觀光遊樂業應採取下列資料安全管理措施： 一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，應訂定使用可攜式設備或儲存媒體之規範。 二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，應採取適當之加密機制。 三、作業過程有備份個人資料之需要時，應比照原件，依本法規…
觀光遊樂業針對保存個人資料之紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，應採取下列環境管理措施： 一、依據作業內容之不同，實施適宜之進出管制方式。 二、所屬人員應妥善保管個人資料之媒介物。 三、針對不同媒介物存在之環境，適度建置空調、消防、防鼠除蟲等保護設備或技術。
觀光遊樂業為因應所保有之個人資料發生被竊取、竄改、損毀、滅失或洩漏等事故，應採取下列機制： 一、採取適當之應變措施，以控制並降低事故對當事人之損害，並通報交通部觀光局及直轄市、縣（市）政府。 二、查明事故之狀況並依本法第十二…
觀光遊樂業應訂定個人資料安全稽核機制，定期或不定期查察第十二條所定專人或專責組織是否落實執行所定計畫等相關事項，並列入專人或專責組織成員之考績。
觀光遊樂業應採行適當措施，採取個人資料使用紀錄、留存自動化機器設備之軌跡資料或其他相關證據保存機制，以供必要時說明其所定維護計畫之執行情況；其相關紀錄之保存期限，至少為五年。
觀光遊樂業業務終止後，其保有之個人資料應依下列方式處理及記錄；其紀錄並應至少保存五年： 一、銷毀者，記錄其方法、時間、地點及證明銷毀之方式。 二、移轉者，記錄其原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。 三、其他刪除、停止處理或利用個人資料者，記錄其方法、時間或地點。
本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。
業者應依其業務規模及特性，衡酌經營資源之合理分配，規劃、訂定、檢討、修正及執行個人資料檔案安全維護計畫（以下簡稱安全維護計畫）。 前項安全維護計畫，應包括下列事項： 一、個人資料保護政策。 二、個人資料之範圍及項目。 三、個人資料之蒐集、處理及利用方式。 四、個人資料之安…
業者應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。 業者經清查發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理、利用之適當處置。
業者所屬人員為執行業務所蒐集之個人資料，應視為該業者所蒐集持有；於蒐集時，應檢視是否符合蒐集要件及特定目的之必要範圍，並受業者監督。
業者委託他人蒐集、處理或利用個人資料之全部或一部時，應於委託契約或相關文件明確約定其內容，並依本法施行細則第八條規定為適當之監督。
業者就個人資料之蒐集、處理及利用，應符合本法規定，並於安全維護計畫內訂定下列個人資料管理程序： 一、蒐集、處理或利用之個人資料包括特種個人資料者，檢視其特定目的及是否符合本法第六條規定。 二、檢視個人資料之…
業者為維護所保有個人資料之安全，應於安全維護計畫內，訂定下列資料安全管理措施： 一、訂定各類儲存設備、媒體或資訊系統之使用規範，及安裝設定防毒軟體、防火牆、入侵偵測、漏洞修復、監控機制、帳號管理、存取權限與其他適當防護…
業者應於安全維護計畫內，訂定應變機制；於發生個人資料被竊取、洩漏、竄改、毀損、滅失或其他侵害事件（以下簡稱事件）時，迅速處理。 前項應變機制，應包括下列事項： 一、採取適當之措施，控制事件對當事人造成之損害。 二、查明事件發生原因及損害狀況，…
業者業務終止後，不得繼續使用其保有之個人資料，並應於安全維護計畫內，訂定下列處理方式，並留存相關紀錄： 一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。 二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之依據。 三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。
業者應於安全維護計畫內訂定教育訓練計畫，定期對所屬人員施以個人資料保護認知宣導及教育訓練。 前項認知宣導及教育訓練內容，得包括下列事項： 一、個人資料保護相關法令規定、資訊及案例。 二、第四條所列安全維護計畫各項管理程序、機制及措施之要求。 三、所屬人員之責任範圍。
業者為維護所保有個人資料之安全，應採取下列人員管理措施： 一、識別接觸個人資料人員，與相關人員約定保密義務。 二、依執行業務之必要，設定相關人員之權限及控管，並定期檢視修正。 三、人員離職時，要求返還所保有之個人資料及載體，不得攜離並切結。
業者保有之個人資料儲存於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦、自動化機器設備或其他媒體者，應採取下列設備安全管理措施： 一、依儲存設備或媒體之特性及使用環境，採取適當之保護措施。 二、對儲存設備或媒體，訂定適當之保管及管理權限。 三、針對存放儲存設備或媒體之環境，實施適當之門禁管制。
業者使用資訊服務系統，應採取下列資訊服務安全措施： 一、使用者身分確認及保護機制。 二、個人資料顯示之隱碼機制。 三、網際網路傳輸之安全加密機制。 四、個人資料檔案、資料庫之存取控制及保護監控措施。 五、防止外部網路入侵對策。 六、非法或異常使用行為之監控及因應機制。
業者為確保安全維護計畫之落實，應於安全維護計畫內訂定適當之個人資料安全稽核機制，定期或不定期稽核安全維護計畫執行情形，製作稽核報告，並就缺失納入安全維護計畫之檢討修正。