個資法管到哪些行銷動作？
最後更新：2026年10月｜最後核對：2026年10月18日
只要行銷活動會用到能直接或間接識別個人的資料，就在個資法範圍內。
個資法第2條 (opens in a new tab)把姓名、聯絡方式、病歷、醫療、健康檢查、財務情況與社會活動等都列為個人資料，並把「蒐集」定義為以任何方式取得個資，「利用」則是處理以外的使用。
行銷名單也是個資
換成行銷的語言：廣告表單收到的名單、會員資料、EDM 與簡訊名單、上傳到廣告平台做再行銷或類似受眾的客戶清單，都是在蒐集、處理或利用個資。企業屬於法條裡的「非公務機關」，適用第三章第19條以下的規定。
企業什麼時候可以蒐集名單？
非公務機關蒐集或處理一般個資，必須有特定目的，並符合第19條 (opens in a new tab)列出的情形之一，例如與當事人有契約或類似契約關係、經當事人同意、取自一般可得的來源，或對當事人權益無侵害。行銷名單最常依靠的是「經當事人同意」。
依第7條 (opens in a new tab)，這裡的同意是指當事人在被告知應告知事項後所為的允許；若已明確告知、當事人沒有表示拒絕並提供了個資，推定已同意。
同條也規定，蒐集者要對「當事人已同意」這件事負舉證責任，所以表單版本與送出紀錄都要留存。
名單表單要告知哪些事項？
向當事人直接蒐集個資時，第8條 (opens in a new tab)要求明確告知六件事；名單不是當事人自己提供的，第9條 (opens in a new tab)要求在處理或利用前告知資料來源與前五項，首次利用時可一併告知。
| 應告知事項 | 表單上的寫法 |
|---|---|
| 企業名稱 | 寫出蒐集名單的企業全名；代理商代收名單時，寫的是委託的企業 |
| 蒐集目的 | 例如「提供報價與療程諮詢」「寄送活動與優惠資訊」 |
| 個資類別 | 列出實際收的欄位：姓名、電話、Email 等 |
| 利用期間、地區、對象及方式 | 保存多久、在哪裡處理、會交給誰、以電話或訊息聯絡 |
| 當事人權利及行使方式 | 查詢、閱覽、複製、補充更正、停止蒐集處理利用、刪除，以及聯絡窗口 |
| 不提供的影響 | 例如「未填電話將無法安排回電」 |
個資法施行細則第16條 (opens in a new tab)允許以書面、簡訊、電子郵件、電子文件等方式告知，所以把告知內容放在表單送出按鈕旁、並附完整說明連結，是常見的做法。
拿到的個資可以直接拿來行銷嗎？
不一定，要看蒐集時的特定目的。第20條第1項 (opens in a new tab)規定，非公務機關利用個資應在蒐集的特定目的必要範圍內；超出目的的利用，只能在法定例外情形下進行，其中最常用的是「經當事人同意」。
例如為了出貨而取得的電話，若要拿來推播新品活動，就屬於目的外利用。第7條第2項要求這種同意必須在明確告知其他利用目的、範圍與同意與否的影響之後，由當事人「單獨」表示。
施行細則第15條補充，若和其他意思表示寫在同一份文件，要讓當事人能在適當位置知悉內容並確認同意。實務上就是一個獨立、預設不勾選的行銷同意欄位。
客戶說不要再收到行銷訊息時怎麼辦？
要立即停止。第20條第2項規定，依前項利用個資行銷，當事人表示拒絕接受行銷時，應即停止利用其個資行銷；第3項規定，首次行銷時應提供當事人表示拒絕的方式，並由企業支付所需費用。
落到執行面：第一封 EDM 或第一則簡訊就要附上免費的退訂方式，退訂名單要同步到 CRM、EDM 系統與所有廣告平台的自訂受眾，代理商手上的名單副本也要一起更新。只更新其中一個系統，另一個系統照發，就可能違反第20條第2項。
醫療機構與醫美診所的名單有什麼特別限制？
病歷、醫療、基因、性生活、健康檢查與犯罪前科屬於第6條 (opens in a new tab)的特種個資，原則上不得蒐集、處理或利用，只有法定例外才可以，例如法律明文規定，或經當事人書面同意且未逾越特定目的的必要範圍。
依同條第2項，書面同意還要準用第8條告知與第7條同意的規定。
施行細則第4條 (opens in a new tab)說明，醫療個資是醫師或醫事人員為診察、治療所產生的資料，包括處方、用藥、施術或處置；健康檢查個資是以醫療行為施以檢查所產生的資料。施行細則第14條允許書面同意依電子簽章法以電子文件為之。
對行銷團隊的影響
