- 壹、總則
- 第 1 條一、臺北市政府臺北市政府工務局大地工程處(以下簡稱本處)為落實個 人資料蒐集、處理或利用法令、尊重當事人資訊自決權、促進個人資 料合理利用及避免人格權受侵害,特依個人資料保護法(以下簡稱本 法)、個人資料保護法施行細則(以下簡稱本法施行細則)及其他相 關法令規定,訂定本處個人資料保護管理要點(以下簡稱本要點)。
- 第 2 條二、本要點適用於本處及受本處委託或與本處共同蒐集、處理或利用個人 資料之其他公務機關或非公務機關。但其他法令另有規定者,從其規 定。
- 貳、個人資料保護管理組織
- 第 3 條三、為落實個人資料之保護及管理,特設置本處個人資料保護管理執行小 組(以下簡稱本小組)。
- 第 4 條四、本小組之任務如下: (一)本處個人資料保護政策之擬議。 (二)本處個人資料管理制度之推展。 (三)本處個人資料隱私風險之評估及管理。 (四)本處各單位(以下簡稱各單位)專人與職員工之個人資料保護 意識提升及教育訓練計畫之擬議。 (五)本處個人資料管理制度基礎設施之評估。 (六)本處個人資料管理制度適法性與合宜性之檢視、審議及評估。 (七)其他本處個人資料保護、管理之規劃及執行事項。
- 第 5 條五、本小組置委員13人;其中召集人及執行秘書各一人,由處長指定之; 其餘委員由各科室指派主管以上一人擔任。 本小組幕僚工作由本處企劃科辦理,並得邀請本處各單位人員參與幕 僚作業。
- 第 6 條六、本小組會議視業務推動之需要,不定期召開,由召集人主持;召集人 因故不能主持會議時,得指定委員代理之。 本小組會議開會時,得邀請有關業務單位、所屬機關人員、相關機關 代表或學者專家出(列)席。
- 第 7 條七、各單位應指定專人辦理單位內之下列事項: (一)辦理當事人依本法第十條及第十一條第一項至第四項所定請求 事項之考核。 (二)辦理本法第十一條第五項及第十二條所定通知事項之考核。 (三)本法第十七條所定公開或供公眾查閱。 (四)本法第十八條所定個人資料檔案安全維護。 (五)依第五點第四款所為擬議之執行。 (六)個人資料保護法令之諮詢。 (七)個人資料保護事項之協調聯繫。 (八)單位內個人資料損害預防及危機處理應變之通報。 (九)個人資料保護之自行查核及本處個人資料保護政策之執行。 (十)其他單位內個人資料保護管理之規劃及執行。
- 第 8 條八、本處應設置個人資料保護聯絡窗口,辦理下列事項: (一)公務機關間個人資料保護業務之協調聯繫及緊急應變通報。 (二)個人資料被竊取、洩漏、竄改或其他侵害事件(以下簡稱個資 事件)之民眾聯繫單一窗口。 (三)本處個人資料專人名冊之製作及更新。 (四)本處個人資料專人與職員工教育訓練名單及紀錄之彙整。
- 參、個人資料之蒐集、處理或利用之內部管理程序
- 第 9 條九、各單位蒐集、處理或利用個人資料,其類別、數量及接觸人員,應符 合本法第五條比例原則,以處理法定職務必要範圍內為限,儘量以蒐 集最少且不含本法第六條所定個人資料為原則。 各單位蒐集、處理或利用個人資料之特定目的,以本處已依適當方式 公開者為限。有變更者,亦同。
