ABCDEFGHIJKLMNOPQRSTUVWXYZ
1
查 核 重 點查 核 內 容紀錄文件私立專科以上學校及私立學術研究機構個人資料檔案安全維護計畫實施辦法私立高級中等以下學校及幼兒園個人資料檔案安全維護計畫實施辦法海外臺灣學校及大陸地區臺商學校個人資料檔案安全維護計畫實施辦法私立兒童課後照顧服務中心個人資料檔案安全維護計畫實施辦法短期補習班個人資料檔案安全維護計畫實施辦法運動彩券業個人資料檔案安全維護計畫實施辦法個資法暨施行細則
2
1.個人資料檔案安全維護計畫1.1訂定「個人資料檔案安全維護計畫」請檢附所訂的個人資料檔案安全維護計畫(含業務終止後個人資料處理方法)。第3條
依私立學校法核准設立之私立專科以上學校（以下簡稱學校）及依學術研究機構設立辦法核准設立之私立學術研究機構（以下簡稱機構）應訂定個人資料檔案安全維護計畫（以下簡稱安全維護計畫），落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。		第4條第1項
學校及幼兒園應依本辦法規定訂定安全維護計畫，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。		第4條
依海外臺灣學校設立及輔導辦法設立之海外臺灣學校及依大陸地區臺商學校設立及輔導辦法設立之大陸地區臺商學校(以下簡稱境外臺校)應訂定個人資料檔案安全維護計畫，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。		第4條
課照中心應依本辦法規定，訂定安全維護計畫，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。		第3條第1項
短期補習班（以下簡稱補習班）應訂定個人資料檔案安全維護計畫（以下簡稱計畫），落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。		第3條第1項
運動彩券業應訂定個人資料檔案安全維護計畫（以下簡稱計畫），落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。		(個資法授權主管機關訂)
個資法第27條第2項規定
中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。
3
2.組織及運作管理情形2.1指定專人或建立專責組織負責管理請檢附單位個資管理組織圖、分工及相關辦法，並提出個資窗口所協助之各項個資保護工作事項，如：參與會議、盤點及風險評鑑工作、事件處理等。
個資管理審查相關會議紀錄		第5條
學校、機構得指定或設管理單位，或指定專人，負責個人資料檔案安全維護		第5條
學校及幼兒園得指定或設管理單位，或指定專人，負責個人資料檔案安全維護		第7條
境外臺校得指定或設管理單位，或指定專人，負責個人資料檔案安全維護		第7條
課照中心應指定專責人員，負責規劃、訂定、修正、執行安全維護計畫及業務終止後個人資料處理方法及其他相關事項，並定期向負責人提出報告。		第6條
補習班應指定專責人員，負責規劃、訂定、修正、執行計畫及業務終止後個人資料處理方法等相關事項，並定期向負責人提出報告。		第6條
運動彩券業應指定專責人員，負責規劃、訂定、修正、執行計畫及業務終止後個人資料處理方法等相關事項，並定期向負責人提出報告。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
一、配置管理之人員及相當資源。
4
3.專責人員或專責組織任務3.1規劃、訂定、修正與執行所訂安維計畫請檢附所訂的個人資料檔案安全維護計畫(含業務終止後個人資料處理方法)及其討論、修訂、單位管理人核可紀錄。第5條
一、訂定及執行安全維護計畫，包括業務終止後個人資料處理方法。		第5條
一、訂定及執行安全維護計畫。		第7條
一、訂定及執行安全維護計畫，包括業務終止後個人資料處理方法。		(個資法授權主管機關訂)
個資法第27條第2項規定
中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。
5
3.2 定期向管理人曁代表人或其他代表權人報告請檢附報告紀錄或描述報告方式
報告對象含管理人、代表人或其他有代表權人報告紀錄		第5條
二、定期就個人資料檔案安全維護管理情形，向管理人提出書面報告。		第5條
二、定期就個人資料檔案安全維護管理情形，向管理人提出書面報告。		第7條
二、定期就個人資料檔案安全維護管理情形，向管理人提出書面報告。		(個資法未明確要求作法)
個資法第50條
非公務機關之代表人、管理人或其他有代表權人，因該非公務機關依前三條規定受罰鍰處罰時，除能證明已盡防止義務者外，應並受同一額度罰鍰之處罰。
6
3.3依稽核人員評核結果檢討改進，並向管理人與稽核人員提出書面報告請檢附定期稽核記錄及改善紀錄、覆核確認改善。第5條
三、依據稽核人員就計畫執行之評核，於進行檢討改進後，向管理人及稽核人員提出書面報告。		第5條
三、依據稽核人員就安全維護計畫執行之評核，於進行檢討改進後，向管理人及稽核人員提出書面報告。		第7條
三、依據稽核人員就計畫執行之評核，於進行檢討改進後，向管理人及稽核人員提出書面報告。		第18條
課照中心應訂定個人資料檔案安全維護查核機制，定期或不定期檢查安全維護計畫之執行情形，並將檢查結果，向負責人提出報告。		第16條
1.補習班應訂定個人資料檔案安全維護查核機制，定期或不定期檢查計畫之執行情形，並將檢查結果向負責人提出報告。
2.前項查核人員與第六條指定之專責人員不得為同一人。		第17條
運動彩券業應訂定個人資料檔案安全維護查核機制，定期或不定期檢查計畫之執行情形，並將檢查結果向負責人提出報告。
執行前項查核之人員與第六條指定之專責人員，不得為同一人。
運動彩券業應將第一項查核機制,納入其內部控制及稽核項目中。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
十一、個人資料安全維護之整體持續改善。
