經濟部標準檢驗局個人資料保護管理作業程序

要旨

內文

第一章 總則

一、為使本局及各分局於蒐集、處理或利用個人資料符合法規及契約之要求，避免因內部、外部、蓄意或意外之各種威脅及破壞，致個人資料被竊取、竄改、毀損、滅失或洩露等風險，避免人格權受侵害，並促進個人資料之合理利用，爰訂定本作業程序以利遵循。

二、凡本局及各分局執行職務所蒐集、處理或利用之個人資料，應依本作業程序辦理，不論個人資料保存之型式（例如以紙本或數位方式保存）、由本局及各分局自行或委託執行、人員為本局內部正式、臨時、聘僱、派駐、替代役或契約委託之人員，或執行地點於本局及各分局內部或外部。

三、（刪除）

四、有關個人資料保護之相關用詞，依個人資料保護法（以下簡稱本法）及其施行細則規定之定義。

有關電子文件及電子簽章之相關用詞，依電子簽章法及其施行細則規定之定義。

五、本作業程序規定之事項及其辦理之法規依據如下：

(一)人員及資源配置：本法第十八條及本法施行細則第十二條第二項第一款。

(二)個人資料蒐集、處理或利用作業程序：本法第十八條及本法施行細則第十二條第二項第五款。

(三)受理當事人權利行使之作業程序：本法第三條、第十條、第十一條、第十三條及第十四條。

(四)個人資料盤點及風險評估作業程序：本法第十八條、本法施行細則第十二條第二項第二款及第三款。

(五)事故之預防、通報及應變作業程序：本法第十八條及本法施行細則第十二條第二項第四款。

(六)認知宣導及教育訓練作業程序：本法第十八條及本法施行細則第十二條第二項第七款。

(七)個人資料安全管理作業程序：本法第十八條、本法施行細則第十二條第二項第六款及第八款。

(八)使用紀錄、軌跡資料及證據保存作業程序：本法第十八條及本法施行細則第十二條第二項第十款。

(九)委外監督作業程序：本法第四條及本法施行細則第八條。

(十)資料安全稽核程序：本法第十八條及本法施行細則第十二條第二項第一款。

(十一)持續改善作業程序：本法第十八條、本法施行細則第十二條第二項第九款及第十一款。

第二章 人員及資源配置

六、本局設個人資料保護推動執行小組（以下簡稱本小組），依「經濟部標準檢驗局個人資料保護推動執行小組設置要點」（以下簡稱設置要點）辦理本局及各分局個人資料保護之管理審查及審議相關事項。

七、本局及各分局應依「經濟部標準檢驗局個人資料保護管理作業要點」（以下簡稱作業要點）指定專責人員及設置聯絡人員，依規定辦理相關作業。

八、前點聯絡人員應製作及更新「個人資料保護相關人員名冊」（附件一），並送本小組行政組彙整，使其保持最新狀態。

第三章 個人資料蒐集、處理或利用作業程序

九、個人資料之蒐集、處理或利用，應以誠實信用方式為之，不逾越特定目的之必要範圍、並與蒐集之特定目的有正當合理關聯。

十、本局一級單位及各分局於本法施行後新增蒐集、處理或利用個人資料，應詳為審核蒐集資料項目之必要性、依據及各項作業流程，並應確保對個人資料之保護及管理皆符合相關規定，且預先防範可見之個人資料安全風險。

本局一級單位及各分局於辦理前項新增蒐集、處理或利用個人資料前，應填具「個人資料蒐集、處理、利用查檢表」（附件二），簽奉核定後為之。

前項業務如須蒐集、處理或利用一人以上之個人資料或為執行業務而有必要持續蒐集、處理或利用個人資料時，得以一次性簽奉核定為之。

前二項核准「個人資料蒐集、處理、利用查檢表」（附件二）紀錄，應與作業計畫檢核之公文書一併保存，以利查核，並應保存至資料刪除後五年，即已超過本法第三十條規定當事人損害賠償請求權消滅時效之文書，始得以銷燬。

