是否已經落實。

實體環境安全
評估辦公區域、資訊機房和資訊設備，是否已受到良好的安全防護，重點項目包括：

是否已確保辦公室與機房的環境安全？例如使用不易受到破壞的門與鎖；在重要的區域進行門禁管制或安裝監視系統，訪客要求需配載識別證，並且僅限於在特定處所活動；定期檢查消防設施和人員的逃生設備是否足夠。
是否可預防有人從外部可以窺探辦公處所的電腦設備或螢幕資訊？有些組織在機房、會議室，喜歡採用透明玻璃，因此需要評估人員在操作資訊設備或進行會議時，是否會造成不當的資訊外洩。
含有個人資料的資訊設備與文件，是否存放於安全地點？例如筆記型電腦等可攜式的設備，還有包括硬碟、磁帶、光碟、USB隨耳碟等儲存媒體，採取適當的安全防護以避免遺失；紙本文件存放在管制或上鎖的區域，使用碎紙機、大量文件水銷等方式確保廢棄的文件不會再被還原。

組織安全
評估組織針對個人資料是否制定了一體適用的安全政策，以及相關的作業程序以便人員可以遵守，重點項目包括：

組織是否指定專人負責個人資料的管理？是否已制訂個人資料保護安全政策，並提供適當的人力與經費，由高階主管來支持個人資料安全管理和保護工作的落實。
組織是否已有和個人資料安全有關的作業程序，可供員工操作並且遵守？例如密碼的使用與設定要符合安全原則；人員離開辦公處所時應讓桌面淨空，不遺留文件在未經監管的地點；電腦螢幕設定一定時間自動啟用螢幕保護程式等。
組織是否已建立跨部門溝通與協調機制？例如由各部門推派一位個資管理代表或聯絡人；成立一個跨部門的個人資料保護小組，並定期召開個資保護協調會議等。
組織是否定期實施教育訓練，並確認員工已充分了解其應盡的個資保護與安全責任？例如依據人員不同的工作職掌，實施認知、管理或技術的教育訓練，並透過內部稽核的實施，確認教育訓練的有效性與成果。
組織若發生個人資料外洩事件，是否有相關的處理程序，並進行事後的調查與檢討？例如在個人資料受到竊取、洩漏或不當侵害時，由專人來負責通知當事人；制訂個資事件的證據收集與保存程序，或是尋求外部的支援。
是否有人可從組織外部來存取資料？個人資料是否需要和外部進行傳遞或交換？實施了哪些安全措施來控制、保護與監控這些行為？例如清查有哪些資料是可供外部存取的，並針對資料的傳遞或交換，依法定程序執行或建立內部的作業規範；對於資訊委外處理的服務廠商，要求相對應的個人資料保護措施等。

資訊系統安全
評估資訊系統的建置、營運與服務，是否已有適當的安全措施，重點項目包括：

資訊系統的日常操作，是否有文件化的作業程序？例如設備的異動維護，皆已經過授權並留下記錄。
含有個人資料的主機，是否需要更高的安全防護，並執行嚴格的存取管理？例如主機實施實體隔離與監控，採用生物辨識方式，進行存取控制。
資訊系統是否有備援機制？針對儲存個人資料的設備，採用不斷電系統以持續維運；將資料備份存放在不同的地點；確保還原機制夠完善，定期執行演練與測試等。
資訊系統與應用軟體的弱點是否能被發現，並且定期更新修補？例如透過定期的弱點掃瞄或滲透測試，以及制訂適當的修補程序來進行控管。
是否已經強化網際網路與電子郵件的使用安全？例如有能力偵測或防止惡意程式下載至電腦系統；防毒機制可定期更新；郵件主機實施適當防護；資訊設備和系統的記錄檔(log)集中留存並可防止竄改等。

人員安全
評估職務角色適任與分工代理是否適當，重要項目包括：

與個資有關的人員聘用，是否進行適當的徵信或資格審查？例如針對背景和學歷資格的確認，確認前項工作的離職原因；進行適當的職務分工代理等。
是否額外註明對於個人資料保護的相關要求？例如在聘僱合約中加以說明，並要求簽署保密協定；在新進員工訓練或員工手冊中說明組織對於個資法的政策與個資處理的要求等。
是否清楚告知員工組織資訊設備的使用注意事項？例如不得將個人帳號密碼透露給第三人、避免瀏覽惡意網站、不使用公司電腦收發個人郵件、不使用個人郵件寄送業務相關資料等。

以上簡要的評估方法，可作為有心強化個資防護的組織參考，相信能夠在個資法正式實施之前，找到一個可以因應與實作的目標。(本文刊載於2010年11月號網管人雜誌)

[觀點] 個資蒐集、處理、利用之注意事項

Wed, 15 Dec 2010 08:49:00 +0000

在個人資料保護法裡，隱含了二項重要的精神與要求，其中個人隱私維護是首要項目，它是指必須要在個人資料蒐集、處理、利用的過程中確保個人隱私不會受到侵害，其次則是如何善盡個人資料保護的責任，本文將說明相關的注意事項。

個人資料保護法全文共有56條，內容說明了公務機關與非公務機關在個人資料蒐集、處理及利用的注意事項，以及違反時的賠償與罰則，單就法條內容來看，其實不太容易馬上就能掌握其要求的重點。

但經過歸納分析之後，可以發現個人資料保護法的精神與要求，主要集中在兩件事上，分別是「個人隱私維護」和「個人資料保護」，需要在個人資料蒐集、處理、利用、傳輸，也就是在個人資料的生命週期中予以落實(圖1)。

圖1：個人資料保護法的要求全貌

個人隱私維護的要求，主要來自於個人資料保護法的第一條，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私就是人格權的重要一環，因此個人資料的揭露與否，必須尊重當事人的權益並獲得其同意，以免因侵犯個人的隱私而造成人格的受損。

個人資料保護的要求，則來自於個人資料保護法的第十八條，「公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」；以及第二十七條，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」

目前，依照法務部個人資料保護事項協調聯繫會議的決議，所有公務機關在99年底前都必須要指定一位個資聯絡窗口及個資召集人，來協調聯繫與個人資料有關的事項，而各機關也要在年底前完成制訂組織的「個人資料保護及管理規範」。