- 第 10 條十、各單位蒐集當事人個人資料時,應明確告知當事人本法第八條第一項 所列事項。但符合本法第八條第二項規定情形之一者,不在此限。 各單位蒐集非由當事人提供之個人資料,應於處理或利用前,向當事 人告知個人資料來源及本法第八條第一項第一款至第五款所列事項。 但符合本法第九條第二項第一款至第四款規定情形之一者,不在此限 。 依前二項規定為告知,其告知事項內容應使用通俗、簡淺易懂之語文 ,避免使用艱深費解之詞彙。 依第一項及第二項規定為告知,如有委託或共同蒐集、處理或利用個 人資料,應同時告知委託或共同利用情形。 依第一項及第二項規定為告知,得以言詞、書面、電話、簡訊、電子 郵件、傳真、電子文件、明顯或適當處所之公告或其他足以使當事人 知悉或可得知悉之方式為之。
- 第 11 條十一、各單位依本法第六條第一項第六款、第十一條第二項但書或第三項 但書規定,經當事人書面同意者,應取得當事人同意之書面文件; 該書面文件作成之方式,依電子簽章法之規定,得以電子文件為之 。 各單位依本法第十五條第二款或第十六條但書第七款規定經當事人 同意者,應符合本法第七條及本法施行細則第十五條所定之方式。
- 第 12 條十二、各單位蒐集或處理個人資料應符合下列情形之一,並於蒐集時註明 蒐集之特定目的項目及代號: (一)依本處組織規程或本法第十五條第一款及本法施行細則第十 條所稱執行法定職務。 (二)經當事人同意。 (三)依法受委託執行職務。
- 第 13 條十三、對滿七歲之未成年人蒐集或處理其個人資料,有下列情形之一者, 得經未成年人本人同意為之,其他情形應得其法定代理人同意: (一)依其年齡及身分、日常生活所必需。 (二)純獲法律上利益(純粹取得權利或不負任何義務)。 (三)法定代理人事前允許處分財產或營業。 對未滿七歲之未成年人及受監護或輔助宣告之人蒐集其個人資料, 應得其法定代理人同意。 法定代理人基於保護未成年人及受監護或輔助宣告之人之利益,得 行使本法第十條或第十一條第一項至第四項規定之權利。 本點關於未成年人保障之未盡事宜,依民法及兒童及少年福利與權 益保障法等相關規定辦理。
- 第 14 條十四、各單位應優先考慮以去識別化或經遮蔽之個人資料為處理或利用。
- 第 15 條十五、任何非原蒐集目的之特定目的外之利用,各單位應確認符合本法第 十六條但書規定後始得為之,並將利用歷程作成紀錄。 前項情形,宜審酌個案狀況,規劃當事人選擇不同意或退出同意之 機制。
- 第 16 條十六、個人資料檔案屬檔案法所稱檔案者,其申請閱覽、抄錄或複製,應 依檔案法、檔案法施行細則及本府檔案應用相關規定辦理。 依政府資訊公開法申請公開或提供前項規定以外之政府資訊,如涉 及個人資料之特定目的外利用,應審酌是否具有本法第十六條但書 及政府資訊公開法第十八條第一項第六款所定情形。
- 第 17 條十七、各單位對於個人資料之利用,不得為資料庫之恣意連結,且不得濫 用。
- 第 18 條十八、本處保有之個人資料有誤或缺漏時,應由資料蒐集單位簽奉核定後 ,移由資料保有單位更正或補充之。 因可歸責於本處之事由,未為更正或補充之個人資料,應於更正或 補充後,由資料蒐集單位以通知書通知曾提供利用之對象。
- 第 19 條十九、本處保有之個人資料正確性有爭議者,應由資料蒐集單位簽奉核定 後,移由資料保有單位,視個人資料載體性質為適當之停止處理或 利用該個人資料,並註明原因。但符合本法第十一條第二項但書情 形者,不在此限。
- 第 20 條二十、各單位應定期查明蒐集或處理個人資料適用法令所訂定之保存期間 ;其未明定者,視執行業務必要性及合理性,於本處年度檔案分類 及保存年限表明定,或訂定經告知當事人之合理保存期間。 本處保有個人資料蒐集之特定目的消失或期限屆滿時,應由資料蒐 集單位簽奉核定後,移由資料保有單位,視個人資料載體性質為適 當之停止處理或利用。但符合本法第十一條第三項但書情形者,不 在此限。