十一、個人資料之蒐集，應依下列程序辦理：

(一)蒐集個人資料時，應有特定目的並符合本法第十五條規定之特定情形。

(二)蒐集個人資料之特定目的，以「個人資料保護法之特定目的及個人資料之類別」規定者為限。

(三)向當事人（即個人資料本人）蒐集個人資料時，應明確告知當事人下列事項：

1.機關或單位名稱。

2.蒐集之目的。

3.個人資料之類別。

4.個人資料利用之期間、地區、對象及方式。

5.當事人依本法第三條規定得行使之權利及方式。

6.當事人得自由選擇提供個人資料時，不提供對其權益之影響。

(四)有下列情形之一者，得免為前款之告知：

1.依法律規定得免告知。

2.個人資料之蒐集係公務機關執行法定職務或非公務機關履行法定義務所必要。

3.告知將妨害公務機關執行法定職務。

4.告知將妨害公共利益。

5.當事人明知應告知之內容。

6.個人資料之蒐集非基於營利之目的，且對當事人顯無不利之影響。

(五)蒐集非由當事人提供之個人資料時，應於處理或利用前（或於首次對當事人為利用時併同為之），向當事人告知下列事項：

1.個人資料來源。

2.機關或單位名稱。

3.蒐集之目的。

4.個人資料之類別。

5.個人資料利用之期間、地區、對象及方式。

6.當事人依本法第三條規定得行使之權利及方式。

(六)有下列情形之一者，得免為前款之告知：

1.有本法第八條第二項所列各款情形之一。

2.當事人自行公開或其他已合法公開之個人資料。

3.不能向當事人或其法定代理人為告知。

4.基於公共利益為統計或學術研究之目的而有必要，且該資料須經提供者處理後或蒐集者依其揭露方式，無從識別特定當事人者為限。

(七)以本法第十五條第二款「經當事人同意」之方式蒐集個人資料時，應備妥「個人資料蒐集、處理、利用同意書」（附件三），以取得當事人同意。

十二、個人資料之處理，應依下列程序辦理：

(一)處理個人資料時，應有特定目的並符合本法第十五條規定之特定情形。

(二)處理個人資料之特定目的，以「個人資料保護法之特定目的及個人資料之類別」規定者為限。

(三)個人資料之正確性：

1.為維護個人資料之正確性，於記錄、輸入、編輯、更正個人資料時，應檢查確認。

2.保有之個人資料有誤或缺漏時，應由資料蒐集單位簽奉核定後（附件四：公文申請補充、更正個人資料），移由資料保存單位更正或補充之，並留存相關紀錄。

3.因可歸責於本局及各分局之事由，未為更正或補充之個人資料，應於更正或補充後，由資料蒐集單位以通知書通知曾提供利用之對象。

(四)個人資料之刪除（銷毀）：

1.本局一級單位及各分局應定期檢視個人資料之有效性及可用性，刪除或銷毀不必要之個人資料。

2.保有個人資料蒐集之特定目的消失、期限屆滿或違法蒐集時，應主動或依當事人之請求刪除或銷毀該個人資料。但特定目的消失或期限屆滿時，因執行職務所必須或經當事人書面同意者，不在此限。

3.依前目規定刪除或銷毀個人資料時，應由資料蒐集單位簽奉核定後（附件五：公文申請刪除、銷毀個人資料），移由資料保存單位刪除或銷毀。

4.刪除或銷毀個人資料時，資料保存單位應以適當方式記錄並確認其執行結果。

十三、個人資料之利用，應依下列程序辦理：

(一)利用個人資料時，應於法定職務之必要範圍內並與蒐集之特定目的相符。

(二)不得非法利用個人資料，並不得為資料庫之恣意連結，且不得濫用。

(三)以本法第十五條第二款「經當事人同意」方式蒐集個人資料時，對於個人資料之利用應符合該同意書所載之內容，包括個人資料利用之期間、地區、對象、方式及其他相關事項。

(四)特定目的外之利用：

1.對於個人資料之利用，如有特定目的外利用之情況，應符合下列情形之一：

(1) 法律明文規定。

(2) 為維護國家安全或增進公共利益所必要。

(3) 為免除當事人之生命、身體、自由或財產上之危險。

(4) 為防止他人權益之重大危害。

(5) 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。

(6) 有利於當事人權益。

(7) 經當事人同意。

2.對保有之個人資料有特定目的外利用之需求時，個人資料之利用單位應詳為審核，填具「個人資料檔案特定目的外利用查檢表」（附件六），簽奉核定後為之。

3.以本法第十六條但書第七款「經當事人同意」之方式對保有之個人資料為特定目的外利用時，應備妥「個人資料特定目的外利用同意書」（附件七），以取得當事人同意。

4.依本法第十六條但書規定對個人資料為特定目的外之利用，個人資料之利用單位應將個人資料之利用歷程做成紀錄。

5.含個人資料檔案於非法定業務或當事人同意之目的外利用前（例如編輯成開放資料供統計等用途），得參考 CNS 20889「隱私增強資料去識別化術語與技術分類」執行去識別化，確認檔案內之個人資料無法再識別後，方得使用。

(五)個人資料檔案之利用，於不顯示當事人個人資料明細時，宜遵循「個人資料隱碼規則」（附件八），對所利用之個人資料進行遮罩，以保護當事人之資料隱私。

(六)已歸檔不再利用之來自第三方之個人資料，首次再利用時，準用第十點規定辦理。

十四、個人資料之停止蒐集、處理、利用：

(一)個人資料之蒐集、處理或利用有違法之情事時，應主動或依當事人請求停止蒐集、處理或利用該個人資料。

(二)保有個人資料之正確性有爭議、蒐集之特定目的消失或期限屆滿，應主動或依當事人之請求停止處理或利用該個人資料。但因執行職務所必須或經當事人書面同意，於個人資料正確性有爭議時並經註明其爭議者，不在此限。

(三)依前二款規定，擬停止蒐集、處理、利用個人資料時，應由資料蒐集單位簽奉核定後（附件九：公文申請停止蒐集、處理、利用），移由資料保存單位停止處理或利用該個人資料。

