最新消息

主題：盛揚興業有限公司個人資料保護管理辦法

盛揚

壹、總則 
第一條 為落實個人資料檔案之保護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏，特訂定「盛揚興業有限公司個人資料保護管理辦理」 （以下簡稱本辦法），俾利遵循。 
第二條 本辦法用詞，定義如下： 
一、本辦法所稱個人資料、個人資料檔案、蒐集、處理、利用、傳輸等名詞定義，係指個資法第二條所述之內容。 
二、當事人：指個人資料之本人。 
三、外派單位：指與本公司具契約關係，本公司派駐人員實際服務地點之機關(構)與企業。 
第三條 本辦法適用於本公司之個人資料蒐集、處理、利用及傳輸等相關程序所產生之各種形式（含書面或電子）之個人資料檔案。 
第四條 為確切落實個人資料檔案之保護及管理，本公司由總經理為召集人，組成「個人資料保護管理執行小組」（以下稱個資小組），其成員包含本公司人事人員、本公司外派單位領班人員，其任務如下： 
一、個人資料保護政策之擬議、推展及管理。 
二、推動個人資料之機密性、完整性及可用性，並符合相關法令、法規之要求。 
三、確保個人資料管理保護制度各項過程之建立、實施及維持。 
四、個人資料保護意識教育訓練之推動。 
五、個人資料隱私風險之評估及管理。 
六、個人資料管理制度適法性與合宜性之檢視、審議及評估。 
七、其他個人資料保護、管理之規劃與執行事項。 
第五條 個資小組以人事部門為個人資料保護聯絡窗口，其辦理事項包含： 
一、與外派單位及對其他機關個人資料保護業務之協調聯繫及緊急應變之通報。 
二、非自動化方式檢索、整理之個人資料安全事件之通報。 
三、本公司個人資料管理專人名冊之製作及更新。 
四、本公司個人資料管理專人與員工教育訓練名單及紀錄之彙整。 
 
貳、個人資料之蒐集、處理及利用 
第六條 本公司應以誠實信用方式進行個人資料之蒐集、處理、利用或傳輸，並以最小化且未逾越特定目的之必要範圍為限。 
第七條 本公司應確保個人資料之蒐集除個資法第六條第一項所規定資料外，應有特定目的，且應符合個資法第十九條第一項之規定，並明確告知當事人下列事項： 
一、公司名稱。 
二、共同蒐集、處理或利用之外派單位名稱。 
三、蒐集之目的。 
四、個人資料之類別。 
五、個人資料利用之期間、地區、對象及方式。 
六、當事人依個資法第三條規定得行使之權利及方式。 
七、於當事人得選擇是否提供其個人資料時，如不提供將影響其權益。 
但符合個資法第八條第二項規定情形之一者，得免為前項之告知。 
第八條 本公司蒐集非由當事人提供之個人資料，應於處理或利用前，向當事人告知個人資料來源及前條所列告知事項。但符合個資法第九條第二項規定情形之一者，不在此限。 
前項之告知，應於首次對當事人個人資料為處理或利用時為之。 
第九條 本法第七條及第八條所為告知，得以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件、明顯或適當處所之公告或其他足以使當事人知悉或可得知悉之方式為之。且應使用通俗、簡淺易懂之語文，避免使用艱深費解之詞彙。 
如有委託或共同蒐集、處理或利用個人資料，應同時告知委託或共同利用情形。  
第十條 本公司依個資法第十九條第一項第五款及第二十條但書第六款規定蒐集、處理或利用當事人個人資料，經當事人同意者，應符合個資法第七條及施行細則第十五條所定之方式。 
第十一條 本公司依個資法第十九條或第二十條蒐集、處理、利用個人資料時，應詳為審核，並經行政程序為之。 
第十二條 本公司依個資法第二十條但書規定對個人資料為特定目的外之利用，應將個人資料之利用歷程做成紀錄並保存之。 
對於個人資料之利用，不得為資料庫之恣意連結，且不得濫用。 
第十三條 本公司對於所保有之個人資料有錯誤或缺漏時，應由資料蒐集人員經行政程序更正後，通知人事部門更正或補充之，並應確實做成紀錄保存之。 
因可歸責本公司之事由而未為更正或補充之個人資料，其應於更正或補充後，由人事部門以適當方式通知曾提供利用該個人資料之單位。 
第十四條 本公司保有之個人資料正確性有爭議者，應由人事部門經行政程序，通知資料保有單位停止之處理或利用，並應確實做成紀錄保存之。但符合個資法第十一條第二項但書規定因執行職務或業務所需，或經當事人書面同意者，並經註明其爭議者，不在此限。 
第十五條 本公司應由指定專責管理人員定期清查所保有個人資料蒐集之特定目的是否消失或期限屆滿，若有非屬特定目的必要範圍之資料，或特地目的消失、期限屆滿而無保存必要者，應由人事部門經行政程序，通知資料保有單位刪除、停止之處理或利用，並應確實做成紀錄保存之。但符合個資法第十一條第三項但書規定因執行職務或業務所需，或經當事人書面同意者，不在此限。 
第十六條 本公司違反個資法規定蒐集、處理或利用個人資料檔案者，應主動或依當事人之請求，經行政程序核定後通知資料保有單位刪除、停止之處理或利用，該單位應確實做成紀錄並保存之。 
第十七條 針對病例、醫療、基因、性生活、健康檢查、犯罪前科等個人資料，應建立符合下列要求之程序。 
一、確保內部人員不得蒐集、處理及利用該資料。 
二、確保例外得蒐集、處理或利用該資料時，符合個人資料保護相關法規之要求，並建立資料蒐集、處理或利用之控制與紀錄機制。 
第十八條 本公司違反本法規定，至個人資料被竊取、洩漏、竄改或其他侵害情事者，經查明後，應由人事部門以適當方式盡速通知當事人。 
 