對行銷團隊的意思是：診所的就診紀錄、療程紀錄與健檢結果，不應直接拿來分眾投放或上傳廣告平台做受眾。醫療廣告文案本身另受醫療法規範，請見台灣醫療與藥品廣告法規；表單欄位是否落入特種個資，建議個案諮詢律師。
把名單傳到海外系統算跨境傳輸嗎？
算。第2條把「國際傳輸」定義為將個資作跨國（境）之處理或利用，名單存放在海外的 CRM、雲端或廣告平台都可能涉及。
現行第21條 (opens in a new tab)規定，涉及國家重大利益、國際條約另有規定、接受國保護法規不完善致有損當事人權益之虞，或以迂迴方法向第三國傳輸規避本法時，中央目的事業主管機關得限制國際傳輸。
個資法沒有一般性禁止跨境傳輸，但要確認所屬產業的主管機關有沒有發布限制命令，違反限制命令依第47條可處罰鍰。
違反個資法的罰則是多少？
以下罰鍰金額依目前施行中的條文（全國法規資料庫歷史條文，民國112年5月31日修正版 (opens in a new tab)）整理。
民國114年11月11日公布的修正條文調整了第47至49條的裁罰機關與部分內容，但施行日期由行政院另定，截至核對日尚未施行。
| 違反的條文 | 現行罰則 |
|---|---|
| 第6條、第19條、第20條第1項 | 第47條：5萬至50萬元罰鍰並限期改正，屆期未改正按次處罰 |
| 第8、9條告知；第20條第2、3項拒絕行銷 | 第48條第1項：先限期改正，屆期未改正按次處2萬至20萬元 |
| 第27條安全措施或安全維護計畫 | 第48條第2項：2萬至200萬元並限期改正，屆期未改正按次處15萬至1,500萬元 |
| 第27條且情節重大 | 第48條第3項：15萬至1,500萬元並限期改正 |
第48條關於安全維護義務的罰鍰，是在民國112年5月修正時提高並自公布日施行，行政院新聞稿 (opens in a new tab)說明了修法重點。
另依第50條，企業代表人除能證明已盡防止義務外，要受同一額度罰鍰；意圖不法利益違反第6、19、20條第1項並足生損害於他人者，第41條另有刑責。
台灣的個資主管機關是誰？
個資法已明定主管機關為個人資料保護委員會，但個資會須以組織法為設立依據。
依個人資料保護委員會籌備處說明 (opens in a new tab)，在個資會成立前，仍由各部會與直轄市、縣（市）政府依現行個資法監管所轄企業；本頁核對時，官方網站仍以「籌備處」名義運作。
民國114年的修正條文會賦予個資會受理外洩通報、檢查與限制國際傳輸等權限，並設計過渡期：個資會成立後6年內，經行政院公告範圍內的業者仍由原目的事業主管機關監管。施行日期確定後，本頁會再更新。
個資法跟行銷有關的條文有哪些？
下表把本頁提到的條文整理成一張對照表，來源欄是可自行核對的原始出處。
| 條文 | 要求 | 行銷上要做的事 | 來源 |
|---|---|---|---|
| 第6條 | 病歷、醫療、健康檢查等特種個資原則不得蒐集利用 | 不把就診、療程、健檢資料用於投放或受眾 | 全國法規資料庫 個資法第6條 |
| 第7條 | 同意須經告知；目的外利用須單獨同意 | 行銷同意獨立成欄、預設不勾選，保留紀錄 | 全國法規資料庫 個資法第7條 |
| 第8、9條 | 蒐集時告知六項事項；間接蒐集須告知來源 | 表單旁放告知內容；購買或合作名單首次利用時告知 | 全國法規資料庫 個資法第8、9條 |
| 第19條 | 蒐集須有特定目的並符合法定情形 | 每個名單來源記錄目的與依據 | 全國法規資料庫 個資法第19條 |
| 第20條第1項 | 利用限於特定目的必要範圍 | 目的外行銷先取得同意 | 全國法規資料庫 個資法第20條 |
| 第20條第2、3項 | 拒絕即停止；首次行銷提供拒絕方式並付費 | 免費退訂、全系統同步 | 全國法規資料庫 個資法第20條 |
| 第21條 | 主管機關得限制國際傳輸 | 確認海外系統無限制命令 | 全國法規資料庫 個資法歷史條文（現行版） |
| 施行細則第16條 | 告知可用書面、簡訊、電子郵件等方式 | 告知內容可放在表單或首封訊息 | 全國法規資料庫 個資法施行細則 |
投放前要檢查哪些個資項目？
這份整理可以當作法律意見嗎？
不可以。本頁是依全國法規資料庫與主管機關公開資料整理的一般性說明，並非法律意見，也不構成個案建議。
條文與施行日期可能變動，個案請諮詢台灣執業律師，或向所屬產業的目的事業主管機關確認。每一條規定都附上了原始出處，方便自行核對。