從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(二)

日期 : 2013/04/12

時間 : 13:50 ~ 15:30

學生 : 資傳研一 鐘文章

演講者 :陳鴻彬 顧問

這次演講很榮幸請到威播科技公司首席顧問─ 陳鴻彬，這次的主題「網路安全與個資法」不管是對企業對個人都非常的重要，舉一個我在網路上看到的一個因各資外洩而付出慘痛代價個案，新聞內容如下「SONY的遊戲主機網路平台 PlayStation Network（PSN）遭駭客入侵，高達七千七百萬名用戶個資被盜一事，除了美國用戶提訴之外，歐美的個資保護機構也要追究責任。日本產經新聞指出，若以過去日本判例，一人賠償三萬日圓的金額計算，SONY在這次被稱為「史上最嚴重個資外洩」事件中，賠償總金額恐將超過二兆日圓（約台幣七千億元）。」從此事件可看出個資保護的重要性！

立個資法的目的為以下三點：1.規範個人資料之蒐集、處理及利用2.避免人格權受侵害3.促進個人資料之合理利用

從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(二)
日期 : 2013/04/12
時間 : 13:50 ~ 15:30
學生 : 資傳研一 王健任
演講者 : 陳鴻彬 顧問

在現在社會中，幾乎所有的行業都會接觸到個資方面的問題，尤其在資料電子化的現在，如何預防個資外洩也是一項重要的課題。

新版個資法上路，原本大家都會很介意在外填的問券或是資料

反而有機會變成賺錢的方法，若是個資外洩，可向原公司求償，範圍從500到20000，這對民眾來說是一件好事。一來若是資料真的外洩，你個人也會知道，二來還有賠償金可以拿。

但對企業來說這就不是什麼好事了，資料電子化的現在，隨便一個檔案可能就包含了數十萬筆的資料。若是真要賠償，對公司來說可不是一件小事。

所以在企業當中如何阻止和避免這些重要檔案的外流便很重要，企業可以透過一些保護手段和職員訓練來減輕罰金。這對人民和企業都有好處。

 

從個人資料保護法談個資保護與資安防護實務

課程：論文研討(二)
日期：2013/04/12
時間：13:50 ~ 15:30
學生：資傳研一 林智偉
演講者：陳鴻彬 顧問


心得：

新版個資法施行細則修正草案終於在去年10月26日正式發布預告，最快將於今年開始實施。新版個資法影響的範圍不僅在員工個人資料，更嚴重的是客戶資料，從會員募集、會員管理、會員行銷等流程都可能存在個資洩漏的風險，一旦違法最高可求償2億，更甚的是嚴重影響企業聲譽。由於個資法影響範圍涵蓋各部門，只要擁有一筆個資就需要受到法令的規範；新法對於個人資料之蒐集、處理及利用規定必須善盡告知及保管義務，且採取舉證責任倒置原則，若企業被指控涉嫌個人資料外洩則必須負舉證責任，提出具體證據。依此，企業必然從管理、流程與作業層次建立完整的個資保護機制，才能降低觸法的風險。 對於個人資料的安全保護，如果還是不了解要如何實施，最簡單的方式就是參考其他也有個資法律國家的相關經驗，或是參考受到國際認可的實務準則和標準。舉例來說，在先前的文章曾經提過的OECD八項隱私保護原則、APEC的九項隱私保護綱領，以及美國的安全港架構協定，就是可用的參考依據。  至於在國際認可的個資保護標準方面，由英國標準協會所提出的BS 10012個人資訊管理標準，也是目前在個資管理方面一項很好的參考來源，它採用了常見的PDCA（Plan, Do, Check, Act）管理流程，可將企業對於個資保護的期許和法律要求作為基礎，進而建立一項個資保護的管理計畫（Plan），然後根據這項計畫在企業中實施運作（Do），接著藉由運作過程中所產出的相關文件記錄，透過管理審查和稽核方式進行監督（Check），再依照稽核的結果要求進行改善行動（Act），以確保個資管理制度實施的有效性。  除了英國的BS 10012標準之外，目前由經濟部委託資策會所研擬，針對電子商務業者的「台灣個人資料保護與管理制度」（TPIPAS），也可作為企業在實施個人資料保護措施的參考。  TPIPAS制度的運作分為三個階段，它先從制度的規劃開始來確立個資保護的要求，然後透過教育訓練的方式來培育所需的建置和稽核人員；接下來則是透過受過訓練的內部人員來自行建置，或是藉由外部輔導顧問的協助，將個資保護與管理制度導入企業之中；最後再由合格的稽核人員進行實地審查，確認制度實施的有效性之後，再向主管單位申請發放合格的隱私標章，以此作為企業落實個資保護的一項證明。

