一、教育部（以下簡稱本部）為妥適運用勞動部勞工保險局
（以下簡稱勞保局）業務資料（以下簡稱勞保局資料）
落實資訊安全，防止勞保局資料遭受不當使用或外洩，
以保障個人隱私權益，特依各機關使用勞動部勞工保險
局業務資料管理規定，訂定本管理規定。
二、本管理規定之適用機關：
（一）資料申請機關：教育部-資訊及科技教育司。
（二）資料介接機關：教育部-師資培育及藝術教育司、教
育部-統計處、教育部-人事處、教育部國民及學前教
育署-高中組、教育部國民及學前教育署-學安組。
（三）資料保有機關：教育部-師資培育及藝術教育司、教
育部-統計處、國立臺灣師範大學教育政策與行政研
究所、教育部國民及學前教育署、私立專科以上退場
學校、教育部-人事處。
（四）資料使用機關：國立高雄師範大學、教育部-統計處
、教育部國民及學前教育署、審計部教育農林審計處
、勞動部、各地方政府及全國高級中等學校、私立專
科以上退場學校。
三、申請勞保局資料，以取得最小化個人資料即能達成目的
為原則，禁止過度蒐集個人資料，各業務資料項目之需
用內容、使用目的及依據如附表一，各資料之使用期限
至附表一所列法律依據或重大政策依據及計畫廢止為止
。
四、適用機關之相關角色、責任及權限如下：
（一）資料申請機關：
1.依據勞保局「各機關使用勞動部勞工保險局業務資
料管理規定」，彙整資料介接機關需求後，檢附相
關文件向勞保局提出申請。
2.資料申請機關聯繫窗口如有異動，應於異動後七日
內通知勞保局。
（二）資料介接機關：
1.基於公務需要查詢、使用或介接勞保局資料，應敘
明業務項目所需之資料項目、業務範圍、使用目的
、法律依據或重大政策之合理必要關聯性、使用年
限、委外廠商相關資訊及資訊安全管理制度及隱私
資訊管理系統之佐證，經機關首長核准向資料申請
機關提出申請。
2.應每年重新審核已申請核准之勞保局資料連結介接
必要性及系統使用權限審查，並保留檢視紀錄備查
。如遇法令變更或附表一所列法律依據或重大政策
依據計畫廢止時，應通知資料申請機關函請勞保局
終止該項作業。
3.連線作業系統、設備與網路之安全管理。
4.應針對各業務項目配置業務專責人員、業務資安抽
查人員及業務權責單位主管，上述人員異動時，應
於異動後七日內通知本部。
（三）資料保有機關：勞保局資料取得後應載入系統或保留
檔案，以提供資料使用機關運用。
（四）資料使用機關：查詢或使用勞保局資料，其權限申請
及查詢應符合授權範圍，不得洩漏與業務無關者。
五、處理資料保密措施：
（一）使用者申請程序及管理：
1.介接系統各層級單位管理者及使用者均應提出權限
新增異動申請，並經權責主管核准，且應保留申請
及簽核紀錄，至少保存五年。
2.管理者或使用者帳號、密碼之通知應具保密措施，
防止被竊取。管理者或使用者之帳號、密碼應妥善
保管，避免他人知悉。
3.管理者、使用者及其它任何權限角色均不得使用非
本人申請之帳號，且不得與他人共用。如遇人員調
離職時，其所受配賦之帳號密碼不得交接予他人，
應循程序註銷權限。
4.使用者職務異動時，應於職務異動前辦理帳號異動
程序，並於異動前或當日由管理人員調整權限、廢
止或註銷原帳號。
5.管理者職務異動時，應於職務異動前辦理帳號異動
程序，並於異動前或當日，由新任管理者於承接業
務時停止原管理者帳號，並新增其管理者帳號。機
關之介接系統無法變更管理者帳號時，新任管理者
應立即變更密碼。
6.受託者如具介接系統之資料存取或系統維護權限，
應比照前開各項辦理。
7.應規範介接系統登入密碼長度至少八碼、並取英文
字母大小寫、數字與特殊符號其中三種要素之組合
，且不得與帳號或使用者之公務資料（如總、分機
號碼、電子郵件信箱、員工職位編號等）相同。
8.應透過介接系統強制要求管理者、使用者每一百八
十天變更密碼，以及設定不得與前三次密碼重複。
9.應透過介接系統限制使用者連續登入密碼失敗五次
後，至少十五分鐘內不允許該帳號繼續嘗試登入或
其他合理之補償性控制措施。後臺管理者、使用者
如同時具備前台使用者身分，不得自行利用後臺權
限為前台解除帳密鎖定。
（二）業務專責人員應定期辦理帳號權限清查，並檢視使用
者權限是否符合權限最小化原則(Principle of
Least Privilege; PoLP)，如有重複、長期閒置、職
