個人資料檔案安全維護計畫：企業義務與建置要點

台灣《個人資料保護法》第 27 條要求非公務機關「應採行適當之安全措施」，而各目的事業主管機關發布的辦法，多要求業者訂定個人資料檔案安全維護計畫。這是台灣企業個資合規的核心文件。

誰需要建置

• 受主管機關指定行業別辦法規範的業者（如電商、金融、電信、醫療、旅宿等）
• 發生個資事故時，任何蒐集處理個資的企業都會被檢視是否已採行「適當安全措施」
• 供應鏈上被客戶要求提出個資保護佐證的企業

計畫應涵蓋的常見事項

1. 配置管理之人員及相當資源
2. 界定個人資料之範圍（個資盤點）
3. 個人資料之風險評估及管理機制
4. 事故之預防、通報及應變機制
5. 個人資料蒐集、處理及利用之內部管理程序
6. 資料安全管理及人員管理
7. 認知宣導及教育訓練
8. 設備安全管理
9. 資料安全稽核機制
10. 使用紀錄、軌跡資料及證據保存
11. 個人資料安全維護之整體持續改善

與 ISO 27701 的關係

安全維護計畫是「法遵最低要求」，ISO 27701（PIMS）是「管理系統標準」。實務上的建議路徑：

• 只求合規：依行業別辦法逐項建置安全維護計畫即可。
• 已有 ISO 27001：把個資盤點與隱私風險掛進既有 ISMS，擴充為 27701，安全維護計畫的要求幾乎全數被涵蓋，一套系統應對兩種要求。
• 面對 GDPR：27701 的控制項同時對應 GDPR 的控制者／處理者義務，是最省力的整合框架。

進一步的導入服務見PIMS 個資與隱私管理輔導。