隱私維護 on 資安見聞錄

[新知] ISO/IEC 27701:2019 - 第一個隱私保護和個資管理的ISO標準誕生

Thu, 08 Aug 2019 11:58:00 +0000

有鑑於國際上愈來愈多對於隱私保護和法令法規的要求，以及幾乎所有的組織都會有處理個人資料 (PII) 的情況，保護個人資訊和隱私已然成為民眾普遍的期望。

目前，ISO/IEC 27001已是國際上公認為資訊安全管理系統的首要標準，不過，在隱私保護方面除了所需的資安控制措施之外，如何因應法令法規對於個資和隱私保護的要求，以及從PII的控制者和PII的處理者的不同角度來實現和滿足，這也讓ISO組織開始著手編寫ISO/IEC 27552 (ISO/IEC 27701的前身) 標準，希望在既有的資訊安全管理系統 (ISMS)上，也能延伸補充個資管理系統 (PIMS) 的要求和實施指引。

如今，「ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines」已在2019年8月正式發布，成為全球第一個隱私保護和個資管理的ISO標準。

ISO/IEC 27701的內容分為8個章節如下：

Scope
Normative references
Terms, definitions and abbreviations
General
PIMS-specific requirements related to ISO/IEC 27001
PIMS-specific guidance related to ISO/IEC 27002
Additional ISO/IEC 27002 guidance for PII controllers
Additional ISO/IEC 27002 guidance for PII processors

第一到第三章，主要是適用範圍、參考標準和名詞定義的說明，ISO/IEC 27701適用於任何類型的組織，包括公務機關、民營企業及非營利組織。

第四章則是整體性的說明，包括PIMS的要求如何對應到ISO/IEC 27001的4~10章管理體系，以及PIMS增項的指引如何對應到ISO/IEC 27002的5~18章的控制措施。

第五章和第六章的內容，則是進一步敘述在第四章提到的PIMS對應ISO/IEC 27001管理體系要求和ISO/IEC 27002控制措施實施指引。

至於第七章和第八章，則分別從PII控制者和PII處理者的角度，說明包括蒐集和處理個資的情況和條件、應遵循的個資保護原則、設計和預設的隱私考量，以及個資的分享、傳輸和揭露的增項要求。

最後，在標準的附錄A~F中還補充了PII控制者和PII處理者可參考的控制目標和控制措施，以及對應到 ISO/IEC 29100、GDPR、ISO/IEC 27018、ISO/IEC 29151 的條款編號，並且加上如何應用此標準的說明，對於想要整合多項標準和遵循GDPR的組織而言是很清楚的參考資訊。

[專欄] 讓雲端服務安全維護透明化 - 建立隱私等級協議強化用戶信心與資料安全

Tue, 31 Mar 2015 15:16:00 +0000

隨著雲端服務已廣泛地受到個人和企業所使用，隱私維護與個人資料保護，更是用戶和雲端服務供應商，雙方都必須要重視的課題。對服務供應商來說，透過自我的安全評估並展現保護個人資料的決心，將有助於提升用戶的信心，也能強化市場的競爭力。

目前，許多人對於雲端服務仍裹足不前的原因，有很大的一部份是來自於信任的問題，一旦個人或企業將自己擁有的資料上傳至雲端服務之後，就會擔心資料內容是否可能會被竊取或外洩，進而造成企業重大的損失。尤其是如果資料內容包含了個人資料的話，萬一遭到不當的揭露與使用，更可能會違反法令法規的要求，除了會造成企業的聲譽受損，很可能還要面對法律的懲處與求償。

為了強化雲端服務用戶的信心，並且讓業者能夠主動的自我要求與評估，由雲端安全聯盟(CSA)所發佈的PLA隱私等級協議綱要(Privacy Level Agreement Outline)，雖然其主要目的是為了滿足歐盟(EU)對於隱私保護的要求，其實也非常適合作為雲端服務供應商在保護個人資料方面的參考。

基本上，PLA綱要對於個人資料的揭露、隱私維護、資料保護政策、個人資料的處理與儲存方式等，提供了一個良好的文件化架構，一旦服務供應商完成了這項協議，對於現有的用戶和未來的客戶，就可以根據其所展現的實務做法，評估是否可以滿足個資保護的要求，並且作為在評選服務供應商的重要依據。

建立隱私等級協議的目的

企業若採用了雲端服務，與業者的服務等級協議(SLA)往往是不可或缺的，而PLA即可作為雲端服務協議的一部分，更是服務供應商用來評估現有安全措施的一項工具，除了能夠自行檢測是否遵循了個資法規的要求，所展現的結果也能夠充分展現業者對於資料處理的透明性，以及對客戶資料保護所肩負的責任。

PLA的目標有二個，首先是提供了雲端服務用戶一項工具，可以用來評估雲端服務供應商是否信守承諾去保護個人資料；其次則是針對個資外洩可能造成的經濟損失和違反法規時所造成的影響，提供文件化的合約要求與約束。

在雲端安全聯盟所提出的綱要之中，主要宣示了以下幾個重點：

雲端用戶內部與外部的盡職調查評估(due diligence)
可上傳至雲端服務的個人資料類別
雲端資料處理的方式
資料所在位置、傳輸、保存、監控及安全措施
個人資料外洩時的通報
資料可移動性、移轉和傳輸的後端協助
可歸責性(Accountability)
依法實施的存取行動
補救與賠償

PLA的架構與綱要內容

在PLA隱私等級協議綱要中，一共包括了16項要點，雲端服務供應商可在此陳述其所採取的實務做法，透過自我揭露的方式，讓用戶可以得知有關隱私維護與個資保護的現況，確保得以遵守來自內部與外部法規的要求，以下為各項要點的簡要說明。

1. 識別雲端服務供應商的角色和資安隱私相關人員的聯絡方式
在此可說明雲端服務供應商的公司寶號、代表人和營業地點，以及在資料存取與處理過程中所扮演的角色，還有當用戶有資料安全和隱私相關問題時，提供能夠直接聯絡的管道與窗口，以顯示業者相當重視客戶有關安全的疑慮。

2. 客戶禁止在雲端上傳送和處理的個人資料類別
雲端服務供應商可在此說明用戶要求不能在雲端服務中處理的資料類型，常見的像是醫療資料、犯罪前科等特種個資，可能不太適合以公有雲方式來處理。

3. 在雲端上處理資料的方式
雲端服務供應商在其所提供的雲端服務中，隨著所扮演的角色不同，處理資料的方式也會不同，如果服務供應商是屬於資料處理者(processor)，就必須說明因應資料控管者(controller)所要求的資料處理作法有哪些，其中最重要的就是資料處理者不可任意變更資料處理的目的，同時也包括資料儲存的地點、類型、監控方式等。另外，還需要說明有關資料中心對於個人資料的處理方式、存放地點和備份還原機制，如果雲端服務供應商本身採取了外包商的其他服務(例如Dropbox的儲存空間採用的是Amazon S3儲存服務)，也就需要說明外包商在資料處理過程中涉入的程度、應負的安全責任及確保資料安全的作法。如果雲端服務還需要在用戶的電腦中，安裝附加程式如瀏覽器的plug-in等，也需要一併說明其目的和可能的影響。

4. 資料的傳輸
在此可說明資料在正常營運或是在緊急的情況之下，是否會進行跨境的傳輸與備份，如果跨境傳輸是受到法規限制的，也要說明法令的內容與限制的要求。以歐盟為例，如果資料需要傳輸到歐盟以外的國家如美國，就必須說明法律許可進行的方式，以及是否符合了美國的安全港(Safe Harbor)協議。

5. 資料的安全措施
此處可說明雲端服務供應商為了對抗可能發生的資安事件，例如非法的存取使用、資料的遺失與不當揭露等危害資料安全的情況，所採取的技術面和管理面的做法，確認是否可以達成以下的安全目標。

機密性：說明採取了哪些措施來維持機密性，例如在資料傳輸和閒置時實施加密，或是透過資安政策來宣告只有經過授權的員工才能存取資料，以及要求相關人員簽署保密協議，規範不得任意洩露所得知的機密訊息等。
完整性：描述如何確保資料內容的正確與完整，例如透過加密和電子簽章等機制，確認個人資料內容不會遭到竄改等。
可用性：說明資料的備份與備援機制，一旦資安事件發生時，能夠在多少的時間內回復原有的服務與資料。
隔離性：說明如何有效地控管與監督有權可存取個人資料的行為，例如在賦予角色與權限時，是否秉持了最小權限原則，並且定期的進行權限的檢視與審查等，以避免不當授權的情況發生。而針對雲端服務虛擬主機的使用，可說明如何透過hypervisor的運作與管理，確保在同一實體主機下的所有虛擬主機用戶，不會發生不當的資料存取行為。

此外，如果服務供應商還參考並實施了來自其他國際標準的控制措施，例如ISO 27001、CSA CCM等，也可以一併在此描述所實施的內容和範圍。

6. 監控
描述是否讓用戶有權可針對所上傳的個人資料實施監控，或是能夠定期地進行實地審查，如果服務供應商不允許的話，是否可以提供獨立第三方的監控報告，以及委由公正業者來實施安全稽核。另外，針對資料的存取行為，是否可以提供相關的記錄，以確保有能力可識別出未經授權的存取事件發生。

7. 第三方稽核
說明是否有第三方的獨立稽核報告可以提供給用戶，在報告中應呈現稽核的範圍、時間、頻率及發現等，由於報告中可能包括了服務供應商某些敏感的營運資訊，因此實務上通常也會要求索取稽核報告的用戶，必須要簽署保密協議，以避免營運資訊的不當洩露。此外，如果服務供應商允許用戶可挑選適合的稽核員來實施審查，也可以在此說明相關的作業程序和所需負擔的費用成本等事項。

8. 個資侵害事件的通報
說明萬一發生資安事件，造成個人資料受到不當的遺失、揭露、損毀，以及受到非法的存取與利用時，服務供應商所採取的因應措施與通報方式，特別要指出通報的時間與方式，以避免當事人受到更大的損害。

9. 資料可移動性、移轉和傳輸的後端協助
在此指出可移動資料的格式與關聯性，以及任何與移動的資料、應用程式、服務可能會產生的成本與費用。建議具體說明如何協助用戶，將資料移轉至新的服務業者或是內部的IT環境中，所需的作業方式及必須花費的成本。