務調整、離職或退休者帳號，應即時報請調整、廢止
或註銷該權限帳號，並留存清查紀錄，至少保存五年
。
（三）相關人員應限於執行法定職務必要範圍內蒐集、處理
或利用勞保局資料，並應符合個人資料特定目的之必
要範圍，不得於職務必要範圍外對外公開、複製、移
轉、傳輸或揭露予第三人。
（四）非依個人資料保護法（以下稱個資法）之規定，不得
進行資料之目的外利用（包括非依本部及所屬機關分
案規定，查詢己身、親屬、主管、同僚或第三人之資
料），且非依相關法令之規定，不得進行國際傳輸。
六、使用資料管制措施：
（一）作業規範與日誌、軌跡紀錄保存：
1.使用者查詢資料時，應由系統或人工逐案記錄案號
及事由，備供日後查考。
2.查詢時應避免非業務權責人員閱覽、攝、錄影或以
其他方式擷取資料。
3.資料查詢完竣後，如有併案或附卷必要，應妥善保
管，紙本應以密件方式保存，電子檔應進行檔案加
密。
4.資料之查詢及使用，應用於核准業務範圍，且資料
禁止攜出機關辦公場所。
5.連線查詢資料閒置逾二個小時，介接系統應自動登
出。
6.資料查詢應記錄查詢者帳號、查詢日期、時間、作
業代號、被查詢者查詢條件、案號及事由等之日誌
與軌跡紀錄，由指定專責人員填列每月列印查詢紀
錄單，至少保存五年。
（二）系統資料取得管制措施：
1.應由專人辦理檔案傳輸方式批次取得資料，並檢核
資料完整性。業務如由受託者辦理，應加強監管。
2.取得資料載入介接系統應用時，應設定使用該資料
之存取權限及核准使用期限。
3.應保存資料檔案、資料匯入紀錄、資料庫之存取、
增刪異動紀錄，如日誌與軌跡紀錄，至少保存五年
。
（三）非系統資料取得管制措施：
1.應由專人辦理檔案傳輸方式批次取得資料，並檢核
資料完整性。業務如由受託者辦理，應加強監管。
2.如機關向勞保局取得資料非使用系統方式進行介接
、保存，則應製作資料使用人員名冊，記錄使用機
關可接觸勞保局資料之人員，並由業務專責人員以
系統紀錄或造冊列管，其中應包含人員負責業務事
項。
3.當資料使用人員有新增或異動時，應提出申請，並
經權責主管核可，留存紀錄，至少保存五年。
七、資料刪除管制措施：
（一）線上查詢或經由網路取得之資料檔如不須再使用，應
指定專人或由系統設定排程定期清除，以防範資料遭
不當存取。
（二）線上查詢資料完竣，下載之電子檔如已無保留必要，
應即刪除。
（三）儲存於電腦設備或系統之資料檔案，使用完竣且確認
無保存必要，應簽報主管核定後，刪除資料檔案，並
確認其無法被復原。
（四）資料刪除範圍，應包含暫存檔、備份檔及其他於機關
內部所保有之衍生檔案。
（五）如就連結介接資料全數刪除時，於刪除程序完成後應
留存佐證資料備查，至少五年。
（六）法令如有規定資料保存期限時，應優先適用之。法令
未規定資料保存期限時，適用機關應評估並訂定資料
之保存期限，於使用完竣且確認無保存必要後，一個
月內刪除。如遇法令變更或已無資料連結介接作業需
求者，應於一個月內刪除。
八、指定業務專責人員辦理之安全維護事項：
（一）機關應指派業務專責人員辦理安全維護事項，防止個
人資料被竊取、竄改、毀損、滅失或洩漏。
（二）保留本規定應產製之紀錄文件，供資安抽查人員抽查
或稽核活動審查使用。
（三）業務專責人員應依資通安全管理法、資通安全責任等
級分級辦法暨其資通安全責任等級之公務機關應辦事
項，接受並完成相應之資通安全教育訓練。
九、委外管理措施：
（一）本部及所屬機關委外處理勞保局資料情形詳如附表二
。
（二）受託者如於委託期間蒐集、處理、利用勞保局資料，
應明訂委外業務事項、資料範圍、類別、特定目的、
期間及各項安全維護事項，並落實監督管理，且符合
索資最小化原則。
（三）受託者於委託關係終止或解除時，應返還勞保局資料
之載體設備，並刪除因履行委託契約而持有之勞保局
資料。
（四）資料介接機關、資料保有機關及資料使用機關應每年
辦理一次受託者查核，採書面或實地稽核方式辦理，
確保資訊安全及個人資料保護，相關稽核紀錄至少保
存五年，並訂定相關罰則等具體管理事項。
（五）資料介接機關、資料保有機關及資料使用機關之受託
者違反個人資料保護相關法令規定時，應通報委託機
關並採行必要之緊急應變措施，並應配合進行後續事
故調查、責任釐清及避免損害擴大之防免措施。
