[個資與隱私法 2] 蒐集處理利用三段式架構與當事人同意
個資法對企業的管制分成蒐集、處理、利用三段：第 19 條要求蒐集或處理須有特定目的並符合八款法定事由之一，第 20 條要求利用限於特定目的必要範圍。
個 資 與 隱 私 法 · 第 二 篇 · 三 段 式 架 構
蒐集 · 處理 · 利用
個資法的三段式管制
從蒐集個資的法定事由，到處理階段的安全措施，再到利用階段的目的拘束：個資法以三段式架構，規範企業手上個資的整個生命週期。
劉博文律師 · 和鼎律師事務所主持律師
本文導讀
本文承接「個資法總論」，說明蒐集、處理、利用三段式的具體要件：第 19 條的八款法定事由、當事人同意的法定要件、目的內利用與目的外利用，以及違反時的法律責任，協助企業找出合規重點。
第 壹 章
三段式架構的法律邏輯
從蒐集到利用的完整生命週期
企業（法律上稱「非公務機關」）手上的個資，第 19 條管「蒐集」與「處理」，第 20 條管「利用」。每一段都要有法律依據。
三個名詞的意思，規定在個資法第 2 條：蒐集是以任何方式取得個資；處理是為了建立或利用個資檔案所做的記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送；利用是處理以外的使用，例如寄送行銷、提供給第三人。
19條
蒐集與處理
須有特定目的，並符合八款法定事由之一
20條
利用
以蒐集的特定目的必要範圍為原則；目的外利用限七款事由
8款
蒐集處理的法定事由
法律明文、契約關係、已合法公開、學術研究、當事人同意、增進公共利益、一般可得之來源、對當事人權益無侵害
STAGE I
蒐集 Collection
第 19 條：須有特定目的，並符合八款事由之一。最常用的是契約關係與當事人同意；以同意為依據時，要先完成第 8 條的告知。
STAGE II
處理 Processing
儲存、編輯、檢索、刪除、內部傳送等，同樣受第 19 條規範。保有個資檔案者，應採行適當的安全措施（第 27 條第 1 項）。
STAGE III
利用 Use
第 20 條：原則上限於蒐集的特定目的必要範圍內。目的外利用須符合七款事由之一，違反可能有行政與刑事責任。
不論哪一段，都要遵守第 5 條的總原則：依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。
第 貳 章
當事人同意的五大有效要件
不是隨便勾選就算同意
「經當事人同意」是企業最常用的依據，但法律對同意有明確要求。下表五項都是個資法的明文規定：
當事人同意 · 五大有效要件
| 同意要件 | 法律要求 | 常見問題 |
|---|---|---|
| 事前告知 | 以同意作為蒐集依據時，須先告知第 8 條第 1 項六款事項：蒐集者名稱、蒐集目的、個資類別、利用的期間地區對象及方式、當事人可行使的權利及方式、不提供個資對其權益的影響（第 7 條第 1 項、第 8 條） | 隱私政策過長，重要事項埋在條款深處；告知項目不完整 |
| 目的外利用須單獨同意 | 要把個資用在原目的以外，須明確告知其他利用目的、範圍及同意與否的影響，再由當事人「單獨」表示同意（第 7 條第 2 項） | 把行銷、AI 訓練等新用途綁進服務條款，「全部勾選」或「不同意就不能使用」 |
| 推定同意有前提 | 已明確告知第 8 條事項，當事人沒有表示拒絕並已提供個資，推定已同意蒐集、處理（第 7 條第 3 項）；這個推定不適用於目的外利用 | 告知不完整，卻主張當事人已推定同意 |
| 舉證責任在企業 | 是否經當事人同意，由蒐集者負舉證責任（第 7 條第 4 項） | 沒有保存同意紀錄、條款版本與時間 |
| 行銷可隨時拒絕 | 當事人表示拒絕接受行銷時，應即停止；首次行銷時應提供拒絕方式，並支付所需費用（第 20 條第 2 項、第 3 項） | 退訂管道難找，退訂後仍持續寄送 |
現行第 20 條第 1 項第 6 款只寫「經當事人同意」，並不要求書面。但因為企業要負舉證責任，同意的方式、時間與當時的條款版本，最好都留下紀錄。
實務上，同意條款寫得越具體、越分項，越容易證明當事人知道自己同意了什麼。