7
3.4訂定個人資料保護管理政策請檢附個人資料保護管理政策、公告紀錄、宣導紀錄。
8
3.5定期對所屬人員進行宣導或專業教育訓練檢附人員定期教育訓練紀錄及課後評量紀錄，如:簽到表(參與率)、考卷、教育訓練教材。第15條
學校、機構對於個人資料蒐集、處理及利用應符合本法第十九條及第二十條規定，並應定期或不定期對其所屬人員施以教育訓練或認知宣導，使其明瞭個人資料保護相關法令規定、責任範圍、作業程序及應遵守之相關措施。		第18條
學校及幼兒園對於個人資料之蒐集、處理及利用，應符合本法第十九條及第二十條規定，並應定期或不定期對其所屬人員，施以教育訓練或認知宣導，使其明瞭個人資料保護相關法令規定、責任範圍、作業程序及應遵守之相關措施。		第20條
境外臺校對於個人資料蒐集、處理及利用應定期或不定期對其所屬人員，施以教育訓練或認知宣導，使其明瞭個人資料保護相關法令規定、責任範圍、作業程序及應遵守之相關措施。		第20條
課照中心對於個人資料蒐集、處理及利用，應符合本法第十九條及第二十條規定，並應定期或不定期對其所屬人員施以教育訓練或認知宣導，使其明瞭個人資料保護相關法令規定、責任範圍、作業程序及應遵守之相關措施。		第18條
補習班對於個人資料蒐集、處理及利用應符合本法第十九條及第二十條規定，並應定期或不定期對其所屬人員施以教育訓練或認知宣導，使其明瞭個人資料保護相關法令規定、責任範圍、作業程序及應遵守之相關措施。		第19條
運動彩券業對於個人資料蒐集、處理及利用應符合本法第十九條及第二十條規定，並應定期或不定期對其所屬人員施以教育訓練或認知宣導，使其明瞭個人資料保護相關法令規定、責任範圍、作業程序及應遵守之相關措施。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
七、認知宣導及教育訓練。
9
4.個人資料盤點、管理與紀錄4.1定期盤點所保有個人資料並確認應遵守之法令檢附個人資料檔案盤點與清冊紀錄。
定期檢視、異動更新的紀錄。		第6條
1.學校、機構應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。		第6條
1.學校及幼兒園應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。		第8條
境外臺校應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。		第8條第1項
課照中心應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。		第7條
補習班應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。		第7條第1項
運動彩券業應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
二、界定個人資料之範圍。
三、個人資料之風險評估及管理機制。
10
4.2風險分析及管控措施請檢附風險評估及高風險項追蹤管控紀錄。
可接受風險有經管理人核可紀錄。		第7條
學校、機構應依已界定個人資料之範圍與蒐集、處理及利用流程，分析評估可能產生之風險，訂定適當之管控措施。		第8條
學校及幼兒園應依已界定個人資料之範圍與蒐集、處理及利用流程，分析評估可能產生之風險，訂定適當之管控措施。		第10條
境外臺校應依已界定個人資料之範圍與蒐集、處理及利用流程，分析評估可能產生之風險，訂定適當之管控措施。		第10條
課照中心應依已界定個人資料之範圍與蒐集、處理及利用流程，分析評估可能發生之風險，訂定適當之管控措施。		第9條
補習班應依已界定個人資料之範圍與蒐集、處理及利用流程，分析評估可能發生之風險，訂定適當之管控措施。		第9條
運動彩券業應依已界定個人資料之範圍與蒐集、處理及利用流程，分析評估可能發生之風險，訂定適當之管控措施。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
三、個人資料之風險評估及管理機制。
11
4.3依資料屬性訂定管理程序請檢附所訂的個人資料檔案安全維護計畫
確認組織訂定資料蒐集、處理及利用管理程序規範。
檢視組織蒐集告知紀錄，確認所蒐集、處理、利用之個資符合個資法告知內容。		第6條
1.學校、機構應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
2.學校、機構經定期檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。		第6條
1.學校及幼兒園應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
2. 學校及幼兒園經定期檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。		第8條
1.境外臺校應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
2.境外臺校經定期檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。		第8條
1.課照中心應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
2.課照中心經定期檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。
第9條
1.課照中心於蒐集個人資料時，應檢視是否符合前條第一項所定之類別及範圍。
2.課照中心於傳輸個人資料時，應採取必要保護措施，避免洩漏。
3.課照中心進行個人資料國際傳輸前，應檢視有無中央主管機關依本法第二十一條規定為國際傳輸之限制，並且告知當事人其個人資料所欲國際傳輸之區域，同時對資料接收方為下列事項之監督：
一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。
