個人隱私信息保護和管理培訓20xx/07/191目錄個資泄漏案例個資法簡介個人資料保護管理2個資泄漏案例(網絡新聞)345如何竊取個資67將Yahoo網址導到8登入位址已更改成/login?個資法簡介9個人資料保護法及施行細則個人資料保護法（12月30日）六章56條個人資料保護法施行細則（3月2日）33條10總則公務機關對個人資料之蒐集、處理及利用非公務機關對個人資料之蒐集、處理及利用損害賠償及團體訴訟罰則附則何謂個人資料11個人資料:（個資法第一章第二條）指自然人之姓名出生年月日國民身分證統(tǒng)一編號護照號碼特征指紋婚姻家庭教育職業(yè)病歷醫(yī)療基因性生活健康檢查犯罪前科聯(lián)絡方式財務情況社會活動及其他得以直接或間接方式識別該個人之資料。個資法第一章第六條）病歷醫(yī)療基因性生活健康檢查犯罪前科間接方式識別：（施行細則第三條）僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人。個人資料檔案個人資料檔案：指依系統(tǒng)建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合。施行細則第5條：個人資料檔案，包括備份檔案。12搜集搜集：指以任何方式取得個人資料。13直接取得間接取得處理處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、復制、檢索、刪除、輸出、連結或內部傳送。新增文件、建檔案、輸入系統(tǒng)編輯檔案、刪除檔案、儲存檔案、復制檔案檢索查詢、更正錯誤、制作連結內部傳送至別部門/單位14利用利用：指將搜集之個人資料為處理以外之使用。對當事人使用其個資：如使用通訊錄打電話或寄信、E-mail。揭露第三方：如提供檢調單位調查、提供主管機關備查、提供勞健保給勞健保機構、提供報稅資料給國稅局、稅捐單位。15個資當事人的權利當事人就其個人資料依本法規(guī)定行使之下列權利，不得預先拋棄或以特約限制之：查詢或請求閱覽。請求制給復制本。請求補充或更正。請求停止搜集、處理或利用。請求刪除。1617主計室職員人事室人事薪資系統(tǒng)出納個人資料資料建檔查詢人事薪資資料印領清冊會辦核銷18職員人事室人事薪資系統(tǒng)出納個人資料（搜集）資料建檔處理（輸入）查詢人事薪資資料處理（檢索）印領清冊處理（輸出）會辦核銷處理（內部傳送）處理（儲存、刪除）處理（儲存、刪除）問答1私立學校于實施教育之范圍內，為個人資料保護法所稱公務機關或非公務機關？1920問答2學生校服如繡上姓名、學號是否違反個資法？2122問答3悠游卡股份有限公司所發(fā)行結合各大專院校學生證功能之記名式悠游卡，就搜集學生個人資料之方式應如何適用個資法？2324個資法16條公務機關對個人資料之利用，除第六條第一項所規(guī)定資料外，應于執(zhí)行法定職務必要范圍內為之，并與搜集之特定目的相符。但有下列情形之一者，得為特定目的外之利用：一、法律明文規(guī)定。二、為維護國家安全或增進公共利益所必要。三、為免除當事人之生命、身體、自由或財產上之危險。四、為防止他人權益之重大危害。五、公務機關或學術研究機構基于公共利益為統(tǒng)計或學術研究而有必要，且資料經過提供者處理后或經搜集者依其揭露方式無從識別特定之當事人。六、有利于當事人權益。七、經當事人同意。25個資法20條非公務機關對個人資料之利用，除第六條第一項所規(guī)定資料外，應于搜集之特定目的必要范圍內為之。但有下列情形之一者，得為特定目的外之利用：一、法律明文規(guī)定。二、為增進公共利益所必要。三、為免除當事人之生命、身體、自由或財產上之危險。四、為防止他人權益之重大危害。五、公務機關或學術研究機構基于公共利益為統(tǒng)計或學術研究而有必要，且資料經過提供者處理后或經搜集者依其揭露方式無從識別特定之當事人。六、經當事人同意。七、有利于當事人權益。26非公務機關依前項規(guī)定利用個人資料營銷者，當事人表示拒絕接受營銷時，應即停止利用其個人資料營銷。非公務機關于首次營銷時，應提供當事人表示拒絕接受營銷之方式，并支付所需費用。個人資料保護管理27個資安全維護個資法第六條第一項但書第二款及第五款所稱適當安全維護措施第十八條所稱安全維護事項第十九條第一項第二款及第二十七條第一項所稱適當之安全措施施行細則一、配置管理之人員及相當資源。二、界定個人資料之范圍。三、個人資料之風險評估及管理機制。四、事故之預防、通報及應變機制。五、個人資料搜集、處理及利用之內部管理程序。六、資料安全管理及人員管理。七、認知倡導及教育訓練。八、設備安全管理。九、資料安全稽核機制。十、使用紀錄、軌跡資料及證據保存。十一、個人資料安全維護之整體持續(xù)改善。28BS10012:2017個人資料管理系統(tǒng)合法、公平且透明的處里僅基于特定合法目的取得適當、相關及限于資料侷限原則正確并實時更新，盡可能沒有任何延遲的刪除或更正資料的儲存不得超過許可的必要使用技術及組織方法以適當確保個人個人資料的安全、正確及機敏29BS10012:2017個人資料管理系統(tǒng)PDCA30利害相關團體個資管理要求與期望管理個人資料建立PIMS實施與操作PIMS監(jiān)控和審查PIMS執(zhí)行Act維護和改善PIMS計劃Plan檢查Check執(zhí)行Do利害相關團體AnnexSL(架構改變）BS10012:2017年版?zhèn)€人信息管理系統(tǒng)標準已參照ISO組織AnnexSL對撰寫標準本文PDCA架構來撰寫，當組織擁有重疊的管理系統(tǒng)時，例如:質量管理(ISO9001)、環(huán)境管理(ISO14001)、資產管理(ISO55001)、信息安全管理(ISO27001)，或營運持續(xù)管理(ISO22301)等，可以透過此一共同架構適當整合。3132條款四、組織全景條款五、領導與承諾條款六、規(guī)劃條款七、資源條款八、運作條款九、成效評估條款十、持續(xù)改善條款三、規(guī)劃PIMS條款四、實作與運作PIMS條款五、監(jiān)督與審查PIMS條款六、改善PIMSBS10012:2017BS10012:2009PPPPDCAPDCAPlan（規(guī)劃）條款4Contextoftheorganization組織全景條款4.1Understandingtheorganizationanditscontext了解組織及其全景，需要鑒別與個人信息管理有關之內部外部議題條款4.2Understandingtheneedsandexpectationsofinterestedparties了解關注方的需要及期望，需要辨識關注方以及其對組織個人信息管理系統(tǒng)的期望內容。條款4.3