「個資法的精神，不在『能不能蒐集』，而在『蒐集後該如何負責任地處理與利用』。三段式架構是這份責任的具體展現。」
— 本文觀點
第 參 章
目的拘束與目的外利用
第 20 條的核心精神
個資只能用在當初蒐集的目的範圍內；要用在其他目的，必須符合第 20 條第 1 項但書的七款事由之一。
目的範圍內
第 20 條第 1 項本文
- —對個人資料之利用，應於蒐集之特定目的必要範圍內為之
- —例：以「客戶服務」為目的蒐集，用於客服回應
- —例：以「行銷推廣」為目的蒐集，用於寄送行銷
- —不得擴張到原目的以外的新用途
目的外利用
第 20 條第 1 項但書
- —須符合七款事由之一：法律明文規定、增進公共利益所必要、免除當事人生命身體自由或財產上的危險、防止他人權益的重大危害、公務機關或學術研究機構的統計學術研究、經當事人同意、有利於當事人權益
- —AI 訓練常見爭議：以「客服」目的蒐集的個資，能否拿去「訓練 AI」（目的明顯不同）
- —意圖為自己或第三人不法利益或損害他人利益而違反，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金（第 41 條）
第 19 條（蒐集、處理）與第 20 條（目的外利用）的事由看起來相近，但並不相同。例如「個資取自一般可得之來源」只能作為蒐集、處理的依據；學術研究在第 20 條限於公務機關或學術研究機構。兩條對照如下：
第 19 條與第 20 條事由對照
| 款次 | 第 19 條第 1 項：蒐集或處理 | 第 20 條第 1 項但書：目的外利用 |
|---|---|---|
| 一 | 法律明文規定 | 法律明文規定 |
| 二 | 與當事人有契約或類似契約的關係，且已採取適當的安全措施 | 為增進公共利益所必要 |
| 三 | 當事人自行公開或其他已合法公開的個資 | 為免除當事人的生命、身體、自由或財產上的危險 |
| 四 | 學術研究機構基於公共利益為統計或學術研究而有必要，且無從識別特定當事人 | 為防止他人權益的重大危害 |
| 五 | 經當事人同意 | 公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且無從識別特定當事人 |
| 六 | 為增進公共利益所必要 | 經當事人同意（須單獨同意，第 7 條第 2 項） |
| 七 | 個資取自於一般可得之來源（當事人有更值得保護的重大利益者除外） | 有利於當事人權益 |
| 八 | 對當事人權益無侵害 | （無第八款） |
兩條都要先有「特定目的」；第 6 條第 1 項的病歷、醫療、基因、性生活、健康檢查、犯罪前科等特種個資，另有更嚴格的規定。
違反三段式的規定，可能同時面對民事、行政與刑事責任：
違反個資法的法律責任（非公務機關）
| 類型 | 內容 | 法源 |
|---|---|---|
| 民事賠償 | 能證明無故意或過失者外，應負損害賠償責任；難以證明實際損害時，得請求每人每一事件新臺幣 500 元以上 2 萬元以下；同一原因事實造成多數人受害，合計最高 2 億元，所涉利益超過 2 億元者以所涉利益為限 | 第 29 條；第 28 條第 3 項、第 4 項 |
| 團體訴訟 | 財團法人或公益社團法人經 20 人以上受害人書面授與訴訟實施權，得以自己名義起訴 | 第 34 條 |
| 行政罰鍰 | 違反第 19 條、第 20 條第 1 項：處 5 萬元以上 50 萬元以下罰鍰，並令限期改正，屆期未改正按次處罰 | 第 47 條 |
| 行政罰鍰 | 違反第 8 條告知義務，或第 20 條第 2 項、第 3 項行銷規定：限期改正，屆期未改正按次處 2 萬元以上 20 萬元以下罰鍰 | 第 48 條第 1 項 |
| 行政罰鍰 | 未採行適當安全措施：處 2 萬元以上 200 萬元以下罰鍰並限期改正，屆期未改正按次處 15 萬元以上 1,500 萬元以下；情節重大者處 15 萬元以上 1,500 萬元以下 | 第 48 條第 2 項、第 3 項 |
| 刑事責任 | 意圖為自己或第三人不法利益或損害他人利益，違反第 19 條、第 20 條第 1 項等規定，足生損害於他人：處 5 年以下有期徒刑，得併科 100 萬元以下罰金 | 第 41 條 |
