本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。

一、規劃、訂定、修正與執行本計畫及業務終止後個人資料處理方法等相關事項。

二、訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。

三、定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。

業者應清查所保有之個人資料，界定其納入本計畫之範圍並建立檔案，且定期確認其有否變動。

業者應依據前條所界定之個人資料範圍及其相關業務流程，分析可能產生之風險，並依據風險分析之結果，訂定適當之管控措施。

業者為因應所保有之個人資料被竊取、竄改、毀損、滅失或洩漏等事故，應採取下列事項：

一、適當之應變措施，以控制事故對當事人之損害，並通報交通部民用航空局。

二、查明事故之狀況並以適當方式通知當事人；其通知內容包含個人資料發生事故之事實、業者所採取之因應措施及所提供之諮詢服務專線。

三、研訂預防機制，避免類似事故再次發生。

業者應依個人資料之屬性，分別訂定下列管理程序：

一、檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定個人資料及其特定目的。

二、確保蒐集、處理及利用本法第六條所定個人資料，是否符合相關法令之要件。

三、雖非本法第六條所定個人資料，惟如認為具有特別管理之需要，仍得比照或訂定特別管理程序。

業者為遵守本法第八條及第九條關於告知義務之規定，應採取下列方式：

一、檢視蒐集、處理個人資料之特定目的，是否符合免告知當事人之事由。

二、依據資料蒐集之情況，採取適當之告知方式。

業者委託他人蒐集、處理或利用個人資料之全部或一部時，應對受託者依本法施行細則第八條規定為適當之監督，並明確約定相關監督事項與方式。

業者於首次利用個人資料行銷時，應提供當事人免費表示拒絕行銷之方式，且倘當事人表示拒絕行銷後，應立即停止利用其個人資料行銷，並週知所屬人員。

業者進行個人資料國際傳輸前，應檢視有無交通部依本法第二十一條規定為限制國際傳輸之命令或處分，並應遵循之。

業者為提供資料當事人行使本法第三條所規定之權利，得採取下列方式為之：

一、確認是否為個人資料之本人，或經其委託授權。

二、提供當事人行使權利之方式，並遵守本法第十三條有關處理期限之規定。

三、告知是否酌收必要成本費用。

四、如認有本法第十條及第十一條得拒絕當事人行使權利之事由，應附理由通知當事人。

業者為維護其所保有個人資料之正確性，應採取下列方式為之：

一、檢視個人資料於蒐集、處理或利用過程，是否正確。

二、當發現個人資料不正確時，適時更正或補充，並通知曾提供利用之對象。

三、個人資料正確性有爭議者，應依本法第十一條第二項規定處理。

業者應定期確認其所保有個人資料之特定目的是否消失及期限是否屆滿，如特定目的消失或期限屆滿時，應依本法第十一條第三項規定處理。

業者得採取下列人員管理措施：

一、依據作業之需要，建立管理機制，設定所屬人員不同權限，並定期確認權限內容之適當及必要性。

二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。

三、與所屬人員約定保密義務。

業者得採取下列資料安全管理措施：

一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，宜訂定使用可攜式設備或儲存媒體之規範。

二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，宜採取適當之加密機制。

三、作業過程有備份個人資料之需要時，應比照原件，依本法規定予以保護之。

四、個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片等媒介物，嗣該媒介物於報廢或轉作其他用途時，宜採適當防範措施，以免由該媒介物洩漏個人資料。

業者針對保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，宜採取下列環境管理措施：

一、依據作業內容之不同，實施適宜之進出管制方式。

二、所屬人員妥善保管個人資料之儲存媒介物。

三、針對不同媒介物存在之環境，審酌建置適度之保護設備或技術。

業者於業務終止後，針對個人資料得參酌下列措施為之，並留存相關紀錄：

一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。

二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。

三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。

業者應訂定個人資料安全稽核機制，定期或不定期查察是否落實執行所訂之個人資料檔案安全維護計畫或業務終止後個人資料處理方法等相關事項。

業者得採行適當措施，採取個人資料使用紀錄、留存自動化機器設備之軌跡資料或其他相關證據保存機制，以供必要時說明其所訂計畫之執行情況。

業者宜參酌執行業務現況、社會輿情、技術發展、法令變化等因素，檢視所訂計畫是否合宜，必要時予以修正。