英國個資保護主管機關ICO（Information Commissioner’s Office）近日發布組織問責制框架（Accountability Framework），旨在協助組織管理其隱私保護。問責制框架目前仍處於測試階段，未來將會隨著與利害關係人溝通後逐漸完善。該問責制框架從領導與監督、政策與程序以及培訓與意識等十個面向，提供組織與企業路線圖，藉此瞭解每個面向應該要做什麼以及如何改進，以落實歐盟一般資料保護規則（GDPR）法令遵循。
另外組織也能透過ICO所提供的問責制自我評估工具與追蹤器來衡量與追蹤組織內部法令遵循的程度及情形。
一、領導與監督（Leadership and oversight）
組織架構（Organisational structure）
- 董事會或最高管理階層負責整體資料保護（data protection）與資訊管理（information governance）。
- 決策者以身作則，並倡導主動積極的資料保護法遵文化。
- 具備良好的溝通與資訊交換管道，例如管理團隊與稽核團隊間或執行團隊與資訊管理指導團隊間。
- 政策明確規定負責資料保護與資訊管理的組織架構。
- 職責說明（Job descriptions）清楚表示相關責任與報告管道。
- 職責說明是最新、合於目的且定期進行審查。
- 資料保護與資訊管理人員瞭解組織架構與其職責。
是否任命DPO（Whether to appoint a DPO）
- 資料保護長（Data Protection Officer, DPO）依據歐盟一般資料保護規則（General Data. Protection Regulation, GDPR）第39條承擔特定責任，包含資料保護法令遵循、資料保護政策、提升意識、教育訓練與稽核。
- DPO對資料保護的法律與落實具有專業知識。
- DPO擁有有效完成其工作權限、支援與資源。
- 如果組織沒有任命DPO的需要，則應紀錄該決定。
- 如果組織沒有任命DPO的需要，則要適當指派負責資料保護法遵的人，且要有足夠的人員與資源來負責資料保護法規定的義務。
適當的報告（Appropriate reporting）
- 員工知道DPO及其職責，以及如何與DPO聯繫。
- 所有資料保護問題都適時（timely）讓DPO參與。
- DPO獨立執行任務，不應有任何利益衝突，並且不對組織內個人資料處理的方式與目的作出任何直接的執行決策。
- DPO直接向高階決策者提供建議，並向最高管理階層表達其看法。
- DPO定期向高階管理人員提供有關資料保護法令遵循的資訊。
運作角色（Operational roles）
- 資料保護與資訊管理人員有明確的職責，確保組織符合資料保護法的要求。
- 員工可以有效管理所有紀錄，並確保資訊安全。
- 網路管理人員或資料保護負責人可以其部門實施與維護資料保護策略。
- 資料保護與資訊管理人員擁有有效執行職責的權限、支援與資源。
監督小組（Oversight groups）
- 關鍵長官（例如DPO）定期參與監督小組會議。
- 由適當的高階員工擔任小組主席，例如DPO或資深資訊風險所有者（senior information risk owner , SIRO）。
- 明確規範該小組的目標。
- 該小組會議記錄紀錄所發生的情形。
- 該小組討論涵蓋所有與資料保護相關的主題，包含關鍵績效指標（KPI）、問題與風險。
- 該小組的工作或行動計畫受到定期監督。
- 董事會或最高管理階層會考量監督小組所報告的資料保護與資訊管理問題與風險。
業務小組會議（Operational group meetings）
- 小組定期開會並有相關人員參加。
- 小組製作會議記錄與行動計畫。
- 議程顯示小組討論適當的資料保護與資訊管理問題。
- 出現的任何資料保護與資訊管理問題與風險均向監督小組報告。
二、政策與程序（Policies and procedures）
指導與支持（Direction and support）
- 政策依據最高管理階層認可的資料保護與資訊管理的策略業務計畫所制定。
- 政策包含資料保護、紀錄管理與資訊安全等面向。
- 根據資料保護策略制定執行程序、指引與手冊，並提供予執行人員。
- 政策與程序清楚得概述角色和職責
審查與核准（Review and approval）
- 所有政策與程序均依循內部規範的格式與樣式。
- 適當的高階管理人員負責審查並核准新的與現有的政策與程序。
- 現有的政策與程序依據所記錄的審查日期進行審查，並且是最新且合於目的。
- 當政策與程序需要修改時（例如因為業務變更、判決見解或法規變更），其政策與程序的修改沒有不當延遲。
- 所有政策、程序和指引均顯示文件管理資訊（document control information），包含版本號、所有者、審閱日期與修改歷史紀錄。
員工意識（Staff awareness）
- 員工閱讀並瞭解政策與程序，包含瞭解實施與遵守的重要性。
- 使員工瞭解更新的政策與程序。
- 將政策於程序以組織的網站、網路共享或其他方式，使員工能夠閱讀。
- 透過指引、海報或出版物，有助於強調關鍵資訊並提高員工對於政策與程序的意識。
從設計與預設著手資料保護（Data protection by design and by default）
- 組織整體的政策與程序，在有關的情形下同時考量資料保護。
