本辦法適用對象為汽車運輸業（以下簡稱業者）。

本辦法所稱主管機關在中央為交通部；在地方為直轄市、縣（市）政府。

本辦法用詞，定義如下：

前項第二款管理人及第三款稽核人員，不得為同一人。但員工人數為一人之業者，不在此限。

保有消費者個人資料筆數達一百筆以上之業者，應依本辦法規定，規劃、訂定、修正與執行消費者個人資料檔案安全維護計畫（以下簡稱本計畫），其內容應包含第四條至第二十二條規定之相關組織及程序，以落實個人資料檔案之安全維護與管理，防止被竊取、竄改、毀損、滅失或洩漏。

依前項規定應訂定本計畫者，應於本辦法施行之日起六個月內完成；其於本辦法施行後，保有消費者個人資料筆數始達一百筆者，應自保有筆數達一百筆之日起六個月內完成之。

依前二項規定完成本計畫及處理方法之訂定後，所保有之消費者個人資料筆數減少，連續二年期間所保有之筆數未達一百筆之業者，得停止本計畫全部或一部之執行。但嗣後因直接或間接蒐集而致所保有之消費者個人資料筆數達一百筆時，應於保有筆數達一百筆之日起三十日內恢復本計畫全部之執行。

前三項消費者個人資料筆數之計算，以業者累計所保有之消費者個人資料為認定基準；其未達一百筆之事實，應由業者證明之。

業者就個人資料檔案安全維護管理得指定專人或建立專責組織，並配置相當資源。

前項專人或專責組織之任務如下：

業者蒐集、處理及利用之個人資料依其特定目的及必要性，界定類別或範圍並應遵守：

前項清查發現有下列情形者，業者應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料：

業者為因應所保有之個人資料被竊取、竄改、毀損、滅失或洩漏等事故，應採取下列機制：

業者應自前項事故發生或知悉時起七十二小時內填具個人資料侵害事故通報與紀錄表（如附表）通報該主管機關，副知交通部公路總局，未於時限內通報者，應附理由說明之；並自處理結束之日起一個月內，將處理方式及結果報備查。

依規定通報後，主管機關依本法第二十二條至第二十五條規定得派員檢查並為適當之監督管理措施。

中央主管機關依本法第二十一條規定，對業者為限制國際傳輸個人資料之命令或處分時，業者應通知所屬人員遵循辦理。

業者將個人資料作國際傳輸者，應檢視是否受中央主管機關限制，並告知當事人其個人資料所欲國際傳輸之區域，且對資料接收方為下列事項之監督：

業者使用資通系統蒐集、處理或利用消費者個人資料達一百筆，且具對外電子商務服務系統者，應採取下列資料安全管理措施：

前項所稱電子商務，指透過網際網路進行有關商品或服務之廣告、行銷、供應或訂購等各項商業交易活動；資通系統，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。

第一項第五款及第六款所定措施，應定期演練及檢討改善。