|
現今資訊發達，不論是公家機關、民營機構、營利或非營利組織，都會因為不同的使用需求，蒐集取得個人資料。個人資料法(簡稱個資法)已於2012年正式上路，無論是公家機關、企業或個人，對於個人資料的蒐集、處理或利用，都必須遵循該法規的規範，而組織如果沒有妥善管理好這些個人資料，導致個人資料外洩，未來極有可能造成訴訟或被求償，對組織的聲譽及營運之存續影響極鉅。
BS
10012「資料保護─個人資訊管理系統規範 (Data protection–Specification for
a personal information management system.)」是英國標準協會(British Standards
Institution,
BSI)於2009年公布的一個國際認可的個人資訊管理標準，適用於任何規模和行業的組織，而許多對個資管理與保護要求較高的組織，例如：公家機關、學校、金融、電信、醫療與電子商務等，也都以通過BS
10012為目標，以確認組織能在尊重當事人隱私的前提下，充分保障個人資訊的合理運用，並確保客戶所提供之個人資訊是在符合法令規定下，受到最適當的保護。
ISO國際標準組織所公布的ISO/IEC
29100:2011「隱私保護框架(Information technology -- Security
techniques -- Privacy
framework)」也是一個與個資保護相關的標準，類似資通服務中有關個資安全維護的行為規範，惟較缺乏個資蒐集、處理、利用程序、營運面或紙本類個資安全的管理規範，
較適用於IT服務業、資訊部門，或是透過網路蒐集個資的產業(例如：電子商務)，對於擁有大量紙本資料的企業而言，比較不適合。而BS
10012標準與ISO/IEC 29100:2011不同的是，BS 10012非僅限於資通訊科技技術上的參考標準，更可作為各行各業維運的管理系統標準。
新版BS
10012:2017於2017年3月31日正式公布，此次修訂的主要目的是為調和歐盟於2016年4月14日所通過的「一般資料保護規範(the
European Union General Data Protection Regulation , GDPR)」，該法令預計將於2018年5月25日正式實施(取代在1998年所通過的歐盟個人資料保護指令European
Directive
(95/46/EC))，不僅規範在歐盟境內設立的企業組織及其海外分支機構、關係企業，還將適用範圍擴大至傳輸、蒐集及處理歐盟民眾個資的境外組織，因此更加突顯了新版BS
10012:2017標準在全球的重要性。
舊版BS 10012:2009標準是為因應英國於1998年所公布的Data Protection Act資料保護法(簡稱DPA)所制定發行，新版BS
10012:2017很多變化都是以歐盟於2016年頒訂之GDPR為個人資料保護法規的依據，並參考其他通用的管理系統方法，和ISO
9001:2015、ISO 14001:2015同樣採用ISO Annex SL架構，該標準主要章節如下：
1.適用範圍(Scope)
2.引用標準(Normative references)
3.用語、定義及縮寫(Terms, definitions and abbreviations)
4.組織前後環節(Context of the organization)
5.領導(Leadership)
6.規劃(Planning)
7.支援(Support)
8.營運(Operation)
9.績效評估(Performance Evaluation)
10.改進(Improvement)
除此之外，BS 10012:2017標準主要修訂內容還有：
• 重新定義個人和敏感資料(New definition of personal and sensitive data)
• 限制對個人資料的分析側寫(Restrictions on profiling using personal data)
• 資料保護官新的管理要求(New administrative requirements for data privacy officers)
• 廢止DPA之通知/註冊要求(Abolishing of notification/registration requirement)
(註：DPA：英國於1998年所公布的Data Protection Act資料保護法)
• 更嚴格資料處理同意權要求(New stricter require for consent for processing)
• 當事人存取資訊及其可行使權利的改變(Changes to subject access and other rights for data
subjects)
• 強化當事人的資料刪除權和可攜權(Enhanced right to erasure and new right to
portability)
• 安全事故的通知要求(Security breach notification requirement)
• 從設計著手隱私保護和隱私衝擊評估要求(Privacy by design and privacy impact assessment
requirements)
• 適法性遵循範圍延伸至資料處理者(Extension of the law to cover data processors)
• 刪除符合安全港協議條件者可將資料傳輸至美國(Removal of the safe Harbour ground for data
transfers to the U.S.)(註：安全港協議(safe Harbour)：歐盟執委會在2000年與美國簽訂的安全港協議，是基於美國隱私法規對用戶個資保護程度媲美歐盟的前提。該協議能讓美國4,500家科技業者順利在歐盟與美國之間合法傳輸網路資料，而忽略歐盟各國法規之間的細微差異。)
參考資料來源：BSI、BSI
News、BS
10012:2017、資安人、中時電子報
|
小安心