- 透過政策與程序確保涉及個人資料的系統、服務、產品與業務，其設計與實施考量資料保護議題，並於預設階段即落實個人資料保護。
- 組織於政策與程序載明實施資料保護原則與維護當事人權利的方法，例如資料最小化、假名化（pseudonymisation）與目的限制等事項。
- 政策與程序就弱勢群體（例如兒童）的個人資料提供額外的保護
三、培訓與意識（Training and awareness）
全員培訓計畫（All-staff training programme）
- 教育訓練計畫結合國家與特定產業別的要求。
- 計畫具有全面性，包含對所有員工的資料保護關鍵領域的教育訓練，例如處理當事人請求、資料共享、資訊安全、個人資料外洩與紀錄管理。
- 考慮所有員工的教育訓練需求，並依此制定教育訓練計畫。
- 在組織中分配負責資料保護與資訊管理教育訓練的職責，並且已制定教育訓練計畫或策略，以在定好的時限內完成教育訓練。
- 組織擁有專門且經受訓的資源可以為所有員工提供教育訓練。
- 定期檢視計畫確保維持最新且準確的狀態。
- 由高階管理人員簽署計畫。
到職與進修培訓（Induction and refresher training）
- 由適當的人員（例如DPO或資訊管理經理）負責監督或核准到職教育訓練。
- 員工應接受到職與在職教育訓練，無論員工為組織工作的期限長短、契約性質或職等。
- 員工在存取個人資料之前與之後1個月內，接受到職教育訓練。
- 員工在適當時間間隔完成在職教育訓練。
專業角色（Specialised roles）
- 針對資訊管理與資料保護人員的教育訓練需求進行分析，並通知教育訓練計畫，確保計畫符合該人員的職責。
- 具有證據可以確認該關鍵人員完成最新且適當的專業訓練與發展，並接受適當得在職訓練。
- 保存所提供教育訓練教材副本與接受教育訓練人員的詳細資訊。
監督（Monitoring）
- 在教育訓練結束時進行評估，以測試員工的理解並確保其有效性，其中可能包含設定最低合格分數。
- 保留教育訓練教材副本與接受訓練人員資訊的紀錄
- 依據組織要求，監督各級員工的教育訓練完成狀況，並對未完成訓練的員工進行追蹤。
- 員工能夠就所接受的教育訓練提供回饋。
提高意識（Awareness raising）
- 有證據佐證組織定期使用各種適當方法來提高員工的意識與對資料保護及資訊管理的認識，例如電子郵件、團隊簡報、會議、海報、講義和部落格。
- 當員工對於資料保護與資訊管理有任何疑問時，讓員工能輕易接觸相關資料，以及能夠與誰聯繫。
四、當事人權利（Individuals’ rights）
通知個人並確定請求（Informing individuals and identifying requests）
- 向當事人提供有關其權利以及如何行使其權利的明確且相關的資訊。
- 政策與程序規範處理當事人請求行使權利的流程。
- 所有員工都接受有關如何識別請求以及將請求提交到何處的教育訓練與指導。
資源（Resources）
- 由一個特定的人或團隊負責管理與回應請求。
- 工作人員接受專門的訓練來應對請求，包含定期的教育訓練。
- 有足夠的資源來處理請求。
- 如果某員工缺席或請假，組織有訓練其他人員執行關鍵任務。
- 組織可以處理任何請求增加或員工減少的問題。
紀錄與追蹤請求（Logging and tracking requests）
- 組織具有適當的流程確保請求紀錄日誌準確無誤並適當更新。
- 請求紀錄日誌顯示請求的到期日期、最後回應的實際日期與所採取的措施。
- 日誌記錄請求處理過程中的關鍵階段，例如已搜尋哪些系統或部門。
- 備有組織對請求的回應紀錄，以及任何當事人請求近用時，組織所揭露或拒絕提供的資訊。
適時回應（Timely responses）
- 組織能夠在法定期限內處理所有當事人請求。
- 負責處理請求的員工定期開會討論問題，對任何延遲的案件進行調查，並優先處理。
- 如果需要延展期限，向當事人更新其請求的進度，並適時通知。
- 如果當事人請求被拒絕，組織會記錄相關原因，並告知當事人拒絕或不適用的原因。
監督與評估績效（Monitoring and evaluating performance）
- 負責處理請求的人員定期開會討論。
- 組織定期編寫關於績效與案件質量評估的報告，確保請求得到適當處理（case quality assessments）
- 向最高管理階層報告，讓其審查並採取行動。
- 組織分析請求的性質或原因的趨勢，以提高績效或減少數量。
資料不正確或不完整（Inaccurate or incomplete information）
- 組織採取適當合理的流程，檢查所保有個人資料的正確性，並在必要時能夠予以更正。
- 組織如果認為資料符合正確性的要求，組織具有向當事人解釋的程序，組織必須通知當事人申訴的權利，並在系統中記錄當事人對於正確性提出異議的事實。
- 如果當事人個人資料已揭露予其他人，除有不可能通知的情形或需花費顯不相當的努力，組織會聯繫每一個接收者，向其通知相關更正資訊。
- 組織在被當事人詢問時，會告知有哪些第三方收到當事人的個人資料。
刪除（Erasure）
- 組織在必要時於工作系統（live systems）與備份系統（back-up systems）中刪除個人資料，並能清楚告知當事人其個人資料後續的處置情況。
