非公務機關應依前條已界定之個人資料範圍及蒐集、處理、利用個人資料之流程，評估可能產生之風險，並根據風險評估之結果，依風險等級訂定適當之管控措施。