| 第一條 本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。 |
本辦法訂定依據。 |
| 第二條 停車場經營業保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏；其發售月票等其他記名停車票之停車場經營業者，並應訂定個人資料檔案安全維護計畫（以下簡稱維護計畫）。
前項應訂維護計畫之停車場經營業者，其為新設立者，於申請停車場登記證時，應將維護計畫一併送地方主管機關備查；已領得停車場登記證者，於本辦法施行之日起六個月內送地方主管機關備查。
維護計畫之內容應包括第三條至第二十條規定之相關組織及程序，並應定期檢視及配合相關法令修正計畫。 |
一、依本法第二十七條第一項規定，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏」，爰於本條前段規定全體停車場經營業皆應予遵循。另依同條第二項規定，「中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法」，停車場經營業依收費型態分為計時、計次、回數票、定期票及月票等態樣，其中發售月票者應依「路外停車場租用定型化契約應記載或不得記載事項」簽訂契約，業者保有停車位租用者之姓名、國民身分證統一編號、地址、電話、電子郵件等個人資料，爰選擇發售月票等其他記名停車票之停車場經營業者，於本條後段規定應訂定個人資料檔案安全維護計畫。
二、為利地方主管機關監督停車場經營業增列第二項，規定停車場經營業於申請停車場登記證時，應將維護計畫一併送地方主管機關備查；另就本辦法施行前已取得停車場經營業執照者，給予六個月作業時間送地方主管機關備查。
三、依本法第四十八條第四款規定，非公務機關（包含取得合法登記證之停車場業者及未取得登記證即營業之違法業者）未依本法第二十七條第二項訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法者，由直轄市、縣（市）政府限期改正，屆期未改正者，按次處新臺幣二萬元以上二十萬元以下罰緩。 |
| 第三條 停車場經營業就個人資料檔案安全維護管理，應指定專人或建立專責組織負責。
前項專人或專責組織之任務如下：
一、規劃、訂定、修正與執行維護計畫及業務終止後個人資料處理方法等相關事項，並定期向停車場經營業負責人報告。
二、訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。
三、定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。 |
一、為有效訂定與執行維護計畫，停車場經營業應指定專人或建立專責組織辦理有關事項。
二、為落實執行維護計畫相關管理程序，停車場經營業得透過認知宣導及教育訓練使所屬人員均能明瞭個人資料保護相關法令之要求、所屬人員之責任範圍及各種作業程序。
三、個人資料檔案管理專人或專責組織宜定期向所屬非公務機關提出報告，其目的在使非公務機關得知個人資料檔案安全維護管理之進展，規範其應定期向停車場經營業負責人報告。 |
| 第四條 停車場經營業應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
前項清查發現有下列情形者，停車場經營業應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料：
一、非屬特定目的必要範圍內之個人資料。
二、特定目的消失或期限屆滿而無本法第十一條第三項但書之情形。 |
一、停車場經營業蒐集個人資料應明確界定其蒐集之特定目的，所蒐集之個人資料類別及範圍是否屬於必要。確認界定性質後，應定期清查所蒐集保有之個人資料是否符合所界定之範圍。
二、依本法第十一條第三項規定，個人資料蒐集之目的消失或期限屆滿時，應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料。 |
| 第五條 停車場經營業應依已界定之個人資料範圍及個人資料蒐集、處理、利用之流程，訂定適當之管控措施。 |
停車場經營業應採取必要之防範與管控措施，維護個人資料檔案安全。 |
| 第六條 停車場經營業為因應所保有之個人資料被竊取、竄改、損毀、滅失或洩漏等事故，應採取下列機制：
一、採取適當之應變措施，以控制事故對當事人之損害，並通報地方主管機關。
二、查明事故之狀況並依本法第十二條規定以適當方式通知當事人，並告知已採取之因應措施。
三、檢討缺失並研擬預防機制，避免類似事故再次發生。 |
