观光旅馆业个人资料档案安全维护计画标准办法(草案)总说明及条文.docVIP

觀光旅館業個人資料檔案安全維護計畫標準辦法草案總說明 　　「個人資料保護法」(以下簡稱本法)，於九十九年五月二十六日修正公布，除第六條、第五十四條外，其餘條文於一百零一年十月一日施行。依本法第二十七條規定，非公務機關應採行適當之安全措施，防止所保有之個人資料被竊取、竄改、毀損、滅失或洩漏，中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法，並訂定相關計畫及處理方法之標準等相關事項之辦法。 　　為加強觀光旅館業對於個人資料之保護措施，爰依本法第二十七條第三項授權，訂定「觀光旅館業個人資料檔案安全維護計畫標準辦法」(以下簡稱本辦法)草案。本辦法草案共計二十二條，訂定重點如下： 本辦法之法源依據及適用對象。(草案第一條至第二條) 指定專人或建立專責組織負責個人資料保護及管理、清查所保有個人資料之種類與數量、個人資料之風險評估及管理機制、事故之預防、通報及應變機制。(草案第三條至第六條) 個人資料之界定及管理措施、應行告知義務、委託他人蒐集、處理或利用個人資料之監督、利用個人資料行銷之方式、個人資料為國際傳輸前應遵循事項、當事人行使權利之方式、確保個人資料正確性之措施。(草案第七條至十四條) 有關資料安全管理、人員管理、環境管理及業務終止後個人資料處理方式等事項(草案第十五條至第十八條) 有關安全維護計畫之稽核、記錄保存及改善等事項(草案第十九條至第二十一條) 本辦法之施行日期(草案第二十二條)  觀光旅館業個人資料檔案安全維護計畫標準辦法草案 條　　　文 說　　　明 第一章　　總則 章名 第一條　本辦法依個人資料保護法(以下簡稱本法)第二十七條第三項規定訂定之。 本辦法訂定依據。 第二條　本辦法所稱觀光旅館業，指依發展觀光條例設立登記並領取觀光旅館營業執照之國際及一般觀光旅館。 　　　觀光旅館業應訂定個人資料檔案安全維護計畫(以下簡稱本計畫)，以落實個人資料檔案之安全維護與管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。 　　　本計畫之內容得包括第三條至第二十一條規定之相關組織及程序，並應定期檢視及配合相關法令訂定或修正計畫。 依據本法第二十七條第二項規定，指定觀光旅館業得依本辦法規定之組織及程序要求，明定個人資料檔案安全維護計畫，並應定期檢視及配合相關法令訂定或修正計畫。 第二章　　個人資料保護規劃 章名 第三條　觀光旅館業就個人資料檔案安全維護管理得指定專人或建立專責組織，並配置相當資源。 　　　前項專人或專責組織之任務如下： 規劃、訂定、修正與執行個人資料檔案安全維護計畫及業務終止後個人資料處理方法等相關事項。 訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。 定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。 為有效訂定與執行本計畫，觀光旅館業得指定專人或建立專責組織並投入相當資源辦理有關事項。 為落實執行本計畫相關管理程序，觀光旅館業得透過認知宣導及教育訓練使所屬人員均能明瞭個人資料保護相關法令之要求、所屬人員之責任範圍及各種作業程序。 第四條　觀光旅館業應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。 　　　前項清查發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應依本法第十一條第三項規定予以刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。 觀光旅館業蒐集個人資料(包括所屬員工資料)均應明確界定其蒐集之特定目的為何，所蒐集之個人資料類別及範圍是否屬於必要。確認界定性質後，應定期清查所蒐集保有之個人資料是否符合所界定之範圍。 觀光旅館業在清查所蒐集之個人資料類別及範圍時，如發現有逾越特定目的必要範圍之個人資料或特定目的消失、期限屆滿而無保存必要者，應依本法第十一條第三項規定予以刪除或其他停止蒐集、處理或利用等適當之處置。 第五條　觀光旅館業得依已界定之個人資料範圍及個人資料蒐集、處理、利用之流程，分析可能產生之風險，並根據風險分析之結果，訂定適當之管控措施。 安全維護計畫得就個人資料之風險評估及風險管理加以規定，爰明定觀光旅館業得依據已界定之個人資料之範圍與蒐集、處理、利用流程，分析評估可能發生之風險，採取必要之防範與管控措施。 第六條　觀光旅館業為因應所保有之個人資料被竊取、竄改、損毀、滅失或洩漏等事故，得採取下列事項： 採取適當之應變措施，以控制事故對當事人之損害，並通報有關單位。 查明事故之狀況並以適當方式通知當事人。 研議預防機制，避免類似事故再次發生。 為降低或控制因個人資料被竊取、竄