如何進行個人資料盤點

　　《個人資料保護法》通過後，企業也必須回頭審視手邊擁有的個人資料，是否是當事人提供或間接蒐集而來，而這些個資使用目的是否已有變更，這些個資狀態都攸關企業未來在使用這些個資時，是否必須再取得當事人同意。

　　機關企業應該從業務流程的資訊流，去盤點企業目前所擁有的個資種類、數量和形式等，企業必須盤點到底有哪些個人資料，而這些個資來源是直接或者是間接蒐集而來的。要做個資盤點，蒲樹盛說，從資料的生命周期來看個資盤點是最適當的方式之一，從規畫、教育訓練、個資盤點並產生類別清單、個資流向、個資歷程等，就可以清楚掌握每一個資料的來龍去脈。

　　對於企業而言，這些個人資料盤點的流程，是最花時間也最需要人力的關卡。許多企業都在尋找自動化個資盤點的工具，但目前而言，仍須以半人工查驗的方式，才能盤點出企業內的個人資料有哪些資料類型和種類。

　　「除了要盤點電子化的個人資料外，企業還必須盤點紙本的資料。」若民眾到銀行開戶，會填寫很多書面申請表，銀行會掃描轉存成影像檔、PDF檔或其他電子化格式存檔，但這些紙本資料因為都有當事人的詳細個人資料，因此企業對紙本個人資料進行各種個資處理、利用、儲存甚至刪除等，都不可以忽略紙本個資這一個環節。

　　若您所服務的單位打算進行個人資料的盤點，各位可以參考K大俠所設計的「個人資料盤點調查表」，交由各部門負責人進行登記整理，以便作為下一個階段管理與保護個人資料的重要依據。（本文部份內容轉載於itHome）

個資法一二事

分享一下昨日參加個資法研討會的聽到的重點，提供給各位參考。

1. 大法官釋憲第603號，個資為個人權利的一部分，故需加以保障。
2. 個資事務不應該放在IT單位，新法談到的是個資整個流程，包括「蒐集」、「處理」、「利用」等各個階段，IT通常僅為處理個資的單位。（share by新北市張檢察官）
3. 非公務機關在看個資法時，可先從最重要的條文開始看起，例如第19、20、41條。
4. 根據個資法，在蒐集個資時，取得同意方式非僅限「書面」，例如網站會員加入，可顯示隱私權政策，並取得同意即可。
5. 人肉搜索行為可能觸法。
6. 個資法不是無限上岡的限制使用，在不符合原有目的移作他用時，在某些條件（免除當事人之生命、身體、自由或財產上之危險）是允許的，否則「務必」需取得同意。
7. 違反個資是有刑事責任，例如無正當理由蒐集、意圖營利等（非僅指賣名單，行銷廣告推銷亦可歸類意圖營利，除非發的是公益廣告）。
8. 再次強調，目的外（其他利用目的）需再取得書面同意。
9. 直接蒐集資料時，務必完整告知要求的六大事項。（個資法第8條）。
10.  施行細則裡第12條的11個「執行項目」，是舉證公司是否已盡善良管理責任的重要原則。
11. 舉證免責的三大面向：資安管理（ISMS，ISO 27001）、個資管理（PIMS，BS10012:2009、JISQ15001:2006）以及個資法遵循。

另外，還有一些有趣的產品技術：

l   個資法解決方案評分表 http://www.phitech.com.tw/score2.html （隨便填資料就可以測試）

l   智慧型系統監控側錄 http://www.observeit-sys.com/

l   個資盤點工具 http://www.p-marker.com.tw/

如何進行個人資料盤點

　　《個人資料保護法》通過後，企業也必須回頭審視手邊擁有的個人資料，是否是當事人提供或間接蒐集而來，而這些個資使用目的是否已有變更，這些個資狀態都攸關企業未來在使用這些個資時，是否必須再取得當事人同意。

　　機關企業應該從業務流程的資訊流，去盤點企業目前所擁有的個資種類、數量和形式等，企業必須盤點到底有哪些個人資料，而這些個資來源是直接或者是間接蒐集而來的。要做個資盤點，蒲樹盛說，從資料的生命周期來看個資盤點是最適當的方式之一，從規畫、教育訓練、個資盤點並產生類別清單、個資流向、個資歷程等，就可以清楚掌握每一個資料的來龍去脈。

　　對於企業而言，這些個人資料盤點的流程，是最花時間也最需要人力的關卡。許多企業都在尋找自動化個資盤點的工具，但目前而言，仍須以半人工查驗的方式，才能盤點出企業內的個人資料有哪些資料類型和種類。