(四)個人資料已停止處理或利用者，資料保存單位應確實記錄。

十五、施行前所保有個人資料檔案之利用：

(一)中華民國一百零一年九月三十日以前，已蒐集或處理由當事人提供之個人資料，得繼續為處理及特定目的內之利用。

(二)對前款個人資料為補充、更正、刪除、銷毀、或特定目的外之利用者，應依本法、相關法令及本作業程序等有關規定辦理。

第四章 受理當事人權利行使之作業程序

十六、當事人依本法第十條或第十一條第一項至第四項規定請求查詢、閱覽或請求製給複製本、請求更正、補充、刪除、停止蒐集、處理或利用其個人資料時，應填具「個人資料當事人權利行使申請書」（附件十），並檢附相關證明文件，以親自持送或郵寄方式提出申請，並由資料蒐集單位受理及承辦，文件內容如有遺漏或欠缺，應通知申請人限期補正。

申請事項如涉及個人資料之補充或更正，應請當事人載明記載錯誤或不完整事項、更正或補充之理由，並提出相關證明文件。

十七、當事人權利行使應由當事人本人提出申請，承辦人應確認申請人身分，並得於申請人填妥基本資料後，請求出示相關證明文件。

如本人無法親自提出申請，得委由代理人為之。委由代理人申請時，應出具「個人資料當事人權利行使申請委託書」（附件十一）及雙方之證明文件。

十八、承辦人確認申請人身分後，應進行請求內容之審核，並於審核期間內，經簽奉核定後以書面通知申請人准駁之決定及後續處理情形。

承辦人對於當事人請求答覆查詢、提供閱覽或製給複製本者，應注意有無下列不予核准之事由：

(一)妨害國家安全、外交及軍事機密、整體經濟利益或其他國家重大利益。

(二)妨害公務機關執行法定職務。

(三)妨害蒐集機關或第三人之重大利益。

十九、承辦人對於當事人請求刪除、停止（違法）蒐集、處理或利用其個人資料時，除應注意蒐集之特定目的是否消失或期限是否屆滿，並應注意有無執行職務所必須之否准事由。

二十、當事人依本法第十條規定提出之請求，應於十五日內為准駁之決定。必要時，得予延長，延長期間不得逾十五日，並應將其原因以書面通知申請人。

二十一、當事人依本法第十一條第一項至第四項規定提出之請求，應於三十日內為准駁之決定。必要時，得予延長，延長期間不得逾三十日，並應將其原因以書面通知申請人。

二十二、申請案件有下列情形之一者，應以書面駁回其申請：

(一)申請書內容或相關文件有遺漏或欠缺，經通知限期補正，逾期仍未補正。

(二)有本法第十條但書各款情形之一。

(三)有本法第十一條第二項但書或第三項但書所定情形之一。

(四)與其他法令規定不符。

二十三、當事人請求查詢、閱覽或製給個人資料複製本者，準用「經濟部及所屬機關提供政府資訊收費標準」收取費用。

二十四、當事人請求查詢、閱覽或製給個人資料複製本者，應由資料蒐集單位派員陪同為之，並依「檔案法」、「政府資訊公開法」或「經濟部標準檢驗局檔案應用暨閱覽政府資訊作業須知」辦理。

二十五、當事人請求查詢、閱覽或製給個人資料複製本之檔案，若非屬秘書室收存已辦理完竣之檔案，則由資料蒐集單位安排其他適當之安全地點（閱覽人不能觀視本局作業，其他人不能窺視閱覽內容）辦理，並由資料蒐集單位派員負責指導及監督。

二十六、當事人對本局及各分局個人資料檔案相關事宜提出詢問或申訴者，依以下原則處理：

(一)屬本局及各分局共通之個人資料檔案安全維護管理事務者，由本小組行政組彙辦；屬單一個人資料檔案之安全維護管理事務者，由資料蒐集單位彙辦，並將辦理結果副知本小組行政組。

(二)本小組行政組應分析前款當事人之詢問或申訴事項，審視本局個人資料檔案安全維護管理方法，如有調整必要，應適時提報本小組工作會議審議並修正相關規定。

二十七、本局由本小組行政組、各分局由其聯絡人員，於機關網站資訊公開處，公布當事人行使權利之程序及相關表單。

第五章 個人資料盤點及風險評估作業程序

二十八、個人資料盤點作業，依下列程序辦理：

(一)為界定個人資料範圍，本局一級單位及各分局應辦理個人資料盤點作業。

(二)盤點作業應包括下列項目：

1.檢視個人資料檔案：

(1) 清查各作業流程中所使用之表單、紀錄，並辨識個人資料有關之表單、紀錄，歸納整理成個人資料檔案。

(2) 使用個人資料盤點表檢視其保有之個人資料檔案，確認個人資料檔案名稱、保有之依據及特定目的、個人資料種類。

(3) 使用個人資料盤點表檢視其保有之個人資料檔案之生命週期，包含蒐集、處理、利用之內容。

2.製作「個人資料檔案彙整表」（附件十二）：

(1) 將個人資料檔案檢視之成果製作「個人資料檔案彙整表」（附件十二），並妥善保管且定期維護該清冊。

(2) 個人資料由業務主管單位負責蒐集作業（所蒐集之個人資料應列入「個人資料檔案彙整表」（附件十二）；若該作業已採應用系統作業，而系統允許多單位輸入資料庫時，由該應用系統規劃單位負責記錄，因應用系統管理所需而建立之個人資料，由應用系統開發建置單位負責記錄，而資料庫之備份或複製檔案，則由應用系統資料庫管理單位負責記錄其備份媒體），處理過程中傳遞至各單位，若各單位在處理過程中會另行保存個人資料時，亦需於「個人資料檔案彙整表」（附件十二）記錄。