- 第 21 條二十一、各單位依本法第十一條第四項規定停止蒐集、處理或利用個人資 料者,應簽奉核定後移由資料保有單位,視個人資料載體性質適 當為之。
- 第 22 條二十二、個人資料有補充、更正、停止處理或利用、刪除時,應通知曾利 用之其他機關或單位;或與其他機關或單位事先協調及規劃個人 資料定期更新機制。 個人資料依規定刪除或停止處理、利用前,應對相關系統或服務 作影響評估並妥為因應。
- 第 23 條二十三、個人資料之刪除,應檢查是否達到資料無法還原或再組合之程度 ,並得參考機關檔案保存年限及銷毀辦法及臺北市政府公務機密 維護作業等相關規定辦理。
- 第 24 條二十四、各單位將個人資料作國際傳輸前,應確認法令限制及他國(境) 對個人資料保護法令要求,並為適當保護措施。
- 肆、機關間個人資料交換運用之內部管理程序
- 第 25 條二十五、本處與臺北市政府所屬機關(以下簡稱本府其他機關)交換運用 個人資料,依本章規定辦理;本章未規定者,適用本要點其他規 定。
- 第 26 條二十六、本章所稱交換運用,指本處為與本府其他機關共同執行法定職務 ,或協助本府其他機關執行法定職務,而以臺北市政府(以下簡 稱本府)名義蒐集個人資料,並將所蒐集之個人資料提供予各該 本府其他機關。
- 第 27 條二十七、本處為辦理交換運用,應於蒐集個人資料前,確認所涉本府其他 機關之法定職務依據、特定目的、需提供之個人資料類別、利用 之期間、地區、對象及方式,經簽會臺北市政府法務局並簽報本 府同意後,始得為之。 前項所定應確認事項,應於蒐集個人資料前,以本府名義明確告 知當事人。但有第十一點第一項但書或第二項但書所定情形者, 不在此限。 依前二項規定辦理之交換運用,視為本法第二條第四款及本法施 行細則第六條第二項所定內部傳送。
- 伍、當事人權利之行使
- 第 28 條二十八、當事人依本法第三條、第十條或第十一條第一項至第四項規定向 本處請求答覆查詢、提供閱覽、製給複製本、更正、補充、停止 蒐集、處理、利用或刪除個人資料時,應經身分確認程序,本處 並得視情形請當事人檢附相關證明文件或為適當之釋明。 第三十九點所定紀錄或證據,視為前項個人資料。 第一項證明文件內容如有遺漏、欠缺或釋明不完整,應通知限期 補正。 申請案件有下列情形之一者,應以書面或電子文件駁回其申請: (一)申請文件內容有遺漏、欠缺、虛偽不實或釋明不完整,經 通知限期補正,逾期仍未補正或無法補正。 (二)有本法第十條但書各款情形之一。 (三)有本法第十一條第二項但書或第三項但書所定情形之一。 (四)與法令規定不符。 第一項請求之處理期限及延長,依本法第十三條規定辦理。
- 第 29 條二十九、當事人請求閱覽、抄錄或複製個人資料,得依檔案閱覽抄錄複製 收費標準收取費用。 前項情形,由承辦單位派員陪同為之。
- 第 30 條三十、各單位提供當事人閱覽、抄錄或複製個人資料前,應確認未同時揭 露他人個人資料。
- 第 31 條三十一、本處保有個人資料檔案以公開於機關網站之個人資料保護專區為 原則,並應於建立個人資料檔案後一個月內為之;更新檔案時, 亦同。 為確保當事人有充分表達意見機會及申訴管道,本處網站之個人 資料保護專區,應設有個人資料客訴聯絡方式。
- 陸、委外監督
