個資法施行對學校的衝擊與影響

國立台東高級中學專題演講

主講人: 何日新101 年 2 月 7 日

2012/02/07 台東高中專題演講 2

主講人簡歷

國立成功大學電機工程學系電腦與網路組博士

專技高考資訊技師及格

ISO 27001 Lead Auditor台灣首府大學休閒資訊管理學系專任助理教授兼任電算中心系統及網路組組長

教育機構資安驗證中心稽核觀察員

2012/02/07 台東高中專題演講 3

大綱

資料外洩以及個人隱私被侵犯情形嚴重

個人資料保護法(個資法)簡介個資法對學校的衝擊與影響

學校如何因應個資法

天助自助使用者也要懂得自保

2012/02/07 台東高中專題演講 4

資料外洩以及個人隱私被侵犯情形嚴重

[新聞案例一]刑事警察局犯罪預防科指出，Yahoo奇摩與PChome兩個網購平台，每週至少外洩百筆個資。 刑事警察局犯罪預防科指出，165反詐騙諮詢專線至今總共接獲了2萬5千146件詐騙投訴電話，排名第一的是個資外洩詐騙事件，件數達8千865件，占總數的35%，未收到網購產品的詐騙事件則名列第二，件數為8千476件。

2012/02/07 台東高中專題演講 5

[新聞案例二]以平價策略創造1年15億營業額的本土國民衣品牌Lativ，驚傳個資外洩，導致消費者接到謊稱訂單錯誤的電話，並要求消費者到提款機前重新匯款。Lativ澄清，網站後台運作正常，應該是消費者電腦端遭到入侵。

2012/02/07 台東高中專題演講 6

[新聞案例三]檢方偵查國中基測學生個人資料遭販賣外案，昨將承攬國中基測電腦閱卷、計分，並涉嫌將資料賣給補教業牟利的博暐圖書公司主要負責人，以及博暐旗下的大正資訊網路公司掛名負責人全部收押，十一人獲百萬元至五萬交保。

2012/02/07 台東高中專題演講 7

[新聞案例四]個人資料外洩問題愈來愈嚴重，台北地檢署追查個資外洩案時，意外發現竟有員警、健保局、移民署人員，涉嫌勾結犯罪集團，將政商名流、大牌藝人等個人資料，賣給業者牟利，觸犯貪汙及違反電腦處理個人資料保護法等罪，而讓檢調驚訝的是，檯面上叫的出名字的演藝圈大哥大姐，資料全在犯罪集團的掌握中。

2012/02/07 台東高中專題演講 8

[新聞案例五]國內政府機關資訊安全再度出現漏洞，至少有八個警察機關的電腦因灌有P2P（檔案分享）的FOXY軟體，警用電腦裡的筆錄與偵查報告竟也被人「分享拿走」，網友利用FOXY軟體的「搜尋」功能，只要打上「筆錄」二字，便可取得完整的警察筆錄，至少有八份筆錄與一份偵查報告外洩。

2012/02/07 台東高中專題演講 9

[新聞案例六]一名民眾今年七月間到立萬芳醫院服務台，詢問就醫資訊時，志工給他的便條紙背面竟有另一名病患在眼科的就醫資料，姓名、年齡、體重、病歷號、就診科別、診斷結果等，資訊都清清楚楚，病患隱私「全都露」。

2012/02/07 台東高中專題演講 10

個人資料外洩途徑

外部

駭客入侵攻擊 [案例一二]內部

惡意⎯員工竊取公司資料以牟利 [案例三四]無意⎯人為疏忽或專業知識不足 [案例五六]

2012/02/07 台東高中專題演講 11

個人資料保護法(個資法)簡介

舊版法規 :電腦處理個人資料保護法 (84.8.11)新版法規 :個人資料保護法 (99.5.26)個人資料保護法施行細則草案(100.10.24)個資法共六章56條個資法施行細則共28條

2012/02/07 台東高中專題演講 12

個資法編章節

第一章 總則 (第1 ~ 14條)第二章 公務機關對個人資料之蒐集、處理及利用

(第15 ~ 18條)第三章 非公務機關對個人資料之蒐集、處理及利用

(第19 ~ 27條)第四章 損害賠償及團體訴訟 (第28 ~ 40條)第五章 罰則 (第41 ~ 50條)第六章 附則 (第51 ~ 56條)

2012/02/07 台東高中專題演講 13

個人資料保護法重點摘要

為什麼需要個人資料保護法? (第一章 第1條) 為規範個人資料之蒐集(Collection)、處理(Process)及利用(Usage)，以避免人格權受侵害，並促進個人資料之合理利用。

什麼是個人資料? (第一章 第2條)指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。

2012/02/07 台東高中專題演講 14

思考以下問題(1)個資保護交給「電算中心(或教務處設備組)」負責就可以?E-mail是不是個人資料?電話「發話號碼來電顯示服務」?教育單位常見的個資?

教職員人事資料、學生基本資料、家長聯絡方式、家庭狀況、班級成績資料、健康檢查結果、心理輔導檔案等。

個資能否任意過度蒐集? (最小化為原則)聘任員工要求填履歷時，要他們填寫宗教信仰、交過幾任男、女朋友等。

2012/02/07 台東高中專題演講 15

個人資料保護法重點摘要(續)

誰受到規範? (第一章 第2條)公務機關：指依法行使公權力之中央或地方機關或行政法人。

非公務機關：指前款以外之自然人、法人或其他團體。

2012/02/07 台東高中專題演講 16

個人資料保護法重點摘要(續)

個資保護業務公開作業(第二章 第17條)公務機關應將下列事項公開於電腦網站，或以其他適當方式供公眾查閱

個人資料檔案名稱

保有機關名稱及聯絡方式。

個人資料檔案保有之依據及特定目的(附件一)。個人資料之類別(附件二)。

2012/02/07 台東高中專題演講 17

個人資料保護法重點摘要(續)個人資料保護與資訊安全

公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。(第二章 第18條)非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。 (第三章第27條) 非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。 (第四章第29條)

2012/02/07 台東高中專題演講 18

新舊版個人資料保護法的差異

擴大保護客體

擴大保護客體為所有個人資料(包含電腦處理與人工紙本的資料) ，同時修改名稱由電腦處理個人資料保護法改為個人資料保護法。

2012/02/07 台東高中專題演講 19

新舊版個人資料保護法的差異(續)

普遍適用主體

刪除非公務機關行業別的限制，即任何自然人、法人或其他團體，除為單純個人或家庭活動之目的，而蒐集、處理或利用個人資料外或公開場所或公開活動中所蒐集、處理或利用之未與其他個人資料結合之影音資料，皆須適用本法。(第六章第51條)境外蒐集、處理或利用者，亦適用本法。

2012/02/07 台東高中專題演講 20

思考以下問題(2)

老師將學生聯絡方式製作成通訊錄?公家機關的通訊錄(鄰長名冊)或是學校的畢業紀念冊通訊錄是否可免告知利用?在網站(臉書或Youtube)張貼於公開場所拍攝的影音資料?「中研院基因所」基於公共利益為統計或學術研究之目的而蒐集之資料? 大眾傳播業者基於新聞報導之公益目的而蒐集之資料? 民眾上網Google、維基百科網站蒐尋資料?

2012/02/07 台東高中專題演講 21

新舊版個人資料保護法的差異(續)增修行為規範

增訂有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料(特種資料)，不得蒐集、處理或利用。

個人之蒐集、利用須當事人書面同意，特定目的外之利用取得單獨書面同意，不得以概括方式為之。

不論是直接或間接搜蒐集個人資料，除符合得免告知情形者外，均須明確告知當事人蒐集者名稱、蒐集目的、資料類別、利用方式。

2012/02/07 台東高中專題演講 22

新舊版個人資料保護法的差異(續)

增修行為規範(續)公務機關或非公務機關應主動或依當事人之請求行使之查詢、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用、請求刪除。

從事商品行銷之非公務機關利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。

2012/02/07 台東高中專題演講 23

思考以下問題(3)

學校單位何者為特種資料? (學務處健康中心學生健檢資料)人肉搜索涉及醫療資料包含整型、變性，犯罪前科的敏感個資?學校單位之會客紀錄簿? (收集要告知)當事人行使個資印製複製本時可否被要求支付工本費? (第一章第14條) 購買工商名錄資料做為行銷用，可以嗎? 什麼單位免告知可取得個資?

