行政院農業委員會水土保持局個人資料與資通安全管理要點
<p>壹、總則</p>
<p>一、行政院農業委員會水土保持局（以下簡稱本局）及所屬分局（以下簡 稱各分局）為遵循個人資料保護法（以下簡稱個資法）、行政院及所 屬各機關資訊安全管理要點、行政院及所屬各機關資訊安全管理規範 ，落實個人資料（以下簡稱個資）與資通安全（以下簡稱資安）之保 護及管理，特訂定本要點。</p>
<p>二、本局及各分局因應個資與資安管理之需要，設個人資料與資通安全管 理執行小組（以下簡稱本小組），本小組置召集人、副召集人各一人 ，分別由局長指派副局長一人及主任秘書兼任之；除召集人、副召集 人為當然委員外，其餘委員由總工程司、本局各組室中心（以下簡稱 各單位）一級主管及各分局分局長兼任。 前項委員之任期四年，任期屆滿得續派兼之，但應隨其本職進退；委 員因故出缺時得補派之，但其任期至原委員任期屆滿之日為止。 本小組置執行秘書一人，由本局綜合企劃組資訊管理科（以下簡稱資 訊科）科長兼任，承召集人及副召集人之命，綜理本小組行政事務。 本小組幕僚工作由資訊科辦理；本局政風室依個資法及資安相關規定 推動資訊保密措施，及協調強化資訊使用管理與內控機制；本局各單 位及各分局應指派個人資料專責人員（以下簡稱個資專人）與資通安 全專責人員（以下簡稱資安專人），協助個資與資安管理制度推行之 相關事務。</p>
<p>三、本小組任務如下：<br />
（一）個資與資安管理政策之研議。<br />
（二）個資與資安管理制度之審議、評估及推展。<br />
（三）個資與資安風險評估與管理。<br />
（四）個資專人、資安專人及同仁之個資與資安保護意識提升及教育訓練 計畫之擬議。<br />
（五）本局個資與資安管理制度基礎設施之建置及評估。<br />
（六）本局個資與資安管理制度適法性與合宜性之檢視、審議及評估。<br />
（七）負責蒐集個資與資安資訊、建置個資與資安管控措施、執行個資與 資安監控等事項。<br />
（八）負責規劃危機處理程序、查明危機事件原因，確定影響範圍並作損 失評估、執行緊急應變措施、辦理危機通報及執行解決方案等事項 。<br />
（九）其他有關個資與資安防護、管理之規劃及執行事項。</p>
<p>四、本局各單位及各分局應指定主管以上人員擔任個資專人，並由資訊科 負責列冊，辦理下列事項：<br />
（一）當事人依個資法第十條及第十一條第一項至第四項所定請求事項之 簽核。<br />
（二）個資法第十一條第五項及第十二條所定通知事項之通報。<br />
（三）依第三點第四款所為擬議之執行。<br />
（四）個資保護事項之協調聯繫。<br />
（五）個資保護方針及政策之執行。<br />
（六）應依業務需求建置與定期維護保有個資檔案清冊。<br />
（七）重大個資外洩事件之民眾聯繫單一窗口。<br />
（八）其他個資保護管理事務之規劃及執行。</p>
<p>五、本小組視業務推動之需要，不定期召開會議，由召集人主持；召集人 因故不能主持會議時，由副召集人代理之。 本小組開會時，得邀請本局或各分局有關業務單位人員、相關機關代 表或學者專家出（列）席。</p>
<p>六、本局各單位及各分局應指定適當人員擔任資安專人，由資訊科負責列 冊，並依國家資通安全通報應變作業綱要規定，指定本局之資安聯絡 人辦理通報資安事件或進行結案等相關事宜。</p>
<p>七、本局及各分局個資專人、資安專人、各單位主管及其他同仁應依本小 組審核通過或簽奉核可之教育訓練計畫，每年接受個資與資安管理相 關之教育訓練。</p>
<p>貳、個人資料之蒐集、處理及利用 八、本局及各分局蒐集、處理或利用個資之特定目的，以本局及各分局已 依適當方式公開者為限。有變更者，亦同。</p>
