業者因執行業務以資通訊系統蒐集、處理或利用個人資料時，應採行下列
資訊安全措施：
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、個人資料檔案及資料庫之存取控制與保護監控措施。
五、防止外部網路入侵對策。
六、非法或異常使用行為之監控與因應機制。
前項第五款及第六款所定措施，應定期演練及檢討改善。

一、本條新增。
二、依行政院一百十年二月三日「行政機關落實個人資料保護執行聯繫會
    議」第一次會議紀錄，為強化資安標準規範，於第一項明定業者以資
    通訊系統蒐集、處理或利用個人資料時，應採行之資料安全管理措施
    ，以落實個資安全保障。
三、為使業者建置之個人資料檔案系統遭遇各類資安事件時，能儘速恢復
    正常並控制損害，於第二項明定業者針對防止外部網路入侵及防範非
    法或異常使用行為之應變措施，須定期進行演練及檢討改善。

本辦法適用對象如下：
一、經營定期航線之中外籍民用航空運輸業。
二、經營國際商務專機之普通航空業。
前項之中外籍民用航空運輸業及普通航空業（以下簡稱業者）應訂定個人
資料檔案安全維護計畫（以下簡稱本計畫），以落實個人資料檔案之安全
維護與管理，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
本計畫之內容應包括第三條至第二十二條規定之相關組織及程序，並應定
期檢視及配合相關法令修正。

一、為強化個人資料國際傳輸保護措施，行政院一百十年八月六日研商「
    非公務機關個人資料國際傳輸之限制」第二次會議紀要，將普通航空
    業納入保護業別。鑒於普通航空業經營項目包括空中遊覽、勘察、照
    測、消防、搜尋、救護、拖吊、噴灑、拖靶勤務、商務專機等業務，
    其中僅經營國際商務專機之業者，有將旅客資料傳輸至國外機場相關
    單位情形，爰於第一項將經營國際商務專機之普通航空業納入規範，
    並分列二款規定，以資明確。
二、配合第一項之修正，第二項酌作文字調整。

業者為因應所保有之個人資料被竊取、竄改、毀損、滅失或洩漏等事故，
應採取下列事項：
一、適當之應變措施，以控制事故對當事人之損害。
二、查明事故之狀況並以適當方式通知當事人；其通知內容包含個人資料
    發生事故之事實、業者所採取之因應措施及所提供之諮詢服務專線。
三、研訂預防機制，避免類似事故再次發生。
業者應於發現前項事故後七十二小時內填具個人資料侵害事故通報及紀錄
表通報交通部民用航空局；未於時限內通報者，應附延遲理由（通報格式
如附表）。
前項事故通報後，主管機關得依本法第二十二條至第二十六條規定所賦予
之職權，為適當之監督管理措施。

一、依行政院一百十年九月二日「行政機關落實個人資料保護執行聯繫會
    議」第三次會議紀錄及行政院一百十年八月十一日訂定之「行政院及
    所屬各機關落實個人資料保護聯繫作業要點」第六點第一項規定，增
    訂業者遇個人資料安全事故發生後，應依規定之時間填具紀錄表，俾
    業者遵行及落實通報作業。
二、另因應個人資料侵害事故發生，主管機關於接獲通報後，得依個人資
    料保護法第二十二條至第二十六條所規範為適當之監督管理措施，相
    關監督管理措施並得依同法第五十二條規定委任所屬機關辦理。

業者進行個人資料國際傳輸前，應辦理下列事項：
一、檢視有無交通部依本法第二十一條規定為限制國際傳輸之命令或處分
    ，並應遵循之。
二、告知當事人其個人資料所欲國際傳輸之區域，同時對資料接收方為下
    列事項之監督：
    （一）預定處理或利用個人資料之範圍、類別、特定目的、期間、地
          區、對象及方式。
    （二）當事人行使本法第三條所定權利之相關事項。

鑒於業者將個人資料作跨國（境）之處理或利用時，可能影響我國人民隱
私，為加強保護措施，依行政院一百十年八月六日「研商非公務機關個人
資料國際傳輸之限制」第二次會議紀要，將業者進行個人資料國際傳輸前
應辦理之事項，分二款修正如下：
一、第一款規定由現行條文移列修正，規定應檢視有無交通部依本法第二
    十一條規定為限制國際傳輸之命令或處分，並應遵循之。
二、增列第二款明定應告知當事人相關個人資料國際傳輸之區域，並對資
    料接收方為適當之監督。