- 如果當事人個人資料已揭露予其他人，除有不可能通知的情形或需花費顯不相當的努力，組織會聯繫每一個接收者，向其通知相關刪除資訊。
- 組織在被當事人詢問時，會告知有哪些第三方收到當事人的個人資料。
- 如果個人資料於線上環境公開時，組織採取合理流程告知其他控制者，如果他們正在處理個人資料，應刪除該資料的連結、副本或複製本。
- 組織對於基於兒童同意的個人資料處理，尤其是在網路處理個人資料時，組織對於請求刪除特別重視。
限制（Restriction）
- 組織以適合處理類型與系統的方式限制個人資料的處理，例如暫時將個人資料移到另一個系統或從網站上刪除。
- 如果當事人個人資料已揭露予其他人，除有不可能通知的情形或需花費顯不相當的努力，組織會聯繫每一個接收者，向其通知限制相關的資訊。
- 組織在被當事人詢問時，會告知有哪些第三方收到當事人的個人資料。
資料可攜（Data portability）
- 依照法律要求，組織以結構化，通用且機器可讀的格式提供個人資料。
- 當事人要求時，組織在能力所及的情形下可以直接將資料傳輸給另一個組織。
與自動決策和剖繪相關權利（Rights related to automated decision-making and profiling）
- 於所有的自動化決策與剖繪時，針對弱勢群體進行額外的確認。
- 組織僅蒐集最小限度的個人資料，並對剖繪所建立的資料有明確保存政策。
- 組織使用全自動化決策與剖繪，且對個人有法律影響或類似重大影響時，組織具有記錄可以證明均符合依據GDPR第22條進行。如有適用，組織應進行資料保護衝擊評估（data protection impact assessment, DPIA）。
- 組織使用全自動化決策與剖繪，且對個人有法律影響或類似重大影響時，允許個人以簡易的方式請求人為介入、表達意見與質疑決策。
- 組織定期檢視準確性與偏差，確保系統依照預期運作，並回饋於系統設計工作中。
個人投訴（Individual complaints）
- 組織具有處理個人資料提出資料保護投訴的程序，並將其解決方案向高階管理人員報告。
- 公開DPO聯繫方式或其他聯絡方法，讓當事人能夠就資料處理向DPO提出投訴。
- 組織在隱私訊息向當事人告知他們有權向主管機關（在英國即為ICO）投訴。
五、透明性（Transparency）
隱私權聲明內容（Privacy notice content）
- 隱私權資訊包含所有相關的聯繫資訊，例如組織以及組織代表（如果有適用）的名稱與聯繫資訊，以及DPO的聯繫資訊。
- 隱私資訊包含處理的目的、合法依據與處理合法利益（如果有適用）。
- 隱私資訊包含組織取得個人資料的類別與來源。
- 隱私資訊包含組織與其他組織共享的所有個人資料詳細資訊，以及向任何第三方國或國際組織傳輸的詳細資訊（如果有適用）。
- 隱私資訊包含個人資料的保存期限，在無法明確載明保存期限的情形時，則應包含確定保存期間的標準。
- 隱私資訊包含有關當事人權利的細節，包含撤回同意的權利（如有適用）與提出投訴的權利。
- 隱私資訊包含當事人是否有法律規定或契約義務提供個人資料的詳細資訊（如有適用，且組織直接蒐集其個人資料）。
- 當間接蒐集當事人個人資料時，向當事人提供有關資料來源的隱私資訊，例如該資料來自於社群媒體、公開的選民登記冊或政府機關。
適時的隱私資訊（Timely privacy information）
- 當蒐集（例如填寫表格時）或觀察（例如使用CCTV或線上追蹤時）個人資料時時，當事人能收到隱私資訊。
- 如果間接蒐集個人資料時，組織應於取得資料後一個月內向當事人提供隱私資訊。
有效的隱私資訊（Effective privacy information）
- 組織主動讓當事人以免費且簡易的方式取得並瞭解隱私資訊。
- 組織以電子或實體的形式向當事人提供隱私資訊，並且使用適當的組合技巧，例如分層顯示、圖示與行動與智慧設備功能。
- 組織使用清楚易懂的語言撰寫隱私資訊，讓目標受眾能夠理解，並且在必要時以無障礙方式提供。
- 組織特別注意並確保對於兒童提供清楚且易懂的隱私資訊，確保隱私資訊適合兒童年齡，並解釋處理過程中所涉及的風險與組織所採取的保護措施。
自動化決策與剖繪（Automated decision-making and profiling）
- 組織使用剖繪時，提供當事人近用其用於剖繪的個資，使當事人能夠檢視其正確性並在必要時予以更正。
- 組織使用全自動化決策與剖繪，且對個人有法律影響或類似重大影響時，組織會告訴當事人相關處理情況，包含組織正在使用什麼資訊、原因以及可能產生的影響。
- 如果處理目的一開始尚不明確，組織應向當事人說明組織將如何處理他們的資料，並在目的變的更為明確時主動更新隱私資訊。
- 組織使用全自動化決策與剖繪，且對個人有法律影響或類似重大影響時，組織應以有意義的方式解釋處理方式，使當事人能夠行使其權利，包含獲得人工干預、表達意見與對決策提出異議。
員工意識（Staff awareness）
- 安排組織整體員工接受隱私資訊的教育訓練。
- 第一線員工接受更專業或更具體的教育訓練。
- 員工瞭解組織提供隱私資訊的方式。
隱私資訊檢視（Privacy information review）
- 組織根據處理活動的紀錄檢視隱私資訊，以確保其保持最新，並準確得解釋個人資料的情況。
