法規草案 - 衛生
  • 社群分享
衛生福利部公告「精神復健機構個人資料檔案安全維護計畫辦法」草案
2016-12-12 [ 評論數 0 篇]
法規名稱:精神復健機構個人資料檔案安全維護計畫辦法
公告日期:中華民國 105  年 12 月 7  日
公告文號:衛部心字第 1051761754 號
資料來源:行政院公報 第 22 卷 233 期
預告終止日:中華民國 106  年 2  月 10 日
精神復健機構個人資料檔案安全維護計畫辦法草案總說明
依個人資料保護法第二十七條規定,非公務機關應採行適當之安全措施,防止所有之
個人資料被竊取、竄改、毀損、滅失或洩漏,中央目的事業主管機關得指定非公務機
關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法,並訂定相關計畫
及處理方法之標準等相關事項之辦法。
為加強醫院對於個人資料之保護措施,爰依本法第二十七條第三項授權,訂定「精神
復健機構個人資料檔案安全維護計畫辦法」(以下簡稱本辦法)草案。本辦法草案共
計二十二條,訂定重點如下:
一、本辦法之法源依據及適用對象。(草案第一條、第二條)
二、指定專人或建立專責組織負責個人資料保護及管理、清查所保有個人資料之種類
    與數量、個人資料之風險評估及管理機制、事故之預防、通報及應變機制。(草
    案第三條至第六條)
三、個人資料之界定及管理措施、應行告知義務、委託他人蒐集、處理或利用個人資
    料之監督、利用個人資料行銷之方式、個人資料為國際傳輸前應遵循事項、當事
    人行使權利之方式、確保個人資料正確性之措施。(草案第七條至十四條)
四、有關資料安全管理、人員管理、環境管理等事項。(草案第十五條至第十七條)
五、有關安全維護計畫之稽核、記錄保存及改善等事項。(草案第十八條至第二十一
    條)
六、本辦法之施行日期。(草案第二十二條)



  第 一 章 總則
第 1 條    本辦法依個人資料保護法(以下簡稱本法)第二十七條第三項規定訂定之
           。

第 2 條    本辦法所稱精神復健機構,不包含公立精神復健機構。
           精神復健機構應訂定個人資料檔案安全維護計畫(以下稱本計畫),落實
           個人資料檔案之安全維護及管理,防止個人資料被竊取、竄改、毀損、滅
           失或洩漏。
           前項計畫,應包括業務終止後個人資料處理方法等相關個人資料管理事項
           。


  第 二 章 個人資料保護規劃
第 3 條    精神復健機構應依其業務規模及特性,指定專人或建立專責組織,並考量
           資源之合理分配,配置相當資源。
           前項專人或專責組織之任務如下:
           一、規劃、訂定、修正與執行本計畫等相關事項,並定期向精神復健機構
               負責人報告。
           二、訂定個人資料保護管理政策,將其所蒐集、處理及利用個人資料之依
               據、特定目的及其他相關保護事項,公告使其所屬人員均明確瞭解。
           三、定期對所屬人員施以個人資料保護認知宣導或專業教育訓練,使其明
               瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資
               料保護事項之方法或管理措施。

第 4 條    精神復健機構應確認蒐集個人資料之特定目的,依特定目的之必要性,界
           定所蒐集、處理及利用個人資料之類別或範圍,並定期清查所保有之個人
           資料現況。精神復健機構經定期檢視,發現有非屬特定目的必要範圍內之
           個人資料或特定目的消失、期限屆滿而無本法第十一條第三項但書者,應
           予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。

第 5 條    精神復健機構應依前條界定之個人資料範圍及其業務涉及個人資料蒐集、
           處理、利用之流程,評估可能產生之個人資料風險,並根據風險評估之結
           果,訂定適當管理機制。

第 6 條    精神復健機構為因應個人資料之竊取、竄改、毀損、滅失或洩漏等安全事
           故(以下簡稱事故),應訂定下列應變、通報及預防機制:
           一、應變處理機制:
           (一)控制當事人損害之方式。
           (二)查明事故後通知當事人之適當方式。
           (三)應通知當事人事故事實、損害狀況、所為因應措施及諮詢服務專線
                 等內容。
           二、事故通報機制:事故發生後應受通報之內外部對象及其通報方式。
           三、檢討預防機制:研議矯正預防措施,避免類似事故再次發生。
           精神復健機構遇有重大個人資料事故者,應通報直轄市、縣(市)政府。
           前項所稱重大個人資料事故,係指個人資料遭竊取、竄改、毀損、滅失或
           洩漏,將危及精神復健機構正常營運或大量當事人權益之情形。


  第 三 章 個人資料之管理程序及措施
第 7 條    精神復健機構於蒐集、處理或利用個人資料包含本法第六條第一項規定之
           特種個人資料前,應於本計畫中應建立下列作業程序:
           一、確認蒐集、處理個人資料具有特定目的及法定情形;其經當事人書面
               同意者,並應符合本法第七條第一項規定。
           二、確認利用個人資料於蒐集之特定目的必要範圍內;於特定目的外利用
               個人資料時,應檢視是否具備法定特定目的外之利用要件;其經當事
               人書面同意者,並應符合本法第七條第二項規定。
           三、確認一般個人資料及本法第六條第一項規定之特種個人資料之屬性,
               分別訂定管理程序。

第 8 條    精神復健機構為遵守本法第八條及第九條有關蒐集個人資料之告知義務規
           定,應就下列事項建立相關程序:
           一、檢視蒐集、處理個人資料之特定目的。
           二、檢視蒐集、處理之個人資料,是否符合免告知之事由;其不符者,依
               據資料蒐集之情形,採取適當之告知方式。

