關於個資法第二次修正條文及疫情期間個資蒐集注意事項

各位同仁大家好：
　　個資法修正案於112年5月31日修正，一旦發生個資事件，將從原先裁罰金額由2萬~20萬提高為15萬~1500萬，並且不再給予期限改善，直接裁罰。
　　
＊以下列舉可能與學校行政業務相關的個資事件供參考。

一、非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。
蒐集單位必須要能提出證明已善盡保管責任。因為發生個資事件時，必須由個資蒐集單位提供佐證資料，證明蒐集之個資，在蒐集、處理、利用、銷毀都有善盡保管責任，證明個資事件並非行政疏失導致。

二、個資蒐集的目的結束時，應銷毀或刪除個資檔案。
疫情停班停課期間，當時依規定請到校師生、民眾、廠商、學生家長或其他外賓掃描QR Code及入校登記的資料，在恢復正常上課後，已失去蒐集的目的，若單位仍保有當時留存的資料，應進行銷毀或檔案刪除，銷毀及檔案刪除必須拍照或錄影來留存銷毀(刪除)紀錄，作為日後個資事件之佐證資料。
學校辦理活動保險所蒐集的個人資料，於活動辦理結束後，已結束當初蒐集的目的，故需請承辦的保險公司銷毀或刪除師生同仁的個人資料，並於銷毀(刪檔)時留存過程紀錄。

三、法規條文：損害賠償請求權，自請求權人知有損害及賠償義務人時起，因二年間不行使而消滅；自損害發生時起，逾五年者，亦同。
此條文代表留存的各種記錄、軌跡資料以及證據需保存五年，留作證據以便未來可以舉證。但如果該記錄、軌跡資料以及證據正用以進行相關之訴訟，即無五年之限制。

四、個資事件並非僅指個人資料外洩（流），以下亦屬於個資事件，提供可能在學校會遇到的情形供大家參考。
1、無正當理由蒐集特種個資。
2、非公務機關無特定目的蒐集、處理、利用個資。
3、意圖為自己或第三人不法之利益或損害他人之利益，而對個人資料檔案進行非法之變更、刪除或以其他非法方式，致妨害個人資料檔案之正確。
4、向當事人或非當事人蒐集個人資料時，未履行相關告知義務。
5、拒絕、延遲當事人查閱、副本給予、更正、補充當事人個資之請求。
6、個資被竊取、洩露、竄改或其他侵害行為發生時,未通知當事人。
7、在蒐集目的外利用個資，經當事人表示拒絕卻繼續。
8、在蒐集目的外利用個資，未提供當事人拒絕接受機會。
9、未採行適當之安全措施或訂定個資檔案安全維護計畫。
10、拒絕中央目的事業機關或直轄市、縣(市)政府之行政稽核作業。

五、業務配合之委外廠商，如涉個人資料蒐集，應於合約書或規格書附帶簽署保密切結書，並註記校內人員前往稽核約定事項。

平時做好下列原則，減少個資事件發生機會。
1、沒必要蒐集的個資不要蒐集。
2、蒐集來的個資應符合蒐集目的及期間，並留存已善盡保管之佐證資料。
3、已結束目的之個資，應進行銷毀及刪除，亦須於過程中保存佐證資料。
4、每年度的個資盤點，應確實記錄單位保有之個資，確認個資是否符合1~3項原則來使用。