至於非公務機關，未來則是要依照所屬事業目的主管機關的要求，提出「個人資料檔案安全維護計畫」，這份維護計畫的建議內容，可參照上一篇文章的說明。

個人資料蒐集注意事項

所謂的蒐集是指以任何方式來取得個人資料，包括自動化(例如網頁上所填寫的個人資料)或非自動化(人工紙本記錄的個人資料)的方式來進行。

依照個人資料保護法第八條的規定，無論是公務機關或非公務機關，在向當事人蒐集個人資料時，都必須要明確告知當事人以下事項：

蒐集資料的公務機關或非公務機關的名稱。
蒐集的目的，也就是要在未來公布的特定目的中，至少找到一項適用的項目。
個人資料的類別，同樣也是在未來公布的個資類別中，找到適合的類別名稱。
個人資料利用的期間、地區、對象及方式，建議要向當事人說明資料使用時間和保存多久，在哪些地區使用，將會透過什麼方式來使用。
當事人可以行使的權利及方式，例如當事人可以要求更正、刪除、停止使用其個人資料，或要求提供個人資料的複製本。
應說明當事人可以自由選擇是否要提供個人資料，若當事人不願意提供的話，也要清楚告知不提供這些資料，對其個人權益會有哪些影響。

所以，請務必謹記，「只要有蒐集的行為，就會有告知的義務」，除非是法律規定可以不用告知，以及公務機關為了執行法定職務(例如警察執行公務)，或非公務機關為了履行法律規定的義務等，這部份請參照個人資料保護法第八條的五項免告知情形。

另外，依據個人資料保護法第十五條規定，公務機關對於個人資料的蒐集或處理，除了要有特定目的之外，還要符合以下三種情形之一，才可以進行：
一、執行法定職務必要範圍內。
二、經當事人書面同意。
三、對當事人權益無侵害。

建議在實務上，若不是執行法定職務，公務機關想要蒐集民眾的個人資料，最好的方式就是事先取得當事人的書面同意，以避免違反法規的要求。

個人資料處理注意事項

所謂的處理，簡單來說就是指蒐集個人資料之後，將這些資料經過編輯、修改、增刪、傳遞等動作，變成一份個人檔案的過程。依照第十條的規定，在正常情形之下，公務機關和非公務機關都要依照當事人的請求，針對這些個人檔案，提供查詢、閱覽或複製本，而且要在十五天內回覆當事人是否同意或拒絕其請求。

為了要維護這些檔案中個人資料的正確性，公務機關和非公務機關要主動或依照當事人的請求來予以更正或補充，至於回應的時間則是在三十天內要完成。若是個人資料的正確性有爭議時，也要主動或依照當事人請求，停止處理或利用這些個人資料。另外，隨著個人資料蒐集時的特定目的消失或是期限屆滿的時侯，也要依當事人請求，剛除、停止處理或利用這些個人資料。

為了避免個人資料的不當揭露，或是個人資料檔案受到不當的侵害，降低對當事人的衝擊，依據個人資料保護法第十二條的規定，無論是公務機關或非公務機關因違反了個人資料保護法的規定，而導致個人資料被竊取、洩漏、竄改，或是受到其他侵害，都要在查明之後盡快地通知當事人，也就是說，組織必須要事先建立一個通報機制，確保所使用的方式(例如電話、郵寄、email等)可以通知到當事人，並且留下記錄。

個人資料利用注意事項

將處理後的個人檔案使用在特定的目的上(例如行銷)，就是所謂的利用。在個人資料利用方面，最重要的一件事，就是要確認利用時是否和原先蒐集的特定目的是相同的，如果與原先的蒐集目的不同，依據個人資料保護法第十六條的規定，必須要符合以下情形，才能將個人資料用作其他目的：
一、有法律明文規定可引用。
二、為了維護國家安全或增進公共利益。
三、為了免除當事人的生命、身體、自由或財產上的危險。
四、為避免他人的權益受到重大危害。
五、為了公共利益進行統計或學術研究，且資料經過處理不會識別到當事人。
六、有利於當事人的權益。
七、經當事人書面同意。

基於以上的要求，未來在實務方面，建議若將個人資料作其他目的的利用時，最好事先再去取得當事人的書面同意，比較不會有違法利用的風險。

請小心留意才能避免觸法

個人資料保護法的精神與要求，在於個人資料的蒐集、處理或利用的過程中，如何去確保個人隱私和個人資料安全，這是所有擁有個人資料的組織或機關務必要去重視的地方。

在個人資料的蒐集、處理或利用的事項方面，如果是一般民營單位，受到公務機關委託執行和個人資料有關的事項，在個人資料保護法的適用範圍，依據第四條的規定是視同於委託機關的，換句話說，在個人隱私維護和個人資料保護的要求事項，就要比照公務機關來辦理才行。

此外，個人資料保護法第五條提到，「個人資料之蒐集、處理或利用，應尊重當事人權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」換句話說，個人資料的蒐集、處理及利用，都必須要符合當初蒐集時向當事人說明並獲得同意的目的，而且要與此目的有明顯相關。

萬一日後需要將個人資料，作為其他目的的利用時，則必須要重新獲得當事人的書面同意，而非僅止於口頭上的通知，這點要請經常需要將個人資料用於行銷或業務使用的企業，務必要小心留意以免觸法。(本文刊載於2010年10月號網管人雜誌)

[觀點] 制訂個人資料檔案安全維護計畫

Wed, 03 Nov 2010 06:49:00 +0000

之前，我們談到了個人隱私衝擊分析，其主要目的是要了解組織針對個人資料蒐集、處理、利用的現況，能夠幫助我們針對屬於高風險的個人資料，提出適當的保護計畫與安全措施，本文將說明如何制訂個人資料檔案安全維護計畫。

在個資法第27條提到，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法」。

換句話說，未來保有個人資料的企業、組織或團體，都可能要針對個人資料提出一份檔案安全的維護計畫，在這份計畫之中，除了可說明個人資料的保護措施和管理方法之外，萬一未來發生個人資料外洩的事件，這份計畫以及實施的相關記錄，很可能是作為組織已善盡管理人義務，用來免除過失賠償責任的重要證據之一。

當然，這份計劃的最終內容要求，仍須以中央目的事業主管機關所公布的為主，但是凡事有備則無患，我們可以參照過去針對金融業、保險業及證券暨期貨業所公布的個人資料檔案安全維護計畫標準，來制訂適合自己組織的內容，並依據這份計畫來加強個人資料的保護與管理。

