Regulations Governing the Standards for Information System and Security Management of Electronic Payment Institutions Article 13
The personal data protection in e-payment operating environment shall meet the following requirements:1. To uphold the security of personal data in possession, the electronic payment institution should adopt the following data security management measures:(1) Establish rules for the use of various equipment or storage media and proper measures for preventing data leak when such equipment or storage medium is scrapped or used for other purposes;(2) For personal data in possession that need to be encrypted, adopt proper encryption measures at the time of data gathering, processing or use; and(3) When it is necessary to make backup copy of personal data, implement proper protection for the backup data.2. When personal data in possession are stored on papers, in magnetic disks, magnetic tapes, optical disks, microfilms, integrated circuits, computers, automated machines or other media, the electronic payment institution should adopt the following equipment security management measures:(1) Implement appropriate access control;(2) Draw up media safekeeping methods; and(3) Establish proper protective equipment or technology based on the characteristics of media and related environment.3. To uphold the security of personal data in possession, the electronic payment institution should, based on the needs of business conducted, set up access authority of personnel having access to personal data and control the access, and enter an agreement on confidentiality obligation with those personnel.4. The electronic payment institution should take inventory of e-payment operating environment, including database, datafiles, forms and statements, documents, FTP servers and personal computers to see if they contain personal data and compile a list therefor, and carry out risk assessment and control.5. The electronic payment institution should generate and save the audit trail (e.g. account login, system functions, time, system name, query command or results) or identification mechanism for personal data use to facilitate the tracking of personal data use situations, including files, screen images and lists when there is a personal data leak.6. The electronic payment institution should establish data leak protection mechanism to control the transmission of personal data files via input/output device, communication software, system operations copied to webpage or network file or printing, and retain relevant records, trails and digital evidences.7. The following records shall be retained if personal data in possession are deleted, or stopped processing or use:(1) The method and time for deletion, or stop of processing or use.(2) Where the personal data being deleted, stopped processing or use are transferred to other entities, the transferee, reason, method, and time of transfer and legal basis for the transferee to gather, process or use such data.8. To continuously improve the maintenance of personal data security, the personal data management unit or personnel of the electronic payment institution should produce related self-evaluation reports regularly and set up the following mechanisms:(1) Inspecting and revising relevant personal data protection matters; and(2) Planning and carrying out corrective and preventive actions if the self-evaluation report indicates possible regulatory violation.9. The self-evaluation report provided in the preceding subparagraph shall be adopted by resolution of the board of directors , the board of managing directors or approved by managerial officer authorized by the board. For branches of foreign banks in Taiwan or electronic payment processing institutions without a board of directors, the self-evaluation report shall be signed off by their responsible officer.
中文原文 電子支付機構資訊系統標準及安全控管作業基準辦法第13條
電子支付作業環境之個人資料保護應符合下列要求：
一、為維護所保有個人資料之安全，應採取下列資料安全管理措施：
（一）訂定各類設備或儲存媒體之使用規範，及報廢或轉作他用時，應採取防範資料洩漏之適當措施。
（二）針對所保有之個人資料內容，有加密之需要者，於蒐集、處理或利用時，採取適當之加密措施。
（三）作業過程有備份個人資料之需要時，對備份資料予以適當保護。
二、保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦、自動化機器設備或其他媒介物者，應採取下列設備安全管理措施：
（一）實施適宜之存取管制。
（二）訂定妥善保管媒介物之方式。
（三）依媒介物之特性及其環境，建置適當之保護設備或技術。
三、為維護所保有個人資料之安全，應依執行業務之必要，設定相關人員接觸個人資料之權限及控管其接觸情形，並與所屬人員約定保密義務。
四、應針對電子支付作業環境，包含資料庫、資料檔案、報表、文件、傳檔伺服器及個人電腦等進行清查盤點是否含有個人資料並編製個人資料清冊，並進行風險評估與控管。
五、應建置留存個人資料使用稽核軌跡（如登入帳號、系統功能、時間、系統名稱、查詢指令或結果）或辨識機制，以利個人資料外洩時得以追蹤個人資料使用狀況，包括檔案、螢幕畫面、列表。
六、應建立資料外洩防護機制，管制個人資料檔案透過輸出入裝置、通訊軟體、系統操作複製至網頁或網路檔案、或列印等方式傳輸，並應留存相關紀錄、軌跡與數位證據。
七、如刪除、停止處理或利用所保有之個人資料後，應留存下列紀錄：
（一）刪除、停止處理或利用之方法、時間。
（二）將刪除、停止處理或利用之個人資料移轉其他對象者，其移轉之原因、對象、方法、時間，及該對象蒐集、處理或利用之合法依據。
八、為持續改善個人資料安全維護，其所屬個人資料管理單位或人員，應定期提出相關自我評估報告，並訂定下列機制：
（一）檢視及修訂相關個人資料保護事項。
（二）針對評估報告中有違反法令之虞者，規劃、執行改善及預防措施。
九、前款自我評估報告，應經董（理）事會、常務董（理）事會決議或經其授權之經理部門核定。
但外國銀行在臺分行或未設董（理）事會者，應由其負責人簽署。
一、為維護所保有個人資料之安全，應採取下列資料安全管理措施：
（一）訂定各類設備或儲存媒體之使用規範，及報廢或轉作他用時，應採取防範資料洩漏之適當措施。
（二）針對所保有之個人資料內容，有加密之需要者，於蒐集、處理或利用時，採取適當之加密措施。
（三）作業過程有備份個人資料之需要時，對備份資料予以適當保護。
二、保有個人資料存在於紙本、磁碟、磁帶、光碟片、微縮片、積體電路晶片、電腦、自動化機器設備或其他媒介物者，應採取下列設備安全管理措施：
（一）實施適宜之存取管制。
（二）訂定妥善保管媒介物之方式。
（三）依媒介物之特性及其環境，建置適當之保護設備或技術。
三、為維護所保有個人資料之安全，應依執行業務之必要，設定相關人員接觸個人資料之權限及控管其接觸情形，並與所屬人員約定保密義務。
四、應針對電子支付作業環境，包含資料庫、資料檔案、報表、文件、傳檔伺服器及個人電腦等進行清查盤點是否含有個人資料並編製個人資料清冊，並進行風險評估與控管。
五、應建置留存個人資料使用稽核軌跡（如登入帳號、系統功能、時間、系統名稱、查詢指令或結果）或辨識機制，以利個人資料外洩時得以追蹤個人資料使用狀況，包括檔案、螢幕畫面、列表。
六、應建立資料外洩防護機制，管制個人資料檔案透過輸出入裝置、通訊軟體、系統操作複製至網頁或網路檔案、或列印等方式傳輸，並應留存相關紀錄、軌跡與數位證據。
七、如刪除、停止處理或利用所保有之個人資料後，應留存下列紀錄：
（一）刪除、停止處理或利用之方法、時間。
（二）將刪除、停止處理或利用之個人資料移轉其他對象者，其移轉之原因、對象、方法、時間，及該對象蒐集、處理或利用之合法依據。
八、為持續改善個人資料安全維護，其所屬個人資料管理單位或人員，應定期提出相關自我評估報告，並訂定下列機制：
（一）檢視及修訂相關個人資料保護事項。
（二）針對評估報告中有違反法令之虞者，規劃、執行改善及預防措施。
九、前款自我評估報告，應經董（理）事會、常務董（理）事會決議或經其授權之經理部門核定。
但外國銀行在臺分行或未設董（理）事會者，應由其負責人簽署。