一、原住民族委員會（以下簡稱本會）為規範使用電子化政府服務平臺勞動部勞工保險局電子查驗服務(以下簡稱WebIR)及原住民族就業代金查核系統（以下簡稱代金系統）連結電子化政府服務平臺(LI)，查詢勞動部勞工保險局（以下簡稱勞保局）資料，符合個人資料保護法（以下簡稱個資法）及相關法令規定，落實資訊安全管理及個人資料保護，特訂定本要點。
二、本會使用勞保局資料之法律依據、業務應用範圍及使用目的如下：
(一)依據原住民族工作權保障法第四條、第五條、第十二條、第二十四條、同法施行細則第三條、第十條規定及司法院釋字第八一〇號解釋，供本會辦理原住民族就業代金稽核及課徵業務，透過WebIR或代金系統查驗勞保局資料，計算應僱用原住民人數之各項數據。
(二)依據原住民族基本法第二十六條及保險法第一百三十二條規定，為積極落實原住民族社會福利事項，規劃建立原住民族社會安全體系，辦理原住民團體意外保險相關業務，透過WebIR查驗勞保資料，確認被保險人投保情形。
三、委外處理勞保局資料者，管理措施依下列規定辦理：
(一)應於委外契約中載明受託者名稱、委外業務事項、處理方式及相關安全管理責任。
(二)對受託者之監督管理事項：
1.受託者應依委外案合約之保密規定辦理系統維護、分析及測試作業。
2.受託者須經申請核准後始得使用勞保局資料，並應於核准期限及執行法定職務必要範圍內使用。
3.受託者應簽署保密切結書並履行保密義務，委託機關應對受託者相關人員進行適任性查核。
4.受託者如有違反個人資料保護法令時，應向本會說明違反之事項及採行之緊急應變措施，並應配合進行後續事故調查、責任釐清及避免損害擴大之防護措施。
5.委託關係終止或解除時，個人資料載體之返還，及受託者履行委託契約以儲存方式而持有之個人資料之刪除。
四、索取勞保局資料以取得最小化個人資料即能達成目的為原則，除僅針對原住民族就業代金稽核及課徵業務之勞保資料未列入媒體交換者，索取勞保（含就業保險、勞工職業災害保險）被保險人基本資料、異動明細及投保單位基本資料；並僅針對原住民團體意外保險業務之勞保局資料未列入媒體交換者，查詢勞保（含農民健康保險）資料，且皆禁止過度蒐集個人資料。
五、勞保局資料安全管制作業：
(一)資訊管理單位（本會綜合規劃處）：
1.負責連線作業網路安全之管理及連線作業申辦事宜。
2.設管理者一名，負責處理WebIR及代金系統權限申請之受(管)理、安全維護事項及稽核作業，並接受資通安全教育訓練。
(二)需求單位（本會社會福利處）：
1.應指定專責人員管理查詢及運用勞保局資料，防止資料被竊取、竄改、毀損、滅失、洩漏及不當使用。
2.專責人員應監督管理需求單位及受託者處理勞保局資料之情形，除列管相關使用人員外，並應定期製作線上查詢紀錄清冊。
3.專責人員應依資通安全管理法、資通安全責任等級分級辦法暨其資通安全責任等級之公務機關應辦事項，接受並完成相應之資通安全教育訓練。
4.每年定期檢查連結介接作業需求，並保留檢視紀錄備查，如遇法令變更或已無資料連結介接作業需求，應通知資訊管理單位函請勞保局終止該項作業，並依第八點勞保局資料使用期限、刪除程序及刪除期限辦理。
(三)受託者：負責代金系統、網路連線之安全防護及資訊設備之維護運作，其資料維護及存取權限，以系統維運之範圍為限。
六、處理勞保局資料保密措施，依下列規定辦理：
(一)使用者申請程序及管理如下：
1.需求單位依其業務原則，配置具有查詢紀錄管理權限帳號，一人為限。但查詢量大或特殊需求單位，另行申請後評估，可增額配置至二人。
2.使用WebIR應申請我的E政府（https://www.gov.tw）公務機關會員帳號，並綁定其自然人憑證資訊，其帳號及密碼相關設定，應依我的E政府系統平台相關規定辦理；使用代金系統之帳號密碼長度應至少八碼以上，並混合大小寫英文字母、數字及特殊符號。每九十日應更換新密碼，且不得與前三次密碼相同。
3.需求單位申請使用（或停用）之人員，應填寫本會使用（或停用）勞動部勞工保險局資訊平台申請表，其保存年限為五年（附件一、二），送交資訊管理單位據以開通（或停止）查詢權限；使用人員離職或職務調整時，由原申請單位填寫停用表。
4.申請權限使用人員，資訊管理單位應建立名冊控管。
5.使用人員取得之資料，應隨文歸檔及依檔案保存期限銷毀，並負有保密責任，及依原申請目的使用，嚴防資料外洩。
6.管理者及使用者均應提出權限新增異動申請，並經權責主管核准，其申請及簽核紀錄，至少保存五年。