司法檢查官來要資料(檢調單位)司法檢查官是指:署長、局長、警總總隊長、憲兵士官長以上

主管機關來要資料(教育部)

2012/02/07 台東高中專題演講 24

新舊版個人資料保護法的差異(續)

強化行政監督

中央目的事業主管機關或直轄市、縣（市）政府得派員或委任所屬機關、委託其他機關或公益團體檢查違法之非公務機關。非公務機關不得規避、妨礙或拒絕。

促進民眾參與

對於同一原因事實造成多數當事人權利受侵害之事件，財團法人或公益社團法人經受有損害之當事人二十人以上以書面授與訴訟實施權者，提起損害賠償訴訟。

2012/02/07 台東高中專題演講 25

新舊版個人資料保護法的差異(續)妥善調整罰則

民事責任如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件五百元以上二萬元以下計算；對於同一原因事實造成多數當事人權利受侵害之事件，經當事人請求損害賠償者，其合計最高總額以二億元為限。

刑事責任足生損害於他人者，處二年以下有期徒刑、拘役或科或併科新臺幣二十萬元以下罰金。

意圖營利(或非法變更、刪除)犯前項之罪者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。

2012/02/07 台東高中專題演講 26

思考下面問題(4)

在當事人同意下，保險公司是否可查詢客戶資料如病歷?

防堵保戶帶病投保。

壽險業使用部分資料，若基於特殊目的、公共利益，可免告知責任，藉以防堵保險犯罪。

保險法屬特別法，位階高於個資法。

Google街景攝影機? 行車紀錄器?

2012/02/07 台東高中專題演講 27

個資法對學校的衝擊與影響

個資法的保護標的為所有自然人的個人資料，並非侷限於特定的範圍或特定的管道，因此學校需正視個資法的影響。

本次修法後個資法對學校的影響主要有罰鍰、賠償、行政檢查等，對學校負責人或學校個資管理人甚至有可能有徒刑的衝擊。

2012/02/07 台東高中專題演講 28

學校如何因應個資法

新版個資法會要求保護個人資料的蒐集、處理、利用及國際傳輸，而Information Security Management System (ISMS)(ISO 27001標準) 所著重的部分大多都在於個人資料的”處理”階段。還須建立Personal Information Management System (PIMS) (BS 10012 標準)，主要內容按照 Plan(規劃) ⎯ Do(執行) ⎯Check(檢查)⎯ Act(行動) 的順序

2012/02/07 台東高中專題演講 29

Plan(規劃)

學校應推動與規劃個人資訊管理系統的計畫(形成內部共識，制定個資保護政策)

個資政策之範圍(確認組織架構，審視那些單位涉及到個資 )個資保護政策內容

1)學校只會基於合法的目的，在確實必要的範圍內處理個人資訊

2)僅基於合法目的蒐集最少的必要個人資訊，且不會處理多餘的個人資訊

3)清楚告知個人，何人會以什麼方式使用他們的個人資訊

2012/02/07 台東高中專題演講 30

Plan(續)

4) 僅處理相關且適當的個人資訊5)公平合法地處理個人資訊6)維持一份學校處理的個人資訊類別清單7)維持正確的個人資訊，在必要之處，維持正確且最新的個人資訊

8)僅基於法律或管制規定的要求或合法的學校目的來保留個人資訊

9)尊重個人對他們個人資訊的相關權利、包括標的存取權

10)保障所有個人資訊的安全11)僅在有適當充份保護的狀況下，將個人資訊移轉到國(境)外的地方

2012/02/07 台東高中專題演講 31

Plan(續)

12)發展和實行個人資訊管理系統，讓政策落實13)在適當之處，確認內部和外部的利害關係人，以及這些利害關係人涉及學校個人資訊管理系統治理的程度；以及

14)確認對個人資訊管理系統有特定職責且承擔責任的人員

2012/02/07 台東高中專題演講 32

Plan(續)

成立個人資料管理委員會

召集人 (副校長以上)成員

對人員教育訓練及意識提升

指派專人 – 個資管理代表(個資保護聯絡窗口)，也要指定負責日常處理個資保護、監控與教育訓練的專責人員

預算

2012/02/07 台東高中專題演講 33

Do (執行)