（六）受託者違反個資相關法令規定，致個人資料遭不法蒐
集、處理、利用或其他侵害當事人權利者，應負之責
任。被害人雖非財產上之損害，亦得請求賠償相當之
金額；其名譽被侵害者，並得請求為回復名譽之適當
處分。
（七）受託者意圖為自己或第三人不法之利益或損害他人之
利益，違反特種個資（個資法第六條參照）、特定目
的、特定情形（個資法第十五條參照）、目的外利用
（個資法第十六條參照）或對於個人資料檔案為非法
變更、刪除或以其他非法方法，致妨害個人資料檔案
之正確而足生損害於他人者，依個資法第四十一條、
第四十二條負刑事責任。
（八）受託者應簽署保密切結書並履行保密義務，委託機關
應依實際必要性對受託者相關人員進行適任性之查核
。
十、督考及稽核措施：
（一）業務資安抽查人員每半年依機關訂定之抽查比率抽查
相關資料，每次抽查筆數至少為百分之三，不得少於
十筆，少於十筆者，應全數查核，機關可依資料重要
性評估調升抽查比率，所抽查之資料包含「權限新增
異動申請紀錄或使用資料人員新增或異動紀錄」、「
帳號權限清查紀錄或資料使用人員名冊」、「資料匯
入紀錄」、「資料查詢紀錄、查詢紀錄單」、「資料
檔案或資料庫之存取增刪異動紀錄」，並保留查核紀
錄，至少保存五年。
（二）前項查核結果如有重大異常情形，應由機關業務資安
抽查人員會同政風單位及資訊單位共同稽核，並作成
稽核報告，至少保存五年。
（三）資料介接機關、資料保有機關及資料使用機關於每年
辦理內部資安稽核時應稽核勞保局資料之使用，作成
稽核紀錄，至少保存五年。
（四）資料介接機關、資料保有機關及資料使用機關應配合
本部書面或實地稽核措施進行勞保局資料使用之稽核
，稽核紀錄至少保存五年。
（五）資料介接機關、資料保有機關及資料使用機關應配合
勞保局或本部書面或實地稽核措施，如備妥使用者清
冊、稽核紀錄及提供相關稽核資料。經發現有異常狀
況者，勞保局得要求限期提出說明或進行矯正改善。
（六）勞保局或本部如發現資料介接機關或資料使用機關有
妨礙、規避、變更相關管理功能或技術，或違反本規
定者，得通知限期改善，屆期未改善或情節嚴重無法
改善者，應終止或暫停其資料連結介接作業或資料提
供作業。
（七）經依前項規定終止或暫停資料連結介接或資料提供作
業，資料介接機關應於完成改善後，向本部提出佐證
資料，由本部彙整後重新申請。
（八）稽核發現嚴重缺失者，勞保局得提報勞動部轉陳行政
院資通安全相關會議，由缺失機關進行報告。
十一、導入資訊安全管理制度及隱私資訊管理系統之佐證：
本部及教育部國民及學前教育署等資料介接機關均已
導入資訊安全管理系統(ISMS)規範，機關使用資料應
切實遵循CNS/ISO 27001資訊安全標準及本部資訊安
全管理系統相關規定，並配合各項資訊安全檢測及資
安稽核。
十二、適用機關之各項相關人員違反法令規定時，應負之行
政、民事及刑事責任，包括：
（一）機關違反個資法規定，致個人資料遭不法蒐集、處
理、利用或其他侵害當事人權利者，負損害賠償責
任。但損害因天災、事變或其他不可抗力所致者，
不在此限（個資法第二十八條第一項參照）。
（二）依個資法第二十八條、第三十一條及國家賠償法規
定，負損害賠償責任。被害人雖非財產上之損害，
亦得請求賠償相當之金額；其名譽被侵害者，並得
請求為回復名譽之適當處分（個資法第二十八條第
二項參照）。
（三）意圖為自己或第三人不法之利益或損害他人之利益
，違反特種個資（個資法第六條參照）、特定目的
、特定情形（個資法第十五條參照）、目的外利用
（個資法第十六條參照）或對於個人資料檔案為非
法變更、刪除或以其他非法方法，致妨害個人資料
檔案之正確而足生損害於他人者，依個資法第四十
一條、第四十二條負刑事責任。
（四）公務員假借職務上之權力、機會或方法犯之者，加
重其刑至二分之一（個資法第四十四條參照）。如
有違反其他法律規定，並依規定追究責任。
（五）涉及違反法令者，應由所屬機關議處；其相關管理
人員未盡善良管理人注意義務之責，亦同。
十三、個資安全事故通報與協力損害防免義務：
（一）機關如發生個人資料安全事故，或疑似事故時，應
依相關法令採取必要之緊急應變措施，如事故調查
、責任釐清及避免損害擴大之防免措施。另應即時
通報本部及勞保局並提供前開相關資料。
（二）前項規定於受託者發生事故時，亦適用之。