本法施行細則第十二條第二項第四款規定「事故之預防、通報及應變機制」為本法第二十七條第一項所稱適當之安全措施之一。為降低或控制因個人資料被竊取、竄改、損毀、滅失或洩漏等事故造成資料當事人財產及非財產上之損害，停車場經營業應採取相關因應機制及其必要作為，爰參考法務部所定中央目的事業主管機關依個人資料保護法第二十七條第三項規定辦法之參考事項第二點第四款，為本條規定。 |
| 第七條 停車場經營業應檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定個人資料與其特定目的，及其是否符合相關法令之要件。 |
依本法第六條規定，非公務機關原則上不得蒐集、處理及利用醫療、基因、性生活、健康檢查及犯罪前科等本法第六條所定個人資料，故停車場經營業應先建立程序以確認蒐集、處理及利用之個人資料是否包含本法第六條所定個人資料及其特定目的，並進而檢視蒐集、處理及利用本法第六條所定個人資料，符合相關法令之要求。 |
| 第八條 停車場經營業為遵守本法第八條及第九條關於告知義務之規定，應採取下列方式：
一、檢視蒐集、處理個人資料之特定目的。
二、檢視蒐集、處理之個人資料，是否符合免告知之事由；其不符者，依據資料蒐集之情形，採取適當之告知方式。 |
依本法第八條及第九條規定，停車場經營業所蒐集、處理之個人資料，除確認為免告知情形外，應依據資料蒐集之情況，採取適當之告知方式，以有效履行告知義務。 |
| 第九條 停車場經營業應檢視蒐集、處理個人資料是否符合本法第十九條規定，具有特定目的及法定要件。
停車場經營業應檢視利用個人資料是否符合本法第二十條第一項特定目的必要範圍內利用之規定；於特定目的外利用個人資料時，應檢視是否具備法定特定目的外利用要件。 |
停車場經營業應依本法第十九條及第二十條規定，於特定目的必要範圍內蒐集、處理及利用個人資料，若為特定目的外之利用，應檢視是否具備法定特定目的外利用要件。 |
| 第十條 停車場經營業於首次利用個人資料為行銷時，應提供當事人免費表示拒絕接受行銷之方式；當事人表示拒絕行銷後，應立即停止利用其個人資料行銷，並週知所屬人員。 |
停車場經營業應於首次行銷時提供當事人拒絕行銷之方式，且當事人表示拒絕行銷後，應立即停止利用其個人資料行銷，並週知所屬人員。 |
| 第十一條 停車場經營業委託他人蒐集、處理或利用個人資料之全部或一部時，應對受託人依本法施行細則第八條規定為適當之監督，並明確約定相關監督事項與方式。 |
本法施行細則第八條規定「委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。前項監督至少應包含下列事項：……。」，爰配合並引用前揭施行細則條次，規定停車場經營業委託他人蒐集、處理或利用個人資料之全部或一部時，應對受託人為適當監督，避免違反本法相關規定。 |
| 第十二條 停車場經營業為提供資料當事人行使本法第三條所定權利，得採取下列方式為之：
一、確認是否為個人資料之本人，或經其委託授權。
二、提供當事人行使權利之方式，並遵守本法第十三條有關處理期限之規定。
三、告知是否酌收必要成本費用。
四、有本法第十條及第十一條得拒絕當事人行使權利之事由者，應附理由通知當事人。 |
一、依本法第三條規定，當事人就其個人資料得行使查詢、閱覽、製給複製本、補充或更正、停止蒐集、處理或利用及刪除之權利，爰規定停車場經營業應採取之方式。
二、本法第十條規定，非公務機關應依當事人請求，就其蒐集之個人資料，答覆查詢、提供閱覽或製給複製本，若涉及妨害國家安全、外交及軍事機密、整體經濟利益或其他國家重大利益、妨害公務機關執行法定職務、妨害該蒐集機關或第三人之重大利益等情形，得拒絕當事人之請求；本法第十一條規定，個人資料正確性有爭議者、特定目的消失或期限屆滿，應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料，但因執行職務或業務所必須或經當事人書面同意者，不受限制。
三、本法第十三條規定，非公務機關受理當事人根據第十條規定之請求，應於十五日內，為准駁之決定，必要時得予延長，延長期間不得逾十五日。惟當事人依第十一條規定之請求，應於三十日內，為准駁之決定，必要時得予延長，延長期間不得逾三十日，並將其原因以書面通知請求人。 |
| 第十三條 停車場經營業為維護其所保有個人資料之正確性，應採取下列方式為之：
一、檢視個人資料於蒐集、處理或利用過程，是否正確。
二、當發現個人資料不正確時，適時更正或補充。
三、個人資料正確性有爭議者，應依本法第十一條第二項規定處理。
因可歸責於停車場經營業之事由，未為更正或補充之個人資料，應於更正或補充後，通知曾提供利用之對象。 |
