| 第一條 本辦法依個人資料保護法（以下簡稱本法）第二十七條第二項及第三項規定訂定之。 |
本辦法之法源依據。 |
| 第二條 自來水事業，其用戶數在五千戶以上者，應依本辦法規定訂定個人資料檔案安全維護計畫（以下簡稱本計畫），以落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。 |
一、經自來水事業主管機關認定屬非公務機關，且用戶數量五千戶以上之自來水事業應訂定個人資料檔案安全維護計畫，以建立並執行相關管理程序或機制。
二、由於個人資料之管理與安全維護，須有一定資源之支持，對於規模小之事業而言難以負擔，故以用戶數五千戶為據。
三、本辦法規定之相關組織及程序要求，自來水事業應明定於其安全計畫內。 |
| 第三條 本辦法用詞定義如下：
一、個人資料管理代表：由自來水事業代表人擔任，或由代表人直接授權，負責督導本計畫之規劃、訂定、執行、修訂及相關決策之人員。
二、所屬人員：執行業務之過程必須接觸個人資料之人員。 |
一、為使個人資料檔案安全維護管理組織有效運作，該組織須有負責督導本計畫之規劃、訂定、執行、修訂及相關決策之個人資料管理代表。
二、為確保自來水事業所有個人資料檔案之安全維護，凡執行業務之過程必須接觸個人資料之人員，均應依本計畫之相關程序，執行計畫。 |
| 第四條 自來水事業應建立個人資料檔案安全維護管理組織，並配置相當資源，負責本計畫相關程序之規劃、訂定、執行與修訂等任務。
個人資料管理代表非由自來水事業代表人擔任時，應定期就個人資料檔案安全維護管理組織執行任務情形，向自來水事業代表人提出書面報告。 |
一、為有效訂定與執行本計畫，自來水事業應建立相關管理組織並投入相當資源辦理有關事項。
二、個人資料管理代表非由自來水事業代表人擔任時，為使自來水事業代表人能盡其督導及監督之責，個人資料管理代表應定期向自來水事業代表人以書面報告相關事項。 |
| 第五條 自來水事業應依其組織與事業特性訂定個人資料保護管理政策，提報自來水事業代表人核定，並公開周知，使其所屬人員均明確瞭解及遵循。
前項管理政策至少應包括下列事項之說明：
一、遵守我國個人資料保護相關法令規定。
二、以合理安全之方式，於特定目的範圍內，蒐集、處理及利用個人資料。
三、以可期待之合理安全水準技術保護其所蒐集、處理、利用之個人資料檔案。
四、設置聯絡窗口，供個人資料當事人行使其個人資料相關權利或提出相關申訴與諮詢。
五、規劃緊急應變程序，以處理個人資料被竊取、竄改、毀損、滅失或洩漏等事故。
六、如委託蒐集、處理及利用個人資料者，應妥善監督受託人。
七、持續維運本計畫之義務，以確保個人資料檔案之安全。 |
一、為使自來水事業所屬人員對於個人資料之保護能有所體認，進而能落實本計畫，自來水事業應訂定個人資料保護管理政策，將本計畫相關重點事項於政策內闡明。為達上述目的，政策應公開周知，且提報自來水事業代表人核定，以明示保護個人資料之旨。
二、明定管理政策必要之內容 |
| 第六條 自來水事業應定期檢視應遵循之個人資料保護法令，並據以訂定或修訂本計畫。 |
自來水事業因其特性及其所蒐集、處理、利用之個人資料範圍之不同與變動，其所應適用之個人資料保護法令亦可能有所不同，為符合法令之規定，自應依據其自身狀況清查適用之個人資料保護相關法令，並定期檢視該等法令，配合修訂其安全維護計畫。 |
| 第七條 自來水事業為確保個人資料之蒐集符合個人資料保護相關法令要求，應就下列事項建立相關程序：
一、檢視蒐集個人資料之特定目的及法定要件。
二、檢視具備法令所要求之特定情形或其他要件。 |
依本法第十九條第一項規定，蒐集個人資料應有特定目的並具備一定之法定情形，其他法令有特別要求，並應遵守之。 |