- 第 32 條三十二、各單位研擬業務委外招標文件時,應就委外範圍擬定投標廠商須 具備個人資料保護管理能力,於招標文件訂定評選項目或於採購 契約訂定監督事項及罰則條款,並將本要點列入採購契約文件供 廠商遵循。
- 第 33 條三十三、契約終止、解除或屆滿時,廠商應返還或刪除所保有之個人資料 ,或交接本處指定之其他單位,刪除存取權限,並切結未以任何 形式保留備份或影本;續約廠商不在此限。 履約期間廠商員工離職或留職停薪,應說明所負責系統之存取權 限及完成鎖定帳號或停止系統權限之時點,並應更換離職或留職 停薪員工曾接觸之密碼。
- 第 34 條三十四、各單位於履約期間應定期確認廠商執行個人資料保護措施並予以 記錄。
- 柒、個人資料風險評估及安全維護
- 第 35 條三十五、電子處理之個人資料安全維護,應遵守資通安全管理法、資通安 全管理法施行細則、檔案法、檔案法施行細則、臺北市政府資通 安全管理規定、臺北市政府員工使用資通訊裝置應注意事項、臺 北市政府及所屬各機關辦理資訊使用管理稽核作業規定、臺北市 政府文書處理實施要點等相關法令規定,並得參考行政院國家資 通安全會報技術服務中心所訂各項資訊安全參考指引辦理。 非電子處理之個人資料安全維護,應依檔案法、檔案法施行細則 、臺北市政府文書處理實施要點、臺北市政府公務機密維護作業 等規定辦理。 本處得因應最新技術發展或資訊安全問題訂定技術指引。 各單位得因應負責業務特性自訂內部安全控制措施或管理細則。
- 第 36 條三十六、本處應規劃並定期執行個人資料盤點作業,作業項目依序如下: (一)清查各作業流程中所使用之表單、紀錄,並辨識其中與個 人資料有關者,歸納整理成個人資料檔案。 (二)使用個人資料盤點表或其他具相同效用之技術、軟體或表 單,檢視其保有之個人資料檔案,確認個人資料檔案名稱 、保有之依據及特定目的、個人資料種類。 (三)使用個人資料盤點表或其他具相同效用之技術、軟體或表 單,檢視其保有之個人資料檔案之生命週期,包含蒐集、 處理、利用之內容。 (四)依第一款至前款之檢視結果,建立個人資料檔案清冊。 前項個人資料盤點表及個人資料檔案清冊,包括以下個人資料相 關欄位: (一)所涉主要業務、職掌內容及辦理流程。 (二)個人資料檔案名稱。 (三)業務主管單位。 (四)保存管理單位。 (五)保管方式。 (六)檔案型態,包括紙本類、電子類、可攜式媒體內之電子檔 ,及系統資料庫。 (七)個人資料來源。 (八)法令或契約上之保有依據。 (九)是否須履行個人資料保護法上之告知義務。 (十)特定目的(依個人資料保護法之特定目的及個人資料之類 別填寫)。 (十一)個人資料類別(依個人資料保護法之特定目的及個人資 料之類別填寫)。 (十二)個人資料項目。 (十三)個人資料保護法第六條所定個人資料項目。 (十四)個人資料數量。 (十五)內部進行蒐集、處理或利用之單位。 (十六)外部進行蒐集、處理或利用者。 (十七)委外及受委託對象接觸情形。 (十八)法定或自訂之保存期限。 (十九)銷毀方式。 (二十)是否依個人資料保護法第十七條規定對外公告。 (二十一)備註。
- 第 37 條三十七、本處應依前點所定盤點作業結果,規劃並定期執行個人資料風險 評估作業,其評估之必要項目如下: (一)個人資料可識別程度。 (二)個人資料檔案型態及數量。 (三)個人資料類別敏感性及風險性。 (四)蒐集、處理、利用過程及環境。 (五)個人資料存取頻率及存放位置。 (六)蒐集、處理、利用及保有之適法性。 (七)個人資料保護意識及相關知能。 本處應依前項所定風險評估結果,規劃並採取必要之風險控管及 精進措施。
