一、臺北市立聯合醫院（以下簡稱本院）為保護個人資料（以下簡稱個資 ），促進個資之合理利用，特訂定本要點。

二、本院對於個資之保護及管理，除法令或本院其他相關規範另有規定外 ，依本要點規定辦理之。

三、本要點所稱執行單位係指本院各院區及院本部一級單位。

四、本院個資保護管理制度與作業程序由執行單位負責執行。執行單位得 設工作小組或指派專人辦理下列事項： （一）執行個人資料保護管理委員會（以下簡稱委員會）擬議之事項 。 （二）辦理當事人依個人資料保護法（以下簡稱個資法）第十條之請 求，就其蒐集之個資，答覆查詢、提供閱覽或製給複製本。 （三）辦理個資法第十一條第一項至第四項之規定，維護個資正確性 ，並主動或依當事人之請求更正、補充、刪除、停止處理或停 止利用，但因執行職務所必須或經當事人書面同意者，不在此 限。 （四）依個資法第十一條第五項及第十二條規定，倘因可歸責於本院 之事由未更正、補充個資，或因違反個資法規定致個資被竊取 、洩漏、竄改或其他侵害者，應於更正、補充或查明後通知當 事人。 （五）辦理醫院個資檔案安全維護計畫實施辦法及其他相關法令所定 之個資檔案安全維護事項。 （六）辦理個資法施行細則第十二條所定之個資檔案安全維護事項。 （七）辦理個資法第十八條所定個資檔案安全維護事項，防止個資被 竊取、竄改、毀損、滅失或洩漏。 （八）個資保護事項之協調聯繫。 （九）個資損害預防及危機處理應變之通報。 （十）個資保護管理事項之自行查核及改善。 （十一）其他有關個資保護管理事宜。

五、本院個資保護聯絡窗口，由執行單位派員兼任之，辦理下列事項： （一）辦理非資訊面個資安全事件之通報事宜。（電子個資應循資安 事故通報程序通報） （二）辦理機關（構）間個資保護業務之協調聯繫及緊急應變通報事 宜。 （三）個資外洩事件之民眾聯繫單一窗口。

六、本院保有之個資檔案名稱彙整於「臺北市立聯合醫院保有及管理個資 公開項目」，依個資法第十七條規定公告於外部網站。

七、本院蒐集、處理或利用個資之特定目的，以本院已依適當方式公開者 為限。有變更者，亦同。

八、對於個資之蒐集、處理或利用，應確實依個資法第五條規定，尊重當 事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍 ，並應與蒐集之目的具有正當合理之關聯。 蒐集、處理或利用個資有疑義者，由執行單位提請委員會討論議決。

九、依個資法第八條第一項規定，執行單位蒐集當事人個資時，應明確告 知當事人下列事項： （一）機關或單位名稱。 （二）蒐集之目的。 （三）個資之類別。 （四）個資利用之期間、地區、對象及方式。 （五）當事人依個資法第三條規定得行使之權利及方式。 （六）當事人得自由選擇提供個資時，不提供對其權益之影響。 依個資法第八條第二項規定，有下列情形之一者，得免為前項之告知 ： （一）依法律規定得免告知。 （二）個資之蒐集係公務機關執行法定職務或非公務機關履行法定義 務所必要。 （三）告知將妨害公務機關執行法定職務。 （四）告知將妨害公共利益。 （五）當事人明知應告知之內容。 （六）個資之蒐集非基於營利之目的，且對當事人顯無不利之影響。

十、執行單位蒐集非由當事人提供之個資，應於處理或利用前，向當事人 告知個資來源及前點第一項第一款至第五款所列事項。但依個資法第 九條第二項規定，有下列情形之一者，不在此限： （一）有個資法第八條第二項所列各款情形之一。 （二）當事人自行公開或其他已合法公開之個資。 （三）不能向當事人或其法定代理人為告知。 （四）基於公共利益為統計或學術研究之目的而有必要，且該資料須 經提供者處理後或蒐集者依其揭露方式，無從識別特定當事人 者為限。 （五）大眾傳播業者基於新聞報導之公益目的而蒐集個資。 前項之告知，得於首次對當事人為利用時併同為之。

十一、執行單位依個資法第十五條第二款規定經當事人同意者，依個資法 第七條規定，係當事人經蒐集者告知本法所定應告知事項後，所為 允許之意思表示；個資法第十六條但書第七款規定經當事人同意者 ，指當事人經蒐集者明確告知特定目的外之其他利用目的、範圍及 同意與否對其權益之影響後，單獨所為之意思表示。 前項情形如當事人係與其他意思表示於同一書面為之者，依個資法 施行細則第十五條規定，蒐集者應於適當位置使當事人得以知悉其 內容並確認同意所定之方式。 如當事人因前項事由以書面同意，則依個資法施行細則第十四條及 電子簽章法之規定，得以電子文件為之。

十二、執行單位依個資法第十五條或第十六條規定對個資之蒐集、處理、 利用時，應有特定目的，該目的與蒐集時相符，並符合下列情形之 一： （一）執行法定職務必要範圍內。 （二）經當事人同意。 （三）對當事人權益無侵害。 執行單位依個資法第十六條但書規定有下列情形之一者，得為特定 目的外之利用： （一）法律明文規定。 （二）為維護國家安全或增進公共利益所必要。 （三）為免除當事人之生命、身體、自由或財產上之危險。 （四）為防止他人權益之重大危害。 （五）公務機關或學術研究機構基於公共利益為統計或學術研究而 有必要，且資料經過提供者處理後或經蒐集者依其揭露方式 無從識別特定之當事人。 （六）有利於當事人權益。 （七）經當事人同意。 執行單位依前兩項規定為蒐集、處理、利用時，應詳為審核並將其 審核結果於個資檔案中記明，並將個資之利用歷程作成紀錄。 對於個資之利用，不得為資料庫之恣意連結，且不得濫用。

