本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之
。

本辦法所稱主管機關：在中央為衛生福利部；在直轄市為直轄市政府；在
縣（市）為縣（市）政府。

本辦法用詞，定義如下：
一、精神復健機構：指依精神復健機構設置及管理辦法設立，可收治服務
    對象逾二百人之私立精神復健機構。
二、專責人員：指由精神復健機構指定，負責個人資料檔案安全維護計畫
    （以下簡稱安全維護計畫）訂定及執行之人員。
三、所屬人員：指精神復健機構執行業務過程中接觸個人資料之人員。
四、查核人員：指由精神復健機構指定，負責稽核安全維護計畫執行情形
    及成效之人員。
前項第二款專責人員與第四款查核人員，不得為同一人。

精神復健機構應依本辦法規定訂定安全維護計畫。
前項安全維護計畫，應包括下列項目：
一、個人資料蒐集、處理及利用之內部管理程序。
二、個人資料之範圍及項目。
三、資料安全管理及人員管理。
四、事故之預防、通報及應變機制。
五、設備安全管理。
六、資料安全稽核機制。
七、使用紀錄、軌跡資料及證據保存。
八、業務終止後個人資料處理方法。
九、個人資料安全維護之整體持續改善方案。

精神復健機構應依其業務規模及特性，衡酌經營資源之合理分配，規劃、
訂定、檢討、修正安全維護措施，納入安全維護計畫，落實個人資料檔案
之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。

專責人員負責規劃、訂定、修正、執行安全維護計畫，及業務終止後個人
資料處理方法與其他相關事項，並定期向精神復健機構提出報告。

精神復健機構訂定第四條第二項第一款個人資料蒐集、處理及利用之內部
管理程序、第二款個人資料之範圍及項目時，應確認蒐集個人資料之特定
目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或
範圍，並定期清查所保有之個人資料現況。
精神復健機構經定期檢視，發現有非屬特定目的必要範圍內之個人資料或
特定目的消失、期限屆至而無保存必要者，應予刪除、銷毀、停止蒐集、
處理、利用或為其他適當之處置。

精神復健機構蒐集個人資料時，應符合前條第一項所定之類別及範圍。
精神復健機構於傳輸個人資料時，應採取必要保護措施，避免洩漏。
精神復健機構將當事人個人資料為國際傳輸前，應檢視是否受中央主管機
關依本法第二十一條規定為國際傳輸之限制，並告知當事人擬傳輸之國家
或區域，同時對資料接收方為下列事項之監督：
一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對
    象及方式。
二、當事人行使本法第三條所定權利之相關事項。

一、依本法第六條、第二十一條及一百十年八月十九日衛生福利部「研商
    非公務機關個人資料國際傳輸之限制」會議決議，機構將個人資料作
    國際傳輸者，應告知當事人所欲傳輸之國家或區域，增訂第三項規定
    ；並配合本法施行細則第十二條第二項第六款之規定，要求機構應對
    資料接收方為適當之監督，爰為第三項第一款及第二款規定。
二、諸如精神復健機構服務對象個人資料傳輸至雲端資料儲存或處理服務
    ，其伺服器位於我國境外者，或傳輸至我國境外之長期照顧服務或醫
    療機構，考量機構服務對象係屬特種個人資料，相較於一般個人資料
    較具敏感性，均應有第三項之適用。

精神復健機構蒐集之當事人個人資料，應依本法第八條及第九條、精神復
健機構設置及管理辦法第十一條及第十二條規定辦理，並依直接蒐集或間
接蒐集，分別訂定告知方式、內容及其注意事項。
精神復健機構使用資通訊系統蒐集、處理或利用當事人個人資料時，應採
取下列資料安全管理措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、個人資料檔案及資料庫之存取控制與保護監控措施。
五、外部網路入侵防範對策。
六、非法或異常使用行為之監控及因應機制。
前項第五款及第六款所定措施，應定期演練及檢討改善。

一、為明確蒐集個人資料之依據，爰修正第一項。
二、為落實個人資料之保護，依行政院一百十年八月十一日訂定發布「行
    政院及所屬各機關落實個人資料保護聯繫作業要點」第四點規定，爰
    增訂第二項。
三、隨網路資訊發達與科技之進步，可能發生個人資料於網路遭非法入侵
    或異常使用行為損害情形，爰增訂第三項，明定針對前項第五款及第
    六款所定措施，精神復健機構應定期進行演練及檢討改善。