　　「除了要盤點電子化的個人資料外，企業還必須盤點紙本的資料。」若民眾到銀行開戶，會填寫很多書面申請表，銀行會掃描轉存成影像檔、PDF檔或其他電子化格式存檔，但這些紙本資料因為都有當事人的詳細個人資料，因此企業對紙本個人資料進行各種個資處理、利用、儲存甚至刪除等，都不可以忽略紙本個資這一個環節。

　　若您所服務的單位打算進行個人資料的盤點，各位可以參考K大俠所設計的「個人資料盤點調查表」，交由各部門負責人進行登記整理，以便作為下一個階段管理與保護個人資料的重要依據。（本文部份內容轉載於itHome）

談個資法與電信法對電信業在資安上的新挑戰

隨著新版個人資料保護法的通過，企業對於客戶資料的保護，已不再侷限於特定產業，而是全面性的要求。其中電信業由於特殊的中介服務性質，掌握許許多多用戶的個人資料，自然成為個資法適用的主要目標。另一方面，電信業的主管機關NCC也積極推動業者強化資訊安全管理，在「電信事業資訊通訊安全管理作業要點」中希望各電信業者導入資安管理體系（ISMS），取得相關認證。未來並規劃於電信法修正條文中，將此作業要點的位階拉高，賦予對應罰則，以加強對業者的要求。因此電信業者除了要針對個資法的要求做因應外，也應把ISMS納入企業流程的一環，做好法規遵循的準備。

新版個資法與電信法修訂這兩項遵法議題有一定的相關度，但其目標是完全不同的。業者在面對這兩項議題時，可以先單獨思考個別的要求，對企業現有服務與流程做差異分析。但在進行風險改善或處理計畫時，為了避免資源重複投入的浪費，宜將兩邊的需求加以整合。

例如：個資法第二十七條中，針對個人資料檔案安全維護計畫及業務終止處理方法，要求「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」這部份其實與許多ISO 27001附錄A的控制項有許多關聯。而且施行ISMS後，許多政策或程序都會被要求增加執行的紀錄或做有效性評估，這部份對於企業來說，在處理未來與客戶個資相關爭議時，可以藉由ISMS施行的相關紀錄，作為法律上責任歸屬的依據。

但是個資法與電信法也有許多不同的要求，例如個資法對於資料的生命週期與相關權利義務有非常詳細的陳述，企業必須認真檢視現行客戶與行銷名單的來源、內容與處理流程，在企業流程上做適當的因應。亦即為了保有行銷名單，可能要做好付出成本的準備。而電信法若修正後，可能會要求現有業者，需完成ISO 27001甚至是ISO 27011的國際管理標準驗證。其施行範圍，也可能擴大至「交換機房、交換中心匯集處」等，影響層面與範圍都可能加大許多，規模較大的電信業者必須及早做好準備。

K大俠在此要強調，針對個資保護或資安管理作業，要作到滴水不漏同時要兼顧業務進行順暢是絕對不可能的。然而企業必須體認到投資在資訊安全上的成本，隨著法令上責任的變更與罰則的加強，已不再是過往聊備一格的選擇。電信業除了面臨個資法外，未來還有新版電信法的挑戰，因此增加資安上的投資，或許也是提昇企業未來競爭力的一個重要方式。

個人資料保護法三讀通過

立法院於今（27）日三讀通過「個人資料保護法」。本法在保障個人資料隱私並兼顧新聞自由平衡下邁向新的里程碑。相關重點如下：

●保護客體與適用主體的擴大

個資法修正主軸在於擴大保護客體為所有個人資料（包含電腦處理及人工紙本的個人資料），以及打破行業別限制，包括所有的法人、團體及個人對個人資料之蒐集、處理與利用均受規範。

● 民、刑事及行政責任的加重及提高

修法的另一個重點，在於調整民事、刑事與行政罰責任內涵，同一事件民事損害賠償最高總額提高至新臺幣2億元，被害人不易或不能證明其實際損害額時，得請求法院依侵害情節以新臺幣5百元以上2萬元以下計算。

● 為方便當事人提起救濟，新法增加團體訴訟機制

● 刑事責任主要對於意圖營利之違法行為，提高刑責至5年以下有期徒刑得併科新臺幣1百萬元以下罰金，並改為非告訴乃論。行政裁罰部分，則提高罰鍰額度。

● 有關醫療、基因、犯罪前科等個人資料之保護上，必須在符合法律明文規定的嚴格要件下，始得蒐集、處理或利用該等敏感性資料。

● 新法對於當事人之書面同意，有明確之定義，且未來直接或間接蒐集個人資料前，原則上須盡到對當事人之「告知義務」。個人資料一旦外洩，資料保有者依法須查明後通知當事人，以防止損害擴大。

資料來源：法務部新聞稿