網站地圖

個人資料保護管理政策

壹、目的

亞太電信股份有限公司(以下簡稱本公司)為遵循「個人資料保護法」(以下簡稱個資法)、「個人資料保護法施行細則」及主管機關要求等相關法律、法令與法規及BS10012國際標準要求規範,落實個人資料保護管理制度,保障個人資料當事人權利,並防止個人資料被竊取、竄改、毀損、滅失或洩漏,建立安全、可信賴之服務,達成個人資料檔案之安全保護與管理,落實個人資料保護與資訊安全,進而保障相關人員之權益。
本公司承諾達成「尊重個人權益,合法蒐集、處理、利用及國際傳輸個人資料,確保個人資料安全維護」之個人資料保護管理政策目標,建立並落實個人資料保護管理政策與制度,同時兼顧個人資料之合理利用。

貳、範圍

本政策適用於本公司各單位之全體員工、委外廠商、第三方人員以及所有與個人資料之法令遵循、安全管理相關 之作業及服務,並針對蒐集、處理、利用及國際傳輸個人資料訂定相關規範,確保個人資料之安全。

參、名詞定義

  • 一、個人資料(簡稱個資)
    本政策所稱之個人資料,係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。
  • 二、個人資料檔案(簡稱個資檔案)
    係指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合。
  • 三、個人資料保護管理系統(Personal Information Management System, PIMS)
    整體管理系統的一部份,以營運風險導向為基礎,用以建立、實作、運作、監視、審查、維持及改進個人資料保護管理;等同本公司所謂之個人資料保護管理制度或個資保護管理制度。
  • 四、資訊安全管理系統(Information Security Management System, ISMS)
    為整體管理系統的一部份,以營運風險導向(作法)為基礎,用以建立、實作、運作、監視、審查、維持及改進資通安全;等同本公司所謂之資通安全管理制度。
  • 五、個人資料保護管理指標
    界定如何量測所選擇的控制措施之有效性,以達成本公司個人資料保護管理目標。
  • 六、個人資料生命週期
    泛指個人資料之蒐集、處理、利用、傳輸、儲存及銷毀的活動及其關聯性程序。因為就個人資料本身而言是靜態的,但是當資料在被蒐集、處理、利用、儲存及銷毀時,其實是一個移動的過程,是在組織內部不同的部門、不同的人、進行不同的作業,所以個人資料是有生命週期之活動與關聯。

肆、作業內容

  • 一、個人資料保護管理目標
    • (一)表達本公司遵循個人資料保護法與其他個人資料相關法規之規定、國家通訊傳播委員會相關法律、法令及法規 及BS10012標準之要求,盡善良管理人之責,合法利用並維護所保有個人資料安全之決心。
    • (二)提供本公司所屬人員之個人資料保護管理指導方針,規範個人資料之蒐集、處理、利用及國際傳輸管理程序,建立本公司執行業務或管理內部人員,對於客戶及員工個人資料使用的依據,並降低本公司與員工可能的法 律訴訟風險,保障客戶權益及維護本公司信譽。
    • (三)確保本公司各項業務之執行符合個資法相關法規或法令及國家通訊傳播委員會相關法規之要求。
    • (四)遵循個人資料保護法相關規定,藉由本政策及個人資料保護管理規範之頒行與宣導,讓本公司所屬人員均明確 瞭解,並遵循本公司蒐集、處理、利用及國際傳輸個人資料之行為準則。
  • 二、個人資料保護管理政策
    • (一)對個人資料之蒐集、處理、利用及國際傳輸,不得逾越特定目的及業務必要範圍,並依法履行告知義務。
    • (二)個人資料之處理以公平與合法方式為之。
    • (三)盤點個人資料以建立檔案清冊,並指定專責人員依規定保管。
    • (四)維護個人資料之正確性,並主動或依當事人之請求予以更正或補充。
    • (五)確保當事人依法對其個人資料所得行使之權利。
    • (六)處理個人資料應依循本公司個人資料保護管理、資通安全相關辦法,建立內部個人資料風險等級,並配合風險 等級訂定控管機制。
    • (七)強化個人資料、人員、設備管理及資通安全,以確保個人資料檔案之安全。
    • (八)參考或採用國內外資通安全管理標準或個人資料管理標準相當的個人資料管理指標,建置個人資料保護管理制 度及程序,以落實對個人資料之保護。
    • (九)委託他人蒐集、處理、利用及國際傳輸個人資料時,對受託單位執行適當之監督。
    • (十)明確界定各層級人員之權限及責任。
    • (十一)對於個資法所允許特定目的外利用之個資,應確保其適當性與合法性。
    • (十二)建立個資事故緊急應變程序,並以適當方式通知當事人。
  • 三、個人資料保護管理實施原則
    • (一)遵守我國個人資料保護相關法令規定及BS10012標準要求。
    • (二)應符合個人資料保護法與國家通訊傳播委員會相關法規之規定,確保合法蒐集、處理、利用及國際傳輸本公司 所保有的個人資料。
    • (三)以合理安全之方式,於特定目的範圍內,蒐集、處理及利用個人資料。
    • (四)應依個人資料保護法第五條規定,蒐集、處理及利用個人資料。
    • (五)以風險管理作為及可期待之合理安全水準技術保護所蒐集、處理、利用之個人資料檔案。
    • (六)應依個人資料保護法施行細則第十二條第二項規定,建置資通安全管理制度及個人資料安全維護管理機制。
    • (七)設置聯絡窗口,供個人資料當事人行使其個人資料相關權利或提出相關申訴與諮詢。
    • (八)應訂定相關程序受理當事人權利行使之事宜。
    • (九)應規劃訂定緊急應變程序,以處理個人資料被竊取、竄改、毀損、滅失或洩漏等事故。
    • (十)對受託蒐集、處理及利用本公司個人資料之組織、機關或單位,應進行適當之監督並留存紀錄。
    • (十一)持續維運個人資料檔案安全維護計畫之義務,以確保個人資料檔案之安全。
    • (十二)應定期檢視所應遵循之個人資料保護法令,並據以訂定或修正本政策、個人資料檔案安全維護計畫及本公司相關規範,確保個人資料檔案之安全。
    • (十三)應訂定個人資料保護管理控制目標與關鍵績效指標。
    • (十四)為提升同仁個人資料保護安全意識,應定期辦理個人資料保護宣導教育訓練。
    • (十五)本公司所有人員都應遵循本政策,違反者須依本公司相關規定予以處分;若涉及相關民事賠償、刑事責任、行政裁罰者,本公司得終止其僱用關係並衡酌情節追訴其法律責任。
    • (十六)員工對於本公司之個人資料保護義務於雙方終止僱用關係後仍繼續有效。
  • 四、管理審查
    • (一)本政策應由本公司資通安全組制定,並經資通安全委員會,進行個人資料保護管理政策審核。
    • (二)資通安全委員會每年應至少召開一次管理審查會議,以確認個人資料保護管理政策之適切性,以反應政府法令 法規、技術及業務等最新發展現況。