10. 資料保存、歸還和刪除
描述雲端服務供應商的資料保存政策，以及當服務終止時，如何歸還或銷毀所保存的個人資料。

11. 可歸責性
描述雲端服務供應商有哪些安全政策和程序，能夠確保所提供的雲端服務已符合法令法規的要求，實務上的作法為保存和維護在資料處理過程中所產生的文件化資料，並且提供可信賴的監控方式和登入帳號的記錄。在此也可標示出服務供應商已取得的第三方驗證證書，說明其適用的範圍和有效期間。

12. 協同合作
說明雲端服務供應商將如何與客戶充分合作，以確保符合法令法規和資料保護的要求，以便取信於用戶，並且因應所屬的主管機關進行的審查。

13. 執行法律時的存取行為
說明如何因應執法單位的要求，對所管理的個人資料來提出適當的回應或揭露，同時也會對利害關係人及時發出通知，並且維持在犯罪調查過程中，需要保護的資料機密性。

14. 補救與賠償
說明如果違反了PLA，在發生資安事件時可以提供給用戶的補救與賠償措施，在雲端服務方面，可能的賠償內容包括了損害事項的回復、進行訴訟的花費，以及合約明訂的賠償金額等。

15. 抱怨與爭議的處理
在與個人資料有關的抱怨和爭議中，提供主要可以聯絡的窗口，說明其接受處理問題的方式、回應的時間等，以及可以提供協助的其他資料保護組織等。

16. 雲端服務供應商的保險政策
說明雲端服務供應商的網路保險政策，以及任何有關安全事件的保險事宜。

遵循法規是雲端服務的基本原則

對雲端服務供應商而言，無論提供的是軟體、開發或基礎設施的雲端服務，一旦以商業化的方式來進行，除了確認能夠滿足用戶的需求之外，遵守合約中明訂的安全規範，以及所在區域的法令法規，將是維運雲端服務的基本原則。

對用戶來說，如果需要上傳屬於個人資料的內容至雲端服務，由於受到個資法的規範約束，尤其要特別小心，除了確保必須符合個資蒐集、處理和利用的要求之外，針對服務供應商的安全審查也是不可或缺的，這時候如果有PLA作為一項隱私保護評估的依據，對業者和用戶雙方都可達到事半功倍的效果。(本文刊載於2014年7月號網管人雜誌)

[參考資料] CSA Privacy Level Agreement Outline

[專欄] 個資保護與隱私維護系列(五) - 保護個資的安全控制措施

Mon, 15 Jul 2013 11:56:00 +0000

上一次我們談到了許多和個人隱私有關的事項，雖然同屬於個人資料，但是在不同行業之間，隨著所適用的法規和客戶的期許不同，對個人資料的保護要求也有所差異，本文則將從評估個人資料的價值談起，探討適用於個資的安全控制措施。

依據個人的觀察，雖然個資法的正式實施，已經讓企業明白保護個資是勢在必行的工作，但是究竟該由誰來負責或主導，仍然存在著許多不同的意見。

有些人認為，公司內部和個人有關的資料，大多存放在人事和財務部門，因此應該要由這些部門來率先實施推動；人事和財務部門則認為，個人資料都存放在公司的檔案伺服器和資料庫中，負責維護管理的是資訊部門，而且個資保護又和資訊安全有關，所以理應由資訊部門來主導；資訊部門則摸著頭殼說，可是這些個人資料都不是由我們來蒐集和利用，充其量只是透過資訊系統來處理儲存而已，應該是由蒐集個資的業務和利用個資的行銷部門來運作才對，怎麼會是我？

探究大家不願意主導或負責的原因，主要還是來自於面對這項新的議題，心裡卻不太清楚究竟該從何做起，如果真的被老闆賦予任務而接手了，與其將燙手山芋攬在自己身上，倒不如一開始就放手把它交給別人來應對就好。

事實上，許多企業在資安方面都已經有所要求，有些甚至都已取得了ISO 27001的資安管理標準認證，如果藉由資訊安全的角度來出發，一樣採取企業風險管理的方式來因應，在個資保護與隱私維護方面，它就會是很好的第一步了。

參考個資保護相關標準

對於個人資料的安全保護，如果還是不了解要如何實施，最簡單的方式就是參考其他也有個資法律國家的相關經驗，或是參考受到國際認可的實務準則和標準。舉例來說，在先前的文章曾經提過的OECD八項隱私保護原則、APEC的九項隱私保護綱領，以及美國的安全港架構協定，就是可用的參考依據。

至於在國際認可的個資保護標準方面，由英國標準協會所提出的BS 10012個人資訊管理標準，也是目前在個資管理方面一項很好的參考來源，它採用了常見的PDCA (Plan, Do, Check, Act)管理流程，可將企業對於個資保護的期許和法律要求作為基礎，進而建立一項個資保護的管理計畫(P)，然後根據這項計畫在企業中實施運作(D)，接著藉由運作過程中所產出的相關文件記錄，透過管理審查和稽核方式進行監督(C)，再依照稽核的結果要求進行改善行動(A)，以確保個資管理制度實施的有效性。

除了英國的BS 10012標準之外，目前由經濟部委託資策會所研擬，針對電子商務業者的「台灣個人資料保護與管理制度(TPIPAS)」，也可作為企業在實施個人資料保護措施的參考。

TPIPAS制度的運作分為三個階段，它先從制度的規劃開始來確立個資保護的要求，然後透過教育訓練的方式來培育所需的建置和稽核人員；接下來則是透過受過訓練的內部人員來自行建置，或是藉由外部輔導顧問的協助，將個資保護與管理制度導入企業之中；最後再由合格的稽核人員進行實地審查，確認制度實施的有效性之後，再向主管單位申請發放合格的隱私標章，以此作為企業落實個資保護的一項證明。

進行個資盤點是第一步

如果企業有心要保護個人資料，就必須要了解目前到底持有多少的個人資料，由哪些部門來進行蒐集、採取什麼方式來處理、存放在什麼地點，以及如何地利用這些個人資料。一般而言，需要先釐清資料的蒐集方式(自動化或人工)，以作為進行個資盤點的基礎，然後再藉由實際的業務流程來追蹤資料的產生過程，接著再清查並掌握部門所持有的個人資料清單，資料清單上面請務必清楚記錄以下幾個重點。

資料的內容：記錄資料的名稱，並且描述是屬於何種業務流程而產生。
資料存在形式：通常資料的形式可簡單區分為紙本和電子檔案兩種。
資料儲存位置：若是紙本文件，記錄其儲存的地點位於哪一樓層與檔案櫃編號；若是電子檔案，則註明其儲存的應用系統、伺服器或資料庫，也可以視情況加入存放的儲存媒體，例如光碟、磁帶、磁卡等。
蒐集目的：說明蒐集的目的為何，這部分可參照由法務部所公布的個資蒐集目的和類別。
蒐集單位：記錄個資是由哪個部門或人員所蒐集的。
處理單位：記錄個資是由哪個部門或人員進行編輯和建檔。
利用單位：記錄個資是由哪個部門來使用，包括可能利用的其他第三方單位。
資料保護措施：說明針對此項個資的保護作法，例如加密、上鎖、權限控管等。

著手評估個資的影響價值

依據個人資料保護法的定義，只要能夠以直接或間接方式識別到特定個人的資料，就屬於應該要妥善加以保護的個人資料。換句話說，個人資料除了常見的姓名、電話、地址、身分證字號之外，可能涵蓋的內容會有百百種，因此到底有哪些資料應該要優先進行控管，就是一個必須要釐清的問題。

從風險管理的角度來看，對企業最有價值的資料，就是萬一不小心遺失、損毀或外洩時，會對企業造成最多損失且影響最大的資料，這也就是首先要保護的對象，但是損失多寡和影響程度到底要如何來判定呢？

判斷個人資料的價值，我們可以從資料本身所具有的機密性、完整性及可用性著手，以機密性而言，取決於所賦予的機密等級，不管是電子檔案或紙本文件，我們都可以將其簡單地分為高度機密、機密、內部使用和公開等級別，在實務方面，只要是包含有個人資料在內的文件或檔案，通常會是屬於機密級別，如果其中包括了敏感個資如健康檢查或醫療記錄，則會指定更高的等級為高度機密。

資料分級的目的，主要是為了確保讓所有人員在處理這些檔案和文件時，明白需要採取的相對安全措施是什麼，例如傳遞屬於機密等級的電子檔案時必須先進行加密，紙本的機密文件則必須要將內容彌封起來；針對高度機密的資料則有更嚴格的身分驗證機制，確保只有少數經過授權的人員才可以存取等，這些都是常見的安全控制措施。

除了機密性之外，我們也要從資料的完整性和可用性來加以評估，判定如果資料內容受到不當竄改或是不正確時，以及資料在特定的時間內無法順利地存取時，對於使用者、部門和企業的衝擊程度有多大，或是估算可能造成的損失金額有多少，一旦發現這些衝擊程度大和損失金額多的資料，肯定就是優先需要實施保護的對象。

制訂個資交換安全政策

在企業中完成個人資料的盤點清查，評估個資可能的衝擊與價值，選擇適當可行的控制措施，並定期的實施內部審查稽核，再針對需要改善的項目採取行動，這些作法都是企業整體風險管理中的一部分，而且是需要持續來重覆進行的。

針對企業可能與外部交換個人資料的高風險行為，建議也要制訂一項資料交換的安全政策，作為企業內部人員可遵循的參考依據，個資交換安全政策的內容重點如下：

交換目的：要求內部人員與外部進行資料交換時，必須明確說明交換的目的，也要事先獲得主管的授權，並將授權的記錄歸檔留存。

交換內容：要求明確說明資料交換的內容是什麼，以及所屬的機密等級為何，如果內容涉及敏感性的個資，需要確認是否符合法律的規定，並且已獲得當事人的同意。

交換方式：要求說明所採取交換資料的方式，例如使用電子郵件、網路FTP檔案傳輸，或是存放在USB可移動式儲存媒體、燒錄光碟，以及透過郵寄、專人送達等。

安全責任：說明個資交換應遵守的法律規定和內部的作業規範，以及內部人員應有的安全責任和外部人員必要的保密要求等。

安全措施：要求依據所交換資料被指定的機密等級，實施相對應的安全控制措施，例如檔案加密和電子簽章、使用可上鎖的容器、專人傳遞和確認當事人簽收等。

交換記錄：針對以上的項目，在資料交換的過程中，要求保存相關的文件化記錄，例如個資交換申請表、檔案傳輸記錄、簽署的保密協定、簽收單據等。

總結

個資保護與隱私維護所牽涉的層面相當廣泛，包括需要理解法律和主管機關的要求、建立管理面的保護制度，以及導入技術面的控制措施等，這些實在不是三言兩語就能交待清楚，並且可以順利完成的。但無論如何，身為資訊相關人員的您，在這場個資保護大戰之中，肯定是不可或缺的一員，與其被動的等待他人要求和執行，倒不如積極地從各個層面去了解可行的作法，持續累積和補充所需的實務知識，然後把它應用在自己的工作之中，藉此也將創造出更寬廣的職場生涯之路。(本文刊載於2013年5月號網管人雜誌)