從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(二)
日期 : 2013/04/12
時間 : 13:50 ~ 15:30
學生 : 資傳研一 朱宏昇
演講者 : 陳鴻彬 顧問

個人資料保護法，立法目的為規範個人資料之蒐集、處理及利用，個資法的核心是為了避免人格權受侵害，並促進個人資料合理利用。而所謂的個人資料，根據個資法第一章第二條第一項：「指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料」其中，個資法特別把醫療、基因、性生活、健康檢查、犯罪前科等資料歸納於特種資料範圍內，明令此類資料除非特殊情形，不得蒐集、處理或利用。

對企業而言，個資法不僅會影響到未來企業蒐集顧客資料，利用個資行銷的作業方式，聯企業現有的顧客資料都將受到影響，甚至在最嚴重的情況下，企業累積數十年的顧客名單都將無法使用，在新版個資法規範下，一旦企業偉法使用個資，顧客還能提起團體訴訟來求償，或是面臨五年以下的奇形，尤其是以往不受電腦處理個資保護法規範的企業，受到的衝擊更大。

無論是政府單位、私人機構抑或是個人，都與個資法息息相關。因此，除了配合政府所規定的個資法規，也要了解每個人能行使的權利。最後，再加上聰明的自我防護，落實維護個人隱私、保護個人資料，相信在未來，個資外洩與詐騙案件必定會大幅減少。

從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(二)
日期 : 2013/04/12
時間 : 13:50 ~ 15:30
學生 : 資傳研一 辛彥德
演講者 : 陳鴻彬 顧問

現在資訊時代的來臨,個人資料現在越來越會因為不小心就洩漏了出去,或是不了解個人資料法而洩漏出別人的個資,這是一個很不好的社會現象,在生活上提醒大家應該在留意以下各項:

1.           勿任意在公眾場所接受訪問或填問卷留下個資

2.           勿貪圖百貨公司等賣場舉辦優惠活動時留下完整個資

3.           在需要查對個人證件的場合中,注意不要讓證件離開視線或任意讓他人複印

4.           勿輕易在網路上填寫或因參加申辦優惠活動而留下個資

5.           勿僅憑電話詢問就將個資洩漏給他人

6.           勿任意將各資完整洩漏給算命師父或不可靠的網路算命系統

7.           勿任意將個人完整履歷四處寄送

8.           注意自己戶籍地址是否收到奇怪的對帳單或收據

9.           若有公司或電話查詢個資,應主動確認來話者資料來源及意圖

10.        個人資料或證件影本記得註明日期及複印事宜,並強調景工申辦諸如信用卡,門號.會員卡等特定用途,以免流出遭不法集團無限制複印使用犯案

從個人資料保護法談個資保護與資安防護實務

課程：論文研討(二)
日期：2013/04/12
時間：13:50 ~ 15:30
學生：資傳研一 李金龍
演講者：陳鴻彬 顧問
心得報告：
    講述個人資料保護法的相關規則，以及資料安全防護的相關注意事項，例如：新版個資法將使企業/組織於經營上面臨巨大的挑戰如下

