社福法人訂定第四條第二項第三款資料安全管理及人員管理，應包括下列事項： 一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之必要性及適當性。 二、檢視各相關業務之性質，規範個人資料蒐集、處理、利用及其他相關流程之負責人員。 三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義…
…者，應於發現時起七十二小時內，通報主管機關；主管機關得依本法第二十二條至第二十五條規定，為適當之監督管理措施。其屬直轄市、縣（市）主管機關主管者，於通報時，並應副知中央主管機關。 社福法人於發生個人資料被竊取、洩漏、竄改、毀損、滅失或其他侵害事故時，應依前項事項之預防、通報及應變機制迅速處理，保護當事人之權益。 第一項第四款通報紀錄，格式如附表。
社福法人訂定第四條第二項第五款設備安全管理，應包括下列事項： 一、紙本資料檔案之安全保護設施及管理程序。 二、電子資料檔案存放之電腦或自動化機器相關設備，配置安全防護系統或加密機制。 三、紙本及電子資料之銷毀程序。 四、電腦、自動化機器或其他儲存媒介物需報廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料。
社福法人訂定第四條第二項第七款使用紀錄、軌跡資料及證據保存，應包括下列事項： 一、留存個人資料使用紀錄。 二、留存自動化機器設備之軌跡資料或其他相關之證據資料。 三、前二款紀錄及資料證據之保存措施。
社福法人訂定第四條第二項第八款業務終止後個人資料處理方法，應包括下列事項： 一、銷毀：方法、時間、地點及證明銷毀之方式。 二、移轉：原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。 三、刪除、停止處理或利用：方法、時間或地點。 前項措施應製作紀錄，並至少留存五年。
社福法人訂定第四條第二項第九款個人資料安全維護之整體持續改善方案，應參酌安全維護計畫執行狀況、技術發展、法令修正或其他因素，檢視所定安全維護計畫之合宜性，必要時應予修正。
社福法人將當事人個人資料為國際傳輸前，應檢視有無受中央主管機關依本法第二十一條規定為國際傳輸之限制，並告知當事人擬傳輸之國家或區域，同時對資料接收方為下列事項之監督： 一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。 二、當事人行使本法第三條所定權利之相關事項。
本小組會議由前條工作人員製作紀錄附卷並錄音，如會議內容涉及個人資料或依法令應予保密之事項，應限制公開或不對外公開。 本小組做成之諮詢建議，如涉及其他機關權責者，得移請相關機關參考辦理。
本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。
非公務機關應訂定個人資料檔案安全維護計畫及業務終止後個人資料處理方法（以下簡稱安全維護計畫），以落實個人資料檔案之安全維護與管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。 非公務機關應依其所訂定之安全維護計畫執行之。交通部中央氣象署（以下簡稱本署）得要求非公務機關提出安全維護計畫之實施情形，非公務機關應於指定期限內，以書面方式提出。
非公務機關依前條規定訂定安全維護計畫時，應視其組織規模、特性、保有個人資料之性質及數量等事項，參酌第五條至第二十條規定，訂定包含下列事項之個人資料檔案之安全管理措施： 一、非公務機關之組織規模及特性。 二、個人資料檔案之安全管理措施： （一）配置管理之人員及相當資…
非公務機關就個人資料檔案之安全維護管理，得指定專人或專責組織負責，並配置相當之資源。 安全維護計畫之訂定或修正，應經非公務機關代表人或經其授權之人員核定。 個人資料檔案安全維護管理組織，應定期就執行任務情形向非公務機關代表人或經其授權之人員提出書面報告。 非公務機關應將訂定之安全維護計畫留存於營業所在地備查；主管機關得派員檢查。
非公務機關應依個人資料保護相關法令，定期查核確認所保有之個人資料現況，界定其納入本計畫及處理方法之範圍。
非公務機關應依前條界定之個人資料範圍及其蒐集、處理、利用個人資料之流程，評估可能產生之個人資料風險，並根據風險評估之結果，訂定適當之管控機制。
非公務機關為因應保有個人資料被竊取、竄改、毀損、滅失或洩漏等安全事故，應訂定採取下列事項： 一、適當之應變措施，以控制事故對當事人之損害。 二、查明事故之狀況並以適當方式通知當事人；其通知內容包含個人資料發生事故之事實、…
非公務機關所屬人員為執行業務而蒐集、處理一般個人資料時，應檢視是否符合本法第十九條之要件；利用時，應檢視是否符合蒐集之特定目的必要範圍；為特定目的外之利用時，應檢視是否符合本法第二十條第一項但書情形。
非公務機關蒐集個人資料，應遵守本法第八條及第九條有關告知義務之規定，並區分個人資料屬直接蒐集或間接蒐集，分別訂定告知方式、內容及注意事項，要求所屬人員確實辦理。
非公務機關委託他人蒐集、處理或利用個人資料之全部或一部時，應依本法施行細則第八條規定為適當監督。 非公務機關為執行前項監督，應與受託者明確約定相關監督事項及方式。
主管機關依本法第二十一條規定，對非公務機關為限制國際傳輸個人資料之命令或處分時，非公務機關應通知所屬人員遵循辦理。 非公務機關將個人資料作國際傳輸者，應檢視是否受主管機關限制，並告知當事人其個人資料所欲國際傳輸之區域，且對資料接收方為下列事項之監督： 一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。 二、當事人行使本法第三條所定權利之相關事項。
非公務機關於個人資料當事人行使本法第三條規定之權利時，應依下列規定辦理： 一、提供聯絡窗口及聯絡方式。 二、確認為個人資料當事人本人，或經其委託者。 三、認有本法第十條但書各款、第十一條第二項但書或第三項但書規定得拒絕當事人行使權利之事由時，應附理由通知當事人。 四、有收取必要成本費用者，應告知當事人收費基準。 五、遵守本法第十三條有關處理期限之規定。