- 組織保存隱私資訊歷史文件的日誌，包含組織作出任何更改的日期，以便審查組織在何時向當事人提供哪些隱私資訊。
- 組織進行使用者測試，以評估隱私資訊的有效性。
- 組織會分析民眾對組織的投訴（關於組織如何使用個人資料，特別是如何利用個人資料的說明）。
- 如果組織計畫將個人資料利用於新目的，組織備有程序更新隱私資訊，並在開始任何處理之前，向個人通知這些變化。
支持透明性與控制的工具（Tools supporting transparency and control）
- 清楚的隱私政策且民眾可以輕易接觸。
- 組織為個人提供工具，例如安全的自助服務系統、儀表板與及時通知，使當事人能夠近用、確定與管理組織如何使用其個人資料。
- 組織提供優良的隱私預設與使用者友好的選項與控制。
- 在相關的情形下，組織的程序可以幫助兒童以他們理解、易於近用的方式行使他們資料保護權利。
- 組織實施適當的保護措施保護使用數位服務的兒童。
六、處理紀錄與合法依據（Records of processing and lawful basis）
資料盤點（Data mapping）
- 組織進行個資盤點，查明組織保有哪些個人資料，並瞭解資料如何在組織內部流動。
- 不斷更新個資盤點表，並明確分配維護與修改個資盤點表的責任。
- 詢問員工意見，確保處理活動情形準確性，例如使用問卷或員工調查。
處理活動紀錄（Record of processing activities, ROPA）
- 組織以電子形式記錄處理活動，以利便於增加、刪除或修改相關資訊。
- 組織根據處理活動、政策與程序定期審查紀錄，確保其保持正確與最新，並明確分配責任。
- 組織定期審查處理活動與處理的資料類型，以達到資料最小化的目的。
ROPA要求（ROPA requirements）
- ROPA至少要包含以下內容
- 組織的名稱與聯繫方式、是控制者還是處理者（如有適用，還包含共同控制者、組織代表與DPO）
- 處理的目的
- 對個人與個人資料類別的描述
- 個人資料接收者的類別
- 向第三國傳輸的詳細資訊，包含傳輸的安全機制與措施的紀錄。
- 組織備有處理者代表組織進行的所有處理活動的任何內部紀錄。
ROPA最佳實務（Good practice for ROPAs）
- ROPA還包含或連結到以下內容的文件：
- 隱私聲明所需的資訊，例如處理個人資料的合法依據與來源
- 同意紀錄
- 控制者與處理者間的契約
- DPIA報告
- 個人資料外洩紀錄
- 依據個資法處理特種資料或犯罪資料的資訊
- 保留與刪除的政策文件
紀錄合法依據（Documenting your lawful basis）
- 組織檢視處理目的後，為每個處理活動選擇最適當的法律基礎。
- 組織紀錄所適用的法律基礎（一個或多個）與原因。
- 如果組織處理特種資料或刑事犯罪資料，組織應紀錄GDPR第9條與第10條，以及英國資料保護法（DPA 2018）的附表1所載相關要求。
- 針對附表1所記載要求，組織備有適當政策文件，包含：
- 所依據的附表1條件
- 組織已經採取哪些程序來確保遵守資料保護原則
- 組織如何保存與刪除特種資料或刑事犯罪資料
- 審查日期
- 負責處理人員的詳情
- 組織在開始任何新處理之前確定法律基礎
合法依據透明化（Lawful basis transparency）
- 組織的隱私聲明中公開關於處理的目的、組織處理任何特種個資與刑事犯罪資料的法律基礎與相關要件的資訊。
- 組織以易於理解的方式提供資訊。
- 如果情事變更或因原先無法預期的新處理目的而變更法律基礎，組織應及時通知當事人，並紀錄這些變更。
同意要求（Consent requirements）
- 同意的請求：
- 與其他條款與條件分別放置
- 要求積極同意，並且不要使用預選框
- 明確且具體（不是簽署服務的前提要件）
- 告知當事人如何以簡單的方式撤回同意
- 提供組織的名稱以及任何依據同意作為法律基礎的第三方
- 組織備有當事人同意的詳細紀錄，包含當事人被告知的內容，以及當事人同意的時間與方式，並且便於相關員工存取、檢視與在需要時提取。
- 組織備有說明如何徵得當事人同意的證據與示例，例如線上表格或通知、選擇同意的勾選框或紙本表格。
審查同意（Reviewing consent）
- 組織具有審查同意的程序、檢查其關連性、處理與目的是否已經更改並記錄任何更改。
- 組織具有在適當時間間隔更新同意的程序。
- 組織使用隱私儀表板或其他偏好管理工具來幫助當事人管理其同意。
風險導向的年齡檢查與父母或監護人的同意（Risk-based age checks and parental or guardian consent）
- 組織透過作出合理的努力，檢查給予同意之人的年齡，特別是在當事人為兒童的情形。
- 組織具有合理有效的程序確定當事人是否可以提供同意，在當事人無法提供同意時，則應取得並記錄父母或監護人同意的有效方法。
- 為兒童提供線上服務時，組織會使用風險導向的年齡檢查系統（risk-based age checking systems）來確定年齡，並根據對兒童權利和自由的風險來確定適當的級別。
- 為兒童提供線上服務時，如果未滿13歲，則需要定期審查父母或監護人同意的紀錄，並且組織透過合理的努力來驗證同意人是否具有親權。當兒童年滿13歲且能夠取得他們同意時，組織應特別予以注意。