[專欄] 個資保護與隱私維護系列(四) - 特定行業的個資隱私保護要求

Thu, 06 Jun 2013 14:54:00 +0000

上一次，我們談到了在個資保護與隱私維護方面，因為世界各國有著不同的法律，所以對隱私保護的要求也有所不同，不過基本上，大致仍遵循著一些共通的規範原則，本文將探討不同行業之間對個人資料應有的保護要求。

依據個人資料保護法第二條的定義，只要是得以直接或間接方式，能夠識別該個人之資料，就是屬於受到法律保護的個人資料。換句話說，除了最常見的姓名、電話、地址、身分證字號、出生日期之外，還有許許多多可連結識別到特定個人的資料，這些都是各行各業不可忽視的個人資料內容。

其中比較特別的是在個資法第六條中指出，有關醫療、基因、性生活、健康檢查及犯罪前科等個人資料，除非符合了特定的要件，否則預設是不能夠任意的蒐集、處理及利用的，這也就表示，如果您的組織是屬於經常性的會接觸到這些資料的產業，像是醫院、保險公司、健檢中心等，就更必須明白有些法律針對特定的敏感資料，它的要求與一般的個人資料是不太一樣的。

醫療業的個資保護事項

對醫療業而言，保護病患的隱私，基本上已是醫療從業人員的義務和責任，尤其是關於醫生與患者之間的保密要求，更經常出現在世界各國的醫療法規之中。醫療資訊的重要性，不同於一般個人資料的原因，就在於它明顯的反應了一個人的內在，包括身體的情況和心理的狀態，若是受到不當的揭露，對於個人的衝擊，明顯地大於許多可識別至個人的資料。

換句話說，醫療業者必須要確保醫療資訊的安全和妥善的隱私保護，才能夠獲得患者的信任，使其願意提供個人的身體和心理的真實情況，才可有助於醫生判斷病情，讓病症獲得正確的診治。所以，醫療業者對於個人資料的保護責任不在話下，面對與醫療有關的個人資料蒐集、處理和利用，自是應該遵守個人資料保護法和相關醫療法規的要求，即使有些醫療資訊是為了提供給學術研究或疾病統計之用，也要注意是否已將資料作了適當的匿名化處理，使其無法識別至特定的個人，以免誤觸了法網。

此外，醫療資訊對許多職場工作者來說也是重要的，如果雇主能夠任意地取得員工的醫療記錄，對於評估為可能屬於高風險的員工，有些雇主為了避免付出過高醫療保險費用，可能就會實施惡意性的解雇，或是針對性向不同的員工，主觀認為可能會對其他員工造成影響，而將之惡意性的汰換，導致個人的工作權益受到損害。

金融業的個資保護事項

保護個人金融與信用方面的資訊，是金融業必須重視的要項之一，保護客戶的信用與借貸資料，目的是希望客戶能夠安心地揭露個人的資產與債務情況，有助於銀行業者來評估借貸者的還款能力。另外，確保個人信用資料的安全，也能夠避免個人的身分不會受到非法的冒用，或是個人金融交易受到不當的損害。

許多法規對於金融資訊的保護都有其要求，例如美國在1999年實施的GLBA法案，建立了針對金融機構一系列的個人資料保護要求；日本的個人情報保護法，針對屬於金融方面的個人資料，也有相關的使用規範。而為了進一步確保金融資訊的安全，各國針對銀行幾乎都有對應的法律要求，除了確保從業人員需盡到業務保密的責任之外，若是沒有正當的理由或未經個人同意之下，即使是政府單位想要調閱金融資訊，都可能受到限制，目的就是要保護個人的隱私。

不過近年來，為了反制恐怖行動和反制國際洗錢的犯罪行為，金融業者對於客戶金融資料的保護也面臨了種種的壓力與挑戰，因此在特定類型的交易資料方面，相關的安全機制和通報的要求，就需要多方的審慎考量。另外，透過網路的信用卡支付方面，也有別於傳統銀行業的交易模式，針對線上的身分驗證、資料傳輸及用戶端的個人資料保護，可以參考PCI-DSS標準的內容，實施對應的安全措施。

電子商務的個資保護要求

對電子商務業者而言，主要是透過網站來蒐集和個人有關的各項資料，一般可分為兩種方式來進行，第一種是主動式的蒐集，例如在進行線上交易之前，網站通常會要求消費者必須加入會員才能進行購物，因此就會在網頁上提供會員註冊表單，讓消費者可以採用選單選擇或直接依照項目說明填入所需的資料，最後按下送出即可完成。

第二種蒐集消費者個人資料的方法，是採取被動的蒐集方式進行，也就是電子商務業者會在消費者無法發覺的情況之下，透過網站互動技術像是Cookie，在背景之中蒐集消費者的瀏覽資訊，包括了瀏覽過的網頁、所使用的瀏覽器版本、作業系統，甚至所在的位置等，藉此來追蹤統計消費者的購物和網站使用習慣，作為後續的行銷之用或廣告點選次數計算等。

無論是採取了主動或被動的資料蒐集方式，只要蒐集的資料可以識別到特定的個人，這種行為就屬於個人資料保護法中所定義的蒐集個人資料，因此必須依照法律的要求，除了要說明蒐集的目的，同時也要盡到所謂告知的義務。目前最簡單的實務作法是在網站上提供適當的聲明或是附上隱私政策的宣告，讓消費者可以知道其個人資料是如何被蒐集、處理和利用的。

除此之外，電子商務業者針對網站所蒐集到的個人資料，也必須採取適當的安全措施來加以保護，至少包括了網站本身的主機安全、應用程式與資料庫的安全，以及資料在傳輸時的安全。如果線上交易的對象跨越國界，也不要忘了注意跨國購物和資料跨國傳輸的相關法規要求。

電信業的個資保護要求

憲法第十二條中規定：「人民有秘密通訊之自由。」目就是在確保人民就通訊之有無、對象、時間、方式及內容等事項，有不受國家及他人任意侵擾之權利。依據大法官的解釋，即使國家採取各項限制手段時，除應有法律依據外，限制之要件應具體、明確，不得逾越必要之範圍，所採行之程序也應合理、正當，才能符憲法保護人民秘密通訊自由之意旨。

目前電信業者對於和個人資料保護與隱私維護的重點，大致涵蓋了三個方向，首先是通訊的內容保護，包括了語音通話和傳真數據的內容，還有簡訊或電子郵件的訊息安全；其次是可識別至特定個人的資訊，包括了發話者和受話者的身分，所使用綁定的電話號碼等；最後則是各項的通聯記錄和歷史軌跡資料，從中可以得知過去通訊的時間、使用的設備，甚至所在的地點等。

對於政府和執行單位而言，這些與個人有關的資料是非常具有價值的，尤其是在防制非法活動和犯罪行為調查方面，提供了一個有效而明確的偵辦方向，但從另一個角度來看，這些資料都是屬於個人私密的訊息，而且是憲法所賦予的通訊自由。因此，有關通聯記錄的調閱、通話內容的監聽等行為，應該受到明確的規範、限制授權和合理的實施程序，尤其是非政府單位所提出的通訊監控要求，或是存取相關的通訊記錄，更應該受到嚴格的禁止。

近年來，人們的通訊隱私更是受到一大挑戰，因為只要連接上了網際網路，地理位置等相關資訊就可能受到蒐集和利用，尤其是行動裝置的普及，更可以精確的鎖定精準的位置，所以對於電信業者來說，如何加強內部人員的管理，避免相關的個人資料受到不當的存取，勢必是未來要妥善因應的重要關鍵。

人力派遣業的個資保護要求

目前有許多的公司行號，採用了人力派遣業者所提供的人力資源，所以這些業者手上握有最多的商業資訊，就是各種不同工作者的履歷資料。這些履歷資料可能是工作者自行提供，或是來自於和人力銀行的合作，所包括的個資，除了姓名、連絡電話、學經歷、個人照片之外，可能還包括了親屬聯絡人和身高體重等健康資料。

對人力業者而言，為了符合個人資料保護法的規定，一開始在蒐集個人資料時，就要注意內容是否與該當事人所應徵的職務，有著明顯和正當的關聯，除了工作所需的必要資料之外，其他可能無關的政黨支持、宗教理念、性別傾向及身體特徵等，就不需要過度的蒐集，以免因保護或利用不當而導致不必要的損害發生。

在處理個人資料時，除了要求內容的正確性和確保資料存放的安全外，針對內容的新增、修改、刪除，以及查詢、記錄和更正，都需要有相關的回應處理方式，以符合法律所賦予當事人可對其個人資料主張的權利。

在利用個人資料時，則必須確實遵守與當事人告知的使用目的，如果與當初蒐集的目的不符時，就必須要重新獲得當事人的書面同意。如果相關的履歷資料需要提供給可能的雇主參考時，也別忘了提醒對應的企業人力資源部門，對於所交付的個人資料，也必須盡到所需的保護責任。(本文刊載於2013年4月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(三) - 各國隱私法規與個資保護要求

Thu, 16 May 2013 07:58:00 +0000

雖然隱私的維護要求並沒有國界之分，但各國對於隱私維護所制訂的法規卻有所不同，因此在個資保護方面，也必須依照不同國家的法律規定，評估可能面臨的最大風險，再來實施相對應的控制措施。

針對隱私保護，世界各國的法律要求皆有所不同，主要原因是不同的國家，由於其社會經濟發展的腳步並不一致，因此在保護的重點和程度上，皆有其各自的考量，也衍生出了不同的觀點。