- 第 38 條三十八、各單位應視業務性質保存下列紀錄或證據: (一)當事人書面同意。 (二)告知或通知當事人。 (三)當事人或法定代理人依本法第十條或第十一條第一項至第 四項定主張權利。 (四)蒐集、處理、利用個人資料所生之軌跡紀錄( log)。 (五)依第十六點第一項規定作成之紀錄。 (六)本處或各單位之檢查或稽核。 (七)依第三十五點規定作成之監督紀錄。 (八)個人資料正確性有爭議。 (九)個資事件。 依前項規定保存之紀錄或證據,除其他法令另有規定或契約另有 約定外,應至少保存五年。
- 第 39 條三十九、為妥善因應個資事件,各單位平時應建立通報及支援聯絡網人員 名冊,掌握個人資料處理或利用流程,透過監測資料注意異常狀 況之潛在問題。
- 第 40 條四十、負責蒐集、處理或利用個人資料之職員工,應定期參加資訊安全或 個人資料保護教育訓練。 新進職員工或參與本處招標第一次得標廠商員工,應詳閱本要點、 相關契約內容,得標廠商亦應提供必要之教育訓練。 專人應適時通知個人資料保護注意事項,並應視需要轉知業務往來 之其他機關或單位。
- 第 41 條四十一、本處每年應依臺北市政府資通安全管理規定、臺北市政府及所屬 各機關辦理資訊使用管理稽核作業規定辦理相關稽核作業。
- 第 42 條四十二、個資事件發生時,單位應依指示及視事件性質,儘速採取包含下 列內容之應變措施: (一)中斷入侵或洩漏途徑。 (二)緊急儲存尚未被破壞資料。 (三)啟動備援程序或替代方案。 (四)事件原因初步分析。 (五)評估受侵害個人資料類別及數量。 (六)檢視防護及監測設施功能。 (七)記錄事件經過。 (八)行政內部調查完成前保存相關證據。 (九)解決或修復方案。 (十)通知保有相同資料組室或其他單位。 (十一)洽商專業人員協助或進駐處理。 (十二)涉及刑事責任者,移請檢警鑑識或調查。 (十三)發布新聞稿、網站公告。
- 第 43 條四十三、個資事件發生後,本處應依本法第十二條通知當事人,內容包括 侵害事實及因應措施說明、建議當事人處理事項提、供查詢及協 助管道、賠(補)償當事人處理事務相關費用等補救措施。 前項通知,指以言詞、書面、電話、簡訊、電子郵件、傳真、電 子文件或其他足以使當事人知悉或可得知悉之方式為之。
- 第 44 條四十四、個資事件發生後,各單位應儘速完成通報作業。通報對象包括企 劃科及本處資安長;通報內容至少應包括通報人身分、資料外洩 或侵害方式、時間、地點、初估外洩或侵害個人資料類別及數量 、避免損害擴大處置等資訊;通報方式以電話或簡訊為主,電子 郵件為輔。 重大資通安全事件通報及應變作業,應依資通安全事件通報及應 變辦法、臺北市政府資通安全事件通報及應變管理程序辦理。
- 捌、附則
- 第 45 條四十五、本處為因應法令修訂、技術發展或強化人格權保障,應為必要之 補充及調整,並適時修正本要點。
臺北市歷史法規所有條文 text_rotate_vertical 另存PDF print 友善列印
北市06-09-2011
臺北市政府工務局大地工程處個人資料保護管理要點
非現行版本
行政規則:屬行政程序法第159條第2項第1款
民國 110 年 12 月 08 日
中華民國110年12月8日臺北市政府工務局大地工程處(110)北市工地企字第1103030430號函訂定全文45點;並自110年12月1日生效