第 3 條
- 1本辦法適用對象為菸酒管理法第五條第一項第一款及第二款所定之菸酒製造業者及菸酒進口業者（以下簡稱菸酒事業）。
- 2菸酒事業應訂定個人資料檔案安全維護計畫（以下簡稱本計畫），以落實個人資料檔案之安全維護與管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
- 3本計畫之內容應包括第四條至第二十二條規定之相關組織及程序，並應定期檢視及配合相關法令修正。
- 4菸酒事業應將訂定之安全維護計畫留存總機構及營業所在地備查；直轄市或縣（市）主管機關得派員檢查。
第 4 條
- 1菸酒事業就個人資料檔案安全維護管理應指定專人或建立專責組織，並配置相當資源。
- 2前項專人或專責組織之任務如下：
- 一、規劃、訂定、修正與執行本計畫及業務終止後個人資料處理方法等相關事項。
- 二、訂定個人資料保護管理政策，將其所蒐集、處理及利用個人資料之依據、特定目的及其他相關保護事項，公告使其所屬人員均明確瞭解。
- 三、定期對所屬人員施以基礎認知宣導或專業教育訓練，使其明瞭個人資料保護相關法令之規定、所屬人員之責任範圍及各種個人資料保護事項之方法或管理措施。
- 四、定期就執行任務情形向菸酒事業代表人或經其授權之人員提出書面報告。
- 3本計畫之訂定或修正，應經菸酒事業代表人或經其授權之人員核定。
第 7 條
- 1菸酒事業為因應所保有之個人資料被竊取、竄改、毀損、滅失或洩漏等事故，應採取下列措施：
- 一、適當之應變措施，以控制事故對當事人之損害，並通報總機構及營業所在地直轄市或縣（市）主管機關。
- 二、查明事故之狀況，並以適當方式通知當事人有關事實、因應措施及諮詢服務專線等。
- 三、研訂預防機制，避免類似事故再次發生。
- 2菸酒事業遇有個人資料安全事故者，應自發現事故時起算七十二小時內，依附表格式，以電子郵件方式通報總機構及營業所在地直轄市或縣（市）主管機關及副知財政部，並應視案情發展適時通報處理情形，以及將整體查處過程、結果與檢討等函報總機構及營業所在地直轄市或縣（市）主管機關及副知財政部。
- 3菸酒事業依前項規定通報後，主管機關得依本法第二十二條至第二十五條規定所賦予之職權，為適當之監督管理措施。
第 8 條
菸酒事業應依個人資料之屬性，分別訂定下列管理程序：
- 一、檢視及確認所蒐集、處理及利用之個人資料是否包含本法第六條所定個人資料及其特定目的。
- 二、確保蒐集、處理及利用本法第六條所定個人資料，是否符合相關法令之要件。
- 三、雖非本法第六條所定個人資料，惟如認為具有特別管理之需要，仍得比照或訂定特別管理程序。
第 10 條
- 1菸酒事業應檢視蒐集、處理個人資料是否符合本法第十九條規定，具有特定目的及法定要件。
- 2菸酒事業應檢視利用個人資料是否符合本法第二十條第一項規定，符合特定目的內利用；於特定目的外利用個人資料時，應檢視是否具備法定特定目的外利用要件。
第 14 條
菸酒事業為提供資料當事人行使本法第三條所規定之權利，應採取下列方式為之：
- 一、確認是否為個人資料之本人，或經其委託授權。
- 二、提供當事人行使權利之方式，並遵守本法第十三條有關處理期限之規定。
- 三、告知是否酌收必要成本費用。
- 四、如認有本法第十條及第十一條得拒絕當事人行使權利之事由，應附理由通知當事人。
第 15 條
菸酒事業為維護其所保有個人資料之正確性，應採取下列方式為之：
- 一、檢視個人資料於蒐集、處理或利用過程是否正確。
- 二、當發現個人資料不正確時，適時更正或補充，並通知曾提供利用之對象。
- 三、個人資料正確性有爭議者，應依本法第十一條第二項規定處理。
第 17 條
菸酒事業應採取下列人員管理措施：
- 一、依據作業之需要，建立管理機制，設定所屬人員不同權限，並定期確認權限內容之適當及必要性。
- 二、檢視各相關業務流程涉及蒐集、處理及利用個人資料之負責人員。
- 三、與所屬人員約定保密義務。
- 四、所屬人員離職時，應將所持有之個人資料辦理交接，不得在外繼續使用，並應簽訂保密切結書。
第 18 條
菸酒事業應採取下列資料安全管理措施：
- 一、運用電腦或自動化機器相關設備蒐集、處理或利用個人資料時，訂定使用可攜式設備或儲存媒體之規範。
- 二、針對所保有之個人資料內容，如有加密之需要，於蒐集、處理或利用時，採取適當之加密機制。
- 三、作業過程有備份個人資料之需要時，比照原件，依本法規定予以保護之。
- 四、個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片等媒介物，嗣該媒介物於報廢或轉作其他用途時，採適當防範措施，以免由該媒介物洩漏個人資料。
第 18-1 條
- 1菸酒事業以資通訊系統蒐集、處理或利用菸酒消費者個人資料，且保有之個人資料達一萬筆者，應採行下列資訊安全措施：
- 一、使用者身分確認及保護機制。
- 二、個人資料顯示之隱碼機制。
- 三、網際網路傳輸之安全加密機制。
- 四、個人資料檔案及資料庫之存取控制與保護監控措施。
- 五、防止外部網路入侵對策。
- 六、非法或異常使用行為之監控與因應機制。
- 2前項第五款及第六款所定措施，應定期演練及檢討改善。
第 19 條
菸酒事業針對保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦或自動化機器設備等媒介物之環境，應採取下列環境安全管理措施：
- 一、依據作業內容之不同，實施適宜之進出管制方式。
- 二、所屬人員妥善保管個人資料之儲存媒介物。
- 三、針對不同媒介物存在之環境，審酌建置適度之保護設備或技術。