合法權益評估（Legitimate interest assessment, LIA）
- LIA確定合法利益、處理的好處以及是否有必要。
- LIA包含平衡測試，以顯示組織如何確定其合法利益高於當事人利益，並考慮以下問題：
- 除有充分理由，否則請勿以侵害性方式或可能造成傷害的方式處理個人資料
- 保護弱勢群體（如學習障礙者或兒童）的利益
- 是否實施保護措施以減少任何潛在的負面影響
- 是否可以選擇退出（opt-out）
- 是否需要DPIA
- 組織清楚記錄決策與評估。
- 組織在處理個人資料之前完成LIA
- 組織保持對LIA進行審查，如因變化影響到結果，應加以更新。
七、契約與資料共享（Contracts and data sharing）
資料共享政策與程序（Data sharing policies and procedures）
- 組織具有透過DPIA或類似的工作流程評估資料共享的合法性、利益與風險。
- 組織將所有共享決策紀錄在案，以利稽核、監督與調查，並定期檢視。
- 組織對資料共享有明確的政策、程序與指引，包含誰有權決定系統性的資料共享或一次性揭露，以及在何種情形適合這樣做。
- 組織對所有可能作出資料共享決定的員工進行充分訓練，讓他們瞭解自己的責任。同時，組織會根據情況定期更新訓練內容。
資料共享協議（Data sharing agreements）
- 組織與所有相關組織簽訂資料共享協議，並應由高階管理人員簽署確認。
- 資料共享協議包含以下細節：
- 各方的角色
- 資料共享的目的
- 資料在每個階段會如何處理
- 所設定的標準（兒童的隱私預設標準應較高）
- 必要時，組織整體日常運作的程序與指引將為協議提供支援。
- 如果組織依據GDPR第26條作為共同控制者，組織根據約定或資料共享協議約定責任分配，並向當事人提供適當隱私資訊。
- 組織具有定期檢視程序，確保資訊保持準確與最新，並檢視協議如何運作。
- 組織保存當前資料共享協議的主要紀錄（central log）。
限制轉讓（Restricted transfers）
- 組織考慮限制性傳輸是基於適足性認定（adequacy decision）或資料保護法中所列出的適當安全措施的範圍，例如包含委員會通過的標準契約資料保護條款的契約（standard contractual data protection clauses）或拘束性企業規則（Binding Corporate Rules, BCRs）。
- 如果不符合前述範圍，則組織應考量該傳輸是否在GDPR第49條規定的豁免範圍內。
處理者（Processors）
- 組織與所有處理者簽訂書面契約。
- 如果使用處理者，組織應評估資料主體的風險，並確保有效降低這些風險。
- 由適當級別的管理階層核准並簽署契約，核准與簽署所需要的管理階層應與契約的價值與風險成正比。
- 每份契約（或法律行為）都規定處理的詳細資訊，包含：
- 處理的主要內容
- 處理的期限
- 處理的性質與目的
- 所涉及的個人資料類別
- 資料當事人類別
- 根據GDPR第28（3）條所列的清單、控制者的義務與權利
- 組織保存所有當下處理者契約的紀錄或日誌，並在處理者變更時予以更新。
- 組織定期檢視契約，以確保其維持最新狀態。
- 如果處理者使用子處理者（sub-processor）來協助組織進行處理，處理者必須取得組織的書面授權，並與該子處理者簽訂書面契約。
控制者與處理者間契約要求（Controller-processor contract requirements）
- 契約或其他法律行為說明處理者必須（包含以下事項）：
- 僅根據控制者的書面指示進行處理，除非有法律規定
- 確保處理資料的人員負有保密義務
- 協助控制者回應當事人權利行使的請求
- 接受稽核與檢查
- 契約內包含處理者必須採取的技術上與組織上安全措施（包含加密、假名化、處理系統的韌性與個人資料備份以便能夠恢復系統）。
- 契約內包含確保處理者在契約結束時刪除或返還所有個人資料的條款。除有法律要求保存，否則處理者還必須刪除現有的個人資料。
- 契約中確保處理者協助控制者履行GDPR中有關處理安全、個人資料外洩通知與DPIA的義務。
處理者盡職調查（Processor due diligence checks）
- 組織與處理者簽訂契約前，採購流程會根據處理的風險進行相應的盡職調查。
- 盡職調查程序包含資料安全檢查，例如現場訪視、系統測試與稽核要求。
- 盡職調查過程中包含檢查確認潛在的處理者將保護資料當事人的權利。
處理者法遵性檢視（Processor compliance reviews）
- 契約中包含允許組織進行稽核或檢視的條款，以確認處理者遵守所有契約條款與條件。
- 組織根據處理風險進行例行的法遵檢視，以確認處理者是否遵守契約。
第三方產品與服務（Third-party products and services）
- 組織使用第三方產品或服務處理個人資料時，確保選擇在設計產品或服務時考慮到資料保護的供應商。
目的限制（Purpose limitation）
- 組織僅共享實現其特定目的所需的個人資料。
- 在資料共享時，盡可能得對資料進行假名化或最小化。組織還考慮進行匿名化處理，使資料不再是個人資料。
八、風險與資料保護衝擊評估（Risks and data protection impact assessments, DPIAs）