確認個人資料保護範圍

在制訂個人資料檔案安全維護計畫之前，首先要確認的就是我們所要保護的範圍，畢竟組織的資源有限，我們不太可能一開始就投入龐大資源來實施全面性的安全防護，而是要先了解現況並定出範圍，這也是管理系統導入的重要步驟。

以資訊安全管理系統來說，範圍通常會鎖定在重要的業務流程與資訊系統，像是醫院的醫療資訊系統、製造業的研發生產管理系統、資訊服務業的客戶服務系統等。至於保護的對象則是資訊資產，一般會先將它進行分類，例如分成人員、資料、軟體、硬體及服務等，再依據資訊處理的作業流程去盤點所有資訊資產，分析其可能存在的安全風險，依照其風險高低進行排序，然後再選擇適當的控制措施來進行風險處理，將風險降低至可接受的程度。

所以，若今天導入的是個人資訊管理系統的話，我們鎖定的保護對象就是個人資料，範圍也會是和個人資料有關的業務流程。只是，個人資料涵蓋的範圍甚廣，對許多組織而言，不太容易一下子就區分並識別完成，建議可採取以下兩種方式來進行。

從個人資料本身著手 - 首先定義常見的個人資料類別，例如員工資料、客戶資料、廠商資料等，或是個人資料的細項，例如連絡資料、薪資資料、付款資料等，然後調查這些資料是透過哪些方式來蒐集和處理。例如個人資料可能是以電腦輸入、網站蒐集等自動化機器產生，或是透過人工紙本記錄等非自動化方式來獲得，在完成確認之後，這些和個人資料有關的活動與流程，就會是個人資料保護的範圍。

從業務作業流程著手 - 這個方法和上述的方法順序相反，也就是先從和個人資料有關的活動流程著手，了解組織透過哪些自動化和非自動化方式蒐集和處理資料，再來確認這些資料內容是否包含了個人資料，如果有的話，就要將這些流程和系統劃為個人資料保護的範圍之內。

個資檔案安全維護計畫內容

在確認個人資料的保護範圍之後，接下來就要針對這些個人資料檔案來制訂保護計畫，無論您所屬的行業類別或營運規模大小，在這些計畫之中，建議您務必要納入以下的事項。

指定專人管理 - 針對組織所持有的個人資料檔案，說明由誰來負責辦理安全維護事項，至少應指定一位專人來防止個人資料受到不當的侵害。這位個資管理代表需要有能力可以協調各個事業單位，以擬定出適當可行的個人資料的管理辦法，也就是說，需要對於資訊安全，無論在管理面、技術面、教育面都要有一定的認知，最好選擇已接受過資安專業訓練並持有相關的資訊安全證照的人選為佳。
建立稽核制度 - 應說明組織是否已建立了個人資料檔案的稽核制度，像是稽核人員應具有哪些能力、依據何種稽核標準、多久實施一次內部稽核，針對稽核結果是否定期召開管理審查會議，如何進行缺失的矯正和預防。
確保系統安全 - 說明存取個資系統的人員，是否具備唯一的識別碼(ID)，針對不同的職務角色，是否完成權限控管；存取個人資料的相關作業，像是個人資料的新增、異動、刪除、傳輸，是否留有記錄(Log)；應用系統程式的開發是否遵照安全的開發流程，上線前是否經過適當的安全審核程序等。
強化實體安全 - 和個資有關的資訊設備，若存放於電腦機房，應說明機房的門禁管理辦法，針對主機和儲存媒體，是否有良好的安全防護措施，例如場所已作好天然災害和意外災害的防護、備份媒體以防火或上鎖設備異地存放。
災害防護演練 - 萬一發生天然災害或個資損害事件，是否有個資事件應變處理作業辦法，內容應包括如何進行損害控制、系統備援、災害復原和通知當事人等，並定期實施模擬演練。若是人為惡意的損害，是否有保存證據、要求損害賠償的措施。
員工作業安全 - 在計畫中應說明和個資有關的作業人員，是否要求簽署保密切結書，針對個資作業的內容，是否已說明個資法相關的安全規定，在資訊安全防護方面，是否定期實施教育訓練等。

與資訊安全管理系統作結合

完成個人資料檔案安全維護計畫，只是個資防護的初步工作，重點還是在於能否依照這個計畫切實地來執行。根據個人的了解，個資法中所提到針對個資應採行適當的安全措施，不可單單只解讀為已採行相關的技術防護手段，或是添購了資訊安全產品，就可在個資損害事件中證明自己沒有過失責任，而是必須要納入管理系統中所謂的PDCA(Plan-Do-Check-Act)精神，讓個資防護在完整的管理制度之下，能夠實施運作，並且持續改善。

因此，如果組織已導入了資訊安全管理系統(ISMS)，它就可以提供在個人資料防護的重要基礎，只是在個人隱私防護方面，還需要再進行重點補強，礙於篇幅有限，只說明以下重點項目供作參考，包括：將個資保護納入資安政策、建立個人資料清冊、進行個資風險評鑑、選擇適當控制措施、定期進行個資稽核、持續檢討維護改進等。若能與現有的資安管理系統作結合，相信在個資防護方面，也就不必重頭再來，將可達到事半功倍的效果。

組織應自我檢視的個資問題

雖然個資法的施行細則尚在修訂之中，正式實施的日期也還未確認，但是從個資母法來看，它很明確地要求二件事 – 「個人隱私維護」和「個人資料保護」，讓很多事項已如箭在弦上，無論是公務機關或非公務機關，未來勢必都要依法實行，所以為了因應法規所帶來的風險，建議組織應該自我檢視以下問題：

• 您(組織)知不知道個資法的要求？
• 您(組織)是否已經指定專人負責個資事項？
• 組織負責個資蒐集、處理及利用的同仁，是否已具備必要的知識與技能？
• 您(組織)是否知道如何保護所持有的個人資料？
• 您(組織)是否有適當的程序，以符合告知的要求？
• 您(組織)是否有適當的程序，對持有的個人資料提供當事人請求和維護？

如果有任何一項問題，組織無法明確地加以回應，建議應及早尋求外部專家或顧問的協助，以因應未來個資法正式實施之後可能帶來的衝擊。(本文刊載於2010年9月號網管人雜誌)

[觀點] 個人隱私衝擊分析(PIA)之介紹

Sun, 17 Oct 2010 14:22:00 +0000

在個資法第一條提到，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私權就是重要的人格權之一，本文將說明何謂個人隱私衝擊分析(PIA)。