精神復健機構訂定第四條第二項第三款資料安全管理及人員管理之措施，
應包括下列事項：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控
    管其接觸個人資料之情形，並定期確認權限內容之必要性及適當性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理、利用及其他相關
    流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義
    務。
四、所屬人員離職時取消其識別碼，並應要求將執行業務所持有，包括紙
    本及儲存媒介物之個人資料辦理交接，不得攜離使用，並應簽訂保密
    切結書。

精神復健機構訂定第四條第二項第四款事故之預防、通報及應變機制，應
包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，以適當方式通知當事人或其法定代理
    人。
三、研議改進措施，避免事故再度發生。
四、發生事故者，應於發現時起七十二小時內，通報直轄市或縣（市）主
    管機關及副知中央主管機關，直轄市或縣（市）主管機關得依本法第
    二十二條至第二十五條規定，為適當之監督管理措施。
精神復健於發生個人資料被竊取、洩漏、竄改或其他侵害事故時，應依前
項事故之預防、通報及應變機制迅速處理，保護當事人之權益。
第一項第四款通報紀錄，格式如附表。

配合行政院一百十年二月三日「行政機關落實個人資料保護執行聯繫會議
」第一次會議決議，及依行政院一百十年八月十一日訂定發布「行政院及
所屬各機關落實個人資料保護聯繫作業要點」第四點第一項第三款規定，
發生事故者，機構應於發現時起七十二小時內通報地方目的事業主管機關
及副知中央主管機關，爰增訂第一項第四款。另依該次會議國家發展委員
會所示個人資料事故通報格式參考範本，並參考「內政部指定移民業務機
構個人資料檔案安全維護管理辦法」第十三條及「醫療器材批發零售業個
人資料檔案安全維護計畫實施辦法」第十七條所定書面通報格式，於第三
項增訂通報格式如附表。

精神復健機構訂定第四條第二項第五款設備安全管理施，應包括下列事項
：
一、紙本資料檔案之安全保護設施及管理程序。
二、電子資料檔案存放之電腦或自動化機器相關設備，配置安全防護系統
    或加密機制。
三、訂定紙本資料之銷毀程序；電腦、自動化機器或其他儲存媒介物需報
    廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料
    。

查核人員應依第四條第二項第六款規定，定期或不定期稽核安全維護計畫
之執行情形及成效，並將稽核結果，向精神復健機構提出報告。

精神復健機構訂定第四條第二項第七款使用紀錄、軌跡資料及證據保存之
措施，應包括下列事項：
一、留存個人資料使用紀錄。
二、留存自動化機器設備之軌跡資料或其他相關之證據資料。

精神復健機構訂定第四條第二項第八款業務終止後個人資料處理方法之措
施，應包括下列事項：
一、銷毀：方法、時間、地點及證明銷毀之方式。
二、移轉：原因、對象、方法、時間、地點及受移轉對象得保有該項個人
    資料之合法依據。
三、刪除、停止處理或利用：方法、時間或地點。
前項措施應予記錄，並至少留存五年。但法令另有規定者，不在此限。

精神復健機構訂定第四條第二項第九款個人資料安全維護之整體持續改善
方案，應參酌安全維護計畫執行狀況、技術發展、法令修正或其他因素，
檢視所定安全維護計畫之合宜性，必要時應予修正。

精神復健機構應於本辦法發布施行後一年內，完成安全維護計畫之訂定。
精神復健機構應保存前項安全維護計畫；主管機關得定期派員檢查。

第八條第三項、第十一條第一項第四款、第二項及第三項規定，於公立精
神復健機構及可收治服務對象二百人以下私立精神復健機構，準用之。

一、本條新增。
二、公立醫院所持有資訊均屬政府資訊，又其亦行使部分公權力行為，爰
    公立精神復健機構係比照本法之「公務機關」規定，而可收治服務對
    象二百人以下私立精神復健機構依其規模與行政量能等實務面考量，
    尚毋須逐一訂定個人資料檔案安全維護計畫，故上開二類機構非屬第
    三條第一項第一款定義所稱精神復健機構；惟有關個人資料跨境傳輸
    及個人資料事故通報之規範，宜有統一規定，為使該等機構有所依循
    ，爰增訂本條。

本辦法自發布日施行。