識別、記錄與風險管理（Identifying, recording and managing risks）
- 資訊風險政策（可以是一份單獨文件，也可以是更廣泛的企業風險政策中一部份）規定組織及其資料處理者如何管理資訊風險，以及如何監督資訊風險政策的遵循情形。
- 組織具有程序協助員工將資訊管理與資料保護的問題與風險報告與通知至統一的地方（例如員工論壇）。
- 組織在適當的風險管理表（risk register）內識別與管理資訊風險，其中包含企業與部門風險管理表與資訊資產風險評估間的明確關聯。
- 組織具有正式的程序，透過資訊資產盤點表（information asset register）中識別、紀錄與管理有關資訊資產相關的風險。
- 如果組織識別資訊風險，組織具有適當的行動計畫、進度報告以及考量過往經驗與教訓，以避免未來的風險。
- 組織制定措施以減輕已被識別的風險，並定期測試這些措施以保持有效性。
從設計與預設著手資料保護（Data protection by design and by default）
- 組織在所有風險、專案與應變管理的政策與程序中都記載DPIA的要求，並與DPIA政策與程序相關連。
- 組織於程序中規定，如果有適用，必須在專案開始之前進行DPIA，DPIA必須與規劃和開發過程同時進行。
- 組織在風險與侵害隱私的事件發生前對其進行預測，並確保在任何系統、產品或流程的初始設計階段以及整個過程中，均考量：
- 預期的處理活動
- 處理活動可能對個人權利與自由造成的風險
- 減輕風險的可行措施
DPIA政策與程序（DPIA policy and procedures）
- 組織具有DPIA政策，其中包含：
- 決定是否進行DPIA的明確程序
- DPIA應包含的內容
- 如何授權
- 如何將其納入整體規劃之中
- 組織會有一份檢查清單，用於考慮是否需要進行DPIA，包含對擬議處理的範圍、類型與方式的所有相關考量。
- 如果檢查清單顯示組織不需要DPIA，組織應予以記錄。
- 組織程序包含要求適時向DPO或其他內部員工尋求建議。
- 組織程序包含與控制者、資料處理者、當事人、其代表人或其他利害關係人進行適當諮詢。
- 員工教育訓練包含須要在任何涉及個人資料的計畫早期階段考量DPIA，並在相關情形下訓練員工如何進行DPIA。
- 組織將完成DPIA的責任分配給有足夠權力針對專案進行決策的員工，例如項目負責人或經理。
DPIA內容（DPIA content）
- 組織具有一個標準的、架構良好的DPIA範本，以簡易的語言書寫DPIA。
- DPIA包含：
- 處理的性質、範圍、背景與目的
- 評估必要性、相當性與法遵措施
- 識別與評估當事人風險
- 識別減輕這些風險的任何額外措施
- DPIA明確載明控制者、處理者、當事人與系統間的關係與資料流。
- DPIA識別消除、減輕或降低高風險的措施。
- 組織備有文件化流程，並有適當的文件控制，組織會定期審查流程以確保保持最新。
- 組織記錄DPO的意見與建議及其他任何諮詢的細節。
- 由適當的人簽署DPIA，如專案負責人或高階經理。
DPIA風險減輕與審查（DPIA risk mitigation and review）
- 當組織無法減輕剩餘的高風險，組織具有向主管機關（在英國為ICO）諮詢的流程。
- 組織將DPIA的結果，納入相關的工作計畫、專案行動計畫與風險管理表。
- 在DPIA之後，組織不會開始高風險處理，直到實施適當的減輕措施。
- 組織備有程序將DPIA的結果傳達給適當的利害關係人，例如透過正式的總結報告。
- 在可能的情況下，組織考慮主動公布DPIA，必要時刪除敏感的細節。
- 組織同意並記錄定期審查DPIA的時間表，或者當處理的性質、範圍、背景或目的發生變化時，檢視DPIA。
九、紀錄管理與安全（Records management and security）
建立、搜尋與檢索紀錄（Creating, locating and retrieving records）
- 組織具有政策與程序，確保以便於管理、檢索與處置的方式對新紀錄進行適當分類、命名與編輯索引。
- 組織識別書面或電子紀錄保存系統，並保存一個主要日誌或資訊資產盤點表。
- 組織隨時瞭解、追蹤紀錄的去向，並嘗試追蹤遺失或未歸還的紀錄。
- 組織可以使用獨特的參考索引編輯在異地儲存的紀錄，以實現精準的檢索與後續追踪。
傳輸安全（Security for transfers）
- 組織制定關於以郵寄、傳真和電子方式進行內部與外部傳輸的保護規則，例如在傳輸政策或指引中。
- 盡量減少異地傳輸的資料，並保證傳輸過程中的安全。
- 當組織將資料傳輸到異地時，組織會使用適當的傳輸方式，例如安全快遞（secure courier）、加密、安全檔案傳輸協定（SFTP）、虛擬私人網路（VPN），並進行檢查以確保資料已被接收。
- 組織與任何用於在組織與第三方間傳輸業務資訊的任何第三方簽訂協議。
資料品質（Data quality）
- 組織定期對包含個人資料的紀錄進行資料質量檢視，以確保他們精準、適當且不過度。
- 組織進行資料質量檢視或稽核後，組織會讓員工瞭解資料質量的問題，以防止再次發生。
- 定期剔除含有個人資料的紀錄（無論是使用中或已歸檔），以減少不精準和過度保留的風險。
保存時間表（Retention schedule）