1.當個資處理不當造成當事人損害時，屬告訴乃論，企業/組織需負舉證責任，如無法證明時，每人每一事件罰則為新台幣500-20000元，最高賠償上限提升到新台幣2億元
2.賠償、處罰對象含括公司負責人
3.新增團體訴訟將導致民眾積極參與及監督
4.管理機關普及到各縣市政府

而這些影響對政府機關、非公務機關等等的衝擊與風險將無法忽視，並且將是企業/組織強化資訊安全管理的關鍵時刻，如果有個缺失，那損失可大了。
個人資料保護法的八大規則如圖，這些都是多少需要注意的。

然後也有預防的防範措施，例如：設置個資保護專責人員、進行實務演練、盤點員工所有相關文件、強化內部教育訓練等，這一些都可以降低個資的外洩的風險，所以這些關於個資法的知識，多多少少也是需要知道的知識。




圖片來源: 網路

從個人資料保護法談個資保護與資安防護實務

課程：論文研討(二)

日期：2013/04/12

時間：13:50~15:30

學生：資傳研一 簡綺葳

演講者：陳鴻彬 顧問

內容心得：

這次請來這位演講者，主要要談論的就是現在最受矚目的新版個資法，在他尚未成為顧問之前，曾任職於威播網路公司擔任副總一職，相信一定非常瞭解資訊網路世界的安全問題，一開始就提到了個資法的正式上路時間。個人資料保護法，也被稱為新版個資法，這是因為在民國84年期間，政府已公布施行了所謂的《電腦處理個人資料保護法》，但是因為時間久遠，被稱作<舊版個資法>。其中有許多規定都已經不適用於現今的網路社會，因此，經過多次的討論才會提出新版的個資法，新版個資法已於今年10月1號正式上路，其適用對象包括了自然人（也就是一般人）、法人（企業）或其他任何3人以上的團體。對公司企業來說，如果洩露消費者的個資，損害賠償金額則會嚴重導致資金周轉不良倒閉；而在網際網路的世界中，像是人肉搜索、行車記錄器、網路相簿、網路購物、ATM詐騙等等，則和社會民眾較有直接相關。

而新版個資法所適用的範圍較舊版的大為擴張，不再侷限於特定行業以及數位資料，並且加重刑罰，相同原因產生的賠償金額合併計算，最高可以達到2億元，這個金額是舊有法規的10倍之多，「新版個資法還有個最大特色，就是團體訴訟」，也就是往後發生個資外洩糾紛，可由公益團體出面代表所有受害者進行訴訟，免除了以往受害者必須自行跑法院處理相關流程，且勢單力孤難以跟大企業對抗的窘況，進一步落實個資保護的制度。

＝新舊版個資法差異＝

＝處理個資的三步驟＝

經過了這次的演講，讓我們更瞭解即使在網路世界，也應該要小心防止資料外泄，以免造成詐騙或其他危害他人的安全危險。

從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(二)
日期 : 2013/04/12
時間 : 13:50 ~ 15:30
學生 : 資傳研一 劉健興
演講者 : 陳鴻彬 顧問

心得報告：
本次演講主題是關於最近新上的"個人資料保護法"，適用對象包括自然人、法人和3人以上的團體，一般稱為新版的個資法，若公司企業洩漏消費者的個人資料，其代價在新版個資法中會變得非常嚴重，其優勢之一在於新法可以打團體訴訟的官司，針對同一被告公司企業被害者可以一同提出訴訟，另外再舉證方面新法也由被告公司企業須履行舉證義務，這對於受害者省去不少麻煩。個人資料保護法上路之後，以往常見的人肉搜索、行車紀錄或網路相片等等，都有可能變成洩漏個資的管道，今後對於這方面要更加的謹慎注意。

從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(四)