第 9 條    精神復健機構利用個人資料為行銷時,應明確告知當事人其精神復健機構
           名稱及個人資料之取得來源。
           精神復健機構於首次利用個人資料為行銷時,應提供當事人免費表示拒絕
           接受行銷之方式,並支付所需費用;當事人表示拒絕行銷後,應立即停止
           利用其個人資料行銷,並週知所屬人員。

第 10 條   精神復健機構委託他人蒐集、處理或利用個人資料之全部或一部時,應對
           受託人依本法施行細則第八條規定為適當之監督,並於委託契約或相關文
           件中,明確約定相關監督事項與方式。

第 11 條   精神復健機構為維護其所保有個人資料之正確性,應採取下列方式為之:
           一、檢視個人資料於蒐集、處理或利用過程,是否正確。
           二、當發現個人資料不正確時,適時更正或補充。
           三、個人資料正確性有爭議者,應依本法第十一條第二項規定處理。
           因可歸責於精神復健機構之事由,未為更正或補充之個人資料,應於更正
           或補充後,通知曾提供利用之對象。

第 12 條   精神復健機構為提供資料當事人行使本法第三條所規定之權利,應採取下
           列方式為之:
           一、確認是否為個人資料之本人,或經其委託授權。
           二、提供當事人行使權利之方式,並遵守本法第十三條有關處理期限之規
               定。
           三、告知是否酌收必要成本費用。
           四、有本法第十條但書、第十一第二項但書或第三項但書得拒絕當事人行
               使權利之事由,應附理由通知當事人。

第 13 條   精神復健機構應定期確認其所保有個人資料之特定目的是否消失及期限是
           否屆滿,如特定目的消失或期限屆滿時,應依本法第十一第三項規定刪除
           、停止處理或利用。

第 14 條   精神復健機構進行個人資料國際傳輸前,應檢視有無衛生福利部依本法第
           二十一條規定為限制國際傳輸之命令或處分,並應遵循之。

第 15 條   精神復健機構為維護所保有個人資料之安全,應採取下列資料安全管理措
           施:
           一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時,訂定
               使用可攜式設備或儲存媒體之規範。
           二、針對所保有之個人資料內容,有加密之需要者,採取適當之加密機制
               。
           三、作業過程有備份個人資料之需要時,應比照原件,依本法規定予以適
               當保護。儲存備份資料之媒介物,以適當方式保管,且定期進行備份
               資料之還原測試,以確保有效性。
           四、傳輸個人資料時,因應不同之傳輸方式,應採取必要保護措施;確認
               是否有加密之必要,如有必要,應採取適當之加密機制,並確認資料
               收受者之正確性。
           五、妥善保存認證機制及加密機制中所運用之密碼,如有交付他人之需要
               ,亦妥善為之。
           六、訂定紙本資料之銷毀程序;電腦、自動化機器或其他儲存媒介物需報
               廢或轉作其他用途時,應採取適當防範措施,以避免洩漏個人資料。

第 16 條   精神復健機構為維護所保有個人資料之安全,應採取下列人員管理措施:
           一、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。
           二、依據作業之需要,適度設定所屬人員不同之權限並控管其接觸個人資
               料,並定期確認權限內容之適當及必要性。
           三、要求所屬人員妥善保管個人資料之儲存媒介物,並與所屬人員約定保
               管及保密義務。
           四、所屬人員離職或完成受指派工作後,應將其執行業務所持有之個人資
               料辦理交接,不得私自持有複製物而繼續使用該個人資料,並要求其
               返還個人資料之載體,銷毀或刪除因執行業務儲存而持有之個人資料
               。

第 17 條   精神復健機構保有之個人資料存在於紙本及資訊儲存媒介物,應採取下列
           設備安全管理措施:
           一、依據業務特性、內容及需求,實施適當進出管制。
           二、依媒介物之特性、使用方式及其環境,建置適當保護設備或技術。
           三、針對不同作業環境,加強天然災害及其他意外災害之防護,並建置必
               要之防災設備。


  第 四 章 個人資料之安全稽核、記錄保存及持續改善機制
第 18 條   精神復健機構應採行適當措施,採取個人資料使用紀錄、留存自動化機器
           設備之軌跡資料或其他相關證據保存機制,以供必要時說明其所定維護計
           畫之執行情況;其相關紀錄之保存期限,至少為七年。

第 19 條   精神復健機構於業務終止後,其保有之個人資料應依下列方式處理及記錄
           :
           一、銷毀:記錄銷毀之方法、時間、地點及證明銷毀之方式。
           二、移轉:記錄移轉之原因、對象、方法、時間、地點及受移轉對象得保
               有該項個人資料之合法依據。
           三、其他刪除、停止處理或利用個人資料:記錄其方法、時間或地點。
           前項之相關證據及紀錄,應至少留存五年。但法令另有規定者,不在此限
           。

第 20 條   為確保本計畫之落實,精神復健機構應依其業務規模及特性,衡酌經營資
           源之合理分配,訂定適當之個人資料安全稽核機制,定期或不定期查察是
           否落實執行本計畫等相關事項。

第 21 條   精神復健機構應參酌執行業務現況、社會輿情、技術發展、法令變化等因
           素,檢視所定維護計畫是否合宜,必要時予以修正。


  第 五 章 附則
第 22 條   本辦法自發布日後一年施行。
返回功能列