<p>九、本局及各分局對於個資之蒐集、處理或利用，應確實依個資法第五條 規定為之；遇有疑義者，應提請本小組研議。</p>
<p>十、本局及各分局蒐集當事人個資時，應明確告知當事人下列事項。但符 合個資法第八條第二項規定情形之一者，不在此限：<br />
（一）機關或單位名稱。<br />
（二）蒐集之目的。<br />
（三）個資之類別。<br />
（四）個資利用之期間、地區、對象及方式。<br />
（五）當事人依個資法第三條規定得行使之權利及方式。<br />
（六）當事人得自由選擇提供個資時，不提供對其權益之影響。</p>
<p>十一、本局及各分局蒐集非由當事人提供之個資，應於處理或利用前，向 當事人告知個資來源及前點第一款至第五款所列事項。但符合個資 法第九條第二項規定情形之一者，不在此限。 前項之告知，得於首次對當事人為利用時併同為之。</p>
<p>十二、本局及各分局依個資法第十五條第二款及第十六條但書第七款規定 經當事人同意者，應符合個資法第七條、個資法施行細則第十四條 及第十五條所定之方式。</p>
<p>十三、本局及各分局依個資法第十五條或第十六條規定蒐集、處理或利用 個資前，應詳為審核後為之。 本局及各分局依個資法第十六條但書規定，對個資為特定目的外之 利用時，應簽奉核定後為之，並將其利用歷程做成紀錄。 本局及各分局對於個資之利用，不得為資料庫之恣意連結，且不得 濫用。</p>
<p>十四、本局及各分局保有之個資有誤或缺漏時，應由保有單位更正或補充 之，並留存相關紀錄。 因可歸責於本局及各分局之事由，未為更正或補充之個資，應由保 有單位於更正或補充後，確實記錄其事由及經過後送資訊科彙整管 理，並以書面通知曾提供利用之對象。</p>
<p>十五、本局各單位及各分局保有之個資有下列情形之一者，應由保有單位 記錄其事由及處理方式簽奉核定後，始得刪除、停止蒐集處理利用 該個資，處理完畢後送資訊科彙整：<br />
（一）個資正確性有爭議，且無個資法第十一條第二項但書情形。<br />
（二）依個資蒐集之特定目的消失或期限屆滿，且無個資法第十一條第 三項但書情形。<br />
（三）違反個資法規定蒐集、處理或利用個資時。當事人行使權利之處理</p>
<p>十六、當事人依個資法第十條或第十一條第一項至第四項規定向本局或各 分局為請求時，應以書面提出申請，並檢附相關證明文件。 前項書件內容，如有遺漏或欠缺，應通知限期補正。<br />
申請案件有下列情形之一者，應以書面駁回其申請：<br />
（一）申請書件內容有遺漏或欠缺，經通知限期補正，逾期仍未補正。<br />
（二）有個資法第十條但書各款情形之一。<br />
（三）有個資法第十一條第二項但書或第三項但書所定情形。<br />
（四）其他與法令規定不符之情形。</p>
<p>十七、當事人依個資法第十條規定提出之請求，本局或各分局依個資法第 十三條第一項規定，於十五日內為准駁之決定。 前項准駁決定期間，必要時得予延長，延長期間不得逾十五日，並 應將其原因以書面通知請求人。 依前點第二項通知限期補正之申請案件，其准駁決定期間自申請人 補正或期限屆滿之日重行起算。 當事人閱覽其個資，應由保有單位派員陪同為之。</p>
<p>十八、當事人依個資法第十條規定請求查詢、閱覽或製給個資複製本者， 本局或各分局適用「行政院農業委員會水土保持局檔案申請閱覽須 知」規定酌收必要之成本費用。</p>
<p>十九、當事人依個資法第十一條第一項至第四項規定提出之請求，本局及 各分局應由保有單位依個資法第十三條第二項規定，於三十日內為 准駁之決定。 前項准駁決定期間，必要時得予延長，延長期間不得逾三十日，並 應將其原因以書面通知請求人。 依前點第二項通知限期補正之申請案件，其准駁決定期間自申請人 補正或期限屆滿之日重行起算。</p>