| 第八條 自來水事業為遵守本法第八條及第九條有關蒐集個人資料之告知義務規定，應就下列事項建立相關程序：
一、檢視蒐集、處理個人資料之特定目的。
二、檢視是否符合免告知之事由。
三、除屬免告知者外，應依據資料蒐集之情況，採取適當之告知方式。 |
依本法第八條及第九條規定，自來水事業應適時履行告知義務，除有例外情況無須告知外，均應依據資料蒐集之情況，採取適當之告知方式。 |
| 第九條 自來水事業為確認對個人資料之利用，符合個人資料保護相關法令，應就下列事項建立相關程序：
一、檢視個人資料之利用符合特定目的。
二、檢視是否得進行及如何進行特定目的外利用。 |
依本法第二十條第一項規定，個人資料應於蒐集之特定目的必要範圍內利用，但具備一定之法定情形，得為目的外之利用。故除應建立一定程序，確保資料之利用符合特定目的外，於有必要為特定目的外利用時，仍應檢視其是否合法，及特定目的外利用之相關情事。 |
| 第十條 自來水事業新增或變更特定目的時，應依下列程序為之：
一、依第八條規定之告知程序辦理。
二、取得當事人書面同意。但法令另有規定者，不在此限。 |
前條規定自來水事業於法定情形，得就其保有之個人資料為特定目的外之利用，惟該條規定乃針對個別情況下得否及如何為特定目的外之利用。若自來水事業欲繼續性地對於其所保有之個人資料進行特定目的之新增或變更時，應先依相關告知義務之程序為之。其次，除法令另有規定外，應取得當事人之書面同意，始得為特定目的之新增或變更。 |
| 第十一條 自來水事業就本法第六條之特種個人資料，應就下列事項建立相關程序：
一、檢視其蒐集、處理及利用之個人資料是否包含特種個人資料及其特定目的。
二、檢視其蒐集、處理及利用特種個人資料，是否符合相關法令規定。 |
依本法第六條規定，非公務機關原則上不得蒐集、處理及利用醫療、基因、性生活、健康檢查及犯罪前科之個人資料。故自來水事業應先建立程序檢視是否有蒐集相關特種個人資料情形，如有蒐集時，並應檢視蒐集、處理及利用特種個人資料，是否符合相關法令規定。 |
| 第十二條 自來水事業為提供當事人行使本法第三條規定之權利時，應就下列事項建立相關程序：
一、提供當事人行使權利之方式。
二、確認當事人身分。
三、確認有無本法第十條及第十一條得拒絕當事人行使權利之情況。
四、遵守本法第十三條有關處理期限之規定。
五、訂定酌收必要成本費用之標準。 |
一、依本法第三條規定，當事人就其個人資料得行使包含查詢或請求閱覽等五項權利，爰明定自來水事業應建立相關程序以供資料當事人行使權利。
二、為確保當事人行使權利，應提供一定方式，如常設之聯絡窗口。
三、為避免資料不當提供給第三人或不當刪除，自來水事業提供當事人行使權利前，應先建立程序以確認當事人身分。
四、當事人行使查詢權利時，自來水事業得依所訂標準酌收必要成本費用。 |
| 第十三條 自來水事業為維護其保有個人資料之正確性，宜採取下列方法：
一、檢視個人資料於蒐集、處理及利用過程，是否正確。
二、當檢視資料有不正確時，應適時更正或補充。
三、定期檢查資料之正確性。
個人資料正確性有爭議者，自來水事業應主動或依當事人之請求停止處理或利用。但因執行職務或業務所需，經註明其爭議或經當事人書面同意者，不在此限。
因可歸責於自來水事業之事由，未為更正或補充之個人資料，應於更正或補充後，通知曾提供利用對象。 |
一、為確保個人資料之正確性，並避免當事人發生因資料不正確所產生之損害，自來水事業應建立相關程序，檢視資料於蒐集、處理及利用過程中是否正確，若資料有不正確之情況，應適時更正或補充，且應定期檢查資料之正確性。
二、對於個人資料正確性有所爭議時，訂定其處理機制。
三、若自來水事業曾提供其保有之個人資料予他人，且因可歸責於自來水事業之事由未更正或補充，致使個人資料不正確時，自應負責更正或補充個人資料後，通知曾提供利用該資料之對象。 |
