農業部農村發展及水土保持署個人資料與資通安全管理要點 - 農業部農村發展及水土保持署全球資訊網

中華民國107年1月31日行政院農業委員會水土保持局水保企字第1071852782號函訂定發布全文37點
中華民國112年9月1日農業部農村發展及水土保持署農保監字第1121858819號函訂定發布修正為「農業部農村發展及水土保持署個人資料與資通安全管理要點」並修正全部規定，並自即日生效

壹、總則

一、農業部農村發展及水土保持署（以下簡稱本署）及所屬分署（以下簡稱各分署）為遵循個人資料保護法（以下簡稱個資法）、資通安全管理法及其子法（以下簡稱資安法），落實個人資料（以下簡稱個資）與資通安全（以下簡稱資安）之保護及管理，特訂定本要點。

二、本署及各分署因應個資與資安管理之需要，設個人資料與資通安全管理執行小組（以下簡稱本小組），本小組置召集人、副召集人各一人，分別由署長指派副署長一人及主任秘書兼任之；除召集人、副召集人為當然委員外，其餘委員由總工程司、本署各組室（以下簡稱各單位）一級主管及各分署分署長兼任。

前項委員之任期四年，任期屆滿得續派兼之，但應隨其本職進退；委員因故出缺時得補派之，但其任期至原委員任期屆滿之日為止。

本小組置執行秘書一人，由本署減災監測組資訊管理科（以下簡稱資訊科）科長兼任，承召集人及副召集人之命，綜理本小組行政事務。

本小組幕僚工作由資訊科辦理；本署政風室依個資法及資安相關規定推動資訊保密措施，及協調強化資訊使用管理與內控機制；本署各單位及各分署應指派個人資料專責人員（以下簡稱個資專人）與資通安全專責人員（以下簡稱資安專人），協助個資與資安管理制度推行之相關事務。