無論是公務機關或非公務機關的企業、法人和團體，為了因應未來新版個人資料保護法實施之後，針對個人資料保護的種種要求，許多組織已開始著手來準備，如果仔細地去探究個資法所涵蓋的精神與要求，就會發現其關注的焦點有兩個層面：首先是如何維護個人隱私，其次則是如何落實個人資料保護。

基本上，在個人隱私方面，我們可以透過建立個人資料蒐集、處理和利用的注意事項和作業規範，以確保個人隱私不會受到不當揭露；至於在個人資料保護方面，則可以透過資安技術的應用，降低資訊系統在處理個人資料的過程中，可能會受到入侵、竊取、竄改和干擾的風險，並且達到一定的資料存取防護強度。本期我們就先來探討維護個人隱私的一項重要工作，也就是進行個人隱私衝擊分析(Privacy Impact Assessment, PIA)。

個人隱私衝擊分析目的

在個人資訊管理標準BS 10012的「4.4 風險評鑑」內容中提到，「組織應實施一項流程以評估和處理個資相關人員的風險程度，這項評估也應包括委由其他組織所進行的個資處理，組織需管理由風險評估過程所識別出的任何風險，以降低不符合政策要求的可能。」

簡單來說，為了避免違反法規和政策的要求，我們應針對個資的蒐集、處理和利用的過程，所牽涉到的人員、技術、作業流程，找出其中可能隱含的資訊安全風險，以避免和個資有關的不當事件發生，這也就是所謂的個人資料風險評鑑，而其使用的風險評鑑方法，稱之為個人隱私衝擊分析(PIA)。

因此，個人隱私衝擊分析的目的，就是要協助組織確認在個人資料的蒐集、處理和利用的過程中，相關的資訊系統、控制技術、作業流程和管理政策，是否符合確保個人隱私的基本要求，進行識別並管理其中的風險，以避免不必要的損失和聲譽受損，達成法律法規的要求。

個人隱私衝擊分析方法

有關個人隱私衝擊分析的方法論，各國政府為了因應本身的個資法規要求，所以皆有不同的作法，其中較為知名的分別是由英國的資訊委員會辦公室(Information Commissioner’s Office)所提出的「The ICO PIA handbook」，以及加拿大財政部秘書處(Treasury Board of Canada Secretariat)所提出的「Privacy Impact Assessment Guidelines」。

英國的PIA流程比較完整複雜，它是先以範圍來選擇實施的內容，主要分為全範圍PIA、小範圍PIA、隱私法和其他法規符合確認、個資法法規符合確認等四項，其中全範圍和小範圍PIA的進行再區分為五個階段，分別是：初始階段(Preliminary phase)、準備階段(Preparation phase)、諮詢和分析階段(Consultation and analysis phase)、文件化階段(Documentation phase)、審查與稽核階段(Review and audit phase)。

加拿大則是使用比較簡易清楚且近似風險管理的作法，其中包括了計畫、分析和教育訓練活動，主要分為四項流程來進行，但無論是英國還是加拿大，其共同點為皆是採用問卷方式來進行分析。

個人隱私衝擊分析流程

實施個人隱私衝擊分析，能夠有效識別出在其他管理層次下看不到的個資風險，藉由訪談相關人員的過程，可以改善與個資有關的政策、系統設計、採購決策及作業流程。以下以加拿大的PIA作法為例，說明實施個人隱私衝擊分析的流程。

步驟1：專案啟動(Project Initiation)

PIA的第一步是決定要實施的範圍和採用的工具，在初期組織若是對於個人隱私風險還不是那麼清楚，決定是否要實施PIA也還有雜音的時候，建議可以先做一次初始需求評鑑(Preliminary PIA)，藉由審查相關的政策和指導原則，以及可使用的資源與技能，並獲得外部像是隱私權、法規和技術等專家的建議之後，再正式的來實施全範圍的PIA。

步驟2：資料流分析(Data Flow Analysis)

在這個階段需要去描述和分析組織目前的業務流程架構，以便在工作計畫書中清楚的描述個人資料流的現況。基本上，任何的業務活動都會牽涉到資訊的管理，並且包括四項元素，分別為：資訊收集、交易流程、交易結果和以上三者所留下的記錄。在資料流分析過程中，至少要識別出業務流程主要的元件，例如人員、設備等，以及個人資料如何透過業務流程被蒐集、處理、利用、揭露和保存，建議以清楚易懂的圖形來呈現彼此的關聯，而以表格方式(如表1)來呈現單一資料或群組的現況。

表1：個人資料清單

個人隱私分析是要去檢查在個人資料流中，是否適用於個人隱私政策和法規要求，這部份可透過問卷與檢查表的使用，來識別主要的個資風險或是相關的弱點，其結果將作為個人隱私衝擊分析報告的基礎。至於問卷內容則可參考所在地法令或主管機關要求，以設計出可明確分辨現行流程是否符合法令要求的內容，如表2所示，問卷內容包含了一系列問題和是與否的選項，其中「細節描述」的欄位是用來解釋特定的要求符合或不符合的原因，以作為主管機關的參考，而每一階段的最後則提供「討論重點」，以記錄過程中重要的事項。

步驟3：個人隱私分析(Privacy Analysis)

表2：PIA問卷範例

步驟4：個人隱私衝擊分析報告(Privacy Impact Analysis Report)

藉由上述所採取的步驟，最終將會產生在PIA之中最重要的個人隱私衝擊分析報告，在這份文件中將呈現目前隱含個資風險的結果，也會作為後續決定降低或消除風險的控制措施的重要參考依據，同時它也會是和組織利害關係人溝通的重要工具。

個人資料安全實務建議

整體而言，組織可以藉由導入個人資訊管理制度(PIMS)，來達到個資法要求的個人隱私維護和個人資料保護兩個目標，在實務方面建議分為以下三步驟來進行：

第一步，請務必逐條了解法令之要求，並建立個人資料保護所需的基礎知識。實務作法為可邀請和個人資料蒐集、處理和利用有關的各部門相關人員，透過專家講座、教育訓練等方式，來協助員工獲得個資保護所需的認知與技能，並且清楚了解個人職務所扮演的角色和應盡的義務。