- 組織根據業務需要，並參照法定要求與其他主體（例如英國國家檔案館），制定保存期限表。
- 該期限表提供足夠的資訊，以確定所有紀錄，並根據期限表執行處置決策。
- 組織要分配責任，確保員工遵循期限表，並定期檢視。
- 組織定期檢視所保存的資料，以確定是否有機會將其最小化、假名化或匿名化，並將此紀錄於表格內。
刪除銷毀（Destruction）
- 針對紙本文件，組織使用上所的廢物箱處理含有個人資料的紀錄，並採用內部或第三方機器碎紙或焚燒的方式。
- 對於保存在電子設備的資訊，則使用擦除（wiping）、消磁（degaussing）或安全銷毀硬體（粉碎）的方式。
- 機密廢棄物在銷毀之前應由組織蒐集、保管或運送。
- 組織與第三方簽訂適當契約來處置個人資料，並且第三方向組織提供適當的保證，保證他們已經安全得處置資料，例如透過稽核檢查與銷毀證書。
- 組織對所有送去處置或銷毀的設備與機密廢棄物都存有紀錄。
資料資產表（Information asset register）
- 組織保有資產盤點表，其中包含所有資訊資產（軟體與硬體）的詳細資料：
- 資產所有者
- 資產的位置
- 保存期限
- 所實施的安全措施
- 組織定期檢視盤點表，以確保其保持最新與準確。
- 組織定期檢視盤點表中的資產進行風險評估，並進行實物檢查，以確保硬體資料庫存的準確性。
可接受的軟體使用規則（Rules for acceptable software use）
- 組織具有可接受的使用政策或條款與條件。
- 組織具有系統操作程序，記錄保護系統或應用程式內資料的安全配置與措施。
- 組織監督可接受使用規則的遵守情形，並確保員工瞭解任何監督情形。
存取控制（Access control）
- 組織制定存取控制政策，規定使用者在使用機密認證資訊（如密碼或憑證）時必須遵循組織的政策。
- 組織實施正式的使用者存取授權程序，為員工（含臨時員工）和第三方承包商分配履行其職責所需的所有相關系統和服務的存取權限，例如到職流程。
- 組織應限制與控制特權存取權的分配與使用。
- 組織應保存使用者存取保有個人資料系統的log紀錄。
- 組織定期審查使用者的存取權限，並在適當的情形下調整或取消權限，例如當員工職位變更或離職時。
未經授權的存取（Unauthorised access）
- 組織依據最小權限原則，將對處理個人資料的系統或應用程式的存取權限限制在絕對最小的範圍內（例如實施讀/寫/刪除/執行的存取規則）。
- 組織對處理個人資料的系統或應用程式採行一定的密碼複雜度規則與限制嘗試性登入。
- 組織有密碼管理措施，包含預設密碼更改、控制使用任何共享密碼與安全密碼的儲存（非使用純文字）。
- 電子郵件內容與附件安全解決方案（加密）適當得保護包含敏感個人資料的電子郵件。
- 組織紀錄與監控使用者與系統活動，以檢測任何異常情形。
- 組織在整個網路、關鍵或敏感資訊系統上部署防毒軟體（anti-virus）與惡意程式清除軟體（anti-malware）作為保護。
- 防毒軟體與惡意程式清除軟體保持最新，並對其進行配置，以執行定期掃描。
- 組織可以存取系統或軟體技術漏洞的任何更新，例如供應商的警報或修補程式，並採取相應行動。
- 組織定期進行漏洞掃描。
- 組織部署URL或網路內容過濾，以阻止某類別或特定的網站。
- 組織嚴格控制或禁止使用社群媒體或訊息應用程式（例如WhatsApp）分享個人資料。
- 組織根據情形設置外部與內部防火牆與入侵檢測系統，以確保網路與系統中的資訊安全，防止未經授權的存取或攻擊，例如拒絕服務攻擊。
- 組織沒有使用不受支援的作業系統，例如Windows XP 或 Windows Server 2003。
- 組織建立特別的控制措施，以保障透過公共網路或無線網路傳遞的資料機密性與完整性，並保護連接的系統和應用程式。
行動裝置、家庭或遠程工作與可攜式媒體（Mobile devices, home or remote working and removable media）
- 組織有行動裝置和家庭/遠距工作政策，表明組織將如何管理相關的風險。
- 組織備有保護措施，以避免未經授權存取或揭露行動裝置的資訊，例如加密與遠距擦除功能。
- 在家庭或遠距工作的情形時，組織會採取安全措施以保護所處理的資料，例如VPN與雙因素認證。
- 當組織有業務需要將個人資料儲存在可攜式媒體時，盡量所儲存的個人資料，組織實施一個軟體解決方案，可以為單一設備與某個設備類別設置權限或加以限制。
- 組織不允許在未經事先授權的情況下將設備、資訊或軟體帶離現場，並且記錄所有行動裝置與可攜式媒體的使用情形與其配發對象。
區域安全（Secure areas）
- 組織實施適當的入口管制（例如門鎖、警報器、安全照明或CCTV）保護安全區域（包含敏感或關鍵資訊的區域）。
- 組織具有訪客政策，例如簽到程序、名牌與陪同訪問。
- 在安全區域（如服務器機房）實施額外的保護措施，以防止外部與環境威脅。
- 適當擺放辦公室設備，並加以保護，以減少環境威脅的風險與未經授權進入的機會。
- 組織以安全的方式存放紙本文件，並進行接觸的管控。
- 組織在處理個人資料的地方實行明確的辦公桌政策。
- 組織定期清查或檢查，並適當得回報問題。
- 於組織內實行螢幕登出政策。
營運持續、災難復原與備份（Business continuity, disaster recovery and back-ups）
