壹、 目的

亞太電信股份有限公司（以下簡稱本公司）為遵循「個人資料保護法」（以下簡稱個資法）、「個人資料保護法施行細則」及主管機關要求等相關法律、法令與法規及BS10012國際標準，並參考歐盟一般資料保護規則GDPR（General Data Protection Regulation）、APEC之跨境隱私保護規則CBPR、隱私資訊管理ISO／IEC 27701等國際法規要求規範，落實隱私及個人資料保護管理制度，保障隱私及個人資料當事人權利，並防止隱私及個人資料被竊取、竄改、毀損、滅失或洩漏，建立安全、可信賴之服務，達成隱私及個人資料檔案之安全保護與管理，落實隱私及個人資料保護與資訊安全，進而保障相關人員之權益。本公司承諾達成「尊重個人權益，合法蒐集、處理、利用及傳輸隱私及個人資料，確保隱私及個人資料安全維護」之隱私及個人資料保護管理政策目標，建立並落實隱私及個人資料保護管理政策與制度，同時兼顧隱私及個人資料之合理利用。

貳、 範圍

本政策適用於本公司各單位之全體員工、委外廠商、供應商及外部第三方以及所有與隱私及個人資料之法令遵循、安全管理相關之作業及服務，並針對蒐集、處理、利用及傳輸隱私及個人資料訂定相關規範，確保隱私及個人資料之安全。

參、 名詞定義

一、 個人資料(簡稱個資)本政策所稱之個人資料，係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。

二、 隱私資料之分類：隱私以下列三種來區分：

（1）資訊上的隱私：個人不願意向無關第三者分享的資訊，如：私人的習慣與喜好等；

（2）行為上的隱私：個人所作行為不受他人監視及干擾，如：通聯隱私、網頁瀏覽記錄等；

（3）觀察上的隱私：不必遭受別人的觀察或探知，例如：監視器所拍攝的內容、穿戴式裝置所量測的生理狀態。

三、 隱私及個人資料檔案(簡稱隱私及個資檔案)係指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之隱私及個人資料之集合。

四、 個人資料保護管理系統(Personal Information Management System, PIMS)為整體管理系統的一部份，以營運風險導向為基礎，用以建立、實作、運作、監視、審查、維持及改進隱私及個人資料保護管理；等同本公司所謂之隱私及個人資料保護管理制度或隱私及個資保護管理制度。

五、 資訊安全管理系統（Information Security Management System, ISMS）為整體管理系統的一部份，以營運風險導向（作法）為基礎，用以建立、實作、運作、監視、審查、維持及改進資通安全；等同本公司所謂之資通安全管理制度。

六、 隱私及個人資料保護管理指標 界定如何量測所選擇的控制措施之有效性，以達成本公司隱私及個人資料保護管理目標。

七、 隱私及個人資料生命週期  泛指隱私及個人資料之蒐集、處理、利用、傳輸、儲存及銷毀的活動及其關聯性程序。因為就隱私及個人資料本身而言是靜態的，但是當資料在被蒐集、處理、利用、儲存及銷毀時，其實是一個移動的過程，是在組織內部不同的部門、不同的人、進行不同的作業，所以隱私及個人資料是有生命週期之活動與關聯。

肆、 作業內容

一、 隱私及個人資料保護管理政策

(一) 對隱私及個人資料之蒐集、處理、利用及傳輸，不得逾越特定目的及業務必要範圍，並依法履行告知義務。

(二) 隱私及個人資料之處理以公平與合法方式為之。

(三) 盤點隱私及個人資料以建立檔案清冊，並指定專責人員依規定維護、保管。

(四) 維護隱私及個人資料之正確性，並主動或依當事人之請求予以更正或補充。

(五) 確保當事人依法對其隱私及個人資料所得行使之權利。

(六) 處理隱私及個人資料應依循本公司隱私及個人資料保護管理、資通安全相關辦法，建立內部隱私及個人資料風險等級，並配合風險等級訂定控管機制，同時針對特種個資、弱勢成人及未成年之隱私及個人資料之應考量特別控管機制。

(七) 強化隱私及個人資料、人員、設備管理及資通安全，以確保隱私及個人資料檔案之安全。

(八) 參考或採用國內外資通安全管理標準或隱私及個人資料管理標準相當的隱私及個人資料管理指標，建置隱私及個人資料保護管理制度及程序，以落實對隱私及個人資料之保護。