(3) 個人資料檔案編號，以「單位代號- 流水號」表示（單位代號 3 碼- 流水號採 3 碼前補 0 方式），有刪除者，編號不重覆使用。單位代碼適用本局品質手冊之單位代碼原則。

3.個人資料檔案之首次盤點：

(1) 本局一級單位及各分局，應先盤點本法實施前所保有之個人資料檔案，並依據「個人資料檔案彙整表」（附件十二）格式，登錄有關該檔案之訊息。

(2) 已歸檔且不再進行其他處理或利用之個人資料檔案，得先不列入「個人資料檔案彙整表」（附件十二）。但若因特殊需要，調出檔案處理或利用時，應於「個人資料檔案彙整表」（附件十二）新增該資料檔案紀錄。

(三)公開個人資料檔案資訊：

1.本局及各分局應依「個人資料檔案彙整表」（附件十二），將下列事項製作「內部保有個人資料檔案公告項目表」（附件十三），公開於網站，或以其他方式供公眾查詢：

(1) 個人資料檔案名稱。

(2) 保有機關名稱及聯絡方式。

(3) 個人資料檔案保有之依據及特定目的。

(4) 個人資料之類別。

2.前目作業，本局由各一級單位個人資料保護聯絡人員，將「個人資料檔案彙整表」（附件十二）送本小組行政組依「內部保有個人資料檔案公告項目表」（附件十三）彙整上傳公開於本局網站；各分局由其個人資料保護聯絡人員，依所屬分局「個人資料檔案彙整表」（附件十二），製作「內部保有個人資料檔案公告項目表」（附件十三）上傳公開於各分局網站。

3.納入已歸檔不再為其他處理或利用含個人資料之檔案，於「內部保有個人資料檔案公告項目表」（附件十三）個人資料類別填入「未識別」，保有依據填入「檔案法」，特定目的為「○七三政府資訊公開、檔案管理及應用」。

4.彙整「內部保有個人資料檔案公告項目表」（附件十三）時，應保留公告項目與各單位提報「個人資料檔案彙整表」（附件十二）之關連，以利當事人行使權利之處理得以有效率執行。

(四)「個人資料檔案彙整表」（附件十二）之修正及「內部保有個人資料檔案公告項目表」（附件十三）之更新公告：

1.個人資料保護聯絡人員於所屬單位或分局內執行業務有新增或刪除個人資料檔案時，應於作業執行之次日起十四日內，完成「個人資料檔案彙整表」（附件十二）之修正，明確標示新增或刪除之紀錄編號（即個人資料檔案編號）。

2.本局各一級單位個人資料保護聯絡人員應將前目修正後「個人資料檔案彙整表」（附件十二）送本小組行政組，於彙整後十日內修正本局「內部保有個人資料檔案公告項目表」（附件十三）並更新網站公告；各分局個人資料保護聯絡人員應於修正所屬分局「個人資料檔案彙整表」（附件十二）後十日內，修正其所屬分局「內部保有個人資料檔案公告項目表」（附件十三）並更新網站公告。

(五)為確認保有之個人資料檔案是否有繼續保有及利用之必要性，並確保個人資料檔案盤點之完整性及正確性，本局一級單位及各分局應於每季季末前辦理下列作業：

1.依「個人資料檔案彙整表」（附件十二）之紀錄，填具「個人資料檔案保有利用必要性檢核表」（附件十四），按檢核結果核定繼續保有利用或自訂計畫進行刪除、銷毀或減少蒐集保有之資料項目，並保留相關簽核及刪減紀錄。「個人資料檔案保有利用必要性檢核表」（附件十四）由本局一級單位及各分局自行留存備查。

2.檢核「個人資料檔案彙整表」（附件十二），並明確標示新增、變更或刪除之紀錄編號（即個人資料檔案編號）後，本局一級單位由個人資料保護聯絡人員送交本小組行政組、各分局則由其個人資料保護聯絡人員，更新「內部保有個人資料檔案公告項目表」（附件十三）之網站公告。

二十九、個人資料風險評估作業，依下列程序辦理：

(一)本局及各分局之個人資料檔案，依本局「IM3-01-01 資訊安全風險評鑑程序書」，併同每年度資訊安全風險重新評鑑作業進行：

1.由資料蒐集單位負責將個人資料檔案列入風險評鑑資訊資產清冊中。

2.本小組行政組依據本局個人資料隱私保護要求，維護「個人資料類別隱私衝擊分級表」（附件十五），將資料類別依對當事人之隱私衝擊進行分級。

3.進行風險評估時，其風險水準應保持與個人資料類別之隱私衝擊對應。

4.進行風險評估時，除評估屬紙本文件或電子文件之資訊安全風險外，尚需針對紙本個人資料及電子個人資料之風險進行評估。

(二)各單位識別出屬個人資料檔案之巨高風險者，應通知本小組行政組，規劃適當之管控機制。其屬中低風險者，由各單位自行管控以預防個人資料檔案遭受竊取、竄改、毀損、滅失或洩漏等風險之發生。