十三、本院依個資法第十七條規定，將應公開資訊公開於電腦網站，或以 其他適當方式供公眾查閱。

十四、本院應依個資法第十一條第一項規定維護個資之正確，保有之個資 有誤或缺漏時，應由資料蒐集單位簽奉核定後，移由個資保有單位 更正或補充之，並留存相關紀錄。 因可歸責於本院之事由，未為更正或補充之個資，應依個資法第十 一條第五項規定，於更正或補充後，由資料蒐集單位通知曾提供利 用之對象。

十五、本院保有之個資正確性有爭議者，應依個資法第十一條第二項規定 ，由資料蒐集單位簽奉核定後，移由個資保有單位停止處理或利用 該個資。但因執行職務或業務所必須，或經當事人書面同意，並經 註明其爭議者，不在此限。

十六、本院保有個資蒐集之特定目的消失或期限屆滿時，應依個資法第十 一條第三項規定，由資料蒐集單位簽奉核定後，移由個資保有單位 刪除、停止處理或利用。但因執行職務或業務所必須或經當事人書 面同意者，不在此限。

十七、違反個資法規定蒐集、處理或利用個資者，應依個資法第十一條第 四項規定，由執行單位主動或依當事人之請求，刪除、停止蒐集、 處理或利用個資，並應簽奉核定後移由個資保有單位為之。

十八、本院依第十五點規定至第十七點規定，刪除、停止蒐集、處理或利 用個資者，各執行單位應確實記錄。

十九、違反個資法規定，致個資被竊取、洩漏、竄改或其他侵害情事者， 依個資法第十二條規定，由執行單位查明，簽奉核定後，交由資料 外洩單位以適當方式通知當事人。

二十、當事人依個資法第十條規定請求查詢、閱覽或請求製給複製本，或 依第十一條第一項至第四項規定請求更正、補充、刪除、停止蒐集 、處理或利用其個資時，應填具當事人權利行使申請書（附件一） ，並檢附相關證明文件。 前項文件內容如有遺漏或欠缺，應通知限期補正。 申請案件有下列情形之一者，應以書面駁回其申請： （一）申請書件內容有遺漏或欠缺，經通知限期補正，屆期仍未補 正。 （二）有個資法第十條但書各款情形之一。 （三）個資法第十一條第二項但書或第三項但書所定情形之一。 （四）與法令規定不符。

二十一、當事人依個資法第十條規定，就本院蒐集之個資提出查詢、提供 閱覽或製給複製本之請求時，應依個資法第十三條第一項前段及 行政程序法第九十六條第一項第二款規定，由執行單位於十五日 內，簽奉准駁之決定並備理由以書面通知請求人。 前項准駁決定期間，依個資法第十三條第一項後段規定，必要時 得予延長，延長期間不得逾十五日，並應將其原因以書面通知請 求人。

二十二、當事人請求查詢、閱覽或製給個資複製本者，除其他法令或本院 相關規範另有規定者外，適用「臺北市政府及所屬機關學校提供 政府資訊收費標準」收取費用。 當事人閱覽其個資，應由個資保有單位派員陪同為之，並依「臺 北市政府及所屬各機關學校處理閱卷作業要點」辦理。

二十三、當事人依個資法第十一條第一項至第四項規定，就資料正確性、 個資蒐集之特定目的消失或期限屆滿、發現本院違反個資法規定 而提出更正、補充、刪除、停止蒐集、處理或利用之請求時，應 依個資法第十三條第二項前段及行政程序法第九十六條第一項第 二款規定，由執行單位於三十日內，簽奉准駁之決定並備理由以 書面通知請求人。 前項准駁決定期間，依個資法第十三條第二項後段規定，必要時 得予延長，延長期間不得逾三十日，並應將其原因以書面通知請 求人。

二十四、本院保有之個資檔案之公開，仍適用政府資訊公開法或其他法律 規定。

二十五、本院個資檔案安全維護，除病歷及醫療個資，應適用醫院個資安 全維護實施辦法及本院個資檔案安全維護計畫之規定；涉及資訊 安全者，應依資通安全管理法等相關法令及本院資通安全通訊與 作業安全管理等相關規範辦理外，應依本要點相關規定辦理之。

二十六、為防止個資被竊取、竄改、毀損、滅失或洩漏，各執行單位應指 定個資檔案安全維護專人，依相關法令及本院規範，辦理個資檔 案安全維護事項。

二十七、各執行單位應依業務需求建立安全管理機制，內容應包含但不限 於以下事項： （一）資料安全管理 1.個資檔案分級分類管理，執行單位應指派專人保管。 2.人員異動時之個資檔案管理。 3.資料傳輸之管理。 （二）人員管理 1.掌握蒐集、處理及利用個資檔案之相關業務流程負責人 員。 2.進用人員時應進行適當之安全性評估。 3.相關人員應簽訂保密協定。 （三）設備管理 1.個資檔案處理之相關設備及周邊環境應有控管保護機制 。 2.個資檔案處理之監控措施。 3.設備送修之安全管控。 4.設備報廢、減損或移轉之安全管控。 （四）使用紀錄及證據之管理

二十八、有關本院個資事故通報作業另訂之。

二十九、本院依個資法第四條規定委託蒐集、處理或利用個資之受託者， 於適用個資法範圍內，應適用本要點。