二、當事人行使本法第三條所定權利之相關事項。		第7條
1.補習班應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
2.補習班經定期檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。
第8條
1.補習班於蒐集個人資料時，應檢視是否符合前條第一項所定之類別及範圍。
2.補習班於傳輸個人資料時，應採取必要保護措施，避免洩漏。
3.補習班進行個人資料國際傳輸前，應檢視有無中央主管機關依本法第二十一條規定為國際傳輸之限制，並且告知當事人其個人資料所欲國際傳輸之區域，同時對資料接收方為下列事項之監督：
一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。
二、當事人行使本法第三條所定權利之相關事項。		第7條
1.運動彩券業應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
2.運動彩券業經定期檢視，發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。
第8條
1.運動彩券業於蒐集個人資料時，應檢視是否符合前條第一項所定之類別及範圍。
2.運動彩券業於傳輸個人資料時，應採取必要保護措施，避免洩漏。
3.運動彩券業進行個人資料國際傳輸前，應檢視有無中央主管機關依本法第二十一條規定為國際傳輸之限制，並且告知當事人其個人資料所欲國際傳輸之區域，同時對資料接收方為下列事項之監督：
一、預定處理或利用個人資料之範圍、類別、特定目的、期間、地區、對象及方式。
二、當事人行使本法第三條所定權利之相關事項。		(個資法未明確要求作法)
個資法第6條第1項
有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：
一、法律明文規定。
二、公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
三、當事人自行公開或其他已合法公開之個人資料。
四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
五、為協助公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
六、經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當事人書面同意蒐集、處理或利用，或其同意違反其意願者，不在此限。

個資法施行細則第12條
五、個人資料蒐集、處理及利用之內部管理程序。

12
4.4向當事人蒐集個資，或於利用非由當事人提供之個資前，盡告知義務請檢附告知事項、告知流程、告知紀錄的留存。第10條
1.學校、機構依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人其所屬學校、機構立案名稱及個人資料來源。		第9條
學校及幼兒園於蒐集個人資料時，應遵守本法第八條及第九條有關告知義務之規定，並區分個人資料屬直接蒐集或間接蒐集，分別訂定告知方式、內容及注意事項，要求所屬人員確實辦理。		第12條
1.境外臺校依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人其所屬學校、機構立案名稱及個人資料來源。		第11條
課照中心於蒐集個人資料時，應遵守本法第八條及第九條有關告知義務之規定，並區分個人資料屬直接蒐集或間接蒐集，分別訂定告知方式、內容及注意事項，要求所屬人員確實辦理。		第10條
補習班於蒐集個人資料時應遵守本法第八條及第九條有關告知義務之規定，並區分個人資料屬直接蒐集或間接蒐集，分別訂定告知方式、內容及注意事項，要求所屬人員確實辦理。		第10條
運動彩券業於蒐集個人資料時應遵守本法第八條及第九條有關告知義務之規定，並區分個人資料屬直接蒐集或間接蒐集，分別訂定告知方式、內容及注意事項，要求所屬人員確實辦理。		(個資法明確要求)
個資法第8條 第9條(蒐集非由當事人提供資料)
公務機關或非公務機關依第十五條或第十九條規定向當事人蒐集個人資料時，應明確告知當事人下列事項：
一、公務機關或非公務機關名稱。
二、蒐集之目的。
三、個人資料之類別。
四、個人資料利用之期間、地區、對象及方式。
五、當事人依第三條規定得行使之權利及方式。
六、當事人得自由選擇提供個人資料時，不提供將對其權益之影響。
有下列情形之一者，得免為前項之告知：
一、依法律規定得免告知。
二、個人資料之蒐集係公務機關執行法定職務或非公務機關履行法定義務所必要。
三、告知將妨害公務機關執行法定職務。
四、告知將妨害公共利益。
五、當事人明知應告知之內容。
六、個人資料之蒐集非基於營利之目的，且對當事人顯無不利之影響。
13
4.5檢視蒐集、處理個人資料是否符合個人資料保護法第十九條規定之目的及要件請檢附最新個資盤點資料，確認皆已識別保有依據。請說明蒐集個資並取得當事人同意之情形。
確認特定目的之外使用的程序與紀錄。
進行個人資料國際傳輸前，檢視中央主管機關依個人資料管理法第21條之限制事項		第15條
學校、機構對於個人資料蒐集、處理及利用應符合本法第十九條及第二十條規定		第18條
學校及幼兒園對於個人資料之蒐集、處理及利用，應符合本法第十九條及第二十條規定		第20條
課照中心對於個人資料蒐集、處理及利用，應符合本法第十九條及第二十條規定		第18條
補習班對於個人資料蒐集、處理及利用應符合本法第十九條及第二十條規定		第19條第1項
運動彩券業對於個人資料蒐集、處理及利用應符合本法第十九條及第二十條規定		(個資法明確要求)
個資法第19條規定
非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者：
一、法律明文規定。
二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。