一、依本法第十一條第一項規定「公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之」，停車場經營業為確保所保有個人資料之正確性，應採取適當方式確認並適時更正補充，爰為第一款、第二款規定。
二、個人資料正確性有爭議者，依本法第十一條第二項規定「應主動或依當事人之請求停止處理或利用。但因執行職務或業務所必須並註明其爭議或經當事人書面同意者，不在此限」，爰為第三款規定。
三、配合本法第十一條第一項所定維護停車場經營業所保有個人資料正確性義務，同條第五項另規定「因可歸責於公務機關或非公務機關之事由，未為更正或補充之個人資料，應於更正或補充後，通知其曾提供利用之對象」，鑒於其違反者，依本法第四十八條第二款有處罰規定，爰於第二項併予增列規定，俾期業者注意遵守，並維護其曾提供利用該個人資料之正確性。 |
| 第十四條 停車場經營業應採取下列資料安全管理措施：
一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，應訂定使用可攜式設備或儲存媒體之規範。
二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，應採取適當之加密機制。
三、作業過程有備份個人資料之需要時，應比照原件，依本法規定予以保護。
四、存有個人資料之紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片等媒介物，於報廢或轉作其他用途時，應採適當防範措施，以避免洩漏個人資料；其委託他人執行者，準用第十一條規定辦理。 |
停車場經營業應採取之資料安全管理措施。委託第三人執行報廢或轉作其他用途時，準用第十一條，停車場經營業應對受託人為適當之監督，並明確約定相關監督事項。 |
| 第十五條 停車場經營業應採取下列人員管理措施：
一、依據作業之需要，適度設定所屬人員不同之權限並控管其接觸個人資料。
二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。
三、與所屬人員約定保密義務。
四、所屬人員離職或完成受指派工作後，應將其執行業務所持有之個人資料辦理交接，亦不得私自持有複製物而繼續使用該個人資料。 |
停車場經營業應制定從事個人資料業務之人員管理措施，諸如設定不同權限、簽訂保密條款、離職或完成受指派工作後應將個人資料交接，亦不得加以複製使用。 |
| 第十六條 停車場經營業針對保有個人資料之紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，應採取下列環境管理措施：
一、依據作業內容之不同，實施適宜之進出管制方式。
二、所屬人員妥善保管個人資料之儲存媒介物。
三、針對不同媒介物存在之環境，適度建置空調、消防、防鼠除蟲等保護設備或技術。 |
停車場經營業針對保有個人資料之環境，應採取之環境管理措施。 |
| 第十七條 停車場經營業業務終止後，其保有之個人資料應依下列方式處理及記錄；其紀錄並應至少保存五年：
一、銷毀者，記錄其方法、時間、地點及證明銷毀之方式。
二、移轉者，記錄其原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料者，記錄其方法、時間或地點。 |
一、本條之業務終止，乃指停車場經營業有遭處停車場法第三十五條廢止其核准、第三十六條、三十七條、第三十九條之一定期停止其營業之一部或全部或廢止其停車場登記證、第三十八條停業處分或其他自行停業等情事，致生停止全部、部分營業或歇業者。
二、停車場經營業於業務終止後，對個人資料之處理得參酌：銷毀、移轉、其他刪除、停止處理、利用個人資料之措施，並留存相關紀錄至少五年以供必要時之稽核。 |
| 第十八條 停車場經營業應訂定個人資料安全稽核機制，定期或不定期查察所屬人員是否落實執行其所訂定之維護計畫或業務終止後個人資料處理方法等相關事項。 |
停車場經營業應訂定個人資料安全稽核機制，定期或不定期查察是否落實執行所訂計畫。 |
| 第十九條 停車場經營業應採取個人資料使用紀錄、留存自動化機器設備之軌跡資料或其他相關證據保存機制，以供必要時說明其所訂維護計畫之執行情況；其相關紀錄之保存期限至少為五年。 |
停車場經營業應留存個人資料使用紀錄等保存證據機制，以證明確有實施執行計畫，其資料之保存期限明定至少為五年。 |
| 第二十條 停車場經營業宜參酌執行業務現況、社會輿情、技術發展、法令變化等因素，檢視所訂維護計畫是否合宜，必要時予以修正。
前項維護計畫應於修正後六個月內送地方主管機關備查。 |
停車場經營業宜適時檢視所訂計畫是否合宜，並清查所適用之個人資料保護相關法令是否修正、廢止，必要時予以配合修正。 |
| 第二十一條 本辦法施行日期，由交通部定之。 |
本辦法之施行日期。 |