發文字號：
個人資料保護委員會籌備處 115.08.19 個資籌法字第1150002320號函
發文日期：
民國 115 年 08 月 19 日
要 旨：
當企業蒐集、處理與利用消費者個資時，須有合法依據、不得超出原特定 目的，且行銷時必須尊重消費者之相關拒絕權益；如發現疑有違法廣蒐或 目的外利用，各中央目的事業主管機關及地方業管機關應依職權主動調查 及導正
主 旨：為維護消費者個人資料權益，請貴機關向所管行業宣導，於蒐集、處理及
利用消費者個人資料時，應確實遵守相關個人資料保護法規，請查照辦理
。
說 明：一、依據 115 年 6 月 26 日行政院消費者保護會第 99 次會議紀錄主
席裁示事項辦理。
二、鑒於消費爭議常涉及個人資料過度蒐用、欠缺透明度及行銷騷擾等情
事，為維護消費者個人資料權益，各類企業經營者（非公務機關）於
蒐集、處理及利用（含行銷）消費者個人資料時，應確實遵守業管法
規關於個人資料保護之規範，尤請注意遵循個人資料保護法（下稱個
資法）下列規定：
（一）個資之蒐集、處理及利用須有合法依據：
1.企業經營者為與消費者從事交易行為而蒐集其個人資料，得以個
資法第 19 條第 1 項第 2 款所定「契約或類似契約關係」作
為蒐集、處理消費者個人資料之合法事由。此時蒐集、處理個人
資料，原則上僅能於該契約事務之特定目的必要範圍內為之；其
後消費者個人資料之利用，按個資法第 20 條第 1 項規定，原
則上應於該契約履行及管理之特定目的必要範圍內為之，且該利
用行為須合乎社會通念下當事人對隱私權之合理期待。若利用行
為非屬原先蒐集特定目的之必要範圍內，則屬「特定目的外之利
用」，須具有個資法第 20 條第 1 項但書之法定事由，方為適
法，例如依個資法第 20 條第 1 項第 6 款另取得消費者同意
；又此處所稱之同意，按個資法第 7 條第 2 項規定，係指當
事人經蒐集者明確告知特定目的外之其他利用目的、範圍及同意
與否對其權益之影響後，單獨所為之意思表示。
2.舉例而言，業者基於買賣契約關係取得會員消費紀錄，欲將該紀
錄分享予關係企業，此分享行為涉及個資利用行為，須符合個資
法第 20 條第 1 項規定。首先，應視該業者原先基於契約關係
蒐集會員消費紀錄時，該契約事務之特定目的必要範圍是否包含
將會員紀錄分享予關係企業？會員可否合理預見其消費紀錄將被
分享及所分享的對象、範圍？若否，該分享行為係屬「特定目的
外之利用」。此際若該業者規劃依個資法第 20 條第 1 項第 6
款取得會員同意作為特定目的外利用之合法依據，應清楚向會員
說明資料分享之目的、範圍及同意與否對其權益之影響（個資法
第 7 條第 2 項參照），包括預計分享之目的、對象為何；將
分享的消費紀錄範圍，是否包含過去該會員所有歷史消費紀錄；
又如拒絕同意，對其原契約之權利義務有何影響（註：此部分亦
應注意避免誤導或強迫消費者同意之情形）等，藉由具體明確的
告知以取得消費者同意，確保其資訊自主決定權。又對於特定目
的外利用之同意，如經消費者撤回，該業者除有其他目的外利用
之合法事由，否則嗣後應停止該目的外利用行為。
（二）尊重消費者拒絕行銷權：按個資法第 20 條第 2 項規定：「非公
務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷
時，應即停止利用其個人資料行銷。」；同條第 3 項規定：「非
公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，
並支付所需費用。」企業經營者利用消費者個人資料進行行銷，消
費者對企業經營者表示拒絕接受行銷時，企業經營者應即停止利用
其個資行銷，消費者得隨時向企業經營者行使拒絕行銷之權利。
（三）另按個資法第 5 條規定：「個人資料之蒐集、處理或利用，應尊
重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必
要範圍，並應與蒐集之目的具有正當合理之關聯。」此為個人資料
之一般性原則，故非公務機關應避免巧立名目或理由，任意蒐用個
人資料。
三、由於現行個資法第 22、47、48 條等規定，各中央目的事業主管機關
或直轄市、縣（市）政府之權責包含對於非公務機關違反個資法案件
之行政檢查及裁處事項，請貴機關函轉所管行業之地方政府主管局（
處）共同進行宣導。倘發現所管業者有廣蒐個資或違法為目的外利用
等疑似違規情事，請依職權主動調查並及時導正，以共同建構誠信安
全之消費環境。
四、隨文檢附行政院消費者保護會第 99 次會議紀錄摘要 1 份。
正 本：內政部、外交部、國防部、財政部、教育部、法務部、經濟部、交通部、
勞動部、衛生福利部、農業部、文化部、環境部、數位發展部、大陸委員
會、金融監督管理委員會、國軍退除役官兵輔導委員會、原住民族委員會
、客家委員會、中央銀行、公平交易委員會、國家通訊傳播委員會、核能
安全委員會、運動部
副 本：行政院消費者保護處、財團法人中華民國消費者文教基金會