本辦法依個人資料保護法（以下簡稱本法）第二十七條第三項規定訂定之。
本辦法適用對象，指依游離輻射防護法第三十條規定，經營可發生游離輻射設備製造者（以下簡稱業者）。
業者應依其業務規模及特性，衡酌經營資源之合理分配，規劃、訂定、檢討、修正及執行個人資料檔案安全維護計畫（以下簡稱本計畫）。
計畫項目包括：一、個人資料保護政策。
二、個人資料之範圍及項目。
三、個人資料之蒐集、處理及利用方式。
四、個人資料之安全管控、監督及稽核措施。
五、個人資料被竊取、竄改、毀損、滅失或洩漏時之通報及應變機制。
六、業務終止後其保有個人資料之處置措施。
七、對所屬人員之個人資料保護教育訓練。
八、專責人員及聯絡窗口。
業者申請可發生游離輻射設備之製造許可時，應訂定並檢附本計畫，報請主管機關備查；計畫修正時，亦同。
業者應於本辦法發布施行之次日起六個月內，完成計畫之訂定，並報請主管機關備查。
業者應確認蒐集個人資料之特定目的，依特定目的之必要性，界定所蒐集、處理及利用個人資料之類別或範圍，並定期清查所保有之個人資料現況。
業者經清查發現有非屬特定目的必要範圍內之個人資料或特定目的消失、期限屆滿而無保存必要者，應予刪除、銷毀或其他停止蒐集、處理或利用等適當之處置。
業者所屬人員為執行業務所蒐集之個人資料應視為該業者所蒐集持有，於蒐集時應檢視是否符合蒐集要件及特定目的之必要範圍，並接受監督。
業者與當事人簽訂之委託書，應於委託期限屆至時主動刪除或銷毀。
但因執行業務之必要或經當事人書面同意者，不在此限。
業者對當事人刪除或銷毀委託書之請求，認有執行業務之必要，得不予刪除或銷毀，並應將其理由以書面通知當事人。
業者委託他人蒐集、處理或利用個人資料之全部或一部時，應依本法施行細則第八條規定為適當之監督。
業者業務終止後，其保有之個人資料不得繼續使用，得依下列方式處理，並留存相關紀錄：一、銷毀：銷毀之方法、時間、地點及證明銷毀之方式。
二、移轉：移轉之原因、對象、方法、時間、地點及受移轉對象得保有該項個人資料之合法依據。
三、其他刪除、停止處理或利用個人資料：刪除、停止處理或利用之方法、時間或地點。
業者應訂定應變機制，於發生個人資料被竊取、洩漏、竄改或其他侵害事件時，迅速處理。
前項應變機制，應包括下列事項：一、採取適當之措施，控制事件對當事人造成之損害。
二、查明事件發生原因及損害狀況，並以適當方式通知當事人。
三、研議改進措施，避免事件再度發生。
業者應自事件發生之日起三日內，通報主管機關；並自處理結束之日起一個月內，將處理方式及結果，報主管機關備查。