三、本小組任務如下：

(一) 個資與資安管理政策之研議。

(二) 個資與資安管理制度之審議、評估及推展。

(三) 個資與資安風險評估與管理。

(四) 個資專人、資安專人及同仁之個資與資安保護意識提升及教育訓練計畫之擬議。

(五) 本署個資與資安管理制度基礎設施之建置及評估。

(六) 本署個資與資安管理制度適法性與合宜性之檢視、審議及評估。

(七) 負責蒐集個資與資安資訊、建置個資與資安管控措施、執行個資與資安監控等事項。

(八) 負責規劃危機處理程序、查明危機事件原因，確定影響範圍並作損失評估、執行緊急應變措施、辦理危機通報及執行解決方案等事項。

(九) 其他有關個資與資安防護、管理之規劃及執行事項。

四、本署各單位及各分署應指定主管以上人員擔任個資專人，並由資訊科負責列冊，辦理下列事項：

(一) 當事人依個資法第十條及第十一條第一項至第四項所定請求事項之簽核。

(二) 個資法第十一條第五項及第十二條所定通知事項之通報。

(三) 依第三點第四款所為擬議之執行。

(四) 個資保護事項之協調聯繫。

(五) 個資保護方針及政策之執行。

(六) 應依業務需求建置與定期維護保有個資檔案清冊。

(七) 重大個資外洩事件之民眾聯繫單一窗口。

(八) 其他個資保護管理事務之規劃及執行。

五、本小組視業務推動之需要，不定期召開會議，由召集人主持；召集人因故不能主持會議時，由副召集人代理之。

本小組開會時，得邀請本署或各分署有關業務單位人員、相關機關代表或學者專家出（列）席。

六、本署各單位及各分署應指定適當人員擔任資安專人，由資訊科負責列冊，並依資安法規定，指定本署之資安聯絡 人辦理通報資安事件或進行結案等相關事宜。

七、 本署及各分署個資專人、資安專人、各單位主管及其他同仁應依本小組審核通過或簽奉核可之教育訓練計畫，每年接受個資與資安管理相關之教育訓練。

貳、個人資料之蒐集、處理及利用

八、本署及各分署蒐集、處理或利用個資之特定目的，以本署及各分署已依適當方式公開者為限。有變更者，亦同。

九、 本署及各分署對於個資之蒐集、處理或利用，應確實依個資法第五條規定為之；遇有疑義者，應提請本小組研議。

十、 本署及各分署蒐集當事人個資時，應明確告知當事人下列事項。但符合個資法第八條第二項規定情形之一者，不在此限：

(一) 機關或單位名稱。

(二) 蒐集之目的。

(三) 個資之類別。

(四) 個資利用之期間、地區、對象及方式。

(五) 當事人依個資法第三條規定得行使之權利及方式。

(六) 當事人得自由選擇提供個資時，不提供對其權益之影響。

十一、本署及各分署蒐集非由當事人提供之個資，應於處理或利用前，向當事人告知個資來源及前點第一款至第五款所列事項。但符合個資法第九
條第二項規定情形之一者，不在此限。

前項之告知，得於首次對當事人為利用時併同為之。

　

