二十、研擬業務委外招標文件時，應評估廠商應具備個人資料保護管理能 力，視實際需要於招標文件訂定評選項目或於採購契約訂定監督事 項及罰則條款，本要點應列入採購契約文件供廠商遵循。

二十一、本局於履約期間應定期確認廠商執行個人資料保護措施並予以記 錄。

二十二、契約終止、解除或屆滿時，廠商應返還或刪除所保有之個人資料 ，或交接本局指定之其他單位，刪除存取權限，並切結未以任何 形式保留備份或影本；續約廠商不在此限。 履約期間廠商員工離職或留職停薪，應說明所負責系統之存取權 限及完成鎖定帳號或停止系統權限之時點，並應更換離職或留職 停薪員工曾接觸之密碼。

二十三、依政府資訊公開法申請提供政府資訊，如涉及個人資料，除有本 法第十六條但書情形外，應依政府資訊公開法第十八條第一項第 六款不予提供或經去識別化後提供。