Regulations for the Security and Maintenance of Personal Information Files in Cooperative & Civil Associations-related Non-government Agencies Article 8
In response to security breaches, including personal data being stolen, altered, damaged, destroyed, or disclosed (hereinafter, “personal data breach”), a non-government agency shall establish a mechanism of responding, giving notice of, and preventing a data breach as follows:1.A variety of measures that shall be adopted following the occurrence of a personal data breach, including:(1)a method for the data subject to control the damages;(2)a proper method to notify the data subject following the clarification of the facts of the personal data breach; and(3)the contents of the personal data breach of which the data subject shall be notified, including the facts, necessary responding measures, and consultation service hotline;2.The recipients that shall given notice and the notification method following the occurrence of the personal data breach.3.A discussion mechanism of correction and prevention measures following the occurrence of the personal data breach.Where a personal data breach reaches an amount of 1,000 or more, a non-government agency in the case shall notify, within 72 hours following the disclosure of the breach, the competent authority in writing of information, such as the agency of notification, the time of occurrence, the type of breach, the cause and summary of breach, the damage condition, the possible consequences of personal data infringements, the responding measure to be adopted, when and how to notify the data subject, whether to notify immediately following the discovery of personal data disclosure. Where a municipal or county (city) competent authority receives the notification of the breach, it shall also notify the central competent authority (see the Appendix for a written notification format).For a material personal data breach, the competent authority may conduct field inspection on the response, notification, and prevention mechanisms of the non-government agency according to Article 22 of the Act, and take any further action depending on the inspection result. The central competent authority, if deeming it necessary, may supervise the municipal or county (city) competent authorities on the improvements to the relevant mechanisms of the non-government agency.Appendix.odt
中文原文 內政部指定合作及人民團體類非公務機關個人資料檔案安全維護管理辦法第8條
非公務機關為因應個人資料之竊取、竄改、毀損、滅失或洩漏等安全事故（以下簡稱個人資料事故），應訂定下列應變、通報及預防機制：
一、個人資料事故發生後應採取之各類措施，包括：
（一）控制當事人損害之方式。
（二）查明個人資料事故後通知當事人之適當方式。
（三）應通知當事人個人資料事故事實、所為因應措施及諮詢服務專線等內容。
二、個人資料事故發生後應受通報之對象及其通報方式。
三、個人資料事故發生後，其矯正預防措施之研議機制。
非公務機關遇有達一千筆以上之個人資料事故時，應於發現後七十二小時內將通報機關、發生時間、發生種類、發生原因及摘要、損害狀況、個人資料侵害可能結果、擬採取之因應措施、擬通知當事人之時間及方式、是否於發現個人資料外洩後立即通報等事項，以書面通報其主管機關。
如為直轄市、縣（市）主管機關接獲通報，並應副知中央主管機關（書面通報格式如附件）。
主管機關對於重大個人資料事故，得依本法第二十二條規定對非公務機關之應變、通報及預防機制進行實地檢查，並視檢查結果為後續處置。
中央主管機關認有必要時，得督導直轄市、縣（市）主管機關對於非公務機關之相關機制改善情形。
一、個人資料事故發生後應採取之各類措施，包括：
（一）控制當事人損害之方式。
（二）查明個人資料事故後通知當事人之適當方式。
（三）應通知當事人個人資料事故事實、所為因應措施及諮詢服務專線等內容。
二、個人資料事故發生後應受通報之對象及其通報方式。
三、個人資料事故發生後，其矯正預防措施之研議機制。
非公務機關遇有達一千筆以上之個人資料事故時，應於發現後七十二小時內將通報機關、發生時間、發生種類、發生原因及摘要、損害狀況、個人資料侵害可能結果、擬採取之因應措施、擬通知當事人之時間及方式、是否於發現個人資料外洩後立即通報等事項，以書面通報其主管機關。
如為直轄市、縣（市）主管機關接獲通報，並應副知中央主管機關（書面通報格式如附件）。
主管機關對於重大個人資料事故，得依本法第二十二條規定對非公務機關之應變、通報及預防機制進行實地檢查，並視檢查結果為後續處置。
中央主管機關認有必要時，得督導直轄市、縣（市）主管機關對於非公務機關之相關機制改善情形。