汽車運輸業與計程車客運服務業個人資料檔案安全維護管理辦法

本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。

1本辦法適用對象為汽車運輸業及計程車客運服務業（以下簡稱業者）。

2本辦法所稱主管機關在中央為交通部；在地方為直轄市、縣（市）政府。

3本辦法用詞，定義如下：

一、消費者：指以消費為目的而為交易、使用商品或接受服務者。

二、管理人：由業者負責人擔任或指定，負責督導消費者個人資料檔案安全維護計畫（以下簡稱本計畫）之訂定及執行。

三、稽核人員：由業者負責人指定，負責定期或不定期查察專人或專責組織執行本計畫之落實情形。

4前項第二款管理人與第三款稽核人員，不得為同一人。但業者僅有一名員工者，不在此限。

1保有消費者個人資料（以下簡稱個人資料）達一百筆之業者，應視其組織規模、業務特性及個人資料之性質與數量等事項，依本辦法規劃、訂定、修正及執行本計畫，其內容應包含第四條至第二十二條所定之相關組織與程序，以落實個人資料之安全維護與管理，防止個人資料遭竊取、竄改、毀損、滅失或洩漏。

2前項業者，應於本辦法施行之日起六個月內完成本計畫之訂定；其於本辦法施行後，始保有個人資料達一百筆之業者，應自達一百筆之日起六個月內完成。

3業者訂定本計畫後，如連續二年保有之個人資料未達一百筆，得停止本計畫全部或一部之執行。但其後保有之個人資料再次達一百筆者，應自達一百筆之日起三十日內恢復本計畫全部之執行。

4個人資料筆數之計算，以業者累計保有之個人資料為準；其未達一百筆之事實，應由業者證明之。

5本計畫之訂定或修正，應經業者代表人或其授權人員核定。

6業者應將本計畫留存於營業所在地備供查核，主管機關並得派員查核。

7主管機關得要求業者於指定期限內以書面報告本計畫之實施情形。

1業者就個人資料檔案安全維護管理得指定專人或建立專責組織，並配置相當資源。

2前項專人或專責組織之任務如下：

一、規劃、訂定、修正與執行本計畫，包括業務終止後個人資料處理方法等相關事項。

二、定期就執行情形向管理人報告。

三、依據稽核人員就執行之評核進行檢討改進，並向管理人及稽核人員提出書面報告。

四、訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。

五、定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。

1業者蒐集、處理及利用之個人資料依其特定目的及必要性，界定類別或範圍並應遵守：

一、定期清查保有之個人資料現況。

二、確認保有之個人資料所應遵循適用之個人資料保護相關法令現況。

2前項清查發現有下列情形者，業者應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料：

一、非屬特定目的必要範圍內之個人資料。

二、特定目的消失或期限屆滿而無本法第十一條第三項但書之情形。

業者應依據前條所界定之個人資料範圍及其相關業務流程，分析可能產生之風險，並訂定適當之管控措施。

1業者所保有之個人資料如遭竊取、竄改、毀損、滅失或洩漏等事故，應採取下列機制：

一、採行適當應變措施，以控制事故對當事人之損害。

二、查明事故之狀況，並依本法第十二條規定以適當方式通知當事人；其通知內容應包括資料外洩事實、因應措施及諮詢服務專線。

三、研議預防機制，避免類似事故再次發生。

2業者發生重大矚目之個人資料侵害事故（包含行政院、立法院或監察院關注之案件或經媒體顯著披露之案件），應於事故發生後二十四小時內填具個人資料侵害事故通報與紀錄表（如附表）通報交通部及有關機關；非上述範圍之一般個人資料侵害事故，應於事故發生或知悉後七十二小時內填具上開通報與紀錄表通報主管機關，並副知交通部公路局。未於時限內通報者，應附理由說明之。事故處理完畢後一個月內，應將處理方式及結果報主管機關備查。