(三)其他相關作業事項及應使用之表單，依本局每年度資訊安全風險重新評鑑作業計畫辦理。

第六章 事故之預防、通報及應變作業程序

三十、本局一級單位及各分局於所保有之個人資料發生被竊取、竄改、毀損、滅失、洩漏等個人資料事故時，應依規定進行事故通報及應變等處理。

三十一、事故通報之作業程序：

(一)個人資料安全事故，指以下二種類型之事件：

1.任何個人資料被竊取、竄改、毀損、滅失或洩漏之事件，足以損害當事人權益者。

2.其他有相關或牽連之事件，足以損害當事人權益者。

(二)內部通報流程：

1.凡發現可能導致個人資料安全事故之事件時，應立即通報所屬單位或分局之個人資料保護聯絡人員、專責人員、資訊安全官及本小組行政組，共同分析事件狀況，判定是否為第一款所定之事件，並由聯絡人員及本小組行政組，將處理過程記錄於「個人資料安全事件通報單」（附件十六）。

2.事件經確認為個人資料安全事故者，應執行下列作業：

(1) 由本小組行政組通報至本局資訊安全長、主任秘書、法務室主任及資訊室主任。

(2) 發生個人資料安全事故之單位或分局個人資料保護專責人員，並應通報單位主管或分局長，屬電子資料之資安事件者，應同時依「經濟部標準檢驗局資通安全事件通報及應變處理作業程序」辦理通報等規定之作業。

(3) 依第三十二點執行事故應變作業程序。

3.「個人資料安全事件通報單」（附件十六）核定後，由本小組行政組歸檔備查。

(三)外部通報流程：通報經濟部個人資料保護推動執行小組（以下簡稱本部個資小組）

1.事件經確認為個人資料安全事故者，本小組行政組主辦單位人員應立即依「經濟部個人資料保護作業手冊」之規定，通報本部個資小組。

2.如個人資料安全事故涉及資通安全面，本小組資訊組應另依其資通安全事件通報及應變機制至行政院國家資通安全通報應變網站進行通報。

(四)通報應以電話、傳真或任何可資運用之即時通知、溝通工具迅速傳達之。

(五)發生個人資料安全事故之事件時，應自發現時起，保存調查、分析、處理、補救措施、通報、通知及其事後相關處理之歷程紀錄及相關證據，超過本法第三十條規定當事人損害賠償請求權消滅時效者，始得銷燬或刪除。但應保存事件摘要文件，以利證明當事人損害賠償請求權消滅時效之起算及屆滿時點。

三十二、事故應變之作業程序：

(一)事件經確認為個人資料安全事故者，應按個人資料安全事故影響層面及事故資料項目，依「個人資料類別隱私衝擊分級表」（附件十五）進行分級，並於二十四小時內，由下列單位召集組成應變小組：

1.等級屬第一級或第二級者：

(1) 由發生個人資料安全事故之單位主管或分局之分局長召集，其在受託廠商發生時，由承辦單位主管或分局之分局長召集。

(2) 應變小組成員，由發生個人資料安全事故之單位、分局或委外案件承辦單位、分局之個人資料保護專責人員、聯絡人員、個人資料承辦人及應變相關作業人員組成。

2.等級屬第三級者：由本小組行政組召集，成員由發生個人資料安全事故之單位或分局、委外案件承辦單位或分局之單位主管或分局長、該單位或分局之個人資料保護專責人員、聯絡人員、個人資料承辦人及應變相關作業人員組成。

3.事故資料以電子方式處理儲存者，前二目應變小組之成員應包括資訊專業人員。

(二)應變小組應調查事故影響範圍、程度、事故可能之擴散管道、可立即降低損失之方法、應保存之證據及採取之法律作為，並研擬事故應變處理措施，避免事故擴大，且採取證據保全措施，避免異動或改變原始磁碟及證據，其執行內容應包括下列事項：

1.個人資料安全事故說明。

2.個人資料安全事故影響描述。

3.個人資料安全事故可行之補救措施分析。

4.個人資料安全事故根因。

5.個人資料安全事故軌跡證據識別。

6.建議補救措施、保存證據、處分及改善方案。

(三)應變小組查明事故後，應由發生個人資料安全事故之單位主管或分局，即時以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式，通知個人資料當事人，通知內容應包括個人資料被侵害之事實及已採取之因應措施（附件十七：通知當事人文稿範例）。

(四)應變小組於個人資料安全事故發生後，應注意媒體報導，如輿論關注須對外說明及澄清，應由應變小組適時召開記者會或其他適當方式對外說明，或陳請本部同意後，自行發布新聞稿（附件十八：新聞稿範例）。

三十三、本小組行政組應於前二點程序完成後，重新檢討事故發生之原因並擬定改善計畫；必要時，得重新進行風險評估及個人資料管理機制之設計。

三十四、應變小組於應將事故檢討及改善計畫，依據「個人資料安全事故處理報告大綱」（附件十九）格式，製作個人資料安全事故處理報告，並簽陳本部部次長核定後，送交本部個資小組及本小組行政組備查。

三十五、若補救措施因時效性，需立即實施以減少損失、保存事故軌跡證據或降低短時間內相似事故再發生之可能時，應以口頭取得應變小組召集人核准後立即實施，並於個人資料安全事故處理報告中補充紀錄。