十二、本署及各分署依個資法第十五條第二款及第十六條但書第七款規定經當事人同意者，應符合個資法第七條、個資法施行細則第十四條及第十五條所定之方式。

十三、 本署及各分署依個資法第十五條或第十六條規定蒐集、處理或利用個資前，應詳為審核後為之。

本署及各分署依個資法第十六條但書規定，對個資為特定目的外之利用時，應簽奉核定後為之，並將其利用歷程做成紀錄。

本署及各分署對於個資之利用，不得為資料庫之恣意連結，且不得濫用。

十四、本署及各分署保有之個資有誤或缺漏時，應由保有單位更正或補充之，並留存相關紀錄。

因可歸責於本署及各分署之事由，未為更正或補充之個資，應由保有單位於更正或補充後，確實記錄其事由及經過後送資訊科彙整管理，並以書面通知曾提供利用之對象。

十五、 本署各單位及各分署保有之個資有下列情形之一者，應由保有單位記錄其事由及處理方式簽奉核定後，始得刪除、停止蒐集處理利用該個資，處理完畢後送資訊科彙整：

(一) 個資正確性有爭議，且無個資法第十一條第二項但書情形。

(二) 依個資蒐集之特定目的消失或期限屆滿，且無個資法第十一條第三項但書情形。

(三) 違反個資法規定蒐集、處理或利用個資時。

叁、當事人行使權利之處理

十六、 當事人依個資法第十條或第十一條第一項至第四項規定向本署或各分署為請求時，應以書面提出申請，並檢附相關證明文件。

前項書件內容，如有遺漏或欠缺，應通知限期補正。

申請案件有下列情形之一者，應以書面駁回其申請：

(一) 申請書件內容有遺漏或欠缺，經通知限期補正，逾期仍未補正。

(二) 有個資法第十條但書各款情形之一。

(三) 有個資法第十一條第二項但書或第三項但書所定情形。

(四) 其他與法令規定不符之情形。

十七、 當事人依個資法第十條規定提出之請求，本署或各分署依個資法第十三條第一項規定，於十五日內為准駁之決定。

前項准駁決定期間，必要時得予延長，延長期間不得逾十五日，並應將其原因以書面通知請求人。

依前點第二項通知限期補正之申請案件，其准駁決定期間自申請人補正或期限屆滿之日重行起算。

當事人閱覽其個資，應由保有單位派員陪同為之。

十八、 當事人依個資法第十條規定請求查詢、閱覽或製給個資複製本者，本署或各分署適用「農業部農村發展及水土保持署檔案申請閱覽須知」規定酌收必要之成本費用。

十九、 當事人依個資法第十一條第一項至第四項規定提出之請求，本署及各分署應由保有單位依個資法第十三條第二項規定，於三十日內為准駁之決定。

前項准駁決定期間，必要時得予延長，延長期間不得逾三十日，並應將其原因以書面通知請求人。

依前點第二項通知限期補正之申請案件，其准駁決定期間自申請人補正或期限屆滿之日重行起算。

肆、個資檔案之安全維護

二十、 為防止個資被竊取、竄改、毀損、滅失或洩漏，本署及各分署指定之個資專人，應依本要點及相關法令規定辦理個資檔案安全維護事項。

二十一、 個資檔案應建立管理制度，分級分類管理，並針對接觸人員建立安全管理規範。

二十二、 為強化個資檔案資訊系統之存取安全，防止非法授權存取，維護個資之隱私性，應建立個資檔案安全稽核制度，由本署政風室會同資訊科定期查考。

前項個資檔案資訊系統之帳號存取權限管理，及個資檔案安全稽核之相關事項，依本署個資與資安管理制度相關規定辦理之。

伍、資通安全管理

二十三、 本署對於負責資訊相關職務及工作，應進行安全評估，並於人員進用、工作及任務指派時，須審慎評估人員之適任性。

二十四、 本署重要資訊系統之管理、維護、設計及操作業務，應妥適分工，分散權責，並視需要建立制衡機制，實施人員輪調，建立人力備援制度。

二十五、 為避免資訊資產因未授權之存取而使機密性或敏感性資料遭不當使用，應考量人員職務授予相關權限，必要時得採行加解密及身分鑑別機制，以加強資料之安全。

二十六、 本署個資與資安管理制度相關規定，各單位應遵循必要的事前預防及保護措施，偵測與防制電腦病毒及其他惡意軟體，確保系統正常運作。

二十七、 為確保應用系統開發、測試、上線及維護之安全，各單位應遵循個資與資安管理制度相關規定及契約要求之驗收程序。

二十八、 辦理資訊業務委外作業，事前應研提資安需求，於契約明訂廠商之資安責任及保密規定，要求廠商遵守且定期考核。

二十九、 本署及各分署應依相關法規、契約或軟體使用相關規定，複製、下載及安裝使用合法軟體。

三十、 為落實個資與資安管理制度，由本署政風室及資訊科會同訂定內部稽核計畫，並定期推動執行。

陸、事件危機通報作業

三十一、 本署各單位及各分署遇有個資或資安事件者，應依下列規定處理：

(一) 立即通知本署資訊科及政風室。

(二) 本署資訊科接獲事件通知後，應由本署資安聯絡人至國家資通 安全通報應變網站進行通報作業。

(三) 發生個資事件之單位須擬定個資侵害事件處理原則，進行緊急因應措施，並通報本小組召集人。

(四) 判定個資與資安事件影響等級，依資通安全事件通報及應變辦法之事件發生規定時效內完成復原或損害管制，並依本署個資與資安管理制度相關規定填報及送交資訊科，以解除列管。

三十二、 本署各單位及各分署發生個資或資安事件需資訊技術支援時，先由資訊科提供必要支援，無法解決時得請求外部支援。

三十三、 本署各單位及各分署因個資或資安事故涉及民刑事案件時，應及時通報檢調單位請求處理；如引發重大災害時，應立即啟動災害緊急應變計畫，並向災害防救相關內外部單位提報，請求支援處理。

三十四、 本署各單位及各分署應依個資與資安管理制度相關規定辦理，彙總個資或資安事件之完成處理結果與檢討，並送資安聯絡人至通報應變網站通報結案。

三十五、 本小組得於必要時由召集人召開會議，本署各單位及各分署應就資通安全及處理情形提出報告，資訊科並應列席說明。

柒、附則

三十六、 個資檔案安全維護工作，除本要點外，並應符合行政院、數位發展部、農業部及本署訂定之個資與資安相關規範。

三十七、 本要點應定期檢討，以反映最新法令法規、標準規範、技術及業務現況。