以歐盟為例，它採用了廣泛性的一般適用原則，無論是政府或民間企業，都必須遵守其所頒布的資料保護法規，並且由專責的資料保護機構來予以監督，在這個原則之下，歐盟各國仍然保有其自主彈性的空間，可依據本身的國情與民眾的期待，實施所需的個人資料保護作法，以達成歐盟對於隱私維護的精神。

作為世界另一大經濟體的美國，對於個人資料保護的做法，則是以不同的產業要求作為區分，以金融行業為例，主要保護的對象是客戶的金融訊息和記錄，若是醫療產業，則保護的主體是和個人有關的醫療及健康資訊，不同的產業都有其所屬行業要求的法規，並沒有非常明確的國家法律來要求所有組織都要遵守才行。

至於加拿大和澳洲，其個人資料保護是由各個產業發展出必須要遵守的一套標準，然後再交由隱私的專責機構(資訊隱私委員會)來作統一監督，確保隱私維護與個資保護的相關規定，能夠在所有的行業中都予以落實。

OECD的隱私保護原則

在1980年，由美國、日本和歐洲國家所組成的經濟合作與發展組織(OECD)，公布了一項名為保護隱私與跨境傳輸個人資料的隱私指導原則，成為了世界各國最廣泛認可的實務參考，同時也受到美國聯邦貿易委員會(FTC)的支持，它提出了以下八項隱私保護原則，非常適合組織作為制定隱私保護政策時的參考。

限制蒐集原則 - 強調個人資料的蒐集應受到限制，並且要在公平合法的情況下被取得，同時以適當的方式來取得當事人的同意。
資料品質原則 - 個人資料的內容應與蒐集的目的有關，或是符合其使用目的而產生的必要性，個人資料的內容必須確保正確與完整性，並且及時地更新。
目的明確原則 - 個人資料的蒐集目的，必須在開始蒐集時即明確指出，隨後在利用這些個人資料時，也必須限制在目的之內，日後若需要變更時，更要明確指出其變更後的利用目的為何。
利用限制原則 - 個人資料不應在特定目的之外被揭露或利用，除非已事先獲得當事人的同意或有相關法律作為依據。
安全措施原則 - 針對個人資料可能發生遺失、不當存取、使用、修改、損毀及揭露的風險，應採取相對適當的安全控制措施，以降低可能的風險。
公開原則 - 對於個人資料的發展、實務和政策的制定，應依據公開的原則來進行，針對個人資料持有的種類和使用目的，以及資料控管者的連絡方式，應公開並且易於讓當事人知悉。
個人參與原則 - 個人資料的當事人，應保有以下的權利：(a)有權利向資料控管者或持有之組織，確認是否保有和其有關的個人資料；(b)在合理的時間和費用範圍內，以合理的方式和可了解的形式，向組織查詢和其有關的個人資料；(c)針對所提出的查詢或主張的權利若遭到拒絕時，可以提出異議要求說明；(d)若所提出的異議成立時，可要求組織刪除、變更、修改、補充其個人資料。
責任原則 - 個資的控管者必須負起相關責任，並要求落實以上提到的各項隱私保護原則。

歐盟的個人資料保護指令

在1981年，歐洲的議會針對自動化處理的個人資料，通過了個人保護協定(COE convention)，它所要求的個人資料保護原則和OECD類似，可作為歐洲國家在制定個人資料保護法令的參考。到了1990年代，由於歐洲各國在個人資料保護方面仍缺乏一致性，加上實務面各國都有跨境傳輸個人資料的需求，可是在取得當事人的同意和接收國的保護措施方面，要求的程度都有所不同，因此促成了歐盟起草資料保護指令(EU Data Protection Directive)的契機。

歐盟的個資保護指令在1995年被採納，並且在1998年正式生效，對歐盟的會員國而言，只要是遵守個資保護指令的國家，也就等同於採納了各國所屬的個人資料保護法，可以獲得跨境傳輸資料的允許和信任。事實上，歐盟的個資保護指令的確在歐盟會員國之間產生了個資保護的關鍵性作用，而隨著資訊科技的演進，在2012年個資保護指令已進行了更新與修改，期許未來不只在歐洲地區，對歐盟以外的國家也可提供重要的隱私保護資訊與要求。

APEC的隱私保護綱領

對亞太地區而言，於1989年成立的亞太經濟合作組織，則是扮演了重要的經濟與文化交流的推手，針對隱私維護與個人資料保護的要求，在2003年所成立的隱私保護小組也致力於此項議題的發展，並於2004年11月正式通過了隱私保護綱領(APEC Privacy Framework)，包含了以下九項的隱私保護原則。

損害避免原則 - 針對當事人對於其個人資料的合理期待，針對可能損及當事人權益的風險，應採取適當的風險處理措施以避免損害。
告知原則 - 在蒐集個人資料時，應告知當事人被蒐集的目的、資料類型、蒐集者的聯絡方式與當事人可主張的權利。
限制蒐集原則 - 個人資料的蒐集應與被告知的目的相關，要求採取公正的方式進行，並且限制其所蒐集的範圍。
利用原則 - 個人資料的利用應獲得當事人的同意，並且僅限於當初所蒐集的目的範圍內，不可任意作為其他的用途。
選擇原則 - 當事人應被提供可選擇的權利，能夠針對其個人資料的蒐集、處理和揭露，主張其個人的意願和選擇。
完整原則 - 個人資料務必確保其正確與完整，並且要持續地更新以維護當事人的權益。
安全原則 - 保有個人資料的組織，應針對可能的安全風險，實施對應的安全控制措施，以避免個人資料受到不當的揭露與損毀。
存取和更正原則 - 組織應提供個人資料的當事人，可在合理的時間內，以適當的方式對其個人資料提出查詢和閱覽的請求，並且不得無故拒絕其補充或更正的申請。
責任原則 - 保有個人資料的組織，應負責遵守法規和個資保護的責任，尤其當資料需傳輸至第三方和不同國家時，務必要求以對等的保護方式來維護當事人的隱私和資料安全。

美國的安全港架構協定

目前有許多的組織，在網站的資料收集和隱私權政策中，經常會提到它們會遵守所謂的「安全港架構(Safe Harbor Framework)」，到底這是什麼樣的架構？和隱私保護有什麼關係？必須要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的協定，可以減少或消除當事人在法律的責任，但其要件是當事人的各項行為，必須能夠履行良好的誠信原則，或者符合所定義的法規標準。

目前美國和歐盟都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，為了避免資料在跨國傳輸時，被認定為保護措施不足而受到限制，歐盟在2000年時認可了只要是符合安全港架構的組織，歐盟的成員國就可允許其傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的組織也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

如果想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，每年以書面方式向相關單位證明確實遵循了安全港的隱私原則，以達到美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。關於安全港的隱私原則，共有以下七項要求：

告知 - 組織必須告知當事人關於其個人資料的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及提供可用來限制使用和揭露的選擇。
選擇 - 組織應給予個人選擇同意或退出的機會，選擇是否提供可將個人資訊透露給第三方或用於不符合當初蒐集目的的授權，組織必須尊重當事人依其權利所作法的選擇。
轉送 - 若組織要將個人資訊揭露給第三方，必須符合以上提到的告知和選擇原則，同時若作為轉讓資訊的代理人，必須確保第三方同樣遵守安全港隱私保護原則，像是訂立書面協議，要求第三方至少也要提供相同水準的隱私保護方式。
存取 - 個人擁有合理存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非此要求將產生和個人隱私不相稱的風險，或是會侵犯到其他人的權利，組織才可拒絕提供。
安全 - 組織必須採取合理的預防措施，保護個人資訊不會遺失、被濫用，以及受到未經授權的存取、洩露、竄改和毀壞。
資料完整性 - 個人資料必須使用於和蒐集有關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期合理的使用、正確完整和及時更新。
執法 - 為了確保符合安全港的隱私保護原則，組織必須：(a)建立易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)若未遵守原則時，必須負起矯正所產生問題的義務，同時制裁措施必須夠嚴格，未符合要求就無法列入安全港組織清單中。組織如果未能提出年度的自我認證書，也會被從參與者名單中除名，組織遵守安全港的利益也將無法被保證。(本文刊載於2013年3月號網管人雜誌)

[參考資料]

1. IAPP - Information Privacy (Official reference for CIPP)

2. U.S.-EU Safe Harbor Overview - http://export.gov/safeharbor/

[專欄] 個資保護與隱私維護系列(二) - 個資保護與隱私維護的基本原則

Tue, 23 Apr 2013 14:08:00 +0000

隨著個人資料保護法的實施，個資保護已成為政府與企業不得不進行的重要工作之一，但是在立法的精神之中，除了強調個資保護責任，隱私維護更是不可或缺的重要支柱，如果無法維護個人隱私，也就意謂著個資保護一定不夠周全。

在資安的領域之中，若是談到資料的保護，實施起來並不是一件十分困難的事，只要組織的管理階層願意提供支持，同時參考資安相關的標準來建立管理制度，並且採取適當的技術控制措施，在資安方面，即可達到一定程度的防護要求，也能大幅降低因發生資安事件而對營運造成衝擊的風險。

不過，只要在保護的資料之中牽涉到個人資料，並且含括了隱私維護的要求，單靠技術層面的控管，恐怕就不足以因應法律層面的要求。因此，如果要落實個人隱私維護，就需要補充更多對法令的認識，以及對於個人隱私的認知與尊重，這和單純的資安防護比較起來，有著相當不同的思維與因應作法，也是一項更加多元的挑戰。

近代隱私維護發展的歷史

所謂的隱私，指的是個人能夠自由地選擇在什麼情況之下，向哪些人揭露多少程度的個人資料和行為，主張個人有權利去保護針對個人生活與家庭可能產生的直接侵擾，並且限制與個人有關的資訊被發布。

從歷史發展的角度來看，隱私的概念最早源自古希臘和聖經，在回教可蘭經中也有相關的記載，對支持隱私權的人士來說，在1890年由Samuel Warren和Louis Brandeis在「The right to privacy」這篇論文中所提到的「the right to be let alone」，已成為支持隱私權最重要的引用基礎。