| 第十四條 自來水事業於所保有個人資料之特定目的消失或期限屆滿時，應遵守本法第十一條第三項規定。 |
自來水事業蒐集、處理或利用個人資料，若其特定目的已消失或期限已屆滿，除有本法第十一條第三項但書之情形外，應加以刪除或停止處理利用。 |
| 第十五條 自來水事業應依個人資料保護法令，定期清查所保有之個人資料，界定其納入本計畫之範圍並建立清冊，且定期確認其變動情形。 |
依本法施行細則第十二條第二項第二款之規定，安全維護計畫中得就界定個人資料範圍相關事項加以規定，爰明定自來水事業應清查個人資料之種類與數量並建立清冊，方能確保對其保有之個人資料之保護。 |
| 第十六條 自來水事業應依前條界定之個人資料範圍及其相關業務流程，分析可能產生之風險，並依據風險分析結果，訂定適當管控措施。 |
依本法施行細則第十二條第二項第三款之規定，安全維護計畫得就個人資料之風險評估及風險管理加以規定，故明定自來水事業應依據其相關業務流程，判斷於蒐集、處理及利用之過程中，個人資料安全可能發生之風險，及其風險之高低，方能以適當之方式保護個人資料並降低其風險。 |
| 第十七條 自來水事業為因應其保有之個人資料被竊取、竄改、毀損、滅失或洩漏等事故，應就下列事項建立相關程序：
一、採取適當之應變措施，以降低或控制事故對當事人之損害，並通報有關單位。
二、查明事故之狀況並適時通知當事人。
三、研議預防機制，避免類似事故再次發生。 |
發生個人資料被竊取、竄改、毀損、滅失或洩漏等事故時，常造成資料當事人財產及非財產上之損害，自來水事業應訂定相關之因應機制，以降低或控制損害。 |
| 第十八條 自來水事業應採取下列人員管理措施：
一、指定蒐集、處理及利用個人資料個別作業（以下簡稱作業）流程之負責人員。
二、就個別作業設定所屬人員不同之權限並控管之，以一定認證機制管理其權限，且定期確認權限內容設定之適當與必要性。
三、要求所屬人員相關之保密義務。 |
規範自來水事業應採取之人員管理措施。 |
| 第十九條 自來水事業應採取下列資料管理措施：
一、運用電腦及相關設備處理個人資料時，應訂定使用可攜式儲存媒體之規範。
二、保有之個人資料，如有加密之必要，應於蒐集、處理或利用時採取適當之加密機制。
三、傳輸個人資料時，應確認資料收受者之正確性。
四、有備份個人資料之必要時，應比照原本，依本法規定予以保護。
五、儲存個人資料之媒介物於廢棄或轉作其他用途時，應採取適當防範措施。
六、妥善保存認證機制及加密機制中所運用之密碼，如有交付他人之必要，亦應妥善為之。 |
一、自來水事業應基於本計畫之原則規定，針對個人資料蒐集、處理及利用的個別相關作業，訂定具體之作業注意事項，使所屬人員有所依循。
二、使用可攜式儲存媒體，可能提高處理個人資料之電腦及相關設備遭受惡意程式攻擊及個人資料外洩之風險，故應訂定相關使用規範。
三、針對個人資料處理之不同態樣，包括儲存、傳輸及備份之狀況，如資料有加密之必要，應採取適當之加密機制。
四、於傳輸個人資料情況，除有必要時採取加密機制，並宜確認資料收受者之正確性，以避免資料不當外洩。
五、針對有備份必要之個人資料，除應於必要時採取加密機制外，儲存備份資料之媒體亦宜以適當方式保管，且定期進行備份資料之還原測試，以確保備份資料之有效性。
六、儲存個人資料之媒介物於廢棄或轉作其他用途時，應確實刪除媒體中所儲存之資料，或以物理方式破壞之，以避免資料不當外洩。
七、如作業程序中相關認證機制與加密機制有運用密碼之必要時，該密碼亦應妥善加以保存。 |
| 第二十條 自來水事業應採取下列設備安全管理措施：
一、依作業內容之不同，實施適宜之進出管制。
二、妥善保管個人資料之儲存媒介物。
三、針對不同作業環境，審酌建置必要之防護設備或技術。 |
規範自來水事業應採取之設備安全管理措施。 |