第二步，建立組織的個人資料管理制度，可參考BS 10012個人資訊管理系統標準內容，並依據個人資料保護的八大原則，檢視組織目前所蒐集、處理和利用的個資現況，並進行這些活動的風險評鑑，透過個人隱私衝擊分析(PIA)的方法，來評估與個資有關的風險。

第三步，落實個人資料保護機制，可配合管理制度的要求，在作業流程上部署個資或資訊安全防護技術，例如資料加密、身分驗證、資料庫稽核、資料外洩防護(DLP)、網路存取控制(NAC)等方案，協助控管個資處理流程中可能產生的安全風險。(本文刊載於2010年8月號網管人雜誌)

[觀點] 以PCI DSS檢測個資防護安全

Tue, 31 Aug 2010 02:16:00 +0000

最近，許多朋友和我聊到新版個人資料保護法(以下簡稱個資法)的議題，對於法條的內容要求都存有一些疑義，尤其是面對未來可能的罰責，以及針對個資保護實施的應有作為，皆感到茫然而不知所措。

雖然，目前僅通過個資法的母法，施行細則還在修訂之中，預計最快一年至一年半的時間才會公布，但若是等到實施之後才來因應，恐怕為時已晚，因此在新法尚未實施之前，組織的因應做法，建議可分成以下三階段來進行：

實施教育訓練：組織應邀請所有和個資有關的人員，例如人事、法務、行銷、客服、資訊等單位，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估技術防護：組織應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認，這方面可參考以下的支付卡行業資料安全標準(PCI DSS)要求來進行。
導入管理系統：若組織已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個資資產清冊、或是進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，則可以參考之前所提到的BS 10012標準，導入個人資訊管理系統(PIMS)，藉由管理系統的文件化與PDCA的持續改善要求，來確保和個資有關的作業流程，均受到妥善的監控與保護。

PCI DSS的資料安全評估

PCI DSS是由American Express、DFS、JCB、MasterCard、Visa等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council所制定，要求所有提供信用卡服務的商店和相關業者，在儲存、處理與傳遞持卡人資料時，必須要有符合標準要求的安全控制措施。此一提供給全球產業共同遵守的資料安全標準，雖然是用來保護信用卡持卡人的資料，但其主要目的就是為了要保護個人敏感資訊，以確保交易的安全。因此，對於想要保護個資的企業，若是能夠參考PCI DSS中所明訂的12項要求作為個資保護的安全基礎，並且將這些要求融入和個資安全有關的評估之中，藉由自我檢視這12項要求，將可協助組織了解現有的資料保護安全現況。

要求1：安裝並維護良好的防火牆配置以保護個人資料
首先，組織必須要建立防火牆的安全配置，項目包括防火牆的規劃拓樸圖、防火牆規則的設定說明，以及DMZ區中的安全設定與網段區隔。基本上，除了必要的網路協定之外，其它不必要的網路服務與通訊埠皆不應對外開放，而且只要是儲存含有個人資料的系統，它和公用伺服器之間的任何連線，都要建立防火牆來加以區隔，同時也藉由實施IP偽裝的機制(NAT)，來避免內部主機位址暴露在網際網路上，以限制任何儲存敏感資訊的系統可以被外部公開地存取。

要求2：管理密碼和其他安全參數不使用設備出廠的預設值
若是透過外包的設備供應商來安裝各式系統和網路元件，例如防火牆、路由器、無線網路基地台等，應該修改系統管理的預設值，並針對所有的管理連線進行加密，以避免駭客直接以系統預設帳號及密碼，繞過防線直接侵入到系統之中。另外，若是自行開發各項擴充的系統元件，應採取業界建議的安全開發配置標準。

要求3：必須妥善保護所儲存的個人資料
針對組織所儲存的個人資料，業者應該秉持保留最少數據的原則，並且制定一個資料處理與儲存程序來做好個人資料的控管。例如，若需要顯示當事人主要帳戶資料時，應採用前六或後四碼的隱蔽措施，如果需要將主要帳戶資料儲存的話，也需要採取加密方式來確保資料不會任意被讀取。在實施了加密之後，用來加密持卡人的金鑰就成為重要關鍵，所以還要制定金鑰的管理流程和程序，來確保金鑰不會遭到洩露和濫用。

要求4：對透過公共網路所傳送的個人資料進行加密
若是個人資料需要透過公共網路來傳送，務必要採用強度難以破解的加密演算法和安全協定，以避免資料在傳遞的過程中遭到破解與竄改。因此，提供服務的網站必須提供SSL/TLS或IPSec等安全傳輸協定，針對所傳輸的資料進行加密。

要求5：安裝防毒軟體並定期更新主程式和病毒碼
所有和個人資料有關的系統，都應該要安裝防毒軟體，並且經常更新病毒碼，在防毒軟體的選擇上，建議最好同時具備防木馬與間諜程式的偵測功能。另外，更要確保所有的防毒措施都能夠及時更新，並且產生可供日後稽核的事件日誌。

要求6：開發與維護安全的系統和應用程式
網站的主機系統和應用程式，應該在供應商發佈修補檔的一個月內進行安裝更新，管理者可以採用訂閱方式來接收最新發現的安全弱點。若是自行開發的應用程式，應採行業界的最佳實務如Security Development Life Cycle(SDLC)，將資訊安全與整個軟體開發生命週期相結合，同時要基於安全的程式編碼原則，以確保所有應用程式不會存在已知的安全弱點，還能抵禦已知的惡意攻擊。如果系統和軟體的配置需要更新或修改的話，也要事先取得管理階層的授權，依照所制定的變更控制程序來進行。

要求7：只有具備業務需求的人才可存取個人資料
在存取控制措施方面，只能允許工作職務上有需要的人員，才能存取電腦上和個人有關資訊，也就是要依據僅知原則(need to know)，避免不相干的人員接觸到個人資料，也就是說除非已獲得管理階層授權許可，否則應該拒絕所有的存取行為。

要求8：賦予擁有資訊存取權限的使用者唯一的識別帳號
針對擁有個資存取權限的使用者，必須給予一個唯一的ID，才能允許其存取和個人有關的資料，這樣做的目的在於一旦發生資安事件，才可進行追溯和釐清相關責任。對於採用遠端存取的員工或第三方合作廠商，則採取雙因素身份認證機制，也就是除了使用帳號和密碼來驗證之外，還需要使用如Token、憑證、或生物特徵(指紋)等方式來識別連線的使用者。PCI DSS要求，只要是系統中所需使用的密碼，無論是儲存或傳輸，進行加密是必要的安全措施。

