| 第一條 本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。 |
本辦法訂定依據。 |
| 第二條 觀光旅館業應訂定個人資料檔案安全維護計畫（以下簡稱本計畫），以落實個人資料檔案之安全維護與管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
前項所稱觀光旅館業，指依發展觀光條例領取營業執照，經營國際觀光旅館或一般觀光旅館之公司。
本計畫之內容應包括第三條至第二十一條規定之相關組織及程序，並應定期檢視及配合相關法令訂定或修正計畫。 |
依據本法第二十七條第二項規定，指定觀光旅館業得依本辦法規定之組織及程序要求，規定個人資料檔案安全維護計畫，並應定期檢視及配合相關法令訂定或修正計畫。 |
| 第三條 觀光旅館業就個人資料檔案安全維護管理得指定專人或建立專責組織，配置相當資源，並定期向觀光旅館營業負責人報告。
前項專人或專責組織之任務如下：
一、規劃、訂定、修正與執行個人資料檔案安全維護計畫及業務終止後個人資料處理方法等相關事項。
二、訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。
三、定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。 |
一、為有效訂定與執行本計畫，觀光旅館業得指定專人或建立專責組織，投入相當資源辦理有關事項，並定期向觀光旅館營業負責人報告。
二、為落實執行本計畫相關管理程序，觀光旅館業得透過認知宣導及教育訓練使所屬人員均能明瞭個人資料保護相關法令之要求、所屬人員之責任範圍及各種作業程序。 |
| 第四條 觀光旅館業應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
前項清查發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應依本法第十一條第三項規定予以刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。
觀光旅館業應確認保有之個人資料所應遵循之個人資料保護相關法令現況。 |
一、觀光旅館業蒐集個人資料（包括所屬員工資料）均應明確界定其蒐集之特定目的為何，所蒐集之個人資料類別及範圍是否屬於必要。確認界定性質後，應定期清查所蒐集保有之個人資料是否符合所界定之範圍。
二、觀光旅館業在清查所蒐集之個人資料類別及範圍時，如發現有逾越特定目的必要範圍之個人資料或特定目的消失、期限屆滿而無保存必要者，應依本法第十一條第三項規定予以刪除或其他停止蒐集、處理或利用等適當之處置。
三、觀光旅館業應確認遵循適用個人資料保護相關法令現況。 |
| 第五條 觀光旅館業得依已界定之個人資料範圍及個人資料蒐集、處理、利用之流程，分析可能產生之風險，並根據風險分析之結果，訂定適當之管控措施。 |
安全維護計畫得就個人資料之風險評估及風險管理加以規定，爰規定觀光旅館業得依據已界定之個人資料之範圍與蒐集、處理、利用流程，分析評估可能發生之風險，採取必要之防範與管控措施。 |
| 第六條 觀光旅館業為因應所保有之個人資料被竊取、竄改、損毀、滅失或洩漏等事故，應採取下列事項：
一、採取適當之應變措施，以控制事故對當事人之損害，並通報有關單位。
二、查明事故之狀況並以適當方式通知當事人。
三、研議預防機制，避免類似事故再次發生。 |
為降低或控制因個人資料被竊取、竄改、損毀、滅失或洩漏等事故造成資料當事人財產及非財產上之損害，觀光旅館業得訂定相關因應機制及其必要作為。 |
| 第七條 觀光旅館業應依一般個人資料及本法第六條所定之個人資料之屬性，分別訂定下列管理程序：
一、檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定之個人資料及其特定目的。
二、檢視蒐集、處理及利用本法第六條所定之個人資料，是否符合相關法令之要件。
三、雖非本法第六條所定之個人資料，惟如認為具有特別管理之需要，仍得比照或訂定特別管理程序。 |
依本法第六條規定，非公務機關原則上不得蒐集、處理及利用特種個人資料，故觀光旅館業應先建立程序以確認蒐集、處理及利用之個人資料是否包含特種個人資料及其特定目的，或認為具有非特別管理需要之非特種個人資料。如有，應檢視蒐集、處理及利用特種個人資料，符合相關法令之要求。 |
| 第八條 觀光旅館業為遵守本法第八條及第九條關於告知義務之規定，應採取下列方式：
一、檢視蒐集、處理個人資料之特定目的，是否符合免告知之事由。
二、依據資料蒐集之情形，採取適當之告知方式。 |
依本法第八條及第九條規定，觀光旅館業所蒐集、處理之個人資料，除確認為免告知情形外，應依據資料蒐集之情況，採取適當之告知方式，以有效履行告知義務。 |
| 第九條 觀光旅館業應檢視蒐集、處理個人資料是否符合本法第十九條規定，具有特定目的及法定要件。
檢視利用個人資料是否符合本法第二十條第一項規定，符合特定目的內利用；於特定目的外利用個人資料時，應檢視是否具備法定特定目的外利用要件。 |