三、當事人自行公開或其他已合法公開之個人資料。
四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
五、經當事人同意。
六、為增進公共利益所必要。
七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。
八、對當事人權益無侵害。
蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之處理或利用時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。
14
4.6委託他人進行資料蒐集、處理或利用，進行適當監督請說明對委託他人進行資料蒐集、處理或利用之監督方式， 或檢附委外稽核報告
確認委外契約個資保護相關之約定條款，如契約終止的個資處理、個資外洩事故之處理等。		個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。		個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。		個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。		個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。		個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。		個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。		(個資法明確要求)
個資法施行細則第8條規定
1.委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。
2.前項監督至少應包含下列事項：
一、預定蒐集、處理或利用個人資料之範圍、類別、特定目的及其期間。
二、受託者就第十二條第二項採取之措施。
三、有複委託者，其約定之受託者。
四、受託者或其受僱人違反本法、其他個人資料保護法律或其法規命令時，應向委託機關通知之事項及採行之補救措施。
五、委託機關如對受託者有保留指示者，其保留指示之事項。
六、委託關係終止或解除時，個人資料載體之返還，及受託者履行委託契約以儲存方式而持有之個人資料之刪除。
3.第一項之監督，委託機關應定期確認受託者執行之狀況，並將確認結果記錄之。
4.受託者僅得於委託機關指示之範圍內，蒐集、處理或利用個人資料。受託者認委託機關之指示有違反本法、其他個人資料保護法律或其法規命令者，應立即通知委託機關。
15
4.7首次利用個資行銷之當事人確認作業請說明首次利用個資行銷是否已進行個資告知作業第10條
1.學校、機構依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人其所屬學校、機構立案名稱及個人資料來源。
2.學校、機構於首次利用個人資料為宣傳、推廣或行銷時，應提供當事人表示拒絕接受宣傳、推廣或行銷之方式，並支付所需費用；當事人表示拒絕宣傳、推廣或行銷後，應立即停止利用其個人資料宣傳、推廣或行銷，並周知所屬人員。		第10條
1.學校及幼兒園依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人學校及幼兒園立案名稱及個人資料來源。
2.學校及幼兒園於首次利用個人資料為宣傳、推廣或行銷時，應提供當事人或其法定代理人表示拒絕接受宣傳、推廣或行銷之方式，並支付所需費用；當事人或其法定代理人表示拒絕宣傳、推廣或行銷後，應立即停止利用其個人資料宣傳、推廣或行銷，並周知所屬人員。		第12條
1.境外臺校依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人其所屬學校、機構立案名稱及個人資料來源。
2.境外臺校於首次利用個人資料為宣傳、推廣或行銷時，應提供當事人表示拒絕接受宣傳、推廣或行銷之方式，並支付所需費用；當事人表示拒絕宣傳、推廣或行銷後，應立即停止利用其個人資料宣傳、推廣或行銷，並周知所屬人員。		第12條
1.課照中心依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人課照中心立案名稱及個人資料來源。
2.課照中心於首次利用個人資料為宣傳、推廣或行銷時，應提供當事人或其法定代理人表示拒絕接受宣傳、推廣或行銷之方式，並支付所需費用；當事人或其法定代理人表示拒絕接受宣傳、推廣或行銷者，應立即停止利用其個人資料宣傳、推廣或行銷，並周知所屬人員。		第11條
1.補習班依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人補習班立案名稱及個人資料來源。
2.補習班於首次利用個人資料為宣傳、推廣或行銷時，應提供當事人表示拒絕接受宣傳、推廣或行銷之方式，並支付所需費用；當事人表示拒絕接受宣傳、推廣或行銷者，應立即停止利用其個人資料宣傳、推廣或行銷，並周知所屬人員。		第11條
1.運動彩券業依本法第二十條第一項規定利用個人資料為宣傳、推廣或行銷時，應明確告知當事人運動彩券業立案名稱及個人資料來源。
2.運動彩券業於首次利用個人資料為宣傳、推廣或行銷時，應提供當事人表示拒絕接受宣傳、推廣或行銷之方式，並支付所需費用；當事人表示拒絕接受宣傳、推廣或行銷者，應立即停止利用其個人資料宣傳、推廣或行銷，並周知所屬人員。		(個資法明確要求)
個資法第20條第2、3項規定
2.非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。
3.非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。
16