(九) 委託他人蒐集、處理、利用及傳輸隱私及個人資料時，對受託單位執行適當之監督與安全要求。

(十) 明確界定各層級人員資通安全管理及隱私及個人資料管理之權限及責任。

(十一) 對於個資法所允許特定目的外利用之個資，應確保其適當性與合法性。

(十二) 建立個資事故緊急應變程序，並以適當方式通知當事人。

(十三) 建置資通安全管理制度及隱私及個人資料管理制度，並識別內外部利害團體對管理制度之要求與期待，且維護管理制度之相關紀錄。

(十四) 確保傳輸、儲存之隱私及個資為安全、可靠，應採用適當的加密方式進行加密保護。

(十五) 對於使用者隱私及個資資料，皆需遵守資料蒐集最小化原則。

二、 隱私及個人資料保護管理目標 

(一) 表達本公司遵循隱私及個人資料保護法與其他隱私及個人資料相關法規之規定、國家通訊傳播委員會相關法律、法令及法規及BS10012標準之要求，盡善良管理人之責，合法利用並維護所保有隱私及個人資料安全之決心。

(二) 提供本公司所屬人員之隱私及個人資料保護管理指導方針，規範隱私及個人資料之蒐集、處理、利用及傳輸管理程序，建立本公司執行業務或管理內部人員，對於客戶及員工隱私及個人資料使用的依據，並降低本公司與員工可能的法律訴訟風險，保障客戶權益及維護本公司信譽。

(三) 確保本公司各項業務之執行符合個資法相關法規或法令及國家通訊傳播委員會相關法規之要求。

(四) 遵循隱私及個人資料保護法相關規定，藉由本政策及隱私及個人資料保護管理規範之頒行與宣導，讓本公司所屬人員均明確瞭解，並遵循本公司蒐集、處理、利用及傳輸隱私及個人資料之行為準則。

(五) 隱私及個資傳輸時需有加密機制，並採用公開、國際機構驗證且未遭破解的演算法。

(六) 隱私及個資儲存時需有保護機制，採用去識別化或加密處理。

(七) 定期進行隱私與個資盤點，鑑別蒐集目的均為目的內利用，並確認儲存及傳輸過程己落實保護機制。

(八) 存取帳號權限應以工作所需之最少資訊與最小權限為原則，並需留存存取紀錄，每半年執行帳號清查作業。 

(九) 每年對全體員工舉辦資通安全暨個資保護教育訓練1次以上，並留存相關教育訓練資料。

三、 隱私及個人資料保護管理實施原則

(一) 遵守我國隱私及個人資料保護相關法令規定及BS10012標準要求。

(二) 應符合個人資料保護法與國家通訊傳播委員會相關法規之規定，確保合法蒐集、處理、利用及傳輸本公司所保有的隱私及個人資料。

(三) 以合理安全之方式，於特定目的範圍內，蒐集、處理及利用隱私及個人資料。

(四) 應依個人資料保護法第五條規定，蒐集、處理及利用個人資料。

(五) 以風險管理作為及可期待之合理安全水準技術保護所蒐集、處理、利用之隱私及個人資料檔案。

(六) 應依個人資料保護法施行細則第十二條第二項規定，建置資通安全管理制度及個人資料安全維護管理機制。

(七) 設置聯絡窗口，供隱私及個人資料當事人行使其隱私及個人資料相關權利或提出相關申訴與諮詢。

(八) 應訂定相關程序受理當事人權利行使之事宜。

(九) 應規劃訂定緊急應變程序，以處理隱私及個人資料被竊取、竄改、毀損、滅失或洩漏等事故。

(十) 對受託蒐集、處理及利用本公司隱私及個人資料之組織、機關或單位，應進行適當之監督並留存紀錄。

(十一) 持續維運隱私及個人資料檔案安全維護計畫之義務，以確保隱私及個人資料檔案之安全。

(十二) 應定期檢視所應遵循之隱私及個人資料保護法令，並據以訂定或修正本政策、隱私及個人資料檔案安全維護計畫及本公司相關規範，確保隱私及個人資料檔案之安全。

(十三) 應訂定隱私及個人資料保護管理控制目標與關鍵績效指標。

(十四) 為提升同仁個人資料保護安全意識，應定期辦理個人資料保護宣導教育訓練。

(十五) 本公司所有人員都應遵循本政策，違反者須依本公司相關規定予以處分；若涉及相關民事賠償、刑事責任、行政裁罰者，本公司得終止其僱用關係並衡酌情節追訴其法律責任。

(十六) 員工對於本公司之隱私及個人資料保護義務於雙方終止僱用關係後仍繼續有效。

四、 管理審查

(一) 本政策應由本公司資訊安全組制定，並經資通安全委員會，進行隱私及個人資料保護管理政策審核。

(二) 資通安全委員會每半年應至少召開一次管理審查會議，以確認隱私及個人資料保護管理政策之適切性，以反應政府法令法規、技術及業務等最新發展現況。

五、 隱私及個人資料保護管理政策之核准與實施

(一) 隱私及個人資料保護管理政策核定後，應公告予客戶、內部組織單位、員工、委外廠商、供應商人員或外部第三方相關單位。

(二) 本政策未盡之事宜，依本公司相關管理規範及相關主管機關法令規定辦理。

(三) 隱私及個人資料保護管理政策經資通安全委員會主任委員核准後公布實施，修正時亦同。