個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法 為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之 關聯。

第十五條第二款及第十九條第一項第五款所稱同意，指當事人經蒐集者告 知本法所定應告知事項後，所為允許之意思表示。 第十六條第七款、第二十條第一項第六款所稱同意，指當事人經蒐集者明 確告知特定目的外之其他利用目的、範圍及同意與否對其權益之影響後， 單獨所為之意思表示。 公務機關或非公務機關明確告知當事人第八條第一項各款應告知事項時， 當事人如未表示拒絕，並已提供其個人資料者，推定當事人已依第十五條 第二款、第十九條第一項第五款之規定表示同意。 蒐集者就本法所稱經當事人同意之事實，應負舉證責任。

非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應 有特定目的，並符合下列情形之一者： 一、法律明文規定。 二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。 三、當事人自行公開或其他已合法公開之個人資料。 四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過 提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。 五、經當事人同意。 六、為增進公共利益所必要。 七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利 用，顯有更值得保護之重大利益者，不在此限。 八、對當事人權益無侵害。 蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之 處理或利用時，應主動或依當事人之請求，刪除、停止處理或利用該個人 資料。

非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集 之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利 用： 一、法律明文規定。 二、為增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要， 且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當 事人。 六、經當事人同意。 七、有利於當事人權益。 非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時 ，應即停止利用其個人資料行銷。 非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支 付所需費用。

主管機關認非公務機關有違反本法規定之虞，或為檢視其落實本法情形而 認有必要時，得依下列方式進行檢查： 一、通知非公務機關或其相關人員陳述意見。 二、通知非公務機關或其相關人員提供必要之文書、資料、物品或為其他 配合措施。 三、自行或會同中央目的事業主管機關、直轄市、縣（市）政府或其他有 關機關派員攜帶執行職務證明文件進入檢查，並得令相關人員為必要 之說明、配合措施或提供相關證明資料。 前項檢視落實本法情形檢查作業之規劃、評估方式、考量因素、中央目的 事業主管機關、直轄市、縣（市）政府或有關機關之協力事項及其他相關 事項之辦法，由主管機關定之。 主管機關為第一項檢查時，對於得沒入或可為證據之個人資料或其檔案， 得扣留或複製之。對於應扣留或複製之物，得要求其所有人、持有人或保 管人提出或交付；無正當理由拒絕提出、交付或抗拒扣留或複製者，得採 取對該非公務機關權益損害最少之方法強制為之。 對於依第一項或前項所為之通知、進入、檢查或處分，非公務機關及其相 關人員無正當理由不得規避、妨礙或拒絕。 主管機關為第一項第三款檢查時，得率同資訊、電信、法律或其他專業人 員共同為之。 參與檢查之人員，對於因執行檢查所知悉或持有之資料，負保密義務，並 應注意被檢查者之名譽。 第一項檢查之執行，主管機關於必要時得請求中央目的事業主管機關、直 轄市、縣（市）政府或其他相關機關（構）配合採取有效措施或提供協助 。

非公務機關有下列情事之一者，由主管機關處新臺幣五萬元以上五十萬元 以下罰鍰，並令限期改正，屆期未改正者，按次處罰之： 一、違反第六條第一項規定。 二、違反第十九條規定。 三、違反第二十條第一項規定。 四、違反依第二十一條規定所為限制國際傳輸之命令或處分。

非公務機關有下列情事之一者，由主管機關令其限期改正，屆期未改正者 ，按次處新臺幣二萬元以上二十萬元以下罰鍰： 一、違反第八條或第九條規定。 二、違反第十條、第十一條或第十三條規定。 三、違反第十二條第一項或依第四項所定辦法中有關通知之內容、方式或 時限之規定。 四、違反第二十條第二項或第三項規定。 非公務機關違反第十二條第二項、第三項或依第四項所定辦法中有關通報 之內容、方式、時限、應變措施、紀錄保存之規定者，由主管機關處新臺 幣二萬元以上二十萬元以下罰鍰，並令其限期改正，屆期未改正者，按次 處罰。 非公務機關有下列情事之一者，由主管機關處新臺幣二萬元以上二百萬元 以下罰鍰，並令其限期改正，屆期未改正者，按次處新臺幣十五萬元以上 一千五百萬元以下罰鍰： 一、違反第二十條之一第一項規定。 二、違反依第二十條之一第二項所定辦法中有關個人資料檔案安全維護事 項、管理機制、應採取措施之規定。 三、未依第五十一條之一第三項訂定個人資料檔案安全維護計畫或業務終 止後個人資料處理方法。 四、違反第五十一條之一第四項所定辦法中有關計畫或處理方法應具備之 內容、執行方式或基準之規定。 非公務機關有前項各款情事之一，其情節重大者，由主管機關處新臺幣十 五萬元以上一千五百萬元以下罰鍰，並令其限期改正，屆期未改正者，按 次處罰。