個資法來勢洶洶，許多民眾稱之為「馬政府最有感的政策」；但是網路上都是教民眾「如何利用個資法告企業」，很少人告訴企業主該怎麼辦。國際驗證公司BSI日前提出「PDCA」個資保護標準，只要企業有確實做到標準的文件保護，面對法官時就能證明企業的清白！
2012年11月，遠東商銀離職員工在影印時不慎將客戶的申請書等文件資料遺留在資源回收廠，被台南民眾撿獲，由於包括申請信用卡所需的姓名、身分證、地址、經濟狀況，甚至連印鑑資料等機密資料，造成影響範圍之內的民眾人心惶惶。適逢2012 年10 月1 日個資法上路，遠東商銀成為首間違法的銀行機關。
雖然銀行方面表示這件事情是某位離職員工的不法行為，但依個資法之規定，遠東商銀顯然對於含有個資的文件，在管理上有重大疏失。當事人透過團體訴訟，可向銀行求償兩億元甚至更高。
那麼企業該如何面對個資法?在個人資料保護上，應該同步重視「紙本文件」和「電子檔案」兩種，而從歸屬上來區分，則可以分為「員工的人事資料」，以及「客戶和合作廠商的個人資料」兩種。在保護上，依法還要注意資料的，有「蒐集」、「處理」、「利用」等三階段過程。
「蒐集」是指個人資料之取得，「處理」則包括了儲存、保管、編輯、複製、檢索、刪除等作業，至於「利用」則泛指其他一切使用個人資料之行為。以前面所提到的遠東商銀的案例來說，就是在紙本文件的個資保護上，在保管之過程出現嚴重漏洞所導致。
2012年屏東縣政府計畫於高屏溪旁興建火葬場，十二月初在行政院環保署的網站上公布的環評報告書，竟然違法公布出大量的民眾的個人資料。
被屏東縣政府公佈的個資內容，包括投書縣長信箱的民眾，以及向屏東縣政府陳情的陳情人所留下來的「姓名、身分證字號、電話、地址」等個人資料全部被看光光。這起個資外洩事件，凸顯出屏東縣政府完全沒有執行必要的個資文件保護措施，此舉讓民眾心生恐懼，擔心所發表的言論會為自己帶來困擾，明顯損及民眾權益。此一案例，再度反映個資防護被忽略的嚴重程度。
◎ 觸法可判賠二億元或是科處二年刑期 不可不慎
在傳統的觀念中，公司違法，老闆首當其衝，與員工無關；但是個資法正式上路後，對於全台灣的公司以及其員工所造成的影響，絕不能等閒視之，不過由於個資法上路僅僅三個月，據訪查，大多數的政府機關與公司企業依舊無感。但是，無感的風險，遠比大家想像中的大。
個資法強制要求即使是員工的「個人行為」，只要造成個資外洩，就必須讓整個機關來負責賠償，以每人每次洩露5百元至2萬元不等，最高甚至可達2億元之譜。除非機關能證明自己無過失，才能免除如此沈重的賠償責任。
怎樣才叫做無過失？簡單說，機關如果能在發生個資外洩的事件、而面對損害賠償訴訟時，對法官證明自己已經採取了PDCA 的程序、對個資文件的保護措施也都有效執行，就可以免責。另外，個資法的行政罰鍰，也同樣必須留意!
什麼是個資法的「行政罰鍰」呢？身為政府或民間機關的個資管理人，一旦個資外流，除了公司將受到「2萬至50萬」不等的罰鍰處分外，「個資管理人」將連帶處以同樣金額之罰鍰。以戒慎恐懼來形容被機關指定之個資管理人，一點也不為過。
個資法的刑責歸屬也訂定相當清楚，個資的產生中，「處理」對公司內部經手員工薪資、勞健保及勞退、人事檔案等個人資料的同仁來講，麻煩最大，一旦違規檢索、複製、刪除、輸出、傳送，將由實際上的行為人，還將處二年以下有期徒刑。因此公司員工的個資處理，得要強化安全控管機制，並確實追蹤資料流向。
在台灣資安界，推動文件保護不遺餘力的優碩科技總經理黃祖仁表示，雖然在任何機關裡，處理到相當數量的個資都是難免之事，但只要能訂立並執行「適當安全措施」，就可以一方面確保個資安全、二方面免除機關與個資管理人的法律責任，否則只怕後患無窮。
黃祖仁還進一步指出，企業要執行個資文件的保護，方法很多，有的在手續上相當麻煩，有的則相對簡便。把全部含個資的紙本文件都鎖進機關負責人的保險箱，員工有需要利用時還要個別寫簽呈申請，雖然也是一種保護措施，但顯然在實務上不可行。
因此，市面上已經有相當多的資安廠商推出各種不同的個資文件保護方案，各機關可以鎖定對自己性價比、C/P 值最高的來採用。他在最後還提醒大家注意的是，個資法施行細則第12 條中，要求把個資文件的使用紀錄、軌跡資料進行保存。這個步驟，首先可以確保所有的個資控管環節之落實，其次也能做到個資文件流向的事後舉證，在萬一意外發生時得以進行自保。
相關資料來源:
