農藥販賣業個人資料檔案安全維護管理辦法

本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。

本辦法所稱主管機關：在中央為行政院農業委員會；在直轄市為直轄市政府；在縣（市）為縣（市）政府。

1保有消費者個人資料之農藥販賣業，應訂定個人資料檔案安全維護計畫（以下簡稱計畫）。但保有消費者個人資料未達一千筆之農藥販賣業，不在此限。

2本辦法所稱農藥販賣業，指依農藥管理法第二十六條規定，經當地直轄市或縣（市）主管機關核發農藥販賣業執照者。

前條計畫內容應包括下列事項：

一、農藥販賣業之組織規模。

二、農藥販賣業應依其規模、特性、保有個人資料之性質及數量等事項，訂定適當之安全維護管理措施，其內容得包括下列事項：

（一）配置管理人員及相當資源。

（二）個人資料蒐集、處理及利用之內部管理程序。

（三）事故之預防、通報及應變機制。

（四）設備安全管理、資料安全防護管理及人員管理措施。

（五）使用紀錄、軌跡資料及證據保存。

（六）業務終止後之個人資料處理方法。

1農藥販賣業於本辦法施行前已保有消費者個人資料達一千筆以上者，應於本辦法施行之日起六個月內，將計畫報請當地直轄市或縣（市）主管機關備查。

2農藥販賣業於本辦法施行後，因直接或間接蒐集而保有消費者個人資料達一千筆以上，應於保有筆數達一千筆之日起六個月內，將計畫報請當地直轄市或縣（市）主管機關備查。

3農藥販賣業應適時檢討所定計畫，必要時應予修正；修正後，應於十五日內將修正計畫報請當地直轄市或縣（市）主管機關備查。

1農藥販賣業應指定專責管理人員辦理計畫之執行或業務終止後之安全維護事項。

2農藥販賣業應將蒐集、處理及利用個人資料之特定目的、法律依據及其他相關保護事項，公告於營業場所適當之處或揭露於網站。

1農藥販賣業應於蒐集個人資料之特定目的範圍內，為個人資料之處理及利用，並定期清查所保有個人資料檔案之現況。

2農藥販賣業依前項清查發現有非屬特定目的必要範圍內之個人資料，或特定目的消失、期限屆滿而無保存必要者，應予刪除、停止處理或利用，並留存相關紀錄。

1農藥販賣業應訂定應變機制，於發生個人資料被竊取、洩漏、竄改或其他侵害事故時，迅速處理以保護當事人之權益。

2前項應變機制，應包括下列事項：

一、查明事故發生原因及損害狀況，以適當方式通知當事人，並採取適當措施，以控制事故對當事人造成之損害。

二、研議改進措施，避免類似事故再度發生。

3農藥販賣業遇有第一項個人資料安全事故時，應自發現事故起七十二小時內填具通報紀錄表（如附表），通報當地直轄市或縣（市）主管機關並副知中央主管機關，未於時限內通報者，應敘明理由；並自處理結束之日起一個月內，將處理方式及結果，報直轄市或縣（市）主管機關備查並副知中央主管機關。

4直轄市或縣（市）主管機關接獲通報後得依本法第二十二條至第二十五條規定派員檢查並為適當之監督管理措施。

農藥販賣業為執行業務蒐集個人資料時，應檢視符合蒐集要件及特定目的之必要範圍。

農藥販賣業蒐集個人資料，應依本法第八條及第九條有關告知義務之規定辦理。

1中央主管機關依本法第二十一條規定，對農藥販賣業為限制國際傳輸個人資料之命令或處分時，農藥販賣業應遵行辦理。

2農藥販賣業者將消費者個人資料作國際傳輸者，應檢視是否受中央主管機關限制，並告知消費者其個人資料所欲國際傳輸之區域，且對資料接收方為下列事項之監督：

一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。

二、當事人行使本法第三條所定權利之相關事項。

農藥販賣業所蒐集之個人資料作特定目的外利用者，應符合本法第二十條第一項但書規定。

1農藥販賣業對所蒐集保管之個人資料檔案，應設置適當之安全設備或採取防護措施。

2前項安全設備或防護措施，應包括下列事項：

一、紙本資料檔案之安全保護設施。

二、電子資料檔案存放之電腦、自動化機器相關設備、可攜式設備或儲存媒體，配置安全防護系統或加密機制。

三、存有個人資料之紙本或其他儲存媒介物報廢汰換或轉作其他用途時，應採取適當之銷毀或防範措施。

3農藥販賣業因執行業務以資通訊系統蒐集、處理或利用個人資料，且保有消費者之個人資料達一千筆以上者，應於保有筆數達一千筆之日起六個月內採取下列資訊安全措施：

一、使用者身分確認及保護機制。

二、個人資料顯示之隱碼機制。

三、網際網路傳輸之安全加密機制。

四、個人資料檔案與資料庫之存取控制及保護監控措施。

五、防止外部網路入侵對策。

六、非法或異常使用行為之監控及因應機制。

4農藥販賣業於本辦法修正施行前資通訊系統已保有消費者個人資料達一千筆以上，應於本辦法修正施行之日起六個月內，採行前項資訊安全措施。

農藥販賣業為保護個人資料之安全，應對其所屬人員採取下列措施：

一、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。

二、所屬人員離職時，應將執行業務所持有之個人資料辦理交接，不得在外繼續使用，並應簽訂保密切結書。

1農藥販賣業應不定期檢查計畫執行情形，並留存個人資料使用紀錄、自動化機器設備之軌跡資料或其他相關之證據資料，其保存期限至少五年。

2農藥販賣業依前項自主檢查結果發現計畫不符法令或不符法令之虞者，應即改善。

農藥販賣業業務終止後，其保有之個人資料不得繼續使用，應依下列方式處理，並留存相關紀錄，其保存期限至少五年：

一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。

二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。

三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。

1農藥販賣業委託他人蒐集、處理或利用個人資料之全部或一部時，應依本法施行細則第八條規定為適當監督。

2農藥販賣業為執行前項監督，應與受託者明確約定相關監督事項及方式。

本辦法自發布日施行。