| 第二十一條 自來水事業利用電腦或相關設備蒐集、處理或利用個人資料時，應採取下列技術管理措施：
一、於電腦、相關設備或系統上設定認證機制，對有存取個人資料權限之人員進行識別與控管。
二、認證機制使用帳號及密碼之方式時，應具備一定安全之複雜度並定期更換密碼。
三、於電腦、相關設備或系統上設定警示與相關反應機制，以對不正常之存取為適當之反應與處理。
四、對於存取個人資料之終端機進行身分認證，以識別並控管之。
五、個人資料存取權限之數量及範圍，於作業必要之限度內設定之，且原則上不得共用存取權限。
六、採用防火牆或路由器等設定，避免儲存個人資料之系統遭受無權限之存取。
七、使用可存取個人資料之應用程式時，應確認使用者具備使用權限。
八、定期測試權限認證機制之有效性。
九、定期檢視個人資料之存取權限設定正當與否。
十、於處理個人資料之電腦系統中安裝防毒軟體，並定期更新病毒碼。
十一、對於電腦作業系統及相關應用程式之漏洞，定期安裝修補之程式。
十二、定期瞭解惡意程式之威脅，並確認安裝防毒軟體及修補程式後之電腦系統之穩定性。
十三、具備存取權限之終端機不得安裝檔案分享軟體。
十四、測試處理個人資料之資訊系統時，不使用真實之個人資料，如使用真實之個人資料時，應明確規定其使用之程序。
十五、處理個人資料之資訊系統有變更時，應確認其安全性並未降低。
十六、定期檢查處理個人資料資訊系統之使用狀況及個人資料存取之情形。 |
規範自來水事業若利用電腦或相關設備蒐集、處理或利用個人資料時，針對相關電腦系統技術，亦應有相應之管理措施。 |
| 第二十二條 自來水事業應定期對所屬人員施以認知宣導及教育訓練，使其明瞭個人資料保護相關法令之要求、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。 |
為落實執行本計畫相關管理程序，自來水事業應定期透過認知宣導及教育訓練使所屬人員均能明瞭個人資料保護相關法令之要求、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。 |
| 第二十三條 自來水事業為確保本計畫之有效性，應定期稽核本計畫是否落實執行。 |
本計畫及依據本計畫所訂定之相關程序，自來水事業所屬人員是否皆已落實執行，必須通過一定之稽核機制方能確定。 |
| 第二十四條 為持續改善本計畫，自來水事業應建立下列程序：
一、本計畫發生未落實執行時之改善程序。
二、本計畫有變更時之變更程序。 |
對其檢查過程中，若發現有未落實執行之情況，自來水事業應建立程序，協助相關所屬人員加以改善，或變更相關程序。 |
| 第二十五條 本計畫各項程序執行時，自來水事業至少應保存下列紀錄：
一、個人資料使用紀錄、留存自動化機器設備之軌跡資料之紀錄或相關證據保存紀錄。
二、檢視個人資料正確性及更正之紀錄。
三、提供當事人行使權利之紀錄。
四、個人資料刪除、廢棄之紀錄。
五、存取個人資料系統之紀錄。
六、備份及還原測試之紀錄。
七、所屬人員權限新增、變動及刪除之紀錄。
八、所屬人員違反權限行為之紀錄。
九、因應事故發生所採取行為之紀錄。
十、定期檢查處理個人資料之資訊系統之紀錄。
十一、教育訓練之紀錄。
十二、本計畫稽核及改善程序執行之紀錄。 |
為確認本計畫及依據本計畫所訂定之相關程序是否落實執行，以及釐清個人資料於蒐集、處理及利用過程之相關權責，自來水事業應保存相關紀錄以供查驗。 |
| 第二十六條 業務終止後個人資料處理方法得採下列方式為之，並留存下列紀錄：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。 |
規範業務終止後，相關資料之後續處理方式。 |
| 第二十七條 本辦法自發布日施行。 |
本辦法施行日期。 |