4.8確認與維護保有個資之正確性請說明維護保有個資正確性的機制為何(更新組織內部系統資料紀錄)個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。		個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。		個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。		個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。		個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。		個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。		(個資法明確要求)
個資法第11條第1項規定
公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。
17
4.9針對所屬人員設定不同管理權限，並要求負保密義務請說明如何區分不同管理權限，及提供相關保密切結/協議第13條第1項
學校、機構為確實保護個人資料之安全，應對其所屬人員採取下列措施：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之適當性及必要性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理及利用等流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。
四、所屬人員離職時取消其識別碼，並應要求將執行業務所持有之個人資料（包括紙本及儲存媒介物）辦理交接，不得攜離使用，並應簽訂保密切結書。		第15條第1項
學校及幼兒園為確實保護個人資料之安全，應對其所屬人員採取下列措施：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之適當性及必要性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理及利用等流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。
四、所屬人員離職時取消其識別碼，並要求將執行業務所持有之個人資料（包括紙本及儲存媒介物）辦理交接，不得攜離使用，並應簽訂保密切結書。		第17條第1項
境外臺校為確實保護個人資料之安全，應對其所屬人員採取下列措施：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之適當性及必要性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理及利用等流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。
四、所屬人員離職時取消其識別碼，並要求將執行業務所持有之個人資料（包括紙本及儲存媒介物）辦理交接，不得攜離使用，並應簽訂保密切結書。		第17條第1項
1.課照中心為確實保護個人資料之安全，應對其所屬人員採取下列措施：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之適當性及必要性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理、利用及其他相關流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。
四、所屬人員離職時取消其識別碼，並應要求將執行業務所持有之個人資料（包括紙本及儲存媒介物）辦理交接，不得攜離使用，並應簽訂保密切結書。		第15條第1項
補習班為確實保護個人資料之安全，應對其所屬人員採取下列措施：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之適當性及必要性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理及利用等流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。
四、所屬人員離職時取消其識別碼，並應要求將執行業務所持有之個人資料（包括紙本及儲存媒介物）辦理交接，不得攜離使用，並應簽訂保密切結書。		第15條
運動彩券業為確實保護個人資料之安全，應對其所屬人員採取下列措施：
一、依據業務作業需要，建立管理機制，設定所屬人員不同之權限，以控管其接觸個人資料之情形，並定期確認權限內容之適當性及必要性。
二、檢視各相關業務之性質，規範個人資料蒐集、處理及利用等流程之負責人員。
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。
四、所屬人員離職時取消其識別碼，並應要求將執行業務所持有之個人資料（包括紙本及儲存媒介物）辦理交接，不得攜離使用，並應簽訂保密切結書。		(個資法未明確要求作法)
個資法第27條第1項規定
非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
18
4.10對存有個資之系統設備、媒介物等採取安全管理措施請說明放置個資的系統設備、媒介物所採取的安全管理措施第12條
1.學校、機構對所保有之個人資料檔案，應設置必要之安全設備及採取必要之防護措施。		第14條第1項
1.學校及幼兒園對所保有之個人資料檔案，應設置必要之安全設備及採取必要之防護措施。		第17條第1項
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。		第15條第1項
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。		第15條
三、要求所屬人員妥善保管個人資料之儲存媒介物，並約定保管及保密義務。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