設計並推動「個人資料保護工作注意事項」(附件三)清點校內個人資料(個資造冊列管,並公告於入口網)–彙整出各單位檔案清單與個資類別清單

[例說]以教務處為例，必須清楚盤點究竟擁有哪些表單資料，先列出檔案清單後

學籍資料表成績表缺曠課表學習狀況表

●

●

2012/02/07 台東高中專題演講 34

Do(續)

再彙整出與個資相關的類別清單，例如學籍資料檔包含學制、系所 、班級、學號、姓名、性別、出生年月日、家長姓名 、聯絡電話、地址等內容。

學制、系所、班級、學號 ……

C, P, U學籍資料檔File1.doc

學籍資料表

個資保管人個資項目承辦人經手產生(C )或內部處理(P )或利用(U)

系統資料庫/ 電子檔名稱

紙本名稱

2012/02/07 台東高中專題演講 35

保有及管理個人資料之項目彙整表

Ο Ο Ο無無姓名, 生日, 地址,聯絡電話

家長姓名

識別類 :C001特徵類:C011和

C023

079學生資料管理

學籍法學籍資料表

學籍資料檔

教務處註冊組

有無監督管理之非公務機關及其名稱

保管人有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項目

單位名稱

2012/02/07 台東高中專題演講 36

保有及管理個人資料之項目彙整表(續)

Ο Ο Ο

保管人

市立

衛生所或醫院法人

有無監督管理之非公務機關及其名稱

是;健檢報告, 治療與診斷紀錄

姓名, 地址, 身份證字號, 性別, 生日, 身高, 體重, 血型, 健康紀錄

識別類 :C001, C003特徵類:C011 C012健康與其他

C111

079學生資料管理

學校衛生法

學生健康檢查資料

學務處健康中心

有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項

目

單位名稱

2012/02/07 台東高中專題演講 37

保有及管理個人資料之項目彙整表(續)

Ο Ο Ο

保管人

無

有無監督管理之非公務機關及其名稱

無不限

C001 -C133

065資訊與資料庫管理

檔案法電子公文系統

總務處

有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項

目

單位名稱

2012/02/07 台東高中專題演講 38

保有及管理個人資料之項目彙整表(續)

Ο Ο Ο

保管人

無

有無監督管理之非公務機關及其名稱

無姓名, 地址, 身份證字號, 性別, 生日, 家庭情形, 薪資與預扣款

識別類 :C001, C003特徵類:C011 和

C021C068

002人事行政管理

人事管理條例 ,

全國軍公教員工待遇支給要點

教職員個人基本資料

人事室

有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項

目

單位名稱

2012/02/07 台東高中專題演講 39

保有及管理個人資料之項目彙整表(續)

Ο Ο Ο

保管人

無

有無監督管理之非公務機關及其名稱

無銀行帳戶號碼與姓名, 政府資料(身份證, 保險憑證, 退休證之號碼)

識別類 :C002C003

037客戶管理、063會計與相關服務

會計法受款人金融機構帳戶檔

會計室

有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項

目

單位名稱

2012/02/07 台東高中專題演講 40

保有及管理個人資料之項目彙整表(續)

Ο Ο Ο

保管人

無

有無監督管理之非公務機關及其名稱

無姓名, 地址, 性別, 生日, 身高, 血型,家庭及其他成員,休閒活動及興趣, 學生紀錄

識別類 :C001特徵類:C011,C012和 C023, C035,C057

079學生資料管理

國民教育法

學生輔導資料紀錄表

輔導室

有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項

目

單位名稱

2012/02/07 台東高中專題演講 41

保有及管理個人資料之項目彙整表(續)

Ο Ο Ο無無姓名, 職稱,聯絡地址與電話, 電子郵件位址

識別類 :C001

065資訊與資

料庫管

理

圖書館借書規則

個人借閱查詢系統

圖書館

保管人有無監督管理之非公務機關及其名稱

有否特種資料？何種特種資料？

個人資料之範圍

個人資料類別

特定目的

保有依據

個人資料檔案名稱

項

目

單位名稱

2012/02/07 台東高中專題演講 42

Do(續)