三十六、個人資料安全事故處理報告於核定後，本小組行政組應依據核定之改善方案，請應改善單位依據「IM3-01-03 資訊安全管理系統矯正程序書」辦理，並列管追蹤其執行及改善有效性。

三十七、本小組行政組應定期或不定期透過實際演練，驗證本章作業程序之有效性，並與風險管理架構相結合，對於處理後之殘餘風險仍高於可容忍程度之事項，應由本局業務主管之一級單位或各分局，預先規劃危機之預防、應變及復原等各階段之因應措施。

第七章 認知宣導及教育訓練作業程序

三十八、本小組行政組及資訊組，應確保本局同仁具備個人資料保護所需之知識及能力，規劃適當之宣導及訓練課程供本局及各分局人員參加。

三十九、本局及各分局所有人員，須完成個人資料法規、本局個人資料保護管理宣導課程，並於環境變化、法規、上級或本局個人資料保護管理要求變更時，再次參加宣導課程。

四十、凡蒐集、處理或利用個人資料之人員，須具備落實及執行本作業程序所要求之安全維護操作能力。

四十一、本局一級單位及各分局對於所屬個人資料保護專責人員、聯絡人員及執行職務涉及個人資料之蒐集、處理、利用或其他與個人資料有關之作業人員，應確保其有完成相關之訓練，評估其將訓練應用於實務中之能力，相關權責主管並應為必要之指導。

四十二、本小組行政組應評量個人資料保護宣導及訓練實施成效，將成果報告彙整，於本小組管理審查會議中提報。

第八章 個人資料安全管理作業程序

四十三、個人資料一般資訊安全管理原則：本局及各分局個人資料檔案安全維護，適用本局資訊安全管理相關規範，須遵循本局敏感性文件處理規定。

四十四、個人資料紙本文件之安全維護注意事項：

(一)個人資料紙本文件係指含有個人資料之紙本文件。

(二)個人資料紙本文件除正式公文書、契約書、本局法定職掌業務申請項目相關書表、報告外應儘量予以標示（例如加文件封面，標示文件內含個人資料之項目及於文件之位置；加蓋內含個人資料章等方式），以利保護。

(四)個人資料紙本文件，若需要再利用應先經過資料塗抹過程。塗抹方式應確保個人資料無法被回復。

(五)個人資料紙本文件之副本收受者，對無須知曉之個人資料應不予繕打，或先經過資料塗抹過程。塗抹方式應確保個人資料無法被回復。

四十五、個人資料電子文書檔案之安全維護注意事項：

(一)個人資料電子文書檔案係指以商用軟體對個人資料進行文書處理後所儲存之檔案（例如將傳真報名活動人員以 Microsoft Excel軟體處理後儲存之電子檔案）。

(二)含有個人資料之電子文書檔案儲存或傳遞時，應以加密軟體加密保護。加密保護相關作業，依「IM2-02-01 資訊處理設施之資訊安全作業規範」辦理。

(三)設定密碼之個人資料電子文書檔案密碼應予造冊（附件二十），清冊依「IM2-02-01 資訊處理設施之資訊安全作業規範」保護。

承辦人設定密碼時，應採用安全強度足夠之密碼，工作變更時列入移交，取得他人移交之加密電子檔案後應變更加密密碼。

(四)個人資料電子文書檔案之備份由該檔案承辦人負責，原始檔案及備份檔案位置皆應紀錄於「個人資料電子文書檔案密碼清冊」（附件二十）中。

(五)個人資料電子文書檔案，應避免以電子郵件傳遞，若以電子郵件傳遞時，讀取密碼應與檔案以不同之電子郵件分開傳送。對外部機關構傳送個人資料檔案時應確定該傳送在原個人資料檔案之可利用範圍內，並且已先行告知當事人該傳送之對象及方式。

四十六、個人資料利用應用系統蒐集處理與利用之安全維護注意事項：

(一)網際網路防護之安全：保有個人資料之伺服器連接網際網路，應遵循「IM2-06-02 網路通訊之資訊安全作業規範」辦理。

(二)電腦系統之安全：所有蒐集、處理或利用個人資料之電腦設備及使用者，應遵循「IM2-06-01 系統運作之資訊安全作業規範」防範惡意軟體之規定。

(三)個人資料資料庫之安全：

1.用以蒐集、處理或利用個人資料之應用系統，應明定安全需求，訂定時應遵循「IM2-07-01 應用資通系統之資訊安全作業規範」。

2.蒐集、處理或利用個人資料之資料庫，資料保存單位應評估資料內容之敏感程度及資料數量，遵循「IM2-06-01 系統運作之資訊安全作業規範」。

(四)存取控制：存取電子個人資料檔案，應遵循「IM2-09-01 識別與存取控制作業規範」。

(五)實體場地及設施設備安全：

1.場所安全：

(1) 處理個人資料之辦公場所，無人留守或下班時，均應鎖閉。

(2) 處理個人資料之電腦設備集中區域及檔案儲存區域，應設立進出管制。高度集中區域，如機房及檔案室，應規劃空調、偵煙、偵熱及滅火設備。電腦設備，應採「氣體式滅火器」。