十、使用紀錄、軌跡資料及證據保存。
19
4.11存有個資之系統設備、媒介物報廢或轉作他用時，採取適當防護措施請說明個資之系統設備、媒介物報廢或轉作他用時，所採取的防護措施，如資料抹除第12條
三、訂定紙本資料之銷毀程序；電腦、自動化機器或其他儲存媒介物需報廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料。		第14條第2項
三、訂定紙本資料之銷毀程序；電腦、自動化機器或其他儲存媒介物需報廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料。		第16條 第2項
三、訂定紙本資料之銷毀程序；電腦、自動化機器或其他儲存媒介物需報廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料。		第14條
三、訂定紙本資料之銷毀程序；電腦、自動化機器或其他儲存媒介物需報廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料。		第14條
三、訂定紙本資料之銷毀程序；電腦、自動化機器或其他儲存媒介物需報廢汰換或轉作其他用途時，應採取適當防範措施，避免洩漏個人資料。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
十、使用紀錄、軌跡資料及證據保存。
20
4.12 留存所有個資使用紀錄、機關設備軌跡紀錄、相關證據紀錄1.請檢附個人資料或儲存個人資料媒體之刪除、停止處理、利用或銷毀之原因、方法、時間及地點等紀錄。
2.請說明留存之期限，並檢附近一年消費者個人資料之蒐集、處理及利用紀錄，以及自動化機器設備之處理個資的軌跡資料。		第17條
學校、機構執行安全維護計畫各項程序及措施，應保存下列紀錄：
一、個人資料之交付及傳輸。
二、個人資料之維護、修正、刪除、銷毀及轉移。
三、提供當事人行使之權利。
四、存取個人資料系統之紀錄。
五、備份及還原之測試。
六、所屬人員權限之異動。
七、所屬人員違反權限之行為。
八、因應事故發生所採取之措施。
九、定期檢查處理個人資料之資訊系統。
十、教育訓練。
十一、安全維護計畫稽核及改善措施之執行。
十二、業務終止後處理紀錄。		第17條
學校及幼兒園執行安全維護計畫各項程序及措施，至少應保存下列紀錄：
一、個人資料之交付及傳輸。
二、個人資料之維護、修正、刪除、銷毀及轉移。
三、提供當事人或其法定代理人行使之權利。
四、存取個人資料系統之紀錄。
五、備份及還原之測試。
六、所屬人員權限之異動。
七、所屬人員違反權限之行為。
八、因應事故發生所採取之措施。
九、定期檢查處理個人資料之資訊系統。
十、教育訓練。
十一、安全維護計畫稽核及改善措施之執行。
十二、業務終止後處理紀錄。		第19條
境外臺校執行安全維護計畫各項程序及措施，應保存下列紀錄：
一、個人資料之交付及傳輸。
二、個人資料之維護、修正、刪除、銷毀及轉移。
三、提供當事人行使之權利。
四、存取個人資料系統之紀錄。
五、備份及還原之測試。
六、所屬人員權限之異動。
七、所屬人員違反權限之行為。
八、因應事故發生所採取之措施。
九、定期檢查處理個人資料之資訊系統。
十、教育訓練。
十一、安全維護計畫稽核及改善措施之執行。
十二、業務終止後處理紀錄。		第19條
課照中心應採行適當措施，留存個人資料使用紀錄、自動化機器設備之軌跡資料或其他相關之證據資料，以供必要時說明其所定安全維護計畫之執行情況。		第17條
補習班應採行適當措施，留存個人資料使用紀錄、自動化機器設備之軌跡資料或其他相關之證據資料，以供必要時說明其所定計畫之執行情況。		第18條
運動彩券業應採行適當措施，留存個人資料使用紀錄、自動化機器設備之軌跡資料或其他相關之證據資料，以供必要時說明其所定計畫之執行情況。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
十、使用紀錄、軌跡資料及證據保存。
21
5.電子商務服務系統，或具有特種個資的資通系統之安全管理5.電子商務服務系統，或具有特種個資的資通系統之安全管理
22
5.1使用者身分確認及保護機制1.電子商務服務系統建立帳號管理機制(包含帳號申請、建立、修改、啟用、停用及刪除之程序，並執行身分驗證管理，如身分驗證資不以明文傳輸、密碼複雜度或帳號鎖定機制等)。
2.電子商務服務系統，使用者帳號紙本或系統申請紀錄。
3.電子商務服務系統，帳號建立、啟用、修改、刪除的日誌紀錄。		第12-1條第1項
學校、機構提供電子商務服務系統或本法第六條所定個人資料種類之資通系統時，應採取下列資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證及確認程序。
五、個人資料檔案與資料庫之存取控制及保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控及因應機制。		第14-1條第1項
學校及幼兒園提供電子商務服務系統或本法第六條所定個人資料種類之資通系統時，應採取下列資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證及確認程序。
五、個人資料檔案與資料庫之存取控制及保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控及因應機制。		第16條第1項
境外臺校提供電子商務服務系統或本法第六條所定個人資料種類之資通系統時，應採取下列資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證及確認程序。
五、個人資料檔案與資料庫之存取控制及保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控及因應機制。		第17條第2項
課照中心提供電子商務服務系統或本法第六條所定個人資料種類之資通系統時，應採取下列資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證及確認程序。
