第一條
本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之 。第二條
觀光旅館業應訂定個人資料檔案安全維護計畫（以下簡稱本計畫），以落 實個人資料檔案之安全維護與管理，防止個人資料被竊取、竄改、毀損、 滅失或洩漏。 前項所稱觀光旅館業，指依發展觀光條例領取營業執照，經營國際觀光旅 館或一般觀光旅館之公司。 本計畫之內容應包括第三條至第二十一條規定之相關組織及程序，並應定 期檢視及配合相關法令訂定或修正計畫。第三條
觀光旅館業就個人資料檔案安全維護管理得指定專人或建立專責組織，配
置相當資源，並定期向觀光旅館營業負責人報告。
前項專人或專責組織之任務如下：
一、規劃、訂定、修正與執行個人資料檔案安全維護計畫及業務終止後個
人資料處理方法等相關事項。
二、訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依
據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。
三、定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資
料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事
項之方法或管理措施。
第四條
觀光旅館業應確認蒐集個人資料之特定目的，依特定目的之必要性，界定 所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資 料現況。 前項清查發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期 限屆滿而無保存必要者，應依本法第十一條第三項規定予以刪除、銷毀或 其他停止蒐集、處理或利用等適當之處置。 觀光旅館業應確認保有之個人資料所應遵循適用之個人資料保護相關法令 現況。第五條
觀光旅館業得依已界定之個人資料範圍及個人資料蒐集、處理、利用之流 程，分析可能產生之風險，並根據風險分析之結果，訂定適當之管控措施 。第六條
觀光旅館業為因應所保有之個人資料被竊取、竄改、損毀、滅失或洩漏等
事故，應採取下列事項：
一、採取適當之應變措施，以控制事故對當事人之損害，並通報有關單位
。
二、查明事故之狀況並以適當方式通知當事人。
三、研議預防機制，避免類似事故再次發生。
第七條
觀光旅館業應依一般個人資料及本法第六條所定之個人資料之屬性，分別
訂定下列管理程序：
一、檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定
之個人資料及其特定目的。
二、檢視蒐集、處理及利用本法第六條所定之個人資料，是否符合相關法
令之要件。
三、雖非本法第六條所定之個人資料，惟如認為具有特別管理之需要，仍
得比照或訂定特別管理程序。
第八條
觀光旅館業為遵守本法第八條及第九條關於告知義務之規定，應採取下列 方式： 一、檢視蒐集、處理個人資料之特定目的，是否符合免告知之事由。 二、依據資料蒐集之情形，採取適當之告知方式。第九條
觀光旅館業應檢視蒐集、處理個人資料是否符合本法第十九條規定，具有 特定目的及法定要件。 檢視利用個人資料是否符合本法第二十條第一項規定，符合特定目的內利 用；於特定目的外利用個人資料時，應檢視是否具備法定特定目的外利用 要件。第十條
觀光旅館業委託他人蒐集、處理或利用個人資料之全部或一部時，應對受 託人依本法施行細則第八條規定為適當之監督，並明確約定相關監督事項 與方式。第十一條
觀光旅館業於首次利用個人資料為行銷時，應提供當事人免費表示拒絕接 受行銷之方式，且倘當事人表示拒絕行銷後，應立即停止利用其個人資料 行銷，並週知所屬人員。第十二條
觀光旅館業進行個人資料國際傳輸前，應檢視有無交通部依本法第二十一 條規定為限制國際傳輸之命令或處分，並應遵循之。第十三條
觀光旅館業為提供資料當事人行使本法第三條所規定之權利，得採取下列
方式為之：
一、確認是否為個人資料之本人，或經其委託授權。
二、提供當事人行使權利之方式，並遵守本法第十三條有關處理期限之規
定。
三、告知是否酌收必要成本費用。
四、如認有本法第十條及第十一條得拒絕當事人行使權利之事由，應附理
由通知當事人。
第十四條
觀光旅館業為維護其所保有個人資料之正確性，應採取下列方式為之：
一、檢視個人資料於蒐集、處理或利用過程，是否正確。
二、當發現個人資料不正確時，適時更正或補充，並通知曾提供利用之對
象。
三、個人資料正確性有爭議者，應依本法第十一條第二項規定處理。
第十五條
觀光旅館業得採取下列資料安全管理措施：
一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，宜訂
定使用可攜式設備或儲存媒體之規範。
二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用
時，宜採取適當之加密機制。
三、作業過程有備份個人資料之需要時，應比照原件，依本法規定予以保
護之。
四、個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片
等媒介物，嗣該媒介物於報廢或轉作其他用途時，宜採適當防範措施
，以免由該媒介物洩漏個人資料。
第十六條
觀光旅館業得採取下列人員管理措施：
一、依據作業之需要，適度設定所屬人員不同之權限並控管其接觸個人資
料之情形。
二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。
三、與所屬人員約定保密義務。
第十七條
觀光旅館業針對保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片 、積體電路晶片、電腦或自動化機器設備等媒介物之環境，宜採取下列環 境管理措施： 一、依據作業內容之不同，實施適宜之進出管制方式。 二、所屬人員妥善保管個人資料之儲存媒介物。 三、針對不同媒介物存在之環境，審酌建置適度之保護設備或技術。 於委託他人執行上開行為時，準用第十條規定。第十八條
觀光旅館業於業務終止後，針對個人資料得參酌下列措施為之，並留存相
關紀錄：
一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該
項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法
、時間或地點。
第十九條
觀光旅館業應訂定個人資料安全稽核機制，定期或不定期查察是否落實執 行所定之個人資料檔案安全維護計畫或業務終止後個人資料處理方法等相 關事項。第二十條
觀光旅館業得採行適當措施，採取個人資料使用紀錄、留存自動化機器設 備之軌跡資料或其他相關證據保存機制，以供必要時說明其所定計畫之執 行情況。第二十一條
觀光旅館業宜參酌執行業務現況、社會輿情、技術發展、法令變化等因素 ，檢視所定計畫是否合宜，必要時予以修正。第二十二條
本辦法施行日期，由交通部定之。