二十、研擬業務委外招標文件時，應評估廠商應具備個人資料保護管理能力，視實際需要於 招標文件訂定評選項目或於採購契約訂定監督事項及罰則條款，本要點應列入採購契 約文件供廠商遵循。

二十一、本局於履約期間應定期確認廠商執行個人資料保護措施並予以記錄。

二十二、契約終止、解除或屆滿時，廠商應返還或刪除所保有之個人資料，或交接本局指定 之其他單位，刪除存取權限，並切結未以任何形式保留備份或影本；續約廠商不在 此限。 履約期間廠商員工離職或留職停薪，應說明所負責系統之存取權限及完成鎖定帳號 或停止系統權限之時點，並應更換離職或留職停薪員工曾接觸之密碼。

二十三、依政府資訊公開法申請提供政府資訊，如涉及個人資料，除有本法第十六條但書情 形外，應依政府資訊公開法第十八條第一項第六款不予提供或經去識別化後提供。