本法用詞，定義如下： 一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護 照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因 、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及 其他得以直接或間接方式識別該個人之資料。 二、個人資料檔案：指依系統建立而得以自動化機器或其他非自動化方式 檢索、整理之個人資料之集合。 三、蒐集：指以任何方式取得個人資料。 四、處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、 編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。 五、利用：指將蒐集之個人資料為處理以外之使用。 六、國際傳輸：指將個人資料作跨國（境）之處理或利用。 七、公務機關：指依法行使公權力之中央或地方機關或行政法人。 八、非公務機關：指前款以外之自然人、法人或其他團體。 九、當事人：指個人資料之本人。

非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集 之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利 用： 一、法律明文規定。 二、為增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要， 且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當 事人。 六、經當事人同意。 七、有利於當事人權益。 非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時 ，應即停止利用其個人資料行銷。 非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支 付所需費用。

非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料 被竊取、竄改、毀損、滅失或洩漏。 中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫 或業務終止後個人資料處理方法。 前項計畫及處理方法之標準等相關事項之辦法，由中央目的事業主管機關 定之。

非公務機關有下列情事之一者，由中央目的事業主管機關或直轄市、縣（ 市）政府處新臺幣五萬元以上五十萬元以下罰鍰，並令限期改正，屆期未 改正者，按次處罰之： 一、違反第六條第一項規定。 二、違反第十九條規定。 三、違反第二十條第一項規定。 四、違反中央目的事業主管機關依第二十一條規定限制國際傳輸之命令或 處分。

非公務機關有下列情事之一者，由中央目的事業主管機關或直轄市、縣（ 市）政府限期改正，屆期未改正者，按次處新臺幣二萬元以上二十萬元以 下罰鍰： 一、違反第八條或第九條規定。 二、違反第十條、第十一條、第十二條或第十三條規定。 三、違反第二十條第二項或第三項規定。 非公務機關違反第二十七條第一項或未依第二項訂定個人資料檔案安全維 護計畫或業務終止後個人資料處理方法者，由中央目的事業主管機關或直 轄市、縣（市）政府處新臺幣二萬元以上二百萬元以下罰鍰，並令其限期 改正，屆期未改正者，按次處新臺幣十五萬元以上一千五百萬元以下罰鍰 。 非公務機關違反第二十七條第一項或未依第二項訂定個人資料檔案安全維 護計畫或業務終止後個人資料處理方法，其情節重大者，由中央目的事業 主管機關或直轄市、縣（市）政府處新臺幣十五萬元以上一千五百萬元以 下罰鍰，並令其限期改正，屆期未改正者，按次處罰。

非公務機關之代表人、管理人或其他有代表權人，因該非公務機關依前三 條規定受罰鍰處罰時，除能證明已盡防止義務者外，應並受同一額度罰鍰 之處罰。

本法第六條第一項但書第二款及第五款所稱適當安全維護措施、第十八條 所稱安全維護事項、第十九條第一項第二款及第二十七條第一項所稱適當 之安全措施，指公務機關或非公務機關為防止個人資料被竊取、竄改、毀 損、滅失或洩漏，採取技術上及組織上之措施。 前項措施，得包括下列事項，並以與所欲達成之個人資料保護目的間，具 有適當比例為原則： 一、配置管理之人員及相當資源。 二、界定個人資料之範圍。 三、個人資料之風險評估及管理機制。 四、事故之預防、通報及應變機制。 五、個人資料蒐集、處理及利用之內部管理程序。 六、資料安全管理及人員管理。 七、認知宣導及教育訓練。 八、設備安全管理。 九、資料安全稽核機制。 十、使用紀錄、軌跡資料及證據保存。 十一、個人資料安全維護之整體持續改善。