要求9：限制對個人資料的實體存取
針對個人資料的實體存取行為，必須採用監視系統和門禁管理等適當的控制措施，而針對所有包含個資的紙類或電子媒體，都應存放在安全的地點，並採行實體安全保護，無論是內部或外部，含有個人的資料都應該限制發送，而且儲存個資的媒體在離開安全區域之前，也都需要經過管理階層的核准才能放行。一旦含有個資的媒體不再需要保留時，也要按照一定的安全程序進行徹底銷毀。另外，為確保對所有訪客都能被有效管理，可採用訪客識別證或通行卡，在訪客來訪期間的日誌記錄，至少需要保存三個月以上，以確保訪客的活動能夠被稽核。

要求10：追蹤並監控存取各項網路資源和持卡人資料的過程
對於和個人資料有關的所有存取行為，必須建立一個識別程序，來記錄追蹤存取事件，所記錄的內容應包括使用者ID、事件類型、日期時間、成功或失敗、事件來源、受影響的資料、系統元件或資源的ID或名稱。對於這些事件，管理者應定期進行審查，並且妥善保護稽核軌跡以防止日誌遭到竄改，所有的稽核記錄應至少保持一年。

要求11：定期測試系統安全與程序
針對各項資安控制措施，每年應定期實施測試，以確保控制的有效性，每季也至少進行一次內部和外部的網路弱點掃瞄，尤其是在網路發生重大變更之後也要執行一次。而針對可疑的入侵事件，應建立警示和通報的機制，一旦發現網路或主機遭到入侵，或是關鍵系統或檔案受到非授權的更改，都要能夠及時通報相關的人員。

要求12：建立並維護資訊安全政策
組織應建立、發布、維護和宣導一項資訊安全政策，並確保所有員工和合作夥伴，都能明瞭相關的資訊安全責任。在人員管理方面，對於欲聘雇的員工應進行背景的查核，對新進員工則實施有關資訊安全的認知宣導，使所有員工都能了解保護個資的重要性，藉此將來自內部的資料外洩風險降至最低。如果不幸發生了資料外洩事件，組織應依照事先建立的事件回應計劃來處理，而針對所有合作的供應商，在合約中也應清楚註明各項安全要求。

以上，是PCI DSS對於資料保護的安全要求，組織可藉此來一一加以審查檢視，就可找出目前個資防護的不足之處，然後強化安全控制措施。(本文刊載於2010年7月號網管人雜誌)

[觀點] 面對新版個資法的因應之道

Mon, 12 Jul 2010 07:57:00 +0000

隨著新版個資法正式的三讀通過，對於存在於各行各業且為數眾多的個人資料，總算有了保護的法源依據，對於公務機關和企業組織而言，未來若沒有落實個資保護，很可能就會面臨難以負擔的刑事責任和行政處罰。

延宕多年的電腦處理個人資料保護法修正案，總算在今年4月27日順利三讀通過，除了將名稱正式更改為「個人資料保護法」，在法條內容方面也做了一些修訂。尤其在二讀時，針對新聞報導自由的部份，在過程中引起了社會關注與媒體的討論，因此對於媒體報導的內容，是否需要事先取得當事人的同意，還有在Facebook上面分享拍攝的照片，會不會有洩露個資之虞，也作了適當的澄清，以避免民眾誤觸法網。

個資法修正前後的差異

過去在1995年公佈實施的電腦處理個人資料保護法，主要是參照經濟合作發展組織(OECD)所提出的個人資料保護八大原則，也就是要求限制蒐集、資料正確完整、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等原則，以避免個人人格權受到侵害，或是個資遭到不當利用。

當初，因考慮此法頒布實行之後，將會對民間業者衝擊過大，所以將適用範圍限縮在只經電腦處理的資料，適用行業除了公務機關之外，僅有特定的八大行業(徵信業、醫院、學校、電信業、金融業、證券業、保險業、大眾傳播業)受到規範，後來，雖然也陸續透過指定方式，將期貨業、百貨公司、零售業、不動產仲介經紀業、人力銀行等九個行業納入適法範圍，但還是有許多會蒐集、處理、利用個資的企業和團體不在此法律適用範圍內，仍然有不夠完善之處。

新版個資法的修正原則，參照了亞太經濟合作論壇(APEC)隱私保護綱領，將取得個資的事先告知、蒐集限制和預防損害，納入個資保護的規範之內，並且要求各事業主管機關需要負起監督之責，以防範個人資料的不當使用與外洩，其修正重點與前後的主要差異如下：

資料類型與保護範圍擴大 - 電腦處理個人資料保護法的保護客體為經過電腦處理的資料，新法則擴大為不管是電腦處理或人工紙本的資料，統統都受到法律規範。至於適用的行業，過去只有公務機關及八大行業受到法令要求，新版個資法則包括所有個人、法人團體、一般企業等(第2條)，只要擁有個人資料的單位和組織，一律都要遵守個資法的規範。
刑責加重和罰責提高 - 過去若是發生個資外洩事件，民事損害賠償的總額上限為2千萬元，新法則提高至2億元，若被害人不易或不能證明實際損害的金額時，可以請求法院依照受害的情節以5百元以上2萬元以下來計算(第28條)，同時為了方便受害者提出救濟賠償，新法還增加了團體訴訟機制，可透過眾人的力量來集體控訴(第34條)。至於刑事責任方面，若是犯罪人意圖將個資用於營利行為，則可能受到5年以下有期徒刑，併科1百萬元以下罰金，並且被提起公訴(第42條)。
個資蒐集限制與告知義務 - 新法中要求若是有關醫療、基因、性生活、健康檢查及犯罪前科等特種個資，必須在符合法律明文規定的嚴格要件下，才能進行蒐集、處理和利用(第6條)。未來無論是直接或間接地蒐集個資，都必須要盡到對當事人的告知義務(第8條)，也就是要說明蒐集的目的和利用的方式，若是個資遭到不當外洩，資料保有者也必須依法查明後盡快通知當事人，以避免災害的擴大。
個人隱私與新聞自由的兼顧 - 新法二讀之後，在媒體上引起了一陣抗議波瀾，原因是個資法對於隱私的保護太過，若報導時都要對當事人告知並取得同意，在實務方面將會引起爭議與困難。因此在三讀時，為了基於對新聞自由的尊重，特別說明對於大眾傳播業者在進行新聞報導時，若基於「公益目的」(第9條)，則可免為告知當事人，若是和公共利益有關或個資來自於一般可得之來源，也可以進行蒐集或處理。
網路使用個資行為之澄清 - 民眾在部落格或facebook張貼與他人合影的照片，若是屬於單純個人或是家庭生活的目的，則可適用第51條的排除規定。若是蒐集、分享沒有和其他資料結合而可識別出特定個人的影音資料，只要是基於便利性及合照本身的合法使用目的相當明確，也可排除在法規之外。至於人肉搜索的行為，若是屬於公共利益或取自於一般可得之來源，也屬於個資法主張的合理使用範圍內。