3就第二項之通報，主管機關得依本法第二十二條至第二十五條規定，派員檢查並為適當之監督管理措施。

業者應依個人資料之屬性，分別訂定下列管理程序：

一、檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定個人資料及其特定目的。

二、檢視蒐集、處理及利用本法第六條所定個人資料，是否符合相關法令之要件。

三、雖非本法第六條所定個人資料，如有特別管理之需要，仍得比照或訂定特別管理程序。

業者為遵守本法第八條及第九條關於告知義務之規定，應採取下列方式：

一、檢視蒐集、處理個人資料之特定目的。

二、檢視是否符合免告知之事由。

三、依據資料蒐集之情況，採取適當之告知方式。

業者蒐集、處理及利用一般個人資料行為應符合本法規定：

一、檢視蒐集、處理個人資料是否符合本法第十九條規定，具有特定目的及法定要件。

二、檢視利用個人資料是否符合本法第二十條第一項規定，符合特定目的內利用；於特定目的外利用個人資料時，應檢視是否具備法定特定目的外利用要件。

業者委託他人蒐集、處理或利用個人資料之全部或一部時，應對受託者依本法施行細則第八條規定為適當之監督，並明確約定相關監督事項與方式。

業者於首次利用個人資料行銷時，應提供當事人免費表示拒絕行銷之方式；當事人表示拒絕行銷後，應立即停止利用其個人資料行銷，並周知所屬人員。

1中央主管機關依本法第二十一條規定，對業者為限制國際傳輸個人資料之命令或處分時，業者應通知所屬人員遵循辦理。

2業者將個人資料作國際傳輸者，應檢視是否受中央主管機關限制，並告知當事人其個人資料所欲國際傳輸之區域，且對資料接收方為下列事項之監督：

一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。

二、當事人行使本法第三條所定權利之相關事項。

業者於個人資料當事人行使本法第三條規定之權利時，應依下列規定辦理：

一、提供聯絡窗口及聯絡方式。

二、確認為個人資料當事人本人，或經其委託者。

三、認有本法第十條但書各款、第十一條第二項但書或第三項但書規定得拒絕當事人行使權利之事由時，應附理由通知當事人。

四、有收取必要成本費用者，應告知當事人收費基準。

五、遵守本法第十三條有關處理期限之規定。

業者為維護其所保有個人資料之正確性，應採取下列方式為之：

一、檢視個人資料於蒐集、處理或利用過程，是否正確。

二、當發現個人資料不正確時，應適時更正或補充；若該不正確可歸責於業者者，應通知曾提供利用之對象。

三、個人資料正確性有爭議者，應依本法第十一條第二項規定處理。

業者得採取下列人員管理措施：

一、依據作業之需要，建立管理機制，設定所屬人員不同權限，並定期確認權限內容之適當及必要性。

二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。

三、與所屬人員約定保密義務。

四、所屬人員離職或完成受指派工作後，應將其執行業務所持有之個人資料辦理交接，亦不得私自持有複製物而繼續使用該個人資料。

業者應採取下列資料安全管理措施：

一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，應訂定使用可攜式設備或儲存媒體之規範。

二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，採取適當之加密機制。

三、作業過程有備份個人資料之需要時，應比照原件，依本法規定予以保護之。

四、個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片等媒介物，嗣該媒介物於報廢或轉作其他用途時，採適當防範措施，以避免由該媒介物洩漏個人資料；其委託他人執行者，對受託者之監督依第十一條規定辦理。

1業者使用資通系統蒐集、處理或利用個人資料達一百筆，且具對外電子商務服務系統者，應採取下列資料安全管理措施：

一、使用者身分確認及保護機制。

二、個人資料顯示之隱碼機制。

三、網際網路傳輸之安全加密機制。

四、個人資料檔案及資料庫之存取控制與保護監控措施。

五、防止外部網路入侵對策。

六、非法或異常使用行為之監控與因應機制。

七、資通系統變更時，確保安全性未降低之管理機制。

八、資通系統測試時，避免使用真實個人資料；如須使用，應訂定使用規範。

2前項所稱電子商務，指透過網際網路進行有關商品或服務之廣告、行銷、供應或訂購等商業交易活動；所稱資通系統，指以蒐集、控制、傳輸、儲存、流通、刪除或其他方式，處理、使用、分享資訊之系統。

3第一項第五款及第六款所定措施，應定期演練並檢討改善。

業者針對保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，應採取下列環境管理措施：

一、依據作業內容之不同，實施適宜之進出管制方式。

二、所屬人員妥善保管個人資料之儲存媒介物。

三、針對不同媒介物存在之環境，審酌建置適度之保護設備或技術。

業者於業務終止後，針對個人資料應依下列措施為之，並留存相關紀錄；其紀錄並應至少保存五年：

一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。

二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。

三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。

業者應採行適當措施，建立個人資料使用紀錄、自動化機器設備之軌跡資料或其他相關證據之保存機制，以供必要時說明本計畫之執行情況。前述相關紀錄應至少保存五年。但法令另有規定保存期限者，從其規定。

為個人資料安全維護之整體持續改善，業者宜參酌執行業務現況、社會輿情、技術發展、法令變化等因素，注意下列事項：

一、檢視或修訂本計畫。

二、針對個人資料安全稽核結果之不符合法令之虞者，宜規劃、執行改善及預防措施。

本辦法施行日期，由交通部定之。