【個資法鳴槍起跑，你落後了嗎？】之二： 掌握同業進度 拒當法規遵循後段生

醫療業特別法已做好規範 個資法衝擊有限

醫療業也是擁有大筆個人資料的單位，尤其這些個資有一部份還是特種個資，照理來說個資法上路後的衝擊應該相當大，惟因原本的醫療相關法規就有明確規範，使得個資法衝擊有限。

醫療業台灣健康資訊交換第七層協定協會(HL7)祕書長黃穗秋指出，醫療業的特性是組織規模落差大，全台灣2萬多家醫療院所，可以分成醫學中心、區域醫院、地區醫院、診所數種類型，其規模大到擁有數千名、小到只有5、6名員工，規模落差大、所擁有的資源也就不同，因此在觀察醫療業個資法因應現況時，必須分成中大型與小型二個部份來看。

醫療院所80%的個資蒐集/處理/利用行為，已經被規範在醫療相關法規內，所以不太會有觸法的問題，只要不跨出醫療範圍，個資的使用行為就不容易受到影響。

由於醫療院所80%的個資蒐集/處理/利用行為，已經被規範在醫療相關法規內，所以不太會有觸法的問題，只要不跨出醫療範圍，個資的使用行為就不容易受到影響，而地區級以下的醫院，大部份使用行為都在法律規範內，舉例來說，診所很少舉辦衛教說明會，多是病患來就診時才會使用個資，所以個資法的衝擊相對來說比較小，自然也比較不會主動規劃因應措施。

至於醫學中心原本就存在醫院評鑑制度，裡面也已經有病人安全的相關規範，無論管理或稽核機制都有一定基礎，雖然沒有完全吻合個資法要求，但因為醫學中心平常都有在執行，且醫院評鑑制度是按照ISO標準來要求，所以個資法衝擊有限。

總結來看，醫院大致上都有做到60分，至於其他因應個資法而生的特殊機制，如：成立專責組織，目前有執行的醫療機構比較少，但大致上副院長都已經接到指示要成立組織，可能要等到醫院可以清楚掌握個資法衝擊在哪裡、哪些單位應該參與時，才會正式成立組織。

至於個資盤點，黃穗秋表示，醫學中心員工至少2~3000人，且人力非常吃緊，個資數量又多，在此情況下，要做全院個資盤點顯然不太可能，目前醫院比較著重在病歷的特種資料屬性，員工、委外單位往來等個人資料盤點尚未啟動，黃穗秋建議將資料分成基本資料與病歷資料，病歷資料受法律規範比較不會有問題，基本資料面臨訴訟的風險比較高，因此，醫院應該先檢視基本資料的應用管道，看看哪裡可能有風險，先去做盤點，從風險高的業務流程進行個資盤點，再慢慢擴大到全院，是比較可行的方式。

中華數位企業資料保護研究小組個資法顧問吳毅勛認為，醫療業在個資的蒐集/處理/利用上沒有違法問題，比較擔心的是個資外洩風險，所以可以看到一些醫療業者導入防制資料外洩(DLP)解決方案，如：台北附醫、台北榮總、署立嘉義醫院…等。

與醫療相關的生技製藥業，因為資源豐富，所以比較積極因應個資法，其最大問題不在於建立資安防護機制，而是第5項如何建立符合法規的內部管理程序，這是屬於法律的專業問題，而且不只是建立流程還要配合業務流程調整，才能做到不違法，因此傾向尋求顧問協助，黃穗秋亦指出，醫療院所對於與個資管理程序相關的法律文件如：同意書、告知內容…等比較有興趣。(表2)

表2、醫療與生技業因應現況

政府計畫輔導 5成電子商務業者已做規劃

經濟部與法務部共同指定無店面零售業，自2010年7月1日起適用電腦處理個人資料保護法，加上經濟部成立多項計畫協助電子商務業者強化資安，因此不少電子商務業者已開始規劃個資法因應策略，不過電子商務如同醫療業一樣，有著經營規模兩極化的特性，小型電子商務業者可能只有4、5名員工，通常不會自行架設網站，而是依附在大型網路平台下進行交易，對個資法的因應頂多也只是完成教育訓練而已，至於中大型業者在政府補助計畫下，多半已經開始規劃相關機制，有關EC產業因應個資法的方式，可參考《資安人》雜誌73期「了解個資生命週期 EC業者做好資料保護」。

資策會科技法律研究所在2011年針對電子商務業者進行一份自我評量，調查結果顯示，電子商務業者都已經具備個資法的基礎認知，且有部份企業已經建立個資管理制度，就第5點程序面來看，比例最低的是個資刪除或銷毀的程序，主因在於業者不確定個資應保存年限該定多長比較恰當，至於第6點投入資源進行個資保護與管理，多半將資源投注在既有資安規劃下，至於個資安全維護事項的持續改善，由於多數企業是近2~3年才導入資安或個資管理相關制度，因此這部份的表現仍有待加強。

除了電子商務以外，吳毅勛指出，直銷業也是擁有大量個資的產業，對個資法也非常慎重，目前聽到幾家比較大型的業者已經完成個資盤點、教育訓練，也請了顧問作相關規畫，但零售業反應卻相對平靜，目前只接觸到1家專門在百貨公司設櫃的品牌商要求進行個資盤點、教育訓練。 (表3)