以目前施行中的條文為準，罰鍰由中央目的事業主管機關或直轄市、縣（市）政府裁處。個資法於民國 114 年 11 月 11 日修正公布第 41 條、第 47 條至第 49 條等條文，施行日期由行政院另定，施行後條號與內容要再對照。
第 肆 章
結語
下一篇將討論當事人五項權利
附 記
三段式架構是個資合規的結構性思維工具。建議企業建立「蒐集處理利用流程地圖」，每筆個資都要能清楚說明：從哪裡來（蒐集事由）、誰能用（處理範圍）、用到哪（利用目的）。本所協助企業建立三段式合規架構，如有需要請聯絡諮詢。
常見問題
Q. 我們網站的隱私政策上萬字，客戶看不完，有效嗎？
A. 可能有問題。以同意作為蒐集依據時，必須先明確告知第 8 條第 1 項的六款事項（第 7 條第 1 項），而且是否取得同意，由企業負舉證責任（第 7 條第 4 項）。關鍵事項埋在上萬字的條款裡，日後很難證明當事人已被「明確告知」。建議：第一，提供核心摘要（蒐集目的、個資類別、利用範圍）；第二，分層揭露（摘要加完整版）；第三，重要事項以加大字體或不同顏色顯著標示。
Q. 「同意公司於各種業務目的使用」這樣的條款合法嗎？
A. 風險很高。第 8 條要求告知「蒐集之目的」，第 5 條要求不得逾越特定目的之必要範圍，並應與蒐集目的具有正當合理之關聯。「各種業務目的」等於沒有說明目的，難以通過告知義務的檢驗。應列出「客戶服務」「訂單處理」「行銷推廣」等具體目的；要用在原目的以外的用途，須依第 7 條第 2 項讓當事人單獨表示同意。
Q. 以客服目的蒐集的個資，可以用於訓練 AI 嗎？
A. 爭議很高。「客服」與「訓練 AI」是不同目的，後者可能屬於目的外利用，須符合第 20 條第 1 項的七款事由之一；企業最可能使用的依據是「經當事人同意」，而且要依第 7 條第 2 項單獨取得同意。實務建議：第一，在告知事項中明列 AI 訓練用途；第二，讓 AI 訓練單獨勾選；第三，既有資料若要新增 AI 訓練用途，應另外取得同意，或處理到無從直接或間接識別特定個人。
Q. 違反目的拘束的法律後果？
A. 民事：企業除能證明無故意或過失外，應負損害賠償責任；難以證明實際損害時，可請求每人每一事件新臺幣 500 元至 2 萬元，同一原因事實造成多數人受害時合計最高 2 億元（所涉利益超過者以所涉利益為限），也可能面對團體訴訟（第 28 條、第 29 條、第 34 條）。行政：違反第 20 條第 1 項，處 5 萬元以上 50 萬元以下罰鍰並令限期改正，屆期未改正按次處罰（第 47 條）。刑事：意圖為自己或第三人不法利益或損害他人利益而違反，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金（第 41 條）。
Q. 企業最常違反三段式哪一段？
A. 常見的問題出在「利用階段」：業務擴展或有新的行銷需求時，沒有重新評估新用途是否還在原目的範圍內。建議建立「個資使用變更審查機制」：任何新業務或新通路要使用既有個資前，先審查是否需要重新告知或取得單獨同意。
個資與隱私法系列（規劃中，陸續上線）
- [個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰
- [個資與隱私法 2] 蒐集、處理、利用三段式架構與當事人同意（本文）
- [個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除
- [個資與隱私法 4] 跨境傳輸的法律地圖
- [個資與隱私法 5] 資料保護長(DPO)制度與企業治理
- [個資與隱私法 6] GDPR 域外效力與台灣企業合規
- [個資與隱私法 7] 資料外洩的緊急處理 SOP
- [個資與隱私法 8] 員工個資與雇主監控的邊界
- [個資與隱私法 9] 醫療、金融、教育的特別個資規範
- [個資與隱私法 10] 兒童與未成年人個資特別保護
- [個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界
- [個資與隱私法 12] 個資保護委員會與監理動態