觀光旅館業應依本法第十九條及第二十條規定，於特定目的必要範圍內在蒐集、處理及利用個人資料，若為特定目的外之利用，應檢視是否具備法定特定目的外利用要件。 |
| 第十條 觀光旅館業委託他人蒐集、處理或利用個人資料之全部或一部時，應對受託人依本法施行細則第八條規定為適當之監督，並明確約定相關監督事項與方式。 |
依本法施行細則第八條規定，委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督，避免受託者有違反本法之情事發生。 |
| 第十一條 觀光旅館業於首次利用個人資料為行銷時，應提供當事人免費表示拒絕接受行銷之方式，且倘當事人表示拒絕行銷後，應立即停止利用其個人資料行銷，並週知所屬人員。 |
觀光旅館業應於首次行銷時提供當事人拒絕行銷之方式，且當事人表示拒絕行銷後，應立即停止利用其個人資料行銷，並週知所屬人員。 |
| 第十二條 觀光旅館業進行個人資料國際傳輸前，應檢視有無交通部依本法第二十一條規定為限制國際傳輸之命令或處分，並應遵循之。 |
觀光旅館業應於進行個人資料國際傳輸前，確認中央目的事業主管機關是否有所限制，並加以遵循。 |
| 第十三條 觀光旅館業為提供資料當事人行使本法第三條所規定之權利，得採取下列方式為之：
一、確認是否為個人資料之本人，或經其委託授權。
二、提供當事人行使權利之方式，並遵守本法第十三條有關處理期限之規定。
三、告知是否酌收必要成本費用。
四、如認有本法第十條及第十一條得拒絕當事人行使權利之事由，應附理由通知當事人。 |
依本法第三條規定，當事人就其個人資料得行使查詢、閱覽、製給複製本、補充或更正、停止蒐集、處理或利用及刪除之權利，爰規定觀光旅館業應採取之方式。 |
| 第十四條 觀光旅館業為維護其所保有個人資料之正確性，應採取下列方式為之：
一、檢視個人資料於蒐集、處理或利用過程，是否正確。
二、當發現個人資料不正確時，適時更正或補充，並通知曾提供利用之對象。
三、個人資料正確性有爭議者，應依本法第十一條第二項規定處理。 |
為避免當事人發生因資料不正確所產生之損失，爰規定觀光旅館業為確保所有個人資料之正確性，應採取之方式。 |
| 第十五條 觀光旅館業得採取下列資料安全管理措施：
一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，宜訂定使用可攜式設備或儲存媒體之規範。
二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，宜採取適當之加密機制。
三、作業過程有備份個人資料之需要時，應比照原件，依本法規定予以保護之。
四、個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片等媒介物，嗣該媒介物於報廢或轉作其他用途時，宜採適當防範措施，以免由該媒介物洩漏個人資料。 |
觀光旅館業得採取之資料安全管理措施。 |
| 第十六條 觀光旅館業得採取下列人員管理措施：
一、依據作業之需要，適度設定所屬人員不同之權限並控管其接觸個人資料之情形。
二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。
三、與所屬人員約定保密義務。 |
觀光旅館業得採取之人員管理措施。 |
| 第十七條 觀光旅館業針對保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，宜採取下列環境管理措施：
一、依據作業內容之不同，實施適宜之進出管制方式。
二、所屬人員妥善保管個人資料之儲存媒介物。
三、針對不同媒介物存在之環境，審酌建置適度之保護設備或技術。
於委託他人執行上開行為時，準用第十條規定。 |
觀光旅館業針對保有個人資料之環境，宜採取之環境管理措施。 |
| 第十八條 觀光旅館業於業務終止後，針對個人資料得參酌下列措施為之，並留存相關紀錄：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。 |
觀光旅館業於業務終止後得採取的處理方法及紀錄留存。 |
| 第十九條 觀光旅館業應訂定個人資料安全稽核機制，定期或不定期查察是否落實執行所定之個人資料檔案安全維護計畫或業務終止後個人資料處理方法等相關事項。 |
觀光旅館業應訂定個人資料安全稽核機制，定期或不定期查察是否落實執行所定計畫。 |
| 第二十條 觀光旅館業得採行適當措施，採取個人資料使用紀錄、留存自動化機器設備之軌跡資料或其他相關證據保存機制，以供必要時說明其所定計畫之執行情況。 |
觀光旅館業得留存相關證據，以證明確實執行計畫。 |
| 第二十一條 觀光旅館業宜參酌執行業務現況、社會輿情、技術發展、法令變化等因素，檢視所定計畫是否合宜，必要時予以修正。 |
觀光旅館業宜適時檢視所定計畫是否合宜，必要時予以修正。 |
| 第二十二條 本辦法施行日期，由交通部定之。 |
考量宣導及配套措施建置之時程需求，本辦法之施行日期，爰由交通部另依實際需求定之。 |