至於現代第一部個人資料保護法，是在1970年由德國公布，主要目的是因應資訊科技的高度進步和發展，可能會對個人隱私所造成的影響；同年，美國也誕生了第一部有關隱私的法律，但主要是針對保護消費者的信用資訊。而隱私保護最知名的論點，則是來自於小說「1984」裡的老大哥隨時都在看著你(big brother is watching you)，讓人們得以了解個資保護與隱私維護的重要性。

個資的類別與區分原則

依據個人資料保護法的定義，所謂的個資是指可以直接或間接識別到特定個人的資料，這部分與歐盟的個資定義相同，換句話說，只有屬於可識別到個人的資料，才會受到個資法的保護。因此，如果有些資料加以去識別化，或是採取匿名或遮蔽的方式，就不適用於個資法的要求，即可歸屬於非個人資料。

在個資法尚未實施之前，大多數企業對於資料保護的要求，主要都是針對非個人資料，包括像是營運資訊、研發產權、產品與服務資訊等，所採取的方式也比較簡單，只需保護資料本身即可，不需要兼顧所謂的個人隱私要求。只不過，在所謂「可識別至特定個人」這條線之間，仍然存在的許多模糊地帶，例如以網路IP位址為例，到底它是否屬於個資，在不同國家的法律和法庭之間，就有著不同的認定方式。

以歐盟(EU)而言，IP位址是被視為可識別至特定個人的個資，美國聯邦貿易委員會(Federal Trade Commission；FTC)也認為，若IP位址與醫療健康資訊有關，就會被認定為個資之一。但是，在愛爾蘭的法庭卻認為，IP位址並不構成所謂個人資料的要件，因此不被視為是需要保護的個資。

從隱私的角度來看，目前與個人資料有關的隱私類別，可以區分為以下四類。

資訊隱私：包括了醫療資訊、金融資訊、網路使用與社交活動記錄等，主要關注於需建立規則來妥善地管理和個人資料有關的蒐集與處理行為。

身體隱私：與身體有關的隱私包括了所進行的身體檢查、藥物測試、基因測試，也包含了和個人有關的血統、墮胎、收養等資訊，它主要專注在與個人身體有關的各項行為。

通訊隱私：要求保護與個人通訊有關的意圖和內容，包括了傳統信件、電子郵件、電話溝通及其他可用來實現通訊行為的軟硬體設備，像是現今流行的即時通訊App等。

領域隱私：它是和個人環境有關，這些區域包括了個人住宅、工作場所和公共區域等，主張可以用來侵擾他人領域的能力，都應受到適當的限制，例如架設可監控錄影的攝影機、要求出入需要檢查身分證件，以及其他類似的做法等。

企業面臨的個資與隱私風險

為了保障個人隱私和說明個資被蒐集的情況，許多組織都會在其用來蒐集個資的管道中，透過個資保護政策(policy)或隱私聲明(notice)來告知使用者，這些隱私政策和聲明的目的，除了可以宣達組織的個資保護責任之外，同時也是為了教育使用者的隱私觀念。

對組織而言，由於隱私所牽涉的範圍很廣，可能包括了個人、法律和商業運作等諸多層面，加上許多的隱私保護要求，也是來自於法律法規、產業協定和商業合約等，除了需要考慮這些外部要求之外，內部的聲音同樣也不能忽視，包括像是保護員工個人資料、提供工作場所的隱私維護、實施資訊系統的監控與記錄等，都是企業在評估個資與隱私風險時，不可遺漏的一環。

為了有效管理個資與隱私所帶來的風險，最簡單的方式是從個資生命週期來著手，以下是在各個階段需要審慎考量的重點。

蒐集階段：個資的蒐集應受到適當的限制，更要取得當事人的同意，以避免過度蒐集。舉例來說，以往一些大賣場在舉辦抽獎活動時，總是要求消費者必須在抽獎券上填寫其個人資料如姓名、電話、身分證字號等，但讓人無法理解的是，難道沒有身分證字號就無法進行抽獎嗎？其中之一的解釋理由是因為獎品有課稅問題，所以就必須要填寫身分證字號，可是事實上，如果已經有了姓名和電話，在中獎之後再通知中獎人填寫即可，若在一開始的時候就強制要求，這就是所謂的過度蒐集了。
處理階段：所謂處理是指將所蒐集的個人資料編輯成為個人檔案的過程，在這個過程之中，必須確保資料的正確性與完整性，並且實行安全措施以防止資料受到未經授權的竄改。處理過後的資料，組織通常會加以儲存，在儲存時必須注意資料所存放的地點是否安全，以及指定所需保存的期限。
利用階段：組織必須確保個人資料的利用需符合當初蒐集時所告知的使用目的，並且限制只能在此範圍內利用。如果需要做不同的用途時，依照個人資料保護法的規定，必須重新取得當事人的書面同意才行。
傳輸階段：個人資料在傳輸時，必須注意所使用的資料載體是否安全，最常見的載體包括了網路和可移動式儲存裝置(如USB硬碟、隨身碟、光碟、磁帶等)。在透過網路傳輸時，請務必採取加密的方式(如SSL或VPN)，至於使用可移動式儲存裝置時，則需要了解原先設定的權限控管方式，若無法延伸至這些設備上時，就要採取補償性的控制措施才行，像是對資料進行加密，或採用可上鎖的箱子來攜帶資料，這些都是實務上可行的辦法。
銷毀階段：一旦個人資料過了需要保存的年限，最好的方式就是把它銷毀，以降低持續保管可能帶來的風險。對硬體設備而言，實體破壞是確保資料完全消失的最好作法，其他可採取的方式還包括低階格式化和消磁等。至於紙本文件的銷毀，則可採取集中焚毀或是水銷方式進行，目前也有業者提供了可全程監控，並且附上證明的資料銷毀服務。

尊重個資當事人應有的權益

對個資的當事人來說，除了應告知其個資將如何被蒐集之外，最重要的前提是必須獲得當事人的同意才行，因此蒐集個資的組織除了提供明顯的宣告之外，並且也要明確陳述其利用目的，以便足以讓當事人明瞭並獲得其同意。

目前，個人資料來源主要有以下三個：

公開記錄：通常是由政府來蒐集並提供公開查詢，例如房產交易與地政資訊等。

公眾可得的資訊：指容易被大眾所取得的個資，包括電信公司提供的用戶電話簿、報章雜誌、媒體報導，以及今日最常見的網路搜尋引擎、社群網站等，可由此輕易獲得眾多和個人有關的資訊。

非公開的資訊：指受到法律保護或依慣例不太容易被取得的資訊，包括了醫療記錄、金融交易資訊、員工受雇資料等。組織在蒐集個資時，還必須要給予當事人選擇提供與否的權利，實務上常見的作法為提供「Opt in(選擇參與)」和「Opt out(選擇退出)」這二種方式。Opt in是指當事人主動地確認其個人資訊可被蒐集或分享給第三方，例如在填寫會員申請表時主動勾選同意分享其資料供其他合作廠商作為寄發廣告之用，或是願意收到來自第三方所寄送的產品資訊。另一種Opt out方式，則是提供給當事人退出的選項，例如在加入網路新聞論壇時，若當事人未勾選拒絕接受所傳送的電子郵件訊息時，相關的訊息將會持續發送給當事人，直到其主動表達拒絕為止。

如今，依據個人資料保護法所賦予當事人的權利，當事人可以向持有其個資的組織，要求提供查詢、閱覽其個資檔案或是提供複製本，並且也可以要求組織補充、更正或刪除其個人資料，甚至可要求停止蒐集、處理和利用其個資。

因此，組織務必要指派相關人員，並且制訂一項個資查詢回覆的作業流程，以因應當事人依法所提出的請求。對許多組織而言，從現在開始理解並尊重個資當事人的隱私權利，或許就是邁向善盡個資保護責任的第一步了。(本文刊載於2013年2月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(一) - 資訊科技隱私專家證照–CIPP/IT

Sat, 23 Mar 2013 00:47:00 +0000

隨著個人資料保護法的正式上路，身為資訊人員的您，除非本身具有法律背景，否則面對多如牛毛的法條與施行細則，在日常的IT維運中是否真能派上用場，若心中還是存疑的話，或許就該尋求其他的因應之道了。

在IT維運的日常工作之中，除了近年來日漸受到重視的軟體版權問題之外，資訊人員和法律打交道的機會幾乎是微乎其微，尤其是對於所謂的個資保護與隱私權概念，恐怕也是一知半解。但是隨著個人資料保護法已經正式實施，在許多的企業之中，個資法所要求的個資保護相關工作，許多責任都落到了資訊人員身上，這也驅使資訊人員必須要去學習這門新的顯學。

對資訊人員來說，法律知識是有專業門檻的，學習的重點也不是要去詮釋個資法條的意義，而是要將個資保護與隱私維護的精神，落實在日常的資訊工作之中。只是目前許多由法律專家所提出的建議，不見得能夠完全應用在資訊系統，所以到底該如何找到一個因應方法，就成為資訊人員頭痛的問題之一。

為了因應個資法，有人提出應該要先建置各項資安產品，如果沒有採用相關技術來確保資訊安全的話，想要達成個資法的要求，幾乎是項不可能的任務。事實上，雖然落實資安的確是個資保護的第一步，但是，企業如果想要遵循個資法的要求，除了導入資安技術之外，更需要懂得隱私相關的領域知識與管理實務做法，才能夠有效地達成個資法中對於個資保護與隱私維護的目標。

國際認可的隱私保護專家

目前，在國際上和個資保護與隱私維護有關的組織單位中，IAPP(International Association of Privacy Professionals)國際隱私專家協會是最大且廣泛受到全球企業認可的非營利機構，它成立於西元2000年，在全球70個國家之中有超過一萬名的專家會員。

IAPP的營運宗旨是希望協助各個產業和組織，能夠有效地保護其所控管的個人資料，並且提供給所有個資保護與隱私維護有關的從業人員，一個獲得教育訓練、知識交流和經驗分享的平台，同時也讓隱私專業人員在職業生涯中能有更好的發展。

在2004年，IAPP率先提出了針對隱私相關從業人員的CIPP(Certified Information Privacy Professional)認證考試，並且發展出橫跨美國、加拿大、歐洲和資訊科技產業的多項資訊隱私專家認證，一共包含了CIPP/US(美國)、CIPP/C(加拿大)、CIPP/E(歐洲)、CIPP/G(政府)及CIPP/IT(資訊科技)等五種證照，分別說明如下。