五、個人資料檔案與資料庫之存取控制及保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控及因應機制。		第15條第2項
補習班提供電子商務服務系統或本法第六條所定個人資料種類之資通系統時，應採取下列資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證及確認程序。
五、個人資料檔案與資料庫之存取控制及保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控及因應機制。
第16條
運動彩券業提供電子商務服務系統時，應採取下列資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證及確認程序。
五、個人資料檔案與資料庫之存取控制及保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控及因應機制。
(個資法未明確要求作法)
個資法第27條第2項規定
中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
八、設備安全管理。
23
5.2個人資料顯示之隱碼機制電子商務服務系統，系統介面呈現個人資料時，以適當之隱碼罩處理，以避免揭露過多個資(所顯示之個資隱碼紀錄)(個資法未要求照做)
個資法第27條第2項規定
中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
八、設備安全管理。
24
5.3網際網路傳輸之安全加密機制請說明傳輸加密機制。
25
5.4個人資料檔案及資料庫之存取控制與保護監控措施受查核對象說明資料檔案或資料庫存取控制與保護監控措施為何、保護監控方式(資料庫加密保護機制)。
26
5.5防止外部網路入侵對策電子商務服務系統，防止外部網路入侵對策。
組織網路架構圖，確認電子商務服務系統網路防護機制
27
5.6非法或異常使用行為之監控與因應機制請檢附監控作業程序、資安事件分析紀錄
受查核對象電子商務服務系統，系統管理者、使用者帳號權限審查紀錄
28
5.7定期演練及檢討改善請檢附演練紀錄第12-1條第3項
第一項第六款及第七款所定措施，應定期演練及檢討改善。		第14-1條第3項
第一項第六款及第七款所定措施，應定期演練及檢討改善。		第16條第1項
第一項第六款及第七款所定措施，應定期演練及檢討改善。		第17條第4項
第二項第六款及第七款所定措施，應定期演練及檢討改善。		第15條第4項
第二項第六款及第七款所定措施，應定期演練及檢討改善。		第16條第4項
第一項第六款及第七款所定措施，應定期演練及檢討改善。
29
6.環境管理措施6.1對個資存取媒介物及環境(如機房、雲端)，採取環境管理措施有無針對存取媒介物，如可攜式硬碟、光碟等，訂定程序規範。
針對實體環境(機房)，訂定程序規範，如：實體與環境安全管理程序書
可攜式媒體申請管控紀錄、實體環境管理措施紀錄。		(個資法未明確要求作法)
個資法第27條第1項規定
非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
30
7.業務終止之個資管理7.1訂有業務終止之個資處置措施請檢附所訂的個人資料檔案安全維護計畫(含業務終止後個人資料處理方法)。
確認是否有依安維辦法訂有業務終止之個資處置措施程序規範。
確認受查核對象保留業務終止各項措施實作紀錄(個資銷毀、移轉或其他刪除、停止處理與利用的紀錄)		第3、5條
第3條
前項計畫，應包括業務終止後個人資料處理方法等相關個人資料管理事項。		第4條
前項計畫，應包括業務終止後，個人資料處理方法等相關個人資料管理事項。		第4條
前項計畫，應包括業務終止後，個人資料處理方法等相關個人資料管理事項。		第7條
課照中心應指定專責人員，負責規劃、訂定、修正、執行安全維護計畫及業務終止後個人資料處理方法及其他相關事項，並定期向負責人提出報告。		第6條
補習班應指定專責人員，負責規劃、訂定、修正、執行計畫及業務終止後個人資料處理方法等相關事項，並定期向負責人提出報告。		第6條
運動彩券業應指定專責人員，負責規劃、訂定、修正、執行計畫及業務終止後個人資料處理方法等相關事項，並定期向負責人提出報告。		(個資法未要求照做)
個資法第27條第2項規定
中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。
31
7.2留存相關紀錄保存至少五年以上請檢附相關紀錄第14條
學校、機構業務終止後，其保有之個人資料之處理方式及留存紀錄如下：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。		第19條
學校及幼兒園業務終止後，其保有之個人資料之處理方式及留存紀錄如下：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。
前項紀錄應至少留存五年。		第21條
境外臺校業務終止後，其保有之個人資料之處理方式及留存紀錄如下：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。		第21條
1.課照中心業務終止後，其保有之個人資料之處理方式及留存紀錄如下：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。
2.前項紀錄應至少留存五年。		第19條
1.補習班業務終止後，其保有之個人資料之處理方式及留存紀錄如下：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。
2.前項紀錄應至少留存五年。		第20條
1.運動彩券業業務終止後，其保有之個人資料之處理方式及留存紀錄如下：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。