表3、電子商務產業因應現況

公務機關起步時間早 4成已成立組織、盤點個資

公務機關早在民國99年個資法三讀通過後，法務部就已發文要求各單位相關配合事項，包括成立組織、個資盤點等。在最近幾個月，也不難發現在公務機關的網站上均可查閱到「XX機關保有個人資料檔案公開項目彙整表」，也因此在第1.2項公務機關多數已達到，僅有約兩成還是沒有成立組織，此部份可參考《資安人》雜誌第78期「專人專職 打造個資保護黃金組合」一文。

至於第5項由於公務機關基於執行法定職務所必要，因此多數不需要特別去新增管理程序，而其他與資訊安全相關的措施，NII產業發展協進會吳昭儀經理認為，目前比較多看到先從帳號權限控管或Web系統的加密傳輸開始補強。此外，吳昭儀也提醒，許多機關的核心系統是放在業務部門自行管理而非資訊中心負責，其系統內的資料目前看來仍存有較大安全風險。

公務機關整體而言，中央單位對於個資法因應仍較為積極，地方政府恐怕只有做到中央單位的一半，地方財政困難，預算不若中央充裕，應是原因之一。

教育單位5成已盤點個資 多為公立學校

前文曾提及，教育產業在因應個資法的時候會有定位問題，定位不同、個資因應規劃就會有差異，目前教育部將公立學校視為公務機關、私立學校視為非公務機關，所以配合之前法務部行文要求，教育部也同樣行文予公立學校，要求執行成立組織、個資盤點、建立事故預防/通報應變機制…等事宜，但私立學校就沒有。

而第5點建立內部管理程序，公立學校定位為公務機關，因為執行法定職務而搜集個資，可免除告知義務，但私立學校就一定要告知，只不過已經建立告知程序的私立學校並不多，吳昭儀建議可以將相關文字嵌入至新生資料表，是比較有效率省成本的作法。

至於第6到12點，教育產業的發展現況與公務機關類似。例如：結合現有資安預算採購資料安全管理解決方案，趁定期會議召開時進行個資法教育訓練，另外像設備安全、資安稽核、記錄、委外管理等作業的現況，也都是資訊部門多數已做到，但若不歸資訊部門管轄的業務資訊系統，就可能還沒有執行，舉例來說，有些學校的校務行政系統不是給電算中心管理，而是交由課務組負責，這部份的風險就會比較大，像是如果委外開發，可能就不知道要把安全列入委外稽查項目中。

吳昭儀認為，傳統資安稽核通常管不到紙本資料安全，因為資訊部門只是資料保管者不是資料擁有者，而這個資料擁有者可能會將檔案列印出來，增加個資外洩風險，以教育版ISMS為例，其稽核範圍通常只有學務、註冊、人事室、衛保組、電算中心，但其他校內單位也可能會接觸個資、甚至列印成紙本文件，此時該如何稽查？這是教育產業值得思考的問題。 

傳統資安稽核通常管不到紙本資料安全，因為資訊部門只是資料保管者不是資料擁有者，而這個資料擁有者可能會將檔案列印出來，增加個資外洩風險。

表4、政府與教育單位因應現況

資料來源：資安人整理，2012/10。

旅遊業/房仲態度兩極 公協會是關鍵角色

對一般民間企業、非公務機關來說，該產業是否積極因應個資法，公會扮演關鍵角色。吳毅勛觀察，在公會沒有大力推動的產業中，僅有少數龍頭廠商為個資法做出因應。許多旅行業者不僅網頁上會員條款都還沒有修正，甚至有些表示從沒聽過個資法。判斷這也許是因為旅行業有許多是靠行，主管機關或公會發文沒有傳達到的關係。反觀不動產同業公會曾舉辦教育訓練、座談會，已公告相關作業項目，甚至對於地政二類謄本個資的使用管理也已積極宣導。

雖然各個產業的特性、擁有個資數量/種類、個資法衝擊程度皆不相同，放在一起比較或許未盡客觀，但還是可以從中看到一些共通點，倘若該產業有公協會而且積極推動的話，該產業因應腳步平均而言會走得比較前面，當然，除了產業公協會之外，主管機關態度也會影響產業對個資法的看法，倘若沒有的話，則多是從龍頭業者開始，其他中小型業者多只停留在有認知沒做法的階段，有些積極一點的可能還會成立組織、盤點個資，但要再進一步到風險評估與規劃管控機制，也就是投入預算採購服務或產品，則又普遍缺乏，而有投入預算的企業，其投資金額多在新台幣100萬元以內，採購的資安解決方案以加密軟體、資產管理軟體、DLP為主，另外也有些業者投入強化基礎建設。

企業可以依據自身所屬的產業及因應現況，評估自己目前是績優生還是落在後段班，如果落在後段班就得加緊腳步跟上同業水準，畢竟個資法已經正式上路，法規遵循不能再有其他的藉口，就算沒錢採購資安解決方案，至少也要做到個資盤點、建立員工對個資保護的認知、建立符合法規的個資管理程序，否則就得小心成為個資法通過後的第一個判例。