CIPP/US - 主要是針對美國的隱私法律和各州頒布的個人資料保護和隱私維護法規要求，取得此一認證的人員，可顯示其已熟悉美國本土相關的隱私保護法規和所需職責，並且了解敏感的個人資料從美國傳輸至歐洲或其他國家的法令規定。

CIPP/C - 主要是針對加拿大的資訊隱私法，對於想要取得此一認證的人員，必須熟悉加拿大聯邦和各省的隱私保護原則、要求及相關責任。

CIPP/E - 它是針對整個歐洲國家個人資料保護法、歐盟重要的隱私保護綱領、個資保護的實務做法及跨國資料傳輸的要求，想要取得此一認證的人員，必須了解歐洲法律法規的要求及實務上的規範才行。

CIPP/G - 這項認證主要是提供給與美國政府單位相關合作的人員，能夠了解美國政府的隱私法規和特定政府部門的個資保護要求，同時相關的隱私維護知識，也適用於其他公眾事務與私人企業。

CIPP/IT - 這項認證主要是適合資訊相關從業人員，若是取得了此一認證，可以展現個人已了解各項資訊科技產品與資訊服務，在研究、開發、部署和稽核的過程中，能夠應用個資保護與隱私維護的實務作法，充分地了解並滿足相關個資與隱私法規的要求。

資訊人員必備的隱私知識

目前，許多資訊人員為了獲得與個資保護有關的專業知識，除了瀏覽個資法律條文或參加資安研討會之外，並沒有適當的管道可提供足夠的個資保護與隱私維護專業訓練，尤其是許多負有重責大任的資訊人員，也不清楚自身的專業知識技能，是否已足以應對個資法對於資訊系統的要求。

因此，透過CIPP所提供系統化的知識領域要求，無論是從頭開始學習個資保護與隱私維護領域知識，或是驗證自己的資安專業技能是否已經足夠，可將它視為是一項自我審查的好方法。如果您想要取得這項認證，首先必須要加入成為IAPP的會員，並且通過Certification Foundation基礎考試，接下來才能依照自己的專業領域或需求，選擇想要取得的證照。

CIPP基礎考試的時間為90分鐘，一共有90個單選題，考題所涵蓋的知識領域(Common Body of Knowledge)包括了個資保護與隱私維護的共通概念與國際通用的原則，無論是屬於哪個國家或產業的人員，都必須要對這些知識有一定程度的熟悉與了解，主要涵蓋的四個領域如下：

隱私維護的一般原則與方法 - 應考人員必須了解近代隱私維護發展的歷史、個資保護的架構與原則、個人資料的類別與定義、個資保護與隱私維護對企業可能的風險與衝擊，以及資訊的生命週期。
司法管轄與產業要求 - 應考人員必須了解不同地理區域與國家，對於個資保護與隱私維護的法令要求，也要了解包括健康醫療、金融、電信、線上網站、政府、行銷、人資等不同產業對於隱私維護的要求。
資訊安全與個資保護措施 - 應考人員必須熟悉有關資安的各項基礎知識，像是確保資訊安全的關鍵要素、ISO 27001資安管理標準、資安威脅與弱點的識別、資安控制措施等。
線上隱私維護 - 應考人員必須了解含有個人資料的網站，應如何落實個資保護與隱私維護，並且熟知網站安全機制和確保線上隱私的各項基本要求。

掌握資訊科技的隱私風險

在通過CIPP基礎考試之後，接下來還需要參加額外的單科考試，才能正式取得CIPP提供的任一專業證照，CIPP/IT的考試時間為70分鐘，需要完成作答60道試題，考題所涵蓋的知識領域包括：

系統活動對使用者隱私的影響 - 應考人員需要了解系統中所包含的個人資料類別與處理流程、了解系統開發過程中的隱私維護、了解資料存取儲存與傳輸的安全，以及如何將隱私要求納入系統設計之中。

使用者對隱私的行為要求與期望 - 應考人員必須了解當資訊系統作為服務提供給使用者時，使用者對於隱私維護的期許作法，例如在電子商務服務中使用確保個人隱私與權益，定義營運人員的個資保護職責，以及系統監控的作法與要求等。

個資保護與隱私維護的方法 - 應考人員需要了解資訊系統可實施的保護作法來消弭與法規要求的落差，並且熟悉可以採用的安全技術與隱私維護工具。

提供告知與選擇 - 應考人員需要明白如何在資訊系統之中，提供法律所要求的告知事項和使用者所需的隱私選項，並且獲得使用者的同意。

稽核與實施IT相關隱私標準 - 應考人員需要了解在資訊服務中，所適用的個資保護與隱私維護法規標準，例如ISO 38500、COBIT、ITIL、PCI DSS、HITRUST等，同時也要熟悉如何進行個資保護與隱私稽核，以及明白IT稽核員應有的角色與職責。

不同資訊技術所帶來的隱私衝擊 - 資訊科技不斷地發展進步，面對各項新興的資訊服務，像是雲端應用、RFID、GPS與GIS地理資訊系統、身分識別技術等，應考人員必須了解其可能帶來的隱私衝擊與風險。

學習是資訊時代最好的投資

對於資訊人員而言，透過準備並取得CIPP/IT認證的過程，可以強化自己對於個資保護與隱私維護要求的專業能力，尤其是一旦被組織指定為個資工作負責人或窗口，將有充分的自信與實務知識，能夠協調人員、分配資源、指派工作以達成個資法的各項要求。

CIPP/IT認證的好處是它不限定在國家、特定產業和工作職務，無論您是系統操作人員、程式開發人員、硬體研發人員、IT經理、網站管理人員、法務人員、資安人員等，都可以藉由閱讀考試教材或參加課程訓練，來補足自己在個資保護與隱私維護的專業認知與實務技巧。

目前，除了各國政府單位之外，包括了IBM、HP、Intel、微軟、Ernst & Young、PWC、KPMG、Deloitte等四大會計事務所都是國際上認可CIPP證照的企業之一，在這新的一年，如果您有志於朝向個資保護與隱私維護的工作目標發展，或許CIPP/IT就是您的最佳入口了。(本文刊載於2013年1月號網管人雜誌)

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

[參考資料] https://www.privacyassociation.org/

[觀點] 個人資料的資安控制措施

Tue, 27 Nov 2012 15:15:00 +0000

在個人資料保護法尚未三讀通過之前，個資保護並不是一個受人矚目的熱門議題，個人資料頂多只是附屬在資訊安全工作中，需要被記錄的一項資訊資產。

雖然資訊安全是一項重要的工作，但是在過去，對於許多企業組織而言，卻不見得是一項必須要達成的營運目標，只有那些具有遠見的管理人員，為了降低可能因為駭客入侵或不當存取而產生資料外洩的營運風險，或是受到上級主管機關要求的政府單位，才會認為資訊安全是一項需要落實的工作項目，進而要求各個部門需要強化資訊安全。

如今，隨著個人資料保護法的實施，個資保護已成為一項勢在必行的工作，許多過去未曾在意資訊安全的企業組織，突然之間被要求需針對個人資料進行保護，並提出因應的相關做法，這時候往往都會感到不知所措。

即使是過去已經導入資訊安全管理標準ISO 27001的單位或是已具有資安風險意識的組織，在面對個資保護議題時也會出現一個很大的疑問，那就是現在已進行的資安工作到底等不等於個資保護工作？這是一個值得探討的問題。

保護個資先從重視資安開始

若是從個人資料與隱私維護的角度出發，我認為可以把資訊安全視為是一項必要的基礎工作，這也就是說，如果一家企業，它的資訊安全做不好的話，想要達到個人資料保護，似乎是不太可能的事。

因此，我們除了依照個人資料保護法條款的要求，必須盡到個人資料蒐集、處理和利用等相關責任義務之外，或許應該先回歸到資訊安全的基礎，針對個人資料來思考一些技術面或管理面的辦法，實施適當可行的資安控制措施，以確保個人資料的機密性、完整性及可用性。

所以，面對個人資料保護法的種種要求，基本上我們可以依照「大處著眼，小處著手」的策略來因應，首先請把握住大方向的資訊安全原則，再選擇可以針對個人資料實施保護的做法，這樣才不會流於只是東拼西湊，最終自亂陣腳而失去方向。話雖如此，那麼到底應該要從何處開始來著眼與著手呢？

對組織來說，建議可以從個人資料生命週期來予以著眼，也就是思考如何在個人資料的蒐集、處理、利用、傳輸及銷毀的過程中，都能實施相對應的管理辦法。目前，這部份可以參考國際經濟合作發展組織(OECD)和亞太經濟合作組織(APEC)的隱私保護原則來進行。

舉例來說，在個人資料保護法中，「蒐集」是指以任何方式來取得個人資料，而OECD和APEC針對個人隱私保護的指導方針中，就提到了個人資料的限制蒐集和告知原則，要求對於個人資料的蒐集應該有所限制，並且應該採用公正、合法的方式，在當事人同意之後才可以進行蒐集，同時也要透過隱私保護政策的聲明，讓當事人能夠清楚其個人資料被蒐集的類別和使用目的。依據這些可供參考的國際原則，我們就可以一一以文件化的方式來制訂相關的個資管理辦法。

至於小處著手的部分，我們可以將確保資料的機密性、完整性、可用性，作為個人資料的基本保護要求，使位於各處的個人資料都能受到妥善防護，以避免可能發生違法或損害組織的資安事件。

維護個人資料的機密性

想要達到維護個人資料機密性的目標，建議採取的資安控制措施，至少要包括資料分級和加密機制。針對資料的分級，相信許多人都知道，不管是紙本文件或電子檔案都可以依照其機密性來分為公開、內部使用、機密等各項級別，但是千萬別忽略了資料分級的目的，不僅僅是為了分級而進行，而是要讓所有人員能夠清楚在處理這些資料時，應該要採取的相對安全作法是什麼，所以除了要定義企業組織中的資料屬於何種級別之外，也要清楚說明其對應要求的安全措施。

例如以個人資料來說，為了尊重個人隱私並符合法律的要求，我們通常會將含有個人資料的文件或檔案，指定它屬於機密等級，因此在實務作法上，為了確保資料的機密性，針對含有個人資料的資訊系統，建議要實施身分驗證和權限控管，以確保只有經過授權的人才可存取。