<p>肆、個資檔案之安全維護</p>
<p>二十、為防止個資被竊取、竄改、毀損、滅失或洩漏，本局及各分局指定 之個資專人，應依本要點及相關法令規定辦理個資檔案安全維護事 項。</p>
<p>二十一、個資檔案應建立管理制度，分級分類管理，並針對接觸人員建立 安全管理規範。</p>
<p>二十二、為強化個資檔案資訊系統之存取安全，防止非法授權存取，維護 個資之隱私性，應建立個資檔案安全稽核制度，由本局政風室會 同資訊科定期查考。 前項個資檔案資訊系統之帳號存取權限管理，及個資檔案安全稽 核之相關事項，依本局個資與資安管理制度相關規定辦理之。</p>
<p>伍、資通安全管理</p>
<p>二十三、本局對於負責資訊相關職務及工作，應進行安全評估，並於人員 進用、工作及任務指派時，須審慎評估人員之適任性。</p>
<p>二十四、本局重要資訊系統之管理、維護、設計及操作業務，應妥適分工 ，分散權責，並視需要建立制衡機制，實施人員輪調，建立人力 備援制度。</p>
<p>二十五、為避免資訊資產因未授權之存取而使機密性或敏感性資料遭不當 使用，應考量人員職務授予相關權限，必要時得採行加解密及身 分鑑別機制，以加強資料之安全。</p>
<p>二十六、依本局個資與資安管理制度相關規定，各單位應遵循必要的事前 預防及保護措施，偵測與防制電腦病毒及其他惡意軟體，確保系 統正常運作。</p>
<p>二十七、為確保應用系統開發、測試、上線及維護之安全，各單位應遵循 個資與資安管理制度相關規定及契約要求之驗收程序。</p>
<p>二十八、辦理資訊業務委外作業，事前應研提資安需求，於契約明訂廠商 之資安責任及保密規定，要求廠商遵守且定期考核。</p>
<p>二十九、本局及各分局應依相關法規、契約或軟體使用相關規定，複製、 下載及安裝使用合法軟體。</p>
<p>三十、為落實個資與資安管理制度，由本局政風室及資訊科會同訂定內部 稽核計畫，並定期推動執行。</p>
<p>陸、事件危機通報作業</p>
<p>三十一、本局各單位及各分局遇有個資或資安事件者，應依下列規定處理 ：<br />
（一）立即通知本局資訊科及政風室。<br />
（二）本局資訊科接獲事件通知後，應由本局資安聯絡人至國家資通 安全通報應變網站進行通報作業。<br />
（三）發生個資事件之單位須擬定個資侵害事件處理原則，進行緊急 因應措施，並通報本小組召集人。<br />
（四）判定個資與資安事件影響等級，依國家資通安全通報應變作業 綱要之事件發生規定時效內完成復原或損害管制，並依本局個 資與資安管理制度相關規定填報及送交資訊科，以解除列管。</p>
<p>三十二、本局各單位及各分局發生個資或資安事件需資訊技術支援時，先 由資訊科提供必要支援，無法解決時得請求外部支援。</p>
<p>三十三、本局各單位及各分局因個資或資安事故涉及民刑事案件時，應及 時通報檢調單位請求處理；如引發重大災害時，應立即啟動災害 緊急應變計畫，並向災害防救相關內外部單位提報，請求支援處 理。</p>
<p>三十四、本局各單位及各分局應依個資與資安管理制度相關規定辦理，彙 總個資或資安事件之完成處理結果與檢討，並送資安聯絡人至通 報應變網站通報結案。</p>
<p>三十五、本小組得於必要時由召集人召開會議，本局各單位及各分局應就 資通安全及處理情形提出報告，資訊科並應列席說明。 柒、附則</p>
<p>三十六、個資檔案安全維護工作，除本要點外，並應符合行政院、行政院 農業委員會及本局訂定之相關資訊作業安全與機密維護規範。</p>
<p>三十七、本要點應定期檢討，以反映最新法令法規、標準規範、技術及業 務現況。</p>