或許大家都曾有類似的經驗，在網路或是實體店家消費時，店家請我們先填寫個人資料，才提供相關商品或服務，若是進一步詢問為何要填寫個人資料，店家可能表示是為了提供售後服務，來說服我們提供個人資料。不過，通常的結果都是不但沒有享受到什麼產品售後服務，反而不斷收到店家所寄發的廣告信件、簡訊等。舉例而言，我們在3C賣場購買新款智慧型手機，店家表示為了提供售後服務，請您留下個人資料。沒想到從此開始不斷接到店家的廣告傳單、特惠訊息等。相信大家都很想知道這樣常見的行銷利用是否符合新修正的個人資料保護法？消費者面對這種情形可以主張什麼權利或如何因應？而企業如果希望在消費者購物後，可以繼續的對消費者進行其他商品或服務的行銷，又該怎麼做呢？
依新修正個人資料保護法的規定，企業必須要基於一定原因、有特定目的、善盡告知義務，才可以在特定目的的範圍內蒐集、處理或利用個人資料。在前述3C賣場的案例中，賣場若表示為了提供售後服務，請您留下個人資料，且盡了第8條的告知義務，這應是合法的蒐集，但日後賣場想要利用您的這些個人資料來行銷其他的產品或是服務，就未必符合新修正個資法的規範。以下我們比較仔細地由法條的規定來評析前述個人資料蒐集與利用行為之合法性。
首先，個人資料保護法第20條規定，企業蒐集來的個人資料，只能在蒐集時的特定目的內加以利用。例如，基於人事行政管理目的蒐集來的員工個人資料，就不能利用於行銷，除非另行符合特定目的外利用的規範，否則即屬於違法的特定目的外的利用行為，而須要負擔相關的民事，甚至刑事責任。
其次，縱使企業在消費者購物時，告知蒐集目的包括商品行銷，過去法務部曾經對行銷目的作出限縮的解釋，即企業若未與當事人間另有書面的蒐集個人資料之同意，而是透過當次交易之「契約或類似契約關係」，其就後續的行銷行為，亦僅能將該次蒐集之個人資料，用於行銷「與該契約或類似契約有關之商品資訊」，而不得將其用於行銷其他與當事人契約或類似契約內容無涉之商品或服務資訊。事實上，新修正個人資料保護法第5條，「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」亦與法務部前開函釋採相同的見解。
故就前述在3C賣場購買智慧型手機的案例，賣場即使於銷售手機時告知將蒐集消費者之個人資料供行銷之用，未明確取得消費者有關行銷該賣場所有商品或服務之同意，該等行銷將被限縮於與該智慧型手機買賣契約有關之行銷目的，例如：其他新款手機或手機周邊產品，但該賣場所銷售之其他的家電用品等，因與該「契約或類似契約關係」無涉，就不在賣場可以行銷的範圍內，賣場若是逕予寄發廣告促銷傳單，即涉及「特定目的外」利用個人資料的行為，而須負相關的民、刑事責任。
此外，新修正個人資料保護法就行銷利用特別進行規範。第20條第2項及第3項規定：「非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。」「非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用」。前開規定之目的在於，當事人擬拒絕接受商品或服務之行銷時，若只能依第3條規定，請求停止處理或利用或刪除其個人資料，往往緩不濟急。為尊重當事人拒絕接受行銷之權利，修法時參考1995年歐盟資料保護指令(95/46/EC)第14條、德國聯邦個人資料保護法第28條第4項規定，增訂第20條第2項，明定當事人表示拒絕接受行銷時，非公務機關即應停止再利用其個人資料進行行銷。且為便利當事人表達拒絕接受行銷之意思表示，同時於第三項增訂，企業對當事人進行首次行銷時，應免費提供當事人表達拒絕接受行銷之方式，例如，免付費電話、免費回郵等。至於當事人日後得隨時以自費方式，表示拒絕再接受行銷，非公務機關應即停止再利用其個人資料進行行銷，自不待言。亦即，企業即令已取得消費者有關後續行銷其全部商品或服務之同意，仍然須提供消費者有關拒絕行銷之便利管道，而非消費者一旦同意行銷之後，即當然須忍受企業無止境的行銷訊息。