日期 : 2013/04/12

時間 : 13:50 ~ 15:30

學生 : 資傳研二 蕭維廷

演講者 :陳鴻彬 顧問

隨著個人資料保護法的實施，個資保護已成為政府與企業不得不進行的重要工作之一，而個人資料保護的資訊安全管理議題已成為眾所矚目之焦點

從隱私的角度來看，目前與個人資料有關的隱私類別，可以區分為以下四類。

資訊隱私：包括了醫療資訊、金融資訊、網路使用與社交活動記錄等，主要關注於需建立規則來妥善地管理和個人資料有關的蒐集與處理行為。 

身體隱私：與身體有關的隱私包括了所進行的身體檢查、藥物測試、基因測試，也包含了和個人有關的血統、墮胎、收養等資訊，它主要專注在與個人身體有關的各項行為。

通訊隱私：要求保護與個人通訊有關的意圖和內容，包括了傳統信件、電子郵件、電話溝通及其他可用來實現通訊行為的軟硬體設備，像是現今流行的即時通訊App等。 

領域隱私：它是和個人環境有關，這些區域包括了個人住宅、工作場所和公共區域等，主張可以用來侵擾他人領域的能力，都應受到適當的限制，例如架設可監控錄影的攝影機、要求出入需要檢查身份證件，以及其他類似的做法等。

而個人資料保護與資訊安全管理在實作上宜增加如後之控制措施：

1. 分享資訊之分級標示：宜將分享資訊區分成「僅限當事人」、「僅限特定對象」、「僅限分享資訊社群」、「公開」等層級並明顯標。

2. 敏感性資訊之過濾：一分資訊提供不同層級之分享資訊時，宜將敏感性資料(例：犯罪剖繪之具體事實等)刪減或另行表述。

3. 設置被拒絕分享資訊之申訴窗口(Information Disclaimer)：宜提供當事人無法獲取資訊之特殊要求的傾聽、瞭解並澄清疑點與困難所在之管道。

在資安的領域之中，若是談到資料的保護，實施起來並不是一件十分困難的事，只要組織的管理階層願意提供支持，同時參考資安相關的標準來建立管理制度，並且採取適當的技術控制措施，在資安方面，即可達到一定程度的防護要求，也能大幅降低因發生資安事件而對營運造成衝擊的風險。

不過，只要在保護的資料之中牽涉到個人資料，並且含括了隱私維護的要求，單靠技術層面的控管，恐怕就不足以因應法律層面的要求。因此，如果要落實個人隱私維護，就需要補充更多對法令的認識，以及對於個人隱私的認知與尊重，這和單純的資安防護比較起來，有著相當不同的思維與因應作法，也是一項更加多元的挑戰。

從個人資料保護法談個資保護與資安防護實務

課程: 論文研討(四)

日期 : 2013/04/12

時間 : 13:50 ~ 15:30

學生 : 資傳研二 楊鈞浩

演講者 :陳鴻彬 顧問


心得:


這次請到了威播科技的副總經理陳鴻彬先生，分享他在經驗或著實務上所得到的個資法的資訊，非常的實用，新版個資法已於今年10月1號正式上路，其適用對象包括了一般人、法人企業或其他任何3人 以上的團體。對公司企業而言，如果洩露消費者的個資，天價的損害賠償金額很嚴重；而人肉搜索、行車記錄器、網路相簿、網路購物、ATM詐騙等等，也都跟大 家息息相關。而為了保護大家，個資法提出了幾個要點:
1.個資意味能看資料即辨識出特定人的資料 反之則不算
2.社交行為不需事先取得個資持有人切結即可取得 但業務行為則需要
3.個資持有人有權向取得個資的單位要求解釋個資被如何保存 保存與使用的流程 使用的用途等各項相關資訊，取得個資單若接獲此類需求不得拒絕配合 拒絕配合者依個資法有刑責與罰款伺候
4.凡取得個資後 取得人即應負起保管人之責任
5.個資如欲轉移至他人手上 但未列於切結上
6.特種個資除依法正面表列之業者外 不得取得或收集
7.往後將會有個資保管檢查 建議需留有完整的流程 簽核保管資訊和教育宣導歷史資料備查