(3) 處理個人資料之儲存媒體及設備有報廢之必要者，應於報廢前，先行評估有無任何敏感資料或個人資料，並先行確保所有敏感資料或個人資料均確實刪除、覆寫或進行破壞。

2.桌面淨空及螢幕淨空：

(1) 處理個人資料之人員暫時離開座位時，應將其所經辦或使用具有個人資料文件（例如：公文、報名及會員資料等）及資料儲存媒體（例如：USB 隨身碟、磁碟片及光碟等）妥善存放，且不得置於個人電腦桌面。

(2) 處理個人資料之人員長時離開座位者，應登出個人資料處理系統、鎖定電腦或啟動電腦螢幕保護，或關閉個人電腦。

3.工作場所外作業：

(1) 單位主管應核定「個人資料檔案禁止攜出清冊」（附件二十一），明定禁止攜出工作場所外之敏感性個人資料檔案項目，確實要求作業人員遵循。

(2) 攜出工作場所外之處理個人資料設備，應設有讀取密碼，成本允許下應採用資料加密措施，以免攜出設備遺失或遭竊後，個人資料檔案內容遭不當利用。

(3) 於工作場所外，不得以指定設備以外之其他設備，處理個人資料檔案。

(4) 攜出處理個人資料檔案之設備，不得使用無線網路服務。

四十七、人員安全：

(一)人員安全責任：

1.個人資料檔案主辦業務人員及保存人員，應善盡各該個人資料安全維護義務，發現有個人資料檔案之管理風險時，應報告本小組行政組，進行必要之改善措施。

2.委託處理個人資料蒐集、處理或利用者，主辦業務單位應明確告知廠商本局個人資料管理規範，要求比照落實，並積極主動監督管理受託廠商。

(二)個人資料資訊安全教育訓練：

1.單位主管應鼓勵同仁參與個人資料保護宣導活動，俾提昇同仁對個人資料安全維護意識。

2.單位主管應要求個人資料保護專責人員、聯絡人員及執行職務涉及個人資料之蒐集、處理、利用或其他與個人資料有關之作業人員，參與相關教育訓練，俾以提昇個人資料法規及安全管理能力。

3.各單位對於個人資料資訊安全教育訓練有共通性需求時，得提送本小組行政組彙整，屬個人資料資訊技術有關之需求，交由資訊組辦理，屬個人資料法規有關之需求，交由法規組辦理。

第九章 使用紀錄、軌跡資料及證據保存作業程序

四十八、使用紀錄、軌跡資料及證據，係指下列資料：

(一)實施個人資料保護及管理制度之使用紀錄，包括本作業程序所定之附件表單及文件。

(二)個人資料檔案之使用紀錄或軌跡資料：軌跡資料係指個人資料在蒐集、處理或利用過程中所產生非屬於原蒐集個人資料本體之衍生資訊，例如資料存取人之代號、存取時間、使用設備代號、網路位址、經過之網路路徑等資訊，可用於比對、查證資料存取之適當性。

(三)其他必要之證據保存資料。

四十九、各單位應妥善保存使用紀錄、軌跡資料及證據，並得指定專人管理。

使用紀錄、軌跡資料及證據以保留五年為原則，其可證明本局及各分局已善盡管理責任、無故意或過失者，應保存至該個人資料檔案最後存在日後五年，即已超過本法第三十條規定當事人損害賠償請求權消滅時效者，始得銷燬或刪除。

五十、各單位應於每年十二月以前，銷毀或刪除超過保管期限之使用紀錄、軌跡資料及證據。

五十一、各項使用紀錄、軌跡資料及證據之保存、銷毀及刪除，依檔案法及資通安全管理相關規範等有關規定為之。

第九章之一 對非公務機關個人資料保護監管作業程序五十一之一、本局應依據行政院及所屬各機關落實個人資料保護聯繫作業要點（以下簡稱聯繫作業要點）規定，落實對非公務機關個人資料保護之監管，定期提報個人資料行政檢查相關計畫予本部商業發展署彙整，並依「非公務機關個人資料安全稽核檢查表」（附件二十一之一）辦理行政檢查。

五十一之二、案件通報及處理：

(一)本局於獲知所監管非公務機關發生違反個人資料檔案安全維護義務(以下簡稱個資安維案件)後，主管該非公務機關之單位（以下簡稱業管單位）應填列聯繫作業要點之「監督通報紀錄表」，並依「經濟部個人資料保護作業手冊」規定之流程辦理通報，通報時應副知本小組行政組。

(二)業管單位應就個資安維案件之後續行政措施及處置情形，通報本部商業發展署並副知本小組行政組；重大矚目之個資安維案件後續行政措施及處置情形，業管單位應即時通報本法主管機關及數位發展部，並副知本小組行政組。

(三)業管單位得依本法第二十二條至第二十六條規定，對發生個資安維案件之非公務機關為適當之監督管理措施；經查明違反本法之規定者，應視行政調查結果，依本法第四十七條至第五十條規定辦理。

第十章 委外監督作業程序

五十二、為釐清本局及各分局與其委託蒐集、處理或利用個人資料之受託者間之責任歸屬，主辦委外案件之本局一級單位及各分局（以下簡稱主辦委外案件單位），應對受託者採取適當之監督，以確保委外蒐集、處理或利用個人資料之安全。