個資法重點條文之解讀

新版個資法全文分為六章共56條條款，第一章為總則(第1~14條)，第二章為公務機關對個人資料之蒐集、處理及利用(第15~18條)，第三章為非公務機關對個人資料之蒐集、處理及利用(第19~27條)，第四章為損害賠償及團體訴訟(第28~40條)，第五章為罰則(第41~50條)，第六章為附則(第51~56條)。

關於新法修訂的目的，在第一章第一條開宗明義即提到「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」至於個人資料涵蓋的範圍，第二條明確指出個人資料是「指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」

其中有關個人之醫療、基因、性生活、健康檢查、犯罪前科等，必須在法律明文規定之下，或是公務機關執法或非公務機關履行法定義務，並有適當的安全保護措施下才可進行，若是公務機關或學術研究機構為了醫療、衛生或犯罪預防的目的，也必須經過一定之程序才能蒐集、處理或利用個人資料作為統計或學術研究之用。

個資法實施之後的衝擊

對公務機關而言，在新版個資法實施之後，有許多和過去不同的要求，包括必須要將個人資料保有的依據和特定目的、檔案名稱和類別、機關名稱和聯絡方式公布在網站上(第17條)，換句話說，相關單位如何進行個資的清查和制訂公布的程序，就顯得十分重要。

另外，保有個人資料檔案的公務機關，必須要指定專人來負責個資安全維護事項，以防止個資受到竊取、竄改、毀損或洩漏(第18條)，也就是說，這位專人勢必要對資安防護具有相當的專業知識，才足以擔負起個資維護的重責大任，這對於某些資安專才不足的單位，恐怕也需要一番的規劃與考量，才可推派出適當人選。

對於非公務機關來說，尤其是不屬於舊法適用的企業，由於以往從未受到要求，恐怕在個資相關的作業流程和維護方式，往往是聊備一格的，所以特別需要熟悉新法中的種種要求。例如新法中提到，非公務機關利用個資進行首次行銷時，應提供當事人表示拒絕接受行銷之方式，若當事人表示拒絕接受行銷時，就要停止利用其個人資料來進行行銷活動(第20條)。

新法第27條則要求，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」也就是說企業必須要制訂「個資安全維護計畫」，並且說明業務終止後個人資料的處理方法。未來若是其事業所屬的主管機關或縣市政府，接受檢舉或認為該企業有違反個資法之虞時，可以依照法定程序派員進行檢查，要求相關人員進行必要的說明配合，並提出已盡到個資保護的相關佐證資料(第22條)。若是有違反個資法行為而遭糾舉且屆期未改正者，將會按次處以2萬元以上，20萬元以下的罰鍰(第48條)。

此外，如果發現企業有違法的情形，將會公布違反人員之姓名和負責人(第25條)，若是導致個人資料遭到不法蒐集、處理、利用或其他侵害當事人權利者，還要負起損害賠償責任(第29條)。當然，如果企業能夠自行舉證並證明無故意或過失的責任，則不在此限，但這也就表示，企業若缺少適當的管理制度和表單記錄，要舉證恐怕不是一件容易的事。

請提早因應並做好準備

雖然，目前新版個資法的施行細則尚未完成，還須等待法務部參考多方意見來制訂並進行審查，預估最快也要到明年才會公布實施，因此對於公務機關和一般企業組織，還有一些因應的準備時間，但在此還是要提醒眾多單位主管及企業負責人，個資保護已有如箭在弦上，不得不發，所以提早因應做好準備，才是最佳的應對之道。

如果還不清楚該從何著手，建議先將法條內容瀏覽一遍，明瞭所處單位所受的規範要求，這是初步且必要的工作，然後去清查目前所保有的個資內容與評估其可能的安全風險，接著還需要針對個資蒐集、處理、利用的各個階段，將相關人員應扮演的角色責任明訂清楚，日後一旦施行細則公布之後，就可以參照必要的規範來運作，相信就能大幅降低觸犯法規的風險。(本文刊載於2010年6月號網管人雜誌)

[觀點] BS 10012 個人資訊管理標準簡介

Sun, 06 Jun 2010 14:39:00 +0000

隨著新修訂個人資料保護法已經三讀通過，未來無論是政府機構或是民間企業，只要處理和個人資料有關的業務，勢必就要建立一套有效運作的個人資訊保護制度(PIMS)，而標準將會是最佳的參考指引。

還記得2008年8月，刑事警察局破獲了兩岸駭客和詐騙集團共同聯手，入侵了中華郵政網路銀行，將數十名客戶的存款盜轉走數百萬元，同時也入侵了健保局、教育部和多家電信業者的資料庫，將所得的個人資訊與購物台刷卡資料，共同整合成一個可供搜尋近五千萬筆個人資料庫的事件，讓人害怕的是幾乎從上到下，由政府官員到一般民眾等皆無一倖免。

每天，我們的資料都在政府或民間企業，像是政府各級單位、水力電力公司、戶役政稅務機關、醫院、學校、警察機關、銀行、保險公司、一般企業、零售業、超市、航空公司、旅行社等之中被蒐集、儲存、傳遞和使用，如果你的個人資訊被不安全地處理而遭到惡意人士的盜用，對個人而言，輕則財物受損，重則造成法律糾紛，個人名譽也將受到不必要的侵害，若洩露個資的單位查證屬實，一旦新修正的個人資料保護法三讀通過，也將面臨鉅額的懲罰性賠償。

個資有價，切莫輕忽

從資訊的生命週期來看，個人資訊的產生、處理、傳遞、儲存、復原、銷毀等過程，都需要有適當的安全管控措施，這部份可以透過管理制度的規範，或是技術性的保護，來防止不當處理個資事件的發生。