盤點個資類別清單在各單位流向

將各單位彙整出的個資類別清單，逐一確認學校各單位對各個個資類別清單的蒐集、處理、利用的經手流程。全部盤點過一次後，才會知道那些部門個資防護措施是否足夠。

2012/02/07 台東高中專題演講 43

個資清單流向

PPP電算中心(教務處設備組)

P、U總務處

C 、P、UP、UP、U學務處

P、UC、P、U蒐集(C) 、處理(P)、利用(U)

教務處

缺曠課表成績資料表學籍資料表個資類別清單

單位別

2012/02/07 台東高中專題演講 44

個資清單風險評估

評估個資存放系統的風險是否獲得控管

75(1~5)5

(1~4)3

火災、水災 , 竊取

…

(1~5)5

學制、系所、班級、學號 ……

學籍資料表

Total衝擊弱點發生機率

威脅

項目

個資重要性(價值)

欄位項目個資檔案名稱

2012/02/07 台東高中專題演講 45

Do(續)

隱私權政策(蒐集的義務)隱私權公告或聲明(附件四)應清楚傳達以下資訊:

組織的身份

處理個資目的

將個資揭露給第三方之相關資訊

個人對個資存取權之相關資訊

個資是否在充分保護下被移轉到國(境)外關於Cookie的功能及運用Cookie的政策欲詢問個資處理相關問題之聯絡方法

●

●

●

2012/02/07 台東高中專題演講 46

Do(續)

部署合適個資保護與監控的工具

從學校是否設定隱私保護單位、政策、規範的治理面開始，逐步延伸到掌控資料處理流程，並對應部署合適的管控措施，對於所有的個資資訊流進行保護，並執行相關的監控措施。

確保個人資訊受到安全的儲存和處理。

保護傳輸期間的資訊安全。

落實存取控制措施。

2012/02/07 台東高中專題演講 47

Do(續)

記錄與保存個資資訊流向和軌跡

為了能夠保存每一筆個資異動的軌跡，重要資安設備和資安事件的Log檔（登錄檔）都必須留存。所謂的Log保留不只是保存數位化Log而已，而是中間很多的記錄軌跡都要能夠保留下來，重點在於要能夠「還原」事件原本的面貌。

2012/02/07 台東高中專題演講 48

Do(續)

重新審視委外合約以符合個資法規定學校各單位應該重新審視委外合約內容，為了確保客戶個資的保護，學校除了和委外廠商增訂保密和賠償條約外，未來新成立的委外合約，都必須符合《個人資料保護法》對個資保護的要求，對於舊有、尚未到期的委外合約，若無法重新更約，也應該另外做避險和風險管控的手段，以降低學校必須連帶承擔委外廠商個資外洩的風險。

2012/02/07 台東高中專題演講 49

Check(檢查)

監督與審查個人資訊管理系統

進行內部稽核

個人資料保護檢核表(附件五)進行管理階層審查

2012/02/07 台東高中專題演講 50

Act(行動)

改善個人資訊管理系統

預防與矯正措施

持續改善

2012/02/07 台東高中專題演講 51

附註:檢視學校個資防護訴訟策略

受損害的當事人提告之後，上法院訴訟時，就可以從「有無故意」、「有無過失」、「有無盡良善管理之責任」以及「有無不可抗力之因素」來看相關的衝擊與挑戰。

佐證資料

ISO27001 (落實資訊安全管理制度)個資管理政策

個資盤點清查

隱私權政策

2012/02/07 台東高中專題演講 52

天助自助使用者也要懂得自保

保護個人電腦

安裝防毒軟體並更新病毒碼

確保作業系統安裝最新的安全性更新

開啟個人電腦防火牆

不點擊及安裝來路不明的軟體

不隨意開啟郵件附加檔案

請設定帳號與使用者密碼並妥善保存，勿輕易透露給第三者

2012/02/07 台東高中專題演講 53

天助自助使用者也要懂得自保(續)

安全的網路行為

不隨便信任來路不明的憑證，不在未加密網頁輸入敏感性資料

謹慎(或者乾脆不要) 使用P2P軟體慎防社交工程詐騙

妨害電腦使用罪(刑法):無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞，而入侵他人之電腦或其相關設備者，處三年以下有期徒刑、拘役或科或併科十萬元以下罰金。

2012/02/07 台東高中專題演講 54

END謝謝聆聽