2.前項紀錄應至少留存十年。		(個資法未要求照做)
個資法第27條第2項規定
中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法。
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
十、使用紀錄、軌跡資料及證據保存。
32
8.事故通報與應變程序8.1 訂定個資洩漏等事故發生或知悉起72小時內通報流程請檢附個人資料事故通報作業規範/應變機制(事故發生應採取各類措施、應受通報之對象及通報方式等)
如曾有事故，請檢附通報紀錄、處理紀錄 (含跡證分析、事件調查、數位鑑識等紀錄)		第8條第3項
學校、機構應自第一項事故發現時起七十二小時內，填具個人資料侵害事故通報與紀錄表（如附件），通報主管機關，未依時限內通報者，應附理由說明；並自處理結束之日起一個月內，將處理方式及結果，報主管機關備查。		第13條第3項
學校及幼兒園應自第一項事故發現時起七十二小時內，填具個人資料侵害事故通報與紀錄表（如附件），通報主管機關；通報之主管機關為直轄市、縣（市）政府者，並應副知教育部，未依時限內通報者，應附理由說明；並自處理結束之日起一個月內，將處理方式及結果，報主管機關備查。		第15條
境外臺校應自第一項事故發現時起七十二小時內，填具個人資料侵害事故通報與紀錄表（如附件），通報主管機關，未依時限內通報者，應附理由說明；並自處理結束之日起一個月內，將處理方式及結果，報主管機關備查。		第15條第3項
課照中心應於事故發現時起七十二小時內，填具個人資料侵害事故通報與紀錄表（如附件），通報直轄市、縣（市）主管機關，並副知中央主管機關，未依時限內通報者，應附理由說明；並自處理結束之日起一個月內，將處理方式及結果，報直轄市、縣（市）主管機關備查。		第13條第3項
補習班應於事故發現時起七十二小時內，填具個人資料侵害事故通報與紀錄表（如附件），通報直轄市、縣（市）主管機關，並副知中央主管機關，未依時限內通報者，應附理由說明；並自處理結束之日起一個月內，將處理方式及結果，報直轄市、縣（市）主管機關備查。		第13條第3項
運動彩券業應於事故發現時起七十二小時內，填具個人資料侵害事故通報與紀錄表（如附件），通報主管機關，未依時限內通報者，應附理由說明；並自處理結束之日起一個月內，將處理方式及結果，報主管機關備查。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
四、事故之預防、通報及應變機制。
33
8.2 訂定對個資洩漏等事故應變措施以
控制損害		如有發生過事故請檢附當時的控制損害方式說明第8條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。		第13條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。		第15條
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。		第15條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。		第13條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。		第13條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
四、事故之預防、通報及應變機制。
34
8.3 訂定查明事故後以適當方式通知當事人之程序並告知已採取因應措施請說明應變機制對通知當事人之作法，如有發生過事故請檢附向當事人說明事件緣由及防護措施之通知紀錄。(個資法明確要求)
個資法第12條規定
公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。
35
8.4 研議預防機制請說明應變機制對避免類似事故再次發生之矯正及預防機制。
檢視是否有將個資外洩事故在年度訓練宣導		第8條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，並以適當方式通知當事人。
三、研議改進措施，避免事故再度發生。		第13條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，並以適當方式通知當事人或其法定代理人。
三、研議改進措施，避免事故再度發生。		第15條
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，並以適當方式通知當事人。
三、研議改進措施，避免事故再度發生。		第15條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，以適當方式通知當事人或其法定代理人。
三、研議改進措施，避免事故再度發生。		第13條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，以適當方式通知當事人或其法定代理人。
三、研議改進措施，避免事故再度發生。		第13條第2項
前項應變機制，應包括下列事項：
一、採取適當之措施，控制事故對當事人造成之損害。
二、查明事故發生原因及損害狀況，以適當方式通知當事人。
三、研議改進措施，避免事故再度發生。		(個資法未要求照做)
個資法施行細則第12條規定
得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
四、事故之預防、通報及應變機制。
36
9.資安檢測9.1系統弱點掃描請檢附弱掃報告及修補紀錄。
37
9.2滲透測試請檢附滲透報告及修補紀錄。
38
9.3資安健診請檢附健診報告及修補紀錄。
39
9.4APP檢測請檢附APP資安檢測報告。
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100