春易的香氛生活日記

本文章廣告來源：Google廣告

壹、 目的

貳、 範圍

參、 名詞定義

一、 個人資料(簡稱個資)本政策所稱之個人資料，係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。

二、 隱私資料之分類：隱私以下列三種來區分：

（1）資訊上的隱私：個人不願意向無關第三者分享的資訊，如：私人的習慣與喜好等；

（2）行為上的隱私：個人所作行為不受他人監視及幹擾，如：通聯隱私、網頁瀏覽記錄等；

（3）觀察上的隱私：不必遭受別人的觀察或探知，例如：監視器所拍攝的內容、穿戴式裝置所量測的生理狀態。

三、 隱私及個人資料檔案(簡稱隱私及個資檔案)係指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之隱私及個人資料之集合。

四、 個人資料保護管理系統(Personal Information Management System, PIMS)為整體管理系統的一部份，以營運風險導向為基礎，用以建立、實作、運作、監視、審查、維持及改進隱私及個人資料保護管理；等同本公司所謂之隱私及個人資料保護管理制度或隱私及個資保護管理制度。

五、 資訊安全管理系統（Information Security Management System, ISMS）為整體管理系統的一部份，以營運風險導向（作法）為基礎，用以建立、實作、運作、監視、審查、維持及改進資通安全；等同本公司所謂之資通安全管理制度。

六、 隱私及個人資料保護管理指標 界定如何量測所選擇的控制措施之有效性，以達成本公司隱私及個人資料保護管理目標。

七、 隱私及個人資料生命週期  泛指隱私及個人資料之蒐集、處理、利用、傳輸、儲存及銷毀的活動及其關聯性程序。因為就隱私及個人資料本身而言是靜態的，但是當資料在被蒐集、處理、利用、儲存及銷毀時，其實是一個移動的過程，是在組織內部不同的部門、不同的人、進行不同的作業，所以隱私及個人資料是有生命週期之活動與關聯。

肆、 作業內容

一、 隱私及個人資料保護管理政策

(一) 對隱私及個人資料之蒐集、處理、利用及傳輸，不得逾越特定目的及業務必要範圍，並依法履行告知義務。

(二) 隱私及個人資料之處理以公平與合法方式為之。

(三) 盤點隱私及個人資料以建立檔案清冊，並指定專責人員依規定維護、保管。

(四) 維護隱私及個人資料之正確性，並主動或依當事人之請求予以更正或補充。

(五) 確保當事人依法對其隱私及個人資料所得行使之權利。

(七) 強化隱私及個人資料、人員、設備管理及資通安全，以確保隱私及個人資料檔案之安全。

(八) 參考或採用國內外資通安全管理標準或隱私及個人資料管理標準相當的隱私及個人資料管理指標，建置隱私及個人資料保護管理制度及程序，以落實對隱私及個人資料之保護。

(九) 委託他人蒐集、處理、利用及傳輸隱私及個人資料時，對受託單位執行適當之監督與安全要求。

(十) 明確界定各層級人員資通安全管理及隱私及個人資料管理之權限及責任。

(十一) 對於個資法所允許特定目的外利用之個資，應確保其適當性與合法性。

(十二) 建立個資事故緊急應變程序，並以適當方式通知當事人。

(十四) 確保傳輸、儲存之隱私及個資為安全、可靠，應採用適當的加密方式進行加密保護。

(十五) 對於使用者隱私及個資資料，皆需遵守資料蒐集最小化原則。

二、 隱私及個人資料保護管理目標 

(二) 提供本公司所屬人員之隱私及個人資料保護管理指導方針，規範隱私及個人資料之蒐集、處理、利用及傳輸管理程序，建立本公司執行業務或管理內部人員，對於客戶及員工隱私及個人資料使用的依據，並降低本公司與員工可能的法律訴訟風險，保障客戶權益及維護本公司信譽。

(五) 隱私及個資傳輸時需有加密機制，並採用公開、國際機構驗證且未遭破解的演算法。

(六) 隱私及個資儲存時需有保護機制，採用去識別化或加密處理。

(七) 定期進行隱私與個資盤點，鑑別蒐集目的均為目的內利用，並確認儲存及傳輸過程己落實保護機制。

(八) 存取帳號權限應以工作所需之最少資訊與最小權限為原則，並需留存存取紀錄，每半年執行帳號清查作業。 

三、 隱私及個人資料保護管理實施原則

(三) 以合理安全之方式，於特定目的範圍內，蒐集、處理及利用隱私及個人資料。

(四) 應依個人資料保護法第五條規定，蒐集、處理及利用個人資料。

(五) 以風險管理作為及可期待之合理安全水準技術保護所蒐集、處理、利用之隱私及個人資料檔案。

(六) 應依個人資料保護法施行細則第十二條第二項規定，建置資通安全管理制度及個人資料安全維護管理機制。

(九) 應規劃訂定緊急應變程序，以處理隱私及個人資料被竊取、竄改、毀損、滅失或洩漏等事故。

(十) 對受託蒐集、處理及利用本公司隱私及個人資料之組織、機關或單位，應進行適當之監督並留存紀錄。

(十一) 持續維運隱私及個人資料檔案安全維護計畫之義務，以確保隱私及個人資料檔案之安全。

(十三) 應訂定隱私及個人資料保護管理控制目標與關鍵績效指標。

(十四) 為提升同仁個人資料保護安全意識，應定期辦理個人資料保護宣導教育訓練。

(十六) 員工對於本公司之隱私及個人資料保護義務於雙方終止僱用關係後仍繼續有效。

四、 管理審查

(一) 本政策應由本公司資訊安全組制定，並經資通安全委員會，進行隱私及個人資料保護管理政策審核。

(二) 資通安全委員會每半年應至少召開一次管理審查會議，以確認隱私及個人資料保護管理政策之適切性，以反應政府法令法規、技術及業務等最新發展現況。

五、 隱私及個人資料保護管理政策之核准與實施

(三) 隱私及個人資料保護管理政策經資通安全委員會主任委員核准後公佈實施，修正時亦同。

實價登錄