因此，組織必須要將個人資訊視為有價值的資產，無論其呈現的形式是什麼（例如紙本、聲音、影像、電子檔案等），都必須評估其可能存在的安全弱點，以及可能面臨的威脅，並且透過風險評鑑的過程，來找出其風險的高低，然後針對無法接受的風險，進行風險處理和後續改善行動。

隨著個資外洩事件不斷發生，目前已有許多政府單位與企業，對於個人資訊保護的問題日漸重視，但是卻往往不知該如何著手，找不到一套可以依循的規範與標準。如今，BS 10012的標準內容，正好可做為組織在建立個人資訊保護機制時的最佳參考，藉由標準所提供的基礎架構（Framework），配合PDCA的管理運作方法，能夠透過建立系統化的個人資訊管理制度，來達到保護個資的目的，更可進一步符合個資法規的要求。

重要的資料保護原則

談到資料保護，英國在1998年即制訂了資料保護法案（Data Protection Act 1998），並且在2000年3月公布實施，要求資料控管者（data controller）對於個人資料的取得、使用、儲存、揭露等，必須遵守法律的規範與要求。

其中，資料保護法案所要求應遵守的8項資料保護原則，非常適合各組織作為制定個人資料保護的參考，內容說明如下：

個人資料不可以非法或不公正方式蒐集、處理。
個人資料應限於以特定目的之方式蒐集、處理。
個人資料應以充分、相關，而非逾越其原本之目的處理。
個人資料應求準確，並在必要時及時更新。
個人資料之保存，不得超過其原定目的之保存期限。
個人資料之處理，應依照當事人之權限及法令規範。
組織應採取適當的資料保護技術和措施，防止個人資料遺失或毀壞。
個人資料不得轉移到歐洲經濟區以外的國家或地區。

綜合以上原則所述，組織在蒐集、處理、使用、儲存個人資料時，必須合乎公平正義原則，並依照當初的目的，採取適當的安全保護措施，以確保個人資料的正確與完整。為了使企業能有效保護個人資料，同時符合法規的要求，BSI英國標準協會在2009年5月31日公布了個人資訊管理系統（personal information management system；PIMS）標準，提供個人資訊管理的基礎架構，以作為組織在落實個人資訊保護時的參考。

BS 10012的基礎架構

BS 10012的全名為「資料保護─個人資訊管理系統之要求（Data protection–Specification for a personal information management system）」，其中BS指的是英國標準，後面則為標準編號，至於系統指的是文件化的管理制度，它是由工業、政府、學術、教育、消費者等各界專家代表所共同發展，因此適用於任何組織和公私領域，讓組織的管理階層可以依循參考，亦能作為有效的個資法規內外部的評鑑標準。

BS 10012內容共有7章，第0~2章為標準介紹、適用範圍與名詞定義之說明，第3~6章則為個人資訊管理制度的架構要求，其主要目標說明如下。

計畫與建立PIMS
本章的目標是要規劃建立個人資訊管理制度，以提供符合資料保護法規要求的方向和實務上的良好做法。因此在一開始，組織必須定義個人資訊管理的範圍和目標，並判斷內部有哪些資料屬於個人資訊，以便制訂適合組織運作的個人資訊管理政策。

此一政策必須由資深管理小組（可能包括董事會成員、執行長、資深工作者和組織合作夥伴）來發布，並負起維護和更新之責，在政策中要清楚地讓組織成員了解個資保護的重要性，以及個資處理的原則，要求必須共同遵守，並且融入組織的文化之中，以達成個資保護的目標。

實施與運作PIMS
本章內容是實施與運作個人資訊管理制度的要求，也是標準中內容最多的一章，其目標包括要確保組織已指派適當的負責人選，以便推動並執行個人資訊管理制度，因此需要明確說明資深管理小組成員的工作角色與職責，並且清楚定義其每天的工作任務。

另外，凡是組織內和個人資訊處理有關的單位或部門，也必須推派適當的代表，因為只有實際處理個資的同仁，才明白個資中的機密性與敏感性，透過各個單位負責代表的協助，才可實際進行個人資訊的風險評鑑，以評估目前組織所擁有及處理個人資訊的風險等級。

本章的重點還包括要求組織應對員工實施教育訓練，並確保個人資訊被公平且合法的處理使用，也就是要求從個人資訊生命週期的一開始到最終的銷毀階段，整個過程中是否遵守適當的處理作業流程，是否尊重個人資料所有人的權力，以及採取適當的資訊安全控制措施。

監督與審查PIMS
本章的內容是要求個人資訊管理制度應實施適當的監控與審查，因此組織必須制定稽核計畫，選擇合適的稽核人員依照政策與管理要求，定期地實施內部稽核，以確認管理制度能夠有效地運作。

除了內部稽核之外，組織還必須定期實施管理階層的審查會議，了解個資處理的過程是否有任何的變動，同時也要審查稽核之後的結果，以及是否曾經發生和個資有關的資安事件，以掌握組織個資處理的現況，並適當修訂現行的個人資訊管理政策內容。

維持與改善PIMS
本章的內容是維持與改進個人資訊管理制度，目標是改進整個制度實施的效率及有效性，因此要求從兩個方向來改善。首先是組織應針對可能違反法規的事件，在事先實施預防的行動，並評估可能造成的問題來決定與實施必要的預防措施；其次則是針對管理階層審查的結果，針對不符合政策與標準要求的事項，進行矯正的行動，以求將個資受到不當處理的風險降至最低。

保護個資，刻不容緩

未來隨著新版個人資料保護法頒布實施之後，對於擁有和處理個人資訊的各行各業來說，最大的改變會是什麼？個人認為是組織必須建立一個新觀念，那就是「個人資料是有價的」，再也不能像過去一樣被任意的處理和交換，無論是蒐集、處理、利用都必須要合乎法律規定，如果組織沒有建立有效的個人資訊管理制度，那麼很可能就會不小心觸法而蒙受不必要的損失。

因此，萬一組織仍舊忽視個人資訊的保護，而無法安全妥善地進行處理，根據目前正在修訂中的個資法草案，未來若發生個資外洩事件，當民眾進行受害索賠之時，並不需要負舉證之責。也就是說，洩露個資的單位，必須證明自己無故意或過失責任，才能免於賠償，所以如果沒有文件化的作業流程與記錄，要提出舉證恐怕相當困難，對此管理者請務必要三思才行。(本文刊載於2010年4月號網管人雜誌)