Determiningthescopeofthepersonalmanagementsystem確認個人資料管理系統(tǒng)范圍條款5Leadership領導作為條款5.1Leadershipandcommitment領導及承諾條款5.2Policy政策:對于政策必要時提供予關注方，以及政策內容對于內部外部議題、關注方要求的增加。33條款6規(guī)劃條款6.1.2Datainventoryanddataflow資料盤點與資料流向:由于GDPR將資料控制者、資料處理者、協(xié)同資料控制者、第三方，以及委外廠商等均有不同的法律責任與規(guī)范，目的類別說明個人資料的流向外資料控制者資料處理者協(xié)同資料控制者第三方以及委外廠商等角色以及所使用的關鍵系統(tǒng)、存放位置，及個人資料保留時間表等信息。34條款6規(guī)劃條款6.1.3Legalbasis法源依據需確認搜集、處理、利用個人資料與特種個人資料的法源依據個人資料保護法第15條、第16條、第19條，及第20條第1項要求銜接。條款6.1.4Privacyimpactassessment(PIA)隱私沖擊分析及條款6.1.5Privacyrisktreatment隱私風險處置建立隱私沖擊分析方法論以符合GDPR第35條個人資料沖擊分析要求。35GDPRArticle35:Dataprotectionimpactassessment