另外，針對儲存個人資料的主機和資料庫，也要安裝防毒軟體或入侵偵測系統，並且定期修補、檢測是否存有安全漏洞。如果個人資料若需要透過電子郵件傳送給其他人，那麼就應該採取郵件的加密技術，或是針對附加檔案使用常見的壓縮加密方法，以避免電子郵件中途受到攔截，或是因為不小心寄錯收件人，而導致嚴重的個資外洩。

在此要特別提醒大家注意，資料加密只是為了確保內容不會受到不當揭露的基本作法，加密技術的本身並無法確認傳送資料的來源就是正確的傳送者，所以更好的作法是再搭配可識別身分的數位簽章，以確認資料來源的正確性與合法性。

維護個人資料的完整性

所謂資料的完整性，是指資料內容不會受到不當的竄改，並且能夠確保資料在處理和儲存時的正確與完整。因此針對個人資料，我們需要採取有效的身分驗證和授權方式，以確保唯有合法的使用者才能依照其權限來存取編輯個人資料。

針對身分驗證，基本上有三種應用方式，分別為你知(what you know)、你有(what you have)，你是(what you are)。

「你知」是最常見的一種身分驗證方式，例如個人帳號和密碼，幾乎是所有資訊系統都會內建的一種安全機制。在這個機制之中，要注意的是密碼本身是否要求一定長度(例如8碼以上)，具備足夠的複雜度(例如英文大小寫、數字及符號混合)，並且定期(例如3個月)要求使用者更改。

「你有」則是利用實體的憑證和Token等，來佐證其為帳號的合法使用者。

「你是」則是採用生物特徵，例如指紋、聲紋、臉型、虹膜等方式來確認使用者的身分。

如果存放個人資料的系統，能夠採取兩種以上的身分驗證方式，即是所謂的雙因素驗證，其系統的安全強度將遠高於僅採取一種像是帳號密碼的驗證方式。而除了身分驗證和授權之外，保存系統相關的日誌記錄(log)也十分重要，日誌記錄必須能夠完整的記錄系統的存取過程，因此管理人員所面臨到的第一件事，就是需要確認如何蒐集、如何存放，並且保護哪些日誌記錄。

系統的日誌記錄還需要定期的審查，因為它可能指出了正在發生的安全事件，所以一項好的日誌記錄管理系統，至少要能夠廣泛的支援常見的系統、網路、應用程式等所產生的日誌檔案，並且可以實施正規化以進行相關事件的彙整分析，同時也要儲存原始的記錄，以便作為未來訴訟的事件證據。在個人資料保護法中，和個人行為(如瀏覽網頁)有關的軌跡記錄，可能也歸屬於是一種個資，因此同樣需要實施妥善的保護。

維護個人資料的可用性

所謂的可用性，是要確保個人資料能夠在需要使用的時候可以被順利地存取，換句話說，可能會影響到資料存取使用的風險都應該被考量。一般而言，為了確保系統不會受到像是病毒、阻斷服務攻擊等事件，導致系統當機或網路中斷，間接影響資料無法存取的情況發生，安裝防毒軟體、防火牆、入侵偵測系統，已經成為一項基本的安全配備。

如果為了進一步確保和個資存取相關系統的可用性，事先選擇有效的資料備份方式、資安事件處理流程與災難復原計劃就顯得相當重要。在資料備份方面，通常可採取增量備份、差異備份和完整備份等方式，在此需要考量的重點是資料復原點(RTO)的設計，這就牽涉到企業組織必須評估自己能夠忍受多久的資料無法存取的時間。

另外，一旦資安事件發生時，相關部門必須思考其因應的處理作法，過去許多資安事件的處理可能會被歸於資訊部門應該負責的事，但是隨著資料的主體為個人資料時，和個人資料有關的其他部門，都應被納入來一併思考。

舉例來說，一旦發生員工的個資外洩事件，蒐集和處理員工個資的人力資源部門就需要了解可能的發生原因，並且通知當事人目前的外洩情況；儲存個人資料的資訊部門可能需要調閱個資存取的系統日誌記錄；法務部門可能需要評估法律相關的適用條款與賠償問題等。以上這些問題說來簡單，但往往是個資法實施之後的最大挑戰，因此若能及早因應的話，就能有備而無患了。

[觀點] 工作職場個資與隱私保護

Wed, 21 Nov 2012 14:11:00 +0000

隨著個人資料保護法的正式實施，目前與個人隱私保護有關的議題也逐漸躍上檯面，事實上，個人隱私是屬於憲法保障的人格權之一，因此對企業雇主而言，除了含有隱私的個人資料檔案，必須要有妥善的防護措施之外，如何去尊重員工的個人隱私權，確保工作職場的隱私保護，已是責無旁貸需要重視的地方。

依據個人觀察，有些企業老闆因為擔心員工將公司的網路、電腦拿來公器私用，所以喜歡安裝一些網路監控或電腦監看的軟硬體，以達到監督員工的目的，卻不知道在未告知員工的情況下，擅自實施這樣的作法，很可能已經侵犯到員工的隱私權。

最近，由某家人力資源業者所公佈的一份調查發現，有五成的上班族在求職時，曾遭遇過雇主詢問個人隱私的問題，包括像是身體特徵、婚姻情況、政黨問題等，這項結果也引發立委提案要求修正就業服務法，增列要求雇主不得詢問與工作內容無關的個人隱私資料。

隨著社群網路的興盛，所引發的隱私問題也更受到民眾的關注，這也促使相關業者，像是微軟和Google紛紛增聘了隱私保護專家和律師團隊，處理來自於產品或應用服務本身，所引發的隱私問題。對此，Facebook甚至打算修改隱私政策，禁止公司和政府單位查看求職者的詳細社交資訊，並且由隱私長公開聲明，提醒雇主不得在面試時，要求求職者必須交出個人的Facebook帳號和密碼，因為這將會涉及侵犯隱私，並且可能需要承擔法律的責任。

工作職場個資注意事項

對大多數的企業而言，人力資源部門(HR)是蒐集個人資料的主要窗口，HR所接觸的個人資料，可概分為求職者與內部員工的資料。對求職者來說，想要應徵獲取一份工作，就必須要準備好自己的履歷，無論是自行投遞，還是透過人力銀行業者來發送，在這份履歷之中，至少會提到個人的姓名、住址、電話、學歷、工作經歷、自傳等資訊。

如果HR因為求職者沒有被錄取，不去善盡保管責任而任意棄置履歷，很可能就會損害到個人的隱私。另外，即使求職者順利應徵成功，依約定日期至公司報到之後，通常也需要按照HR的要求，填寫員工的個人基本資料，而在這份資料之中，對於隱私的揭露程度將來得更高，因為員工可能需要填上出生日期、身高體重、服役記錄、個人照片、親屬資料和緊急聯絡人等，關於這些資訊是否都要一一揭露，蒐集的目的到底是什麼，未來隨著個資法的要求，HR必須要了然於心才行。

所以，人力資源部門的朋友們，請務必注意了，一旦個資法實施之後，貴部門可能就是首當其衝的單位，為了因應法規的要求，以往人資單位的個資蒐集流程，像是新人報到需填寫的資料內容，可能就要進行適法性評估，對於這些所建立的員工個人資料檔案，也要建立足夠的安全控制措施。換句話說，在蒐集、處理和利用員工個人資料方面，基本上就要注意以下幾點：

在蒐集個資時 - 是否已依照法令規定告知當事人，所蒐集個人資料之目的和利用範圍等相關資訊。HR要注意所蒐集的個資內容，是否與該員工負責的職務有明顯的關聯需要，以避免個資的過度蒐集。基本上，應避免蒐集太過敏感的隱私資料，例如醫療、基因、性生活、健康檢查和犯罪前科，除此之外，包括宗教理念、性別傾向、政黨理念、身體特徵等，也要盡量加以避免。如果真的需要蒐集敏感個資，那麼就要清楚所引用的法源依據為何，以免受到員工的質疑。

在處理個資時 – 個資的新增、刪除、修改，是否有妥善的身分驗證與存取控制，對於資料的保管地點與保管方式，也要實施安全強度的評估，尤其是存放個資檔案的主機和相關設備，是否有足夠的安全機制，以確保資料的機密性與完整性。另外，也需要制訂個人資料的查詢處理流程，以回應當事人對主張個資權利時的查詢請求。

在利用個資時 – 考量相關的使用是否符合當初的蒐集目的，並且在合法的範圍之內，如果利用目的與當初蒐集時不符，就要重新取得當事人的書面同意。在資料交換方面，萬一個資需要進行跨國的傳輸，就要考量當地的法律限制，並採取加密的保護方式，同時要求對方也要盡到個資保護責任。最後，與個資有關的查詢、調閱等，都要留下記錄，以作為實施資安稽核時的參考。

尊重工作場所的個人隱私

在工作場所中與隱私有關的事項，最常見的就是對於場所的監控錄影，事實上這已是一種普遍的行為，雇主為了要確保資產的安全，在重要的出入口設立門禁管制、監視系統、進出登記等，這些都可以被大多數的員工接受，因為這同時也保護了員工在工作場所的安全，但建議應該在新進員工訓練時，進行相關事項的說明。

隨著資訊科技的發達，現在針對資訊系統的監控也變得非常容易，比較正面的作法像是病毒的偵測、垃圾郵件的過濾、應用系統的存取活動記錄等，這些都是比較容易能夠讓員工理解與接受的行為。但是在這些範疇之外，是否會有假藉監控之名，而行侵犯隱私之實，這就存在著許多模糊的空間。

例如，有些公司會以資產管理名義，以桌面拍照、鍵盤測錄的方式，記錄員工所輸入的所有內容，來掌握員工對內對外的資訊溝通行為。另外，也有公司會監看即時通訊軟體所傳送的資訊，並且記錄利用電腦上網所瀏覽的網站和停留時間。以上這些作法，是否會觸犯隱私相關法律，這些需要留給法律專家來予以解讀，但站在資安管理的實務面來看，建議公司若要進行資訊監控，務必要在管理政策中，公開說明是為了何種目的以及如何來實施，藉由預先告知員工公司的監控行為，取得員工的同意之後再來進行，將可大幅減少有關隱私侵犯的爭議。