參、當事人之相關權利 
第十九條 原蒐集特地目的範圍變更時，應進行下列程序： 
一、確認原始蒐集之合法要件是否存續，其未存續者，應再取得當事人同意而為之。 
二、建立特定目的範圍變更之控制與紀錄機制。 
第二十條 當事人依個資法第十條向人事部門請求查詢、閱覽個人資料或製給個人資料複製本，應填具申請書，並檢附相關證明文件。 
前項書件內容，如有遺漏或欠缺，應通知限期補正。 
申請案件有下列情形之一者，應以書面駁回其申請： 
一、申請書件內容有遺漏或欠缺，經通知限期補正，逾期仍未補正者。 
二、有個資法第十條但書各款情形之一者 
三、與法令規定不符者。 
第二十一條 當事人提出前條之請求時，人事部門應於十五日內為準駁之決定。必要時得予以延長，延長期間不得逾十五日，並應將其原因以書面通知當事人。 
第二十二條 當事人閱覽其個人資料時，應由個資保護管理專責人員陪同，並依相關程序辦理。 
第二十三條 當事人依個資法第十一條第一項至第四項規定向人事部門請求補充、更正、刪除、停止蒐集、處理或利用個人資料，應填具申請書，並檢附相關證明文件。 
前項書件內容，如有遺漏或欠缺，應通知限期補正。 
申請案件有下列情形之一者，應以書面駁回其申請： 
一、申請書件內容有遺漏或欠缺，經通知限期補正，逾期仍未補正者 
二、有個資法第十一條第二項但書或第三項但書所定情形之一者 
三、與法令規定不符者。 
第二十四條 當事人提出前條之請求時，人事部門應於三十日內為準駁之決定。必要時得予以延長，延長期間不得逾十五日，並應將其原因以書面通知當事人。 
第二十五條 個人資料檔案、其性質特殊或法律另有規定不應公開其檔案名稱者，得以政府資訊公開法或其他法律規定，限制公開或不予提供。 
 
肆、個人資料安全管理措施 
第二十六條 為防止個人資料被竊取、竄改、毀損、滅失或洩漏，本公司各單位應依本辦法及相關法令規定辦理個人資料檔案安全維護事項。 
第二十七條 個人資料檔案應建立管理制度，並針對接觸人員建立安全管理規範。 
第二十八條 遇有個人資料檔案發生遭人惡意破壞毀損、作業不慎等危安事件，或有駭客攻擊等非法入侵情事，應進行緊急因應措施，進行個資安全事件辦理通報，其程序作業如下： 
一、個人或單位接獲個人資料安全事件通知。 
二、個人或單位主動聯繫本公司個人資料保護申訴窗口通報。 
三、個資小組釐清資料保有、處理等作業程序與責任所屬。 
四、資料權責單位應立即進行防禦或補救作業 
五、資料權責單位應立即以適當方式通知當事人 
六、個資小組應於七十二小時內填具通報紀錄表，通報宜蘭縣政府，並副知經濟部。 
七、個資小組應督導及協助資料權責單位將改善與預防措施納入工作準則，以降低事件再發生機率。 
第二十九條 個人資料檔案安全維護工作，除本辦法外，並應符合法令、主管機關及本公司訂定之相關個人資料保護、資訊作業安全與機密維護規範。 
 
伍、附則 
第三十條 本公司委託蒐集、處理或利用個人資料者，適用本要點。前項委託，應由主辦委託業務之單位（以下簡稱委託單位）為適當之監督，其監督至少應包含下列事項： 
一、預定蒐集、處理或利用個人資料之範圍、類別、特定目的及其期間。 
二、受託者就個資法施行細則第十二條第二項採取之措施。 
三、有複委託者，其約定之受託者。 
四、受託者或其受僱人違反本法、其他個人資料保護法律或其法規命令時，應向委託單位通知之事項及採行之補救措施。 
五、委託單位如對受託者有保留指示者，其保留指示之事項。 
六、委託關係終止或解除時，個人資料載體之返還，及受託者履行委託契約以儲存方式而持有之個人資料之刪除。 
前項監督，委託單位應定期確認受託者執行之狀況，並將確認結果記錄之。 
受託者僅得於委託單位指示之範圍內，蒐集、處理或利用個人資料，受託者認其指示有違反本法、其他個人資料保護法律或其法規命令者，應立即通知委託單位。 
第三十一條 執行本辦法各項作業之流程、應使用之文件表單及其他相關事項，另訂定盛揚興業有限公司個人資料保護管理作業程序規範之。 
第三十二條 本辦法經董事長核定公布後施行，修正時亦同。 
 
(2023/9/19)