第三十五條資料保護影響評估WhatisPrivacyImpactAssessment(PIA)-1

何謂隱私沖擊評估-1Aprivacyimpactassessment(PIA)isaninstrumentforassessingthepotentialimpactsonprivacyofaprocess,informationsystem,programme,softwaremodule,deviceorotherinitiativewhichprocessespersonallyidentifiableinformation(PII)and,inconsultationwithstakeholders,fortakingactionsasnecessaryinordertotreatprivacyrisk.隱私沖擊評估（PIA）是評估過程，信息系統(tǒng)，程序，軟件模塊，設備或其他處理個人資料的活動對隱私沖擊的工具，PIA需與利益相關方協(xié)商，用于評估為了處理隱私風險，必要的行動。36WhatisPrivacyImpactAssessment(PIA)-2

何謂隱私沖擊評估-2APIAhasoftenbeendescribedasanearlywarningsystem.ItprovidesawaytodetectpotentialprivacyrisksarisingfromtheprocessingofPIIandtherebyinforminganorganizationofwheretheyshouldtakeprecautionsandbuildtailoredsafeguardsbefore,notafter,theorganizationmakesheavyinvestments.PIA經常被描述為早期預警系統(tǒng)。它提供了一種方法來檢測因處理個人資料而產生的潛在隱私風險，從而告知組織應該在何處采取預防措施，并在組織進行大量投資之前而不是在組織大量投資之后。37PreparationofthePIA38Systemrequirementinformationsystemdesigninformation,operationalplansandproceduresinformationexternalandinternalfactors.Descriptionofthebusinessprocessandinformationsystemtobeassessed,scopeofthePIAIdentifiedprivacystakeholdersConsultationandcommunicationplanStakeholderfeedbackSetupthePIAteamandprovideitwithdirectionPrepareaPIAplananddeterminethenecessaryresourcesforconductingthePIADescribewhatisbeingassessedStakeholderengagementTermsofreferenceandscopeforthePIAPlanforthePIAtobeconducted,businesscaseandallocatedresourcesDescriptionofthebusinessprocessandinformationsystemtobeassessedMandatetoprepareaPIAResponsiblepersonappointed,riskcriteriaInputOutput39PerformthePIADescriptionofthebusinessprocessandinformationsystemtobeassessed,summaryoffindingsontheinformationflowofPIIandontheimplicationsoftheusecasewithinthebusinessprocess.Descriptionoftheprogramme,informationsystemorprocesstobeassessed.IdentifiedprivacyrisksAnalysedprivacyrisksPrivacyriskmapIdentifyinformationflowsofPIIAnalysetheimplicationsoftheusecaseDeterminetherelevantprivacysafeguardingrequirementsAssessprivacyriskThetypeofpotentialPIIprincipalsandusecases,especiallytheiruseofdigitaldevicestoidentifyprivacyrisksbroughtabout.Summaryoffindingsontheusers’usecaseswithinthebusinessprocessListofprivacysafeguardingrequirementsDescriptionoftheprocessandinformationsystemtobeassessedSummaryoffindingsontheinformationflowofPIIwithintheprocessInputOutputPrivacyriskmapListofthemostappropriatetreatmentoptionsforanyprivacyriskassessedListofchosencontrols,StatementofApplicabilityPrivacyrisktreatmentplan,controlplan,riskownerapprovals,acceptancestatementPreparefortreatingprivacyrisksFollowUpthePIA40Systemrequirementinformationsystemdesigninformation,operationalplansandproceduresinformationexternalandinternalfactors.Descriptionofthebusinessprocessandinformationsystemtobeassessed,scopeofthePIAIdentifiedprivacystakeholdersConsultationandcommunicationplanStakeholderfeedbackSetupthePIAteamandprovideitwithdirectionPrepareaPIAplananddeterminethenecessaryresourcesforconductingthePIADescribewhatisbeingassessedStakeholderengagementTermsofreferenceandscopeforthePIAPlanforthePIAtobeconducted,businesscaseandallocatedresourcesDescriptionofthebusinessprocessandinformationsystemtobeassessedMandatetoprepareaPIAResponsiblepersonappointed,riskcriteriaInputOutput條款6規(guī)劃條款6.1.6