以電子郵件的監控而言，有些公司會事先向員工聲明，所提供給員工的各項資訊設備，皆是屬於公司資產，僅限於與工作目的或業務方面的使用，其他與工作無關的個人資料，請勿放置在公司電腦上，也不要透過公司的電子郵件系統來進行發送。而為了能夠有效確保資訊安全，公司保有檢查郵件系統的權限，在過程之中，有可能會檢視到屬於員工帳號的郵件內容，請員工務必要小心注意。在實務方面，若能透過以上的事先聲明，再取得員工同意進行簽署，這種事先告知且尊重員工的作法，會比較容易讓員工理解並接受。

個資安全是兩方皆有的責任

對雇主而言，一旦員工進入公司任職，公司就必須依照內部的管理制度和相關法律，審慎並尊重員工的隱私，直到雇用關係終止，甚至在終止之後仍要盡到法律要求的保密責任。所以在個人資料的處理和利用方面，原則上就應該秉持公開、合理的目的，並且事先讓員工知情，同時管理階層也需要建立明確的個人資料與隱私保護政策，切實遵守以符合員工對於個人隱私保護的期待。

最後，如果不是雇主，而是有員工蓄意違反公司的隱私政策，意圖窺探、濫用或竊取他人的個人資料，針對員工違反個資保護的行為，雇主應該要如何處理呢？建議可以依照以下的步驟來實施：

記錄員工的基本資訊，包括姓名、部門、到職日期、直屬主管、訓練記錄等。
完整描述員工的不當行為，包括日期、時間、違反的行為舉動等。
準備與個資保護有關的法規，包括公司的個資保護政策、個資法條款內容等。
正式發函給員工，通知並要求其立即改善不當的行為，確認此通知函已傳達給員工，保留文件和簽署記錄等。
在通知內容中，說明如果員工行為未實施改善，其可能面臨的懲處後果，提醒這些不當的行為記錄也將呈現在其員工檔案之中。
如果事件已超出公司管理的範疇，則可依照合約或訴諸法律途徑來解決。

在現今的工作職場之中，有關個人隱私保護的相關權責仍然曖味不明，許多員工為了擔心飯碗不保或升職考量，只能選擇默默承受一些不公平的待遇。但雇主的監控行為到底是為了資安管理？還是侵害隱私？這其中的確存在著一條難以界定的界限，只能呼籲雇主務必要參照法律要求和資安專家的建議，審慎地因應以避免觸法了。

[觀點] 網站隱私與個人資料保護

Mon, 12 Nov 2012 15:10:00 +0000

Google之前宣佈，為了精簡與整合60多項所提供的服務使用條款，包括了搜尋、電子郵件、影片、地圖等服務，將在2012年3月1日起實施更新的隱私權政策。雖然Google表示此一調整將讓隱私政策更加簡單易懂，而且絕對不會販售使用者的個人資訊給第三方，仍然在國內外引起了許多的意見與關注，歐盟隱私單位甚至提出在相關的調查結束之前，希望Google能暫緩實施新的隱私政策內容。

目前，透過網站蒐集資料是最簡便快速的方式，組織要如何因應個人資料保護法的要求，確保個人隱私和資料安全，已是必須要審慎因應的重要課題。

對大多數的組織而言，關於個人資料的蒐集，主要區分為二種方式，一種是非自動化的蒐集，也就是所謂傳統的資料蒐集方法，透過人為訪談記錄或填寫紙本文件來取得個人資料；另一種則是自動化的蒐集，也就是透過網站和應用程式來獲得個人資料。

網站蒐集個資的行為

線上服務業者透過網站來蒐集和個人有關的資料，也可分為主動和被動二種模式，主動模式是指透過網頁提供的表單空格、單選或複選的選項、下拉式選單等項目，讓使用者依照網頁說明來輸入或選擇對應的資料。在蒐集時應注意只蒐集必要的資訊即可，並且清楚標示需要使用者提供的內容，讓使用者能夠明白哪些是必要的資訊、哪些則是可以自由選擇是否填寫的內容。

至於被動的蒐集模式，則是指在使用者比較無法察覺的情況下，蒐集使用者瀏覽網頁的行為或使用網站互動功能的記錄，這種蒐集方法，主要是透過一些技術性的措施來達成，例如使用Cookie、Web beacon來獲得使用者的裝置資訊、位置資訊、應用程式版本、偏好語言等資料。

大多數的網站都會使用Cookie來追縱記錄使用者的瀏覽行為或身分資訊，Cookie是一個非常小的文字檔案，在瀏覽網站的時候會儲存到電腦中，它的內容包括了識別名稱或號碼、網域名稱及有效日期等，當使用者下一次再瀏覽同一個網站時，透過Cookie就可以識別使用者，並且自動載入使用者的偏好設定。Web beacon則是一個很小的單點圖像，通常是放在電子郵件中來判斷使用者是否已經開啟郵件，也可以和Cookie搭配使用，用來記錄使用者所瀏覽的特定網頁資訊，以及作為瀏覽人數的計算或廣告點選次數統計等。

無論採取主動或被動的蒐集模式，組織透過網站蒐集個資的行為，都必須要盡到告知使用者的義務，目前最簡單的方式是透過網站蒐集資料聲明或是隱私政策宣告，讓使用者能夠得知個人的資料是如何被蒐集，以及如何被利用。當然，使用者最關心的是所有被蒐集的個人資料，是否會受到妥善的防護，避免不當的揭露或對隱私造成損害。

網站個人隱私政策

在網站的個人隱私保護政策中，建議業者必須具體說明蒐集資料的目的、蒐集的方法，以及將會如何處理和利用。一般而言，至少需要說明以下項目：

所蒐集的資訊內容 – 網站所主動蒐集的資訊，可能包括要求使用者提供姓名、住址、電話、出生日期、電子郵件等，若網站提供了電子商務服務，也會要求提供信用卡號碼和帳單寄送地址等項目。至於被動蒐集的內容，則可能包括時間、日期、使用者裝置的IP位址、作業系統類型、網頁瀏覽器版本、頁面瀏覽的記錄、搜尋的關鍵字內容、點選連結的網址、地理位置資訊等。透過以上這些資訊，將可以用來了解使用者的瀏覽偏好和顯示個人化的廣告內容等行為，建議業者應該在隱私政策中清楚說明所有可能主動或被動蒐集的資訊內容。

隱私政策適用的範圍 – 說明隱私政策是否適用於網站業者提供的所有服務，或是僅限於特定服務的內容，尤其像是網站如果提供了廣告服務，或是某些互動服務可能連結其他特定網站，也需要讓使用者明白隱私政策是否同樣適用這些服務。

資訊的利用與揭露 – 以使用目的來說，蒐集這些個人在網站上的使用資訊，主要是為了搭配網站所提供的互動功能，或是提供使用者更快速的服務，當然也可能是為了提供更精準的個人化廣告。在隱私政策中，業者需要說明所蒐集的資訊將會如何使用，例如用來聯絡通知業者所提供的產品或服務資訊，或是顯示個人化資訊內容和廣告服務。同時如果還需要與其他組織分享所蒐集的資訊，也必須清楚說明使用者的權利並告知使用者，個人資訊若未事先獲得使用者同意，將不會對第三方揭露各項資訊內容，但若是為了因應法律要求，則將會依照相關規定提供執法單位所需要的資訊。

使用Cookie和Web beacon – 大多數的網站都會使用Cookie或Web beacon來追蹤使用者的行為，在隱私政策中，應說明使用者是否可以決定接受或拒絕Cookie，或是刪除已接受的Cookie內容。目前大多數的網頁瀏覽器，都可以讓使用者決定是否自動接受Cookie或是僅接受當下所瀏覽的網站所傳送的Cookie，同時，使用者也可以自行刪除過去瀏覽時曾經接受的Cookie。但是，業者也必須說明若使用者不接受Cookie時可能會造成的影響，包括像是無法使用網站特定服務，或是不提供的網站廣告和互動功能。

如何確保個人資訊的安全 – 說明所蒐集的資訊儲存方式和存取機制，以及所遵守的法規和所採取的安全控制措施，例如說明當個人資訊透過網路傳送時，資訊內容將會採取加密方式，以避免受到不當的竄改或揭露。

使用者的權利 – 說明使用者是否可檢視及編輯網站上的個人資訊、是否可要求更正無法自行變更的資訊、是否可要求停止接收網站所提供的個人化資訊服務如廣告顯示方式和行銷電子郵件等。

隱私政策的變更流程 – 說明隱私政策可能會不定時進行更新，以符合服務的內容和相關法規及客戶的要求，在變更生效之前，業者將會採取公告方式，或是個別寄送郵件通知給使用者，以告知所變更的各項內容。

業者的聯絡方式 – 說明若使用者對於隱私政策的內容有意見或問題時，要如何與業者聯繫，通常可提供寄送問題的電子郵件信箱，或是提供電子表單讓使用者自行填寫，也可以直接提供業者的服務電話等。

落實網站個資安全

在隱私政策之中，說明並強調業者所採取的資訊安全措施，也是贏得使用者信賴的一個重要項目。除了基礎的安全技術，像是防火牆、主機安全防護和存取身分驗證之外，建議業者對於網站提供的安全機制，至少還需要包括二大層面，分別是資料傳輸的安全和應用程式的安全。

針對網站資料傳輸，目前最常採用的就是SSL加密機制，在傳輸像是密碼、帳戶等敏感資訊時，可以透過它提供所需的基本安全防護。至於應用程式的安全，則包括了業者在網站應用服務建置的初期，針對應用程式安全就要有妥善的考量，例如使用安全的開發工具、避免使用含有弱點的程式語法，以及進行應用程式弱點掃描、網站滲透測試等，這些都是業者可用來強化安全的實際作法。

除了業者所宣稱的安全措施之外，對使用者來說，也可以透過第三方所提供的信任標章，作為對個人隱私保障判斷的依據。業者想要獲得標章，就必須遵守對於隱私保護的各項要求，例如需要實施的安全技術和管理機制，並且通過定期的稽核，並提出相關報告，才能取得資格在網站上展現此一標章，讓使用者可以驗證其所提供的隱私保護。

目前，國外有三大標章是可信賴網站的象徵，分別為TRUSTe、BBBOnline和WebTrust，在國內則有經濟部針對電子商務產業，所推動的台灣個人資料保護與管理制度(TPIPAS)，其中所提供的資料隱私保護標章，也可作為使用者在進行線上交易或使用網站服務時的隱私保護參考。