五十三、主辦委外案件單位應將委託業務區分「委託對象選擇」、「業務履行」、「業務關係終止或解除」等階段，分別進行個人資料保護監督管理。

五十四、委託對象選擇階段：

(一)研擬委託業務時，主辦委外案件單位應考量有無個人資料蒐集之需求，確認蒐集、處理或利用之特定目的，以及是否具本法第六條、第十五條之特定情形與是否符合本法第十六條，並依第十點規定辦理。

(二)選擇委託對象時，如委外案件依政府採購法應進行評選程序者，主辦委外案件單位應依下列方式，將受託者之個人資料安全維護措施辦理情形，列為廠商之評選項目：

1.於招標文件中，要求廠商提交個人資料保護計畫，其內容得參考「個人資料保護計畫範例」（附件二十二）撰寫。

2.將廠商提交個人資料保護計畫之內容適切性，列入評選項目，依委外案件個人資料保護之重要性，賦予評選配分，權重以百分之五至百分之十為原則，必要時得增減權重。

(三)主辦委外案件單位應於委託契約中納入「個人資料保護條款」（附件二十三、二十四），如委外案件採用受託者之電腦設施，新建置應用系統蒐集、處理或利用個人資料者，應於委託契約中納入應用系統安全要求（包含運作平台及網路安全要求）。

(四)主辦委外案件單位應評估委外案件個人資料保護之重要性，於納入委託契約之「個人資料保護條款」（附件二十三、二十四）中，勾選是否請受託者提交個人資料保護計畫。但依前款規定，委外案件應依政府採購法進行評選程序者，主辦委外案件單位應勾選該選項，並請得標廠商依評選意見，提交個人資料保護計畫。

(五)受託者依前款規定提交個人資料保護計畫後，主辦委外案件單位應審查計畫內容之適切性，並填具「個人資料保護計畫審查摘要表」（附件二十五），經單位主管核定後備查，其計畫內容有變更者，亦同。

五十五、業務履行階段：

(一)主辦委外案件單位應依下列方式，確認受託者執行委外案件個人資料安全維護措施之狀況：

1.請受託者定期依執行現況自我查核，記錄於「個人資料受託廠商自我查核檢查表」（附件二十六），並提供作業說明及佐證資料，向主辦委外案件單位提報備查，於必要時得進行抽查。

2.主辦委外案件單位於必要時，得派員或委託專業人員監督受託者依前目執行自我查核，亦得派員或委託專業人員進行實地查核，並將實地查核結果，記錄於「個人資料委外作業查核檢查表」（附件二十七）。

(二)經前款確認受託者執行委外案件個人資料安全維護措施之狀況後，受託者如有應改善之缺失，主辦委外案件單位得以書面敘明理由，請受託者限期改善，並副知本小組行政組備查。

(三)受託者未依前款期限改善者，主辦委外案件單位得依情節輕重，以書面通知終止或解除契約之部分或全部、要求減少部分或全部價金或按契約總價之一定比例計收違約金，並得請求損害賠償。

五十六、業務關係終止或解除階段：

(一)委託關係終止或解除時，主辦委外案件單位應要求受託者依約定方式確實刪除、銷毀或返還因執行受託業務所保有之個人資料，並提供刪除、銷毀或返還個人資料之時間、方式、地點等紀錄。

(二)為確認受託者確實執行前款作業，主辦委外案件單位於必要時得派員進行實地查訪。

五十七、個人資料委外監督作業程序及相關事項，依本章規定辦理，本章未規定者，依「IM2-12-01 資訊處理供應鏈之資訊安全作業規範」辦理。

第十一章 資料安全稽核程序

五十八、為確保本局一級單位及各分局個人資料保護管理措施之落實，個人資料檔案安全稽核作業應納入本局公務機密檢查及資訊安全管理系統內部稽核中辦理。

五十九、本小組行政組應於每年本局辦理資訊安全管理系統內部稽核前，向本局資通安全推動小組稽核分組提交「個人資料安全稽核檢查表」（附件二十八），納入該年度資訊安全管理系統內部稽核作業之查核範圍。

本小組行政組得視各單位之組織編制、業務內容、年度稽核重點及其他稽核需求，根據「個人資料安全稽核檢查表」（附件二十八）之內容，進行稽核項目之增刪或調整。

六十、個人資料檔案安全稽核結果之缺失改善、追蹤及矯正預防等作業，依「IM3-01-02 資訊安全管理系統稽核程序書」、「IM3-01-03 資訊安全管理系統矯正程序書」及「IM1 資訊安全管理手冊」等相關規定辦理。

六十一、本局公務機密檢查，其範圍涉及個人資料檔案安全者，依本局政風室之權責規定及相關計畫辦理。

第十二章 持續改善作業程序

六十二、為達成本局一級單位及各分局個人資料保護及管理目標，本小組相關工作分組應檢視並持續改善個人資料保護管理制度，並適時召開本小組工作會議研商審議。

六十三、本小組行政組彙整及提報本小組年度管理審查會議之項目，應包括下列事項：

(一)上年度會議決議改善計畫執行成果。

(二)本年度人員宣導訓練成果及下年度宣導訓練需求。

(三)本年度當事人權利行使之處理。

(四)本年度個人資料事故之處理。

(五)本年度完成之改善措施。

(六)次年度個人資料保護管理改善計畫及預定工作事項。