Priorconsultationandauthorization事前咨詢與授權符合GDPR第36條第3項要求，要求組織建立該機制條款6.1.7Privacybydesignandbydefault從設計著手保護隱私符合GDPR第25條要求，組織于設計重大變更時須適當的以組織化與技術程序實現從設計著手保護隱私控制要求，并留存相關紀錄。條款6.2PIMSobjectivesandplanningtoachievethem個人信息管理系統(tǒng)目標與達成之規(guī)劃組織除應文件化個人信息管理系統(tǒng)目標外，目標應盡可能可被量測，并規(guī)劃量測的頻率、時間、評估量測的方法、執(zhí)行量測的人員，以及所需的資源等。41條款七支援條款7.1資源條款7.2能力條款7.4認知條款7.5文件化信息4243Do實施條款八運作條款8.2.1Keyappointments重要人員之指派條款

Dataprotectionofficer(DPO)資料保護官:符合GDPR第37條至第39條要求，規(guī)范組織應選定資料保護官，并明訂資料保護官的責任與工作。條款8.2.6Fair,lawfulandtransparentprocessing公平、合法與透明化的處理:條款

Collectionandprocessingofpersonalinformation個人資料搜集與處理將對資料主體直接或間接搜集個人資料所為之告知要求，從原有的privacynotice隱私權公告或onlineprivacystatement在線隱私權聲明，統(tǒng)一改為privacyrightinformation隱私權信息;隱私權信息告知的內容具體化『讓處理過程公平與透明的任何其他信息』，例如:保存期限的準則、資料主體向主管機關申訴的權利，且對于有關信息可能用于任何自動化決策和/或剖析時，包括所涉及的邏輯和對資料主體的影響等。44條款八運作條款

Recordsofprivacyinformation(suchasnoticesandstatements)隱私權信息告知或聲明的紀錄保留告知的隱私權信息內容或隱私權信息版本等資訊，作為未來解決告知爭議的參考。條款

Timingofprivacyinformation隱私權信息的時機及條款

Collectionfromthirdparties自第三方搜集符合GDPR第14條要求，于間接搜集時告知資料主體隱私權信息的期限為一個月內。45條款八運作條款

Processingchildren'sinformation處理兒童的信息:符合GDPR第8條要求，將組織于處理兒童個人資料時，需額外考量其父母或監(jiān)護人的同意要求，除非為提供專業(yè)咨詢與預防性服務的情況例外。條款

Opendata開放資料開放資料的運用上，要求組織應建立去識別化機制，使資料無從識別其資料主體，除非有公開個人資料的基礎或法律要求。條款Retentionschedules保留時程符合GDPR第5條第1項第e款要求，組織如因公共利益、學術研究等目的，需將個人資料轉為給長時間保存，則應采取適當的技術上和組織上措施，維護自然人的權利和自由。46條款八運作條款

Storage

and

handling儲存與處理云端儲存空間及個人自備裝置(BYOD)等議題納入控管要求。條款Access

controls存取控制使用者存取個人資料監(jiān)督機制，納入組織應實施的控管要求范圍。條款Managing

security

breaches管理安全事件符合GDPR第33條要求，于發(fā)生安全事件時，組織應于72小時內通報主管機關，并依照GDPR第34條要求，于發(fā)生安全事件時，組織應沒有延遲下通知資料主體;同時，標準并明訂通報主管機關及通知資料主體的內容。47條款八運作條款Transfer

of

personal

information

outside

theborder個人資料移轉到國境外地區(qū)以傳輸之所在地國家是否已有適當安全評估、國家(主管機關)是否已對所在地國現行法律法規(guī)健全情形予以評估、合約保護，以及專責人員適當評估等作為控制要求的考量。條款Responding

to

rights回應其權利符合GDPR第12條要求，當資料主體提出權利行使時，需于一個月內