第十六條（公務機關不得逾越執行法定職務之必要範圍）
公務機關對個人資料之利用，除第六條第一項所規定資料外，應於執行法定職務必要範圍內 為之，並與蒐集之特定目的相符。但有下列情形之一者，得為特定目的外之利用： 一、法律明文規定。 二、為維護國家安全或增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者 處理後或經蒐集者依其揭露方式無從識別特定之當事人。 六、有利於當事人權益。 七、經當事人同意。

第十九條（非公務機關蒐集或處理個人資料之要件）
非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符 合下列情形之一者： 一、法律明文規定。 二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。 三、當事人自行公開或其他已合法公開之個人資料。 四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經 蒐集者依其揭露方式無從識別特定之當事人。 五、經當事人同意。 六、為增進公共利益所必要。 七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保 護之重大利益者，不在此限。 八、對當事人權益無侵害。 蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之處理或利用時，應 主動或依當事人之請求，刪除、停止處理或利用該個人資料。

第二十條（非公務機關利用個人資料之除外情形）
非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範 圍內為之。但有下列情形之一者，得為特定目的外之利用： 一、法律明文規定。 二、為增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者 處理後或經蒐集者依其揭露方式無從識別特定之當事人。 六、經當事人同意。 七、有利於當事人權益。 非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其 個人資料行銷。 非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。

第二十二條（行政監督之權責及保密義務）
中央目的事業主管機關或直轄市、縣（市）政府為執行資料檔案安全維護、業務終止資料處 理方法、國際傳輸限制或其他例行性業務檢查而認有必要或有違反本法規定之虞時，得派員 攜帶執行職務證明文件，進入檢查，並得命相關人員為必要之說明、配合措施或提供相關證 明資料。 中央目的事業主管機關或直轄市、縣（市）政府為前項檢查時，對於得沒入或可為證據之個 人資料或其檔案，得扣留或複製之。對於應扣留或複製之物，得要求其所有人、持有人或保 管人提出或交付；無正當理由拒絕提出、交付或抗拒扣留或複製者，得採取對該非公務機關 權益損害最少之方法強制為之。 中央目的事業主管機關或直轄市、縣（市）政府為第一項檢查時，得率同資訊、電信或法律 等專業人員共同為之。 對於第一項及第二項之進入、檢查或處分，非公務機關及其相關人員不得規避、妨礙或拒絕 。 參與檢查之人員，因檢查而知悉他人資料者，負保密義務。

第二十三條（扣留物或複製物之標示、保管及發還）
對於前條第二項扣留物或複製物，應加封緘或其他標識，並為適當之處置；其不便搬運或保 管者，得命人看守或交由所有人或其他適當之人保管。扣留物或複製物已無留存之必要，或 決定不予處罰或未為沒入之裁處者，應發還之。但應沒入或為調查他案應留存者，不在此限 。

第二十四條（不服聲明異議之權利及救濟）
非公務機關、物之所有人、持有人、保管人或利害關係人對前二條之要求、強制、扣留或複 製行為不服者，得向中央目的事業主管機關或直轄市、縣（市）政府聲明異議。 前項聲明異議，中央目的事業主管機關或直轄市、縣（市）政府認為有理由者，應立即停止 或變更其行為；認為無理由者，得繼續執行。經該聲明異議之人請求時，應將聲明異議之理 由製作紀錄交付之。 對於中央目的事業主管機關或直轄市、縣（市）政府前項決定不服者，僅得於對該案件之實 體決定聲明不服時一併聲明之。但第一項之人依法不得對該案件之實體決定聲明不服時，得 單獨對第一項之行為逕行提起行政訴訟。

第二十五條（違反規定之裁處）
非公務機關有違反本法規定之情事者，中央目的事業主管機關或直轄市、縣（市）政府除依 本法規定裁處罰鍰外，並得為下列處分： 一、禁止蒐集、處理或利用個人資料。 二、命令刪除經處理之個人資料檔案。 三、沒入或命銷燬違法蒐集之個人資料。 四、公布非公務機關之違法情形，及其姓名或名稱與負責人。 中央目的事業主管機關或直轄市、縣（市）政府為前項處分時，應於防制違反本法規定情事 之必要範圍內，採取對該非公務機關權益損害最少之方法為之。

第二十六條（公布檢查結果）
中央目的事業主管機關或直轄市、縣（市）政府依第二十二條規定檢查後，未發現有違反本 法規定之情事者，經該非公務機關同意後，得公布檢查結果。

第二十七條（個人資料檔案安全維護計畫及業務終止處理方法）
非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀 損、滅失或洩漏。 中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人 資料處理方法。 前項計畫及處理方法之標準等相關事項之辦法，由中央目的事業主管機關定之。

第十二條
本法第六條第一項但書第二款及第五款所稱適當安全維護措施、第十八條所稱安全維護事項 、第十九條第一項第二款及第二十七條第一項所稱適當之安全措施，指公務機關或非公務機 關為防止個人資料被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施。 前項措施，得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則 ： 一、配置管理之人員及相當資源。 二、界定個人資料之範圍。 三、個人資料之風險評估及管理機制。 四、事故之預防、通報及應變機制。 五、個人資料蒐集、處理及利用之內部管理程序。 六、資料安全管理及人員管理。 七、認知宣導及教育訓練。 八、設備安全管理。 九、資料安全稽核機制。 十、使用紀錄、軌跡資料及證據保存。 十一、個人資料安全維護之整體持續改善。