(二)管理者或使用者帳號、密碼之通知應具保密措施，並應妥善保管，避免他人知悉，且不得使用非本人申請之帳號，亦不得與他人共同。
(三)不得使用非本人申請之帳號，使用者職務異動時，應於職務異動前或當日，調整其權限或註銷帳號；管理者職務異動時，應於職務異動前辦理帳號異動程序，並於異動前或當日，由新任管理者承接業務新增其管理者帳號後，停止原管理者帳號。
(四)資訊管理單位應每半年辦理帳號權限清查，並檢視使用者權限是否符合權限最小化原則，如有重複、長期閒置、職務調整、離職或退休者帳號，應即時調整權限或註銷帳號，並留存清查紀錄，至少保存五年。
(五)資訊管理單位其專責人員及單位主管異動時，應於異動後七日內通知勞保局。
七、使用勞保局資料管制措施如下：
(一)作業規範與日誌、軌跡紀錄保存：
1.使用者查詢勞保局資料時，應逐案填寫或輸入案號及事由，備供日後查考。
2.查詢作業完畢或暫時離開座位時，應即關閉系統或鎖定電腦，防止他人未經授權使用電腦取得勞保局資料。
3.查詢之勞保局資料應避免非業務權責人閱覽、擷取及破壞，並不得以電話、網路及傳真等方式輸送勞保局資料於非業務相關人員。
4.查詢勞保局資料皆以紙本列印，不另下載電子檔，如有附卷必要應併案歸檔，無附卷需求且確認無保存必要(查調日翌日起一年後)，應於一個月內銷毀，銷毀應至無法辨識。
5.每次查詢勞保局資料完竣後，應自行列印查詢紀錄資料，至少保留五年以供查核。
6.系統應記錄查詢者帳號、查詢日期、時間、作業代號、被查詢者查詢條件、案號及事由、結果等日誌與軌跡紀錄，至少保存五年。WebIR需另至電子化政府服務平臺下載相關紀錄。
(二)批次取得資料管制措施：
1.經由LI平臺批次取得之資料應由專人辦理，並檢核資料完整性。
2.應保存資料檔案、資料庫之存取、增刪異動紀錄，如日誌與軌跡紀錄，至少保存五年。
八、勞保局資料使用期限、刪除程序及刪除期限，依下列規定辦理：
(一)使用期限：本會依法辦理各項為民服務之業務，有長期以資料介接方式持續使用勞保局資料之必要，至第二點所列法律依據廢止為止。
(二)資料刪除程序：線上查詢或經由網路取得資料檔，應由系統設定排程定期清除，以防範資料遭不當存取。線上查詢資料完竣後，電子檔如無保留必要性，應即刪除。資料刪除範圍，應包含暫存檔、備份檔及其他衍生檔案，完成刪除程序之佐證資料，至少保存五年。如就連結介接資料全數刪除時，於刪除程序完成後應留存佐證資料備查，至少五年。
(三)資料刪除期限：依第一款預計使用期限，於使用完竣且確認無保存必要，一個月內刪除。
九、勞保局資料使用之內部稽核及督導查核，依下列規定辦理：
(一)資訊管理單位應每半年辦理機關內部稽核工作，並應包含使用勞保局資料之作業，抽查比率至少為百分之三，抽查筆數不得少於十筆，作成稽核紀錄，至少保存五年。如發現異常查詢情形，應即會同需求單位及政風單位共同調查，並作成稽核紀錄，至少保存五年。
(二)資訊管理單位應每年辦理受託者資料安全稽核工作，並應包含使用勞保局資料之作業，作成稽核紀錄，至少保存五年。
(三)勞保局實施稽核作業時，本會相關單位與人員應配合辦理並提供所需資料，稽核結果如發現違反本要點規定者，應立即改善，並研提相關檢討報告予機關首長。
十、本會已導入資訊安全管理系統（Information Security Management System,ISMS）規範，使用勞保局資料應切實遵循ISO
27001資訊安全標準及本會資訊安全管理系統相關規定，並應配合進行資訊安全檢測及資安稽核。
十一、相關人員或受託者違反法令規定者，依下列規定辦理：
(一)違反個資法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，依同法第二十八條、第三十一條及國家賠償法規定，負損害賠償責任。
(二)意圖為自己或第三人不法利益或損害他人之利益，違反特種個資、特定目的、特定情形、目的外利用或對於個人資料檔案為非法變更、刪除或以其他非法方法，致妨害個人資料檔案之正確而足生損害於他人者，依個資法第四十一條及第四十二條規定負刑事責任。
(三)如涉及行政責任，應由本會議處；其相關管理人員未盡善良管理人注意義務之責，亦同。
十二、如發生個人資料事故，或疑似事故時，應依相關法令採取必要之緊急應變措施。另應即時通報勞保局並提供事故調查、責任釐清及避免損害擴大之防免措施。
前項規定於受託者發生事故時，亦適用之。
十三、本要點未規定者，依個資法、資通安全管理法、各機關使用勞動部勞工保險局業務資料管理規定及其他相關規定辦理。