旅行業委託他人蒐集、處理或利用個人資料之全部或一部時，應對受託人依本法施行細則第八條規定為適當之監督，並明確約定相關監督事項與方式。
旅行業進行個人資料國際傳輸前，應檢視有無交通部依本法第二十一條規定為限制國際傳輸之命令或處分，並應遵循之。
旅行業為提供資料當事人行使本法第三條所定權利，應採取下列方式為之： 一、確認是否為個人資料之本人，或經其委託授權者。 二、提供當事人行使權利之方式，並遵守本法第十三條有關處理期限之規定。 三、告知是否酌收必要成本費用。 四、有本法第十條但書、第十一條第二項但書或第三項但書得拒絕當事人行使權利之事由者，應附理由通知當事人。
旅行業就個人資料檔案安全維護管理，應指定專人或建立專責組織，並配置相當資源。 前項專人或專責組織之任務如下： 一、規劃、訂定、修正與執行維護計畫及業務終止後個人資料處理方法等相關事項，並定期向旅行業負責人報告…
旅行業應採取下列人員管理措施： 一、依據蒐集、處理及利用個人資料個別作業之需要，適度設定所屬人員不同之權限並控管其接觸個人資料。 二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。 三、要求所屬人員負有保密義務。 四、所屬人員離職或完成受指派工作後，應將其執行業務所持有之個人資料辦理交接，亦不得私自持有複製物而繼續使用該個人資料。
旅行業應採取下列資料安全管理措施： 一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，應訂定使用可攜式設備或儲存媒體之規範。 二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，應採取適當之加密機制。 三、作業過程有備份個人資料之需要時，應比照原件，依本法規…
旅行業針對保存個人資料之紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，應採取下列環境管理措施： 一、依據作業內容之不同，實施適宜之進出管制方式。 二、所屬人員應妥善保管個人資料之媒介物。 三、針對不同媒介物存在之環境，適度建置空調、消防、防鼠除蟲等保護設備或技術。
旅行業為因應所保有之個人資料發生被竊取、竄改、損毀、滅失或洩漏等事故，應採取下列機制： 一、採取適當之應變措施，以控制並降低事故對當事人之損害，並通報交通部觀光局。 二、查明事故之狀況並依本法第十二條規定以適當方式通知當事人，並告知已採取之因應措施。 三、檢討缺失並研擬預防機制，避免類似事故再次發生。
旅行業應訂定個人資料安全稽核機制，定期或不定期查察第十二條所定專人或專責組織是否落實執行所定計畫等相關事項，並列入專人或專責組織成員之考績。
旅行業應採行適當措施，採取個人資料使用紀錄、留存自動化機器設備之軌跡資料或其他相關證據保存機制，以供必要時說明其所定維護計畫之執行情況；其相關紀錄之保存期限，至少為五年。
旅行業業務終止後，其保有之個人資料應依下列方式處理及記錄；其紀錄並應至少保存五年： 一、銷毀者，記錄其方法、時間、地點及證明銷毀之方式。 二、移轉者，記錄其原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。 三、其他刪除、停止處理或利用個人資料者，記錄其方法、時間或地點。
直轄市、縣（市）主管機關對於檢舉人之姓名及其他個人資料應予保密；對於檢舉人之檢舉書、筆錄及其他資料，除有必要外，不得附於調查案卷內。但經檢舉人同意者，得予公開、表揚。 直轄市、縣（市）主管機關認有必要時，得依職權或檢舉人之申請，洽請警察機關保護檢舉人之安全。
本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。
本辦法適用對象為財政部指定擔任公益彩券之發行機構（以下簡稱發行機構）。 發行機構應訂定個人資料檔案安全維護計畫（以下簡稱本計畫），以落實個人資料檔案之安全維護與管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。 本計畫之內容應包括第三條至第二十一條規定之相關組織及程序，並應定期檢視及配合相關法令修正。
發行機構就個人資料檔案安全維護管理應指定專人或建立專責組織，並配置相當資源。 前項專人或專責組織之任務如下： 一、規劃、訂定、修正與執行本計畫及業務終止後個人資料處理方法等相關事項。 二、訂定個人資料保護管理…
發行機構應清查所保有之個人資料，界定其納入本計畫之範圍並建立檔案，且定期確認其有否變動。
發行機構應依據前條所界定之個人資料範圍及其相關業務流程，分析可能產生之風險，並依據風險分析之結果，訂定適當之管控措施。
發行機構為因應所保有之個人資料被竊取、竄改、毀損、滅失或洩漏等事故，應採取下列措施： 一、適當之應變措施，以控制事故對當事人之損害，並通報有關單位。 二、查明事故之狀況並以適當方式通知當事人有關事實、因應措施及諮詢服務專線…
發行機構應依個人資料之屬性，分別訂定下列管理程序： 一、檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定個人資料及其特定目的。 二、確保蒐集、處理及利用本法第六條所定個人資料，是否符合相關法令之要件。 三、雖非本法第六條所定個人資料，惟如認為具有特別管理之需要，仍得比照或訂定特別管理程序。
發行機構為遵守本法第八條及第九條關於告知義務之規定，應採取下列方式： 一、檢視蒐集、處理個人資料之特定目的，是否符合免告知當事人之事由。 二、依據資料蒐集之情況，採取適當之告知方式。