因應個資法系列(3) 內部專責組織：專人專職 打造個資保護黃金組合

新版個資法距離正式上路的日子愈來愈近，企業最關心的就是如何做好法規遵循，降低資料外洩風險，以及可能伴隨而來的民事賠償責任。

根據新版個資法第18條，公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。法務部科長黃荷婷解釋，專人就是團隊的意思，公務機關必須成立與個資保護相關的任務編組，負責個資保護規劃及法規遵循。對此，行政院研考會資訊管理處主任吳啟文也有相同看法，個資保護專責人員不應該是一個人而是一群人。

至於非公務機關呢？黃荷婷表示，在新版個資法施行細則修正重點中，將清楚定義什麼叫做適當的安全維護措施，並依照PDCA流程制定出11項必要措施，其中第一項就是成立管理組織、配置相當資源，接下來才是界定個資範圍、風險評估、教育訓練、證據保存等工作，由此看來，成立個資保護專責組織不只是公務機關的法律任務，也是企業做好個資保護的基礎。

公務機關如何規劃專責組織？

究竟，個資保護專責組織該如何規劃？首先看一下公務機關的做法，國家資通安全會報技術服務中心組長黃小玲曾經指出，公務機關在新版個資法施行前，應立即研辦以下事項：

1. 將保有個人資料檔案名稱、保有機關名稱及聯絡方式、個人資料檔案保有之依據及特定目的、個人資料類別等四項法定項目查明清楚並依法公開；

2. 訂定機關之個人資料保護管理要點；

3. 指定「專人」辦理個人資料安全維護事項；

4. 設置「個資保護聯絡窗口」；

5. 指定「召集人」，以便統一決策及執行。

法務部在去(2010)年12月發佈個人資料保護管理要點草案（尚未下達生效），其內容與技服中心的作法相去不遠。草案第一條就明確點出，為落實個人資料之保護及管理，特設置本部個人資料保護管理執行小組，由部長指定小組召集人及執行祕書各一人，其餘11名委員則由各單位指派專人（科長以上）擔任，小組會議視業務推動需要，不定期召開，至於該小組的主要任務包括：研擬與推動個資保護管理制度、個資風險評估及管理、規劃部內員工個資保護相關的教育訓練、個資管理制度適法性的檢視等等。

在法務部的草案中，總共計劃成立三個與個資保護相關的任務編組（圖1），執行小組是其一，另外兩個則是個資保護聯絡窗口，及各單位的個資保護負責人。根據草案第五點，各單位應指定專人辦理單位內與個資保護相關的事項，例如：處理當事人依法所提出的請求權利、法令諮詢、法規遵循、落實組織的個資保護政策、個資保護自行查核、危機通報等。

至於個人資料保護聯絡窗口，則是法務部對外的溝通管道，其任務有彙整部內的個資安全事件通報、公務機關間個資保護業務的協調聯繫、重大資料外洩事件發生時的聯繫窗口、個資負責專人名冊製作與更新、及針對個資專人（專職）規劃相關的教育訓練與統整記錄。

圖1、與個資保護相關的三個任務編組

資料來源：《資安人》整理，2011/8

由於法務部自2010年起，持續敦促各機關制定「個人資料保護管理要點」，已有不少政府單位完成規劃，且公佈於網站上，以下僅羅列其中的17家做比較（表1），這17家是以「個人資料保護管理要點」為關鍵字，在Google搜尋後的結果。就法務部在草案中所羅列的三種任務編組來看，每一個組織都有要求內部各單位指定專人辦理個資保護相關事宜，但只有8家準備成立執行小組，13家計畫設置聯絡窗口。

黃荷婷表示，個資專責組織屬於任務編組，成立執行小組是最理想的方式，但非絕對必要，若各單位只有指派專人負責個資保護事宜，也具備相同意義，因為在發生個資外洩事件時，這群專人一定會聚集起來研擬因應方法，某種程度上也算是一個專責團隊。

專責組織有哪些成員？

若進一步分析這八個單位所規劃執行小組的組織架構，與法務部所研擬的草案大致相同。同樣設有召集人與執行祕書各1人，由該單位最高層長官指派，執行委員若干名，由各部門指派專人參與，有些單位甚至要求參與者的位階要在科長級以上。