- 組織具有風險導向的營運持續計畫作為管理中斷，組織具有災難恢復計畫管理災難，這些計畫識別對組織的持續運作相關重要的紀錄。
- 組織針對電子資訊、軟體和系統進行備份（最好將其存放於異地）。
- 備份的頻率應反映資料的敏感性與重要性。
- 組織定期測試備份與恢復程序，確保其仍合於目的。
十、事故應變與監控（Breach response and monitoring）
檢測、管理與記錄事故與資料外洩（Detecting, managing and recording incidents and breaches）
- 組織有適當的教育訓練，使員工能別識別安全事故（security incident）與個人資料事故（personal data breach）。
- 組織有專人或團隊管理安全事故與個人資料事故。
- 員工知道如何將安全事故迅速升級至適當的人員或小組，以確定否已發生資料外洩。
- 組織的程序與系統有助於回報安全事故與資料外洩。
- 組織具有應變計畫，以迅速處理任何安全事故與個人資料事故。
- 組織對實際的外洩事故與幾乎發生的事故（near misses，即使不須要向主管機關通報或個人通知）進行集中紀錄、文件化與存檔。
- 日誌記錄了與幾乎發生的事故或與外洩事故有關的事實，其中包含：
- 原因
- 發生了什麼事情
- 受影響的個人資料
- 資料外洩的影響
- 採取的任何補救措施與理由
評估與事故回報（Assessing and reporting breaches）
- 組織具有程序評估個人資料外洩對個人造成風險的可能性與嚴重性。
- 組織具有程序，在意識到違規事故發生後72小時內通知主管機關ICO（即使尚未知悉全部資訊），並即時通知ICO。
- 該程序包含必須向主管機關ICO提供有關違規事故的詳細資訊。
- 如果組織認為沒有必要通報違規事故，應記錄組織認為違規事故不太可能對個人權利與自由造成風險的原因。
通知當事人（Notifying individuals）
- 組織具有程序，規定組織將如何告知受影響的當事人有關可能對他們的權利與自由造成高度風險的資料外洩。
- 組織以清楚易懂的語言告知當事人有關資料外洩的情形，且沒有無故遲延。
- 組織向當事人提供的資訊包含DPO的詳細資訊、對違規事故可能造成的結果描述與所採取的措施（包含減輕風險措施與任何可能的不利影響）。
- 組織向當事人提供建議，以保護其免於違規事故的影響。
審查與監控（Reviewing and monitoring）
- 組織分析所有個人資料事故報告，以防止再次發生。
- 組織監控事故的類型、數量與成本。
- 組織對一段時間內的違規事故進行趨勢分析，以瞭解主要內容或問題。
- 由負責監督資料保護與資訊管理小組審查這些結果。
外部稽核與法遵檢查（External audit or compliance check）
- 組織完成外部提供的自我評估工具，以提供資料保護與資訊安全法遵性保證。
- 組織接受或聘用外部稽核員的服務，以提供資料保護與資訊安全法遵性的獨立保證（或驗證）。
- 組織遵守組織所屬行業的適當行為或實踐準則（如有適用）。
- 組織製作稽核報告以記錄稽核結果。
- 組織有一個主要行動計畫，以推展資料保護與資訊管理稽核的結果。
內部稽核程序（Internal audit programme）
- 組織監督內部資料保護法遵性，並定期檢視現有措施的有效性。
- 組織定期檢視員工對資料保護與資訊管理政策與程序的遵守情形。
- 組織定期進行臨時性監督（ad-hoc monitoring）與抽查（spot checks）。
- 組織確保對於政策遵守情形的監督是公正的，將其與政策執行者分離。
- 組織具有主要稽核計畫/時間表，顯示資料保護與資訊管理內部稽核的規劃。
- 組織製作稽核報告以記錄稽核結果。
- 組織具有主要行動計畫，以推展資料保護與資訊管理稽核的結果
績效與法遵資訊（Performance and compliance information）
- 組織具有當事人近用請求（subject access request, SAR）績效的KPI（請求量和在法定時間內完成的百分比）
- 組織具有關於完成資料保護與資訊管理教育訓練的KPI，包含一份顯示完成訓練的員工百分比的報告。
- 組織具有關於資訊安全的KPI，包含安全漏洞、事故與幾乎發生的事故的數量。
- 組織具有關於紀錄管理的KPI，包含使用諸如檔案檢索統計數量，遵守處置期限表的情況，以及為含有個人資料的紙本文件檔案編輯索引與追蹤系統的績效。
管理資訊的運用（Use of management information）
- 組織具有一個儀表板，對所有關鍵的資料保護與資訊管理KPI進行進階的摘要（high-level summary）。
- 組織對資料保護與資訊管理進行監督的小組定期討論KPI以及監督與檢視的結果。
- 資料保護與資訊管理KPI與監督及檢視的結果，由小組定期於業務層級討論（例如在團隊會議上討論）。
※歡迎來喵喵科技法律隨筆的粉絲團按讚、追蹤還有分享！
※你可能會對這些文章有興趣
1.個資外洩，該怎麼辦？
2.當個資外洩發生時，企業是否可以向系統商求償？
3.投資個資保護的價值？
4.挪威資料保護主管機關推出監理沙盒，協助人工智慧的開發
5.歐盟法院SCHREMS II案與常見問答
