公告

壹、依據

一、個人資料保護法（下稱個資法）第27條第3項規定。

二、短期補習班個人資料檔案安全維護計畫實施辦法。

貳、蒐集個人資料之特定目的與資料類別界定

一、員工或其他相關人員部分：

1.  蒐集員工資料之特定目的為（002）人事管理(包含甄選、離職及所屬員工基本資訊、現職、學經歷、職務分配、學習訓練進修、考績獎懲、差勤、福利措施或其他人事措施)。

2.  蒐集其他相關人員資料之特定目的為(069) 契約、類似契約或其他法律關係事務。

3.  員工、其他相關人員之個人資料類別或範圍為辨識個人基本資料、政府資料之辨識、資格或技術、犯罪前科資料及執行業務或契約約定事項有必要關聯性之其他資料。範圍如下：姓名、身分證統一編號、出生年月日、戶籍地址及通訊、學經歷、相片、受雇情形、工作紀錄、護照號碼、國籍、駕駛執照、行車執照、犯罪紀錄等。

二、學員部分：

1.  蒐集學員個人資料之特定目的為(040)行銷、(069)契約、類似契約或其他法

律關係事務、(090)消費者管理與服務（109）教育、(158)學生(員)資料管理。

2.  學員個人資料類別或範圍為識別個人及與契約約定事項有必要之關聯性資料。範圍如下：姓名、身分證統一編號、出生年月日、戶籍地址及通訊、相片、就讀學校名稱及年班、學習成績與紀錄、出勤曠課紀錄、考試成績、家長或監護人姓名、緊急聯絡人、繳費紀錄等。

三、對於所蒐集、建立、持有之個人資料檔案，應檢視是否符合所定之類別及範圍，且應定期清查檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。

參、個人資料之蒐集與處理

一、蒐集：

1.  尊重當事人之權益，依誠信方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。

2.  個人資料之蒐集必須符合第貳項規定外，還需具備與當事人有契約或類似契約之關係、或個人資料保護法第19條所規定者，始得為之。

3.  蒐集個人資料時，除符合個資法第8條免告知外，應明確告知當事人下列事項：本班名稱、蒐集目的、類別及利用之期間、地區、對象及方式、依個資法第3條規定得行使之權利及方式、得自由選擇提供個人資料時，不提供將對其權益之影響。

4.  遵守個資法第8條及第9條告知義務，並區分個人資料屬直接蒐集或間接蒐集，分別訂定告知方式、內容及注意事項，要求本班所屬員工確實辦理。

5.  告知之方式得以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式為之。

6.  未經當事人之同意，不得透過他人介紹、推薦等方式蒐集其個人資料。

二、處理：

1.  書面個人資料，輸入電腦系統後，該書面或相關資料交由專責部門(人員)妥善保管於適當場所。

2.  個人資料經處理成為檔案後，於內部傳送時採取必要之保護措施。

3.  針對未錄用應徵者有關履歷表件及個人資料，依當事人選擇依下列方式處理：(1)退還給當事人。(2)授權本班銷毀。(3)同意該資料由本班暫存(註記期間)，俾便日後有適當工作時通知。

4.  遵照中央目的事業主管機關限制命令，禁止將個人資料傳輸到國外。

肆、個人資料之利用

一、特定目的內利用：

1.  個人資料之利用依個資法第20條規定，並依第貳項所載之特定目的內為之，且不得逾越必要範圍。

2.  在特定目的範圍內利用個人資料，必須本於誠信原則尊重當事人之權益。

二、特定目的外利用：

1.  非經當事人(及其法定代理人)同意或法令規定許可，不得為下列行為:

(1）  任意揭露、販售或用於蒐集時的特定目的外之用途。

(2）  公告或揭露學員基本資料或考試成績，用以做宣傳或招生之目的。

(3）  不得以與其他機構或公司合作或關係企業為由，對當事人做補教業務以外之行銷或宣傳。

2.  個人資料做特定目的外之利用時，應事先經專責人員之審核與同意。

三、宣傳、推廣或行銷利用：

1.  首次利用個人資料時，應提供當事人表示拒絕接受之方式，並支付所需費用；當事人表示拒絕接受者，應立即停止利用其個人資料，並周知所屬人員。

2.  告知本班名稱及個人資料來源。

伍、個人資料檔案安全維護措施：

一、規劃

1.  指定專責人員，負責規劃、訂定、修正、執行計畫及業務終止後個人資料處理方法等相關事項，並定期(如:每季、半年)向負責人提出報告。

2.  定期(如:每季、半年)對個人資料檔案保護風險進行評估並做成紀錄，如發現有影響個人資料安全之風險或漏洞，應立即採取改善及防備措施。

3.  發生個人資料安全事件時，專責人員立即報告負責人；若發生個人資料被竊取、洩漏、竄改或其他侵害事故者，採取下列應變機制：

(1)採取適當之措施，控制事故對當事人造成損害。

(2)查明事故發生原因及損害狀況，以適當方式通知當事人，並通報其直轄市、縣（市）主管機關。

(3)研議改進措施，避免事故再度發生。

二、執行

1.  將個人資料從蒐集(如受理學員報名、員工應徵)、處理、利用過程及管理製作流程表，俾便工作人員執行，並送交專人列管。

2.  製作員工職掌紀錄表，記載所掌業務是否有涉及蒐集、處理或利用個人資料及其類別與範圍。

3.  當事人請求查詢、閱覽、製給複製本或請求補充、更正、停止蒐集、處理或利用、請求刪除個人資料時，依下列方式辦理：

(1)提供聯絡窗口及方式。

(2)確認是否為資料當事人之本人，或經其委託。

(3)有個資法第10條但書、第11條第2項但書或第3項但書得拒絕當事人行使權利之事由，一併附理由通知當事人，並遵守個資法第13條處理期限之規定。

4.  檔案安全管理

(1)廢棄紙本個人資料，以碎紙機、水銷或其他方式銷毀。若以磁碟、磁帶、光碟片等媒介物儲存者，該媒介物於報廢時採取消磁、剪斷等方式銷毀，以免由該媒介物洩漏個人資料。進行個人資料銷毀處理時，應記載處理之時間、地點，並以照相或錄影方式留存紀錄。

(2)紙本個人資料，應擇適當場所存放並予上鎖責由專人保管，未依程序或許可者，不得調閱或使用。

(3)本班所屬人員禁止使用私人可攜式設備（例如隨身碟、外接硬碟、手機等）儲存本班所蒐集個人資料檔案。

(4)本班所保有個人資料檔案及以網際網路傳輸個人資料時以加密方式儲存，僅經授權之所屬人員得開啟處理、利用。

(5)個人資料檔案應定期備份，以防止被竊取、洩漏、竄改、毀損、滅失。

(6)電子個人資料檔案存放之電腦或自動化機器相關設備，應置安全防護系統(防火牆)或加密機制，並隨時更新。

(7)電腦使用螢幕保護程式，設定保護密碼。

(8)儲存個人資料之資訊設備安裝防毒軟體，除每日更新病毒碼外，並於每週執行排程掃描。

5.  人員安全管理

(1)  存取個人資料檔案權限應與所職掌業務相符。使用電腦設備蒐集、處理、利用個人資料，以專屬帳號密碼登入，且不得洩漏或與他人共用。

(2)  處理、持有或保管個人資料檔案之人員，應簽訂保密切結書，如離職或職務異動，應將所保管有關資料列冊移交，並確認離職時或合約終止時，取消或停用其使用者識別帳號。

6.  設備安全管理

(1)  儲存個人資料之資訊設備做必要之管制措施，避免無關人員任意出入或接觸。

(2)  儲存個人資料檔案之磁碟、磁帶等相關儲存媒體，指定專人管理。相關儲存媒體非經同意並留存紀錄，不得任意攜出或複製。

(3)  主機置放之機房應設置門禁、監視錄影及防火設備。

(4)  電腦設備報廢或不使用時，刪除其中所儲存之個人資料檔案。

(5)  更新或維修電腦設備時，指定專人在場監督，確保個人資料之安全及防止個人資料外洩。

三、認知宣導與教育訓練

1.  新進人員施予個人資料保護法之宣導或教育訓練。

2.  定期或不定期對本班所屬人員施以個人資料保護教育訓練或講習。

3.  置個人資料保護相關書籍，供員工閱讀。

陸、稽核、檢查與紀錄保存

一、 資料安全之稽核檢查

1.  定期或不定期執行稽核作業，檢查安全維護有無疏漏，以確保相關措施之有效性。

2.  稽核人員由負責人或業務主管指派，且不得與辦理個資保護之專責人員相同。檢查結果稽核人員須向負責人提出報告。

二、 個人資料檔案之使用紀錄、軌跡資料及其他相關證據資料應予保存或記錄於職掌紀錄表中，以便日後釐清責任或作為證據。

柒、業務終止之資料處理方式及留存紀錄

一、銷毀：其方法、時間、地點及證明銷毀之方式。

二、移轉：其原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。

三、刪除、停止處理或利用個人資料：其分別之方法、時間或地點。

四、留存紀錄至少5年。

捌、檢討改進

一、稽核發現缺失時，即進行風險評估與改進措施，以確保安全維護計畫之有效性。

二、若發生違法情事，即進行檢討改進，修正執行程序或行為，並採取預防措施，以避免再度發生。

三、隨時注意社會輿情報導、法令修正等事項，檢討本安全維護計畫之合宜性。