綜前所述，消費者與企業間若僅是單純商品或服務的買賣或使用，消費者因當次商品或服務的契約關係而提供個人資料，並不當然可以作為企業日後對當事人繼續行銷的合法基礎，在未特別取得當事人同意的情形下，其後續利用行為依法須限於與該「契約或類似契約關係」有關者，始符合個人資料保護法第20條規定之合法利用。當然，我們也可以了解到企業蒐集個人資料，很重要的目的即在後續的行銷利用，其可以行銷的範圍當然是愈大愈好。這樣的需求法律並非沒有解決的方式，透過適法性的規劃，仍可在法律許可的範圍內進行蒐集與利用，例如。將單次的商品或服務的交易，轉換為與企業間長期的會員關係，或是透過書面的方式，取得當事人對於後續行銷利用的同意等。
筆者建議企業在經營時，仍應基於對個人資料當事人的尊重進行適當範圍的行銷，儘量避免對於當事人進行會有「冒犯」感覺的行銷，這樣只會收到反效果，對於企業的商譽未必是一件好事，並且認知到依法當事人最終都擁有拒絕企業行銷，甚至進一步要求停止利用或刪除個人資料的權利。企業應當體會個人資料保護法避免人格權受侵害，促進個人資料之合理利用間平衡的立法目的，善盡企業的社會責任，在個人資料的行銷利用方式，採取自我抑制及妥善保善的政策，方是建立企業與消費者間社會信任的最佳途徑。
同系列文章
黃曉薇律師，個人資料保護法Q&A-書面同意是否一定要以紙本為之？
賴文智律師，個人資料保護法Q&A-敏感性個人資料禁止蒐集的效力？
賴文智律師，個人資料保護法Q&A-網友「人肉搜索」的合法性？
賴文智律師、蕭家捷律師，個人資料保護法Q&A-僱主臉書(Facebook)洩個資，當然不行！
賴文智律師、蕭家捷律師，個人資料保護法Q&A-可否要求網路業者刪除網友張貼之個人資料？
賴文智律師、蕭家捷律師，從南韓控蘋果集體訴訟案看我國個資法團體訴訟制度
賴文智律師，個人資料保護法Q&A-從NFC手機談個人資料的管制
賴文智律師，個人資料保護法Q&A-企業上雲端，個資保護責任誰負？
賴文智律師，個人資料保護法Q&A-依法股東名冊絕不能外流？
賴文智律師，個人資料保護法Q&A-拒絕電話行銷後，仍然不斷收到相同業者的電話？
賴文智律師，個人資料保護法Q&A-與當事人約定永久保留、使用其個人資料，是否有違反法律？
蕭家捷律師，個人資料保護法Q&A-蒐集個資時告知當事人的「目的」，是不是多多益善？
蕭家捷律師，個人資料保護法Q&A-聯名信用卡終止發行與個資利用問題
蕭家捷律師，個人資料保護法Q&A-只要消費者曾進行購物，就可以後續進行其他商品或服務的行銷？
蕭家捷律師、賴文智律師，個人資料保護法Q&A-取得政府機關或第三公證單位的認證，是否就能免於個資賠償責任？
蕭家捷律師，個人資料保護法Q&A-網站或App以線上勾選方式取得個資蒐集、利用之同意是否合法？
蕭家捷律師，個人資料保護法Q&A-機關或企業可否利用公司人事資料提供內部通訊錄給全體同仁？
蕭家捷律師，個人資料保護法Q&A-員工的個人資料可以保留多久呢？
賴文智律師，個人資料保護法Q&A-是否應該要求員工一律簽署個人資料同意書？
蕭家捷律師，個人資料保護法Q&A-學校可以公告成績單、獎懲或榜單等事項嗎？
賴文智律師，個人資料保護法Q&A-使用者因個資外洩遭詐騙，可以向業者把遭詐騙的損失全部要回來嗎？
蕭家捷律師，個人資料保護法Q&A-父母向學校索取學生成績或其他校內表現記錄，學校該怎麼辦呢？
