中小企業個資法義務：收集客戶資料前必懂的規則

先講結論：個人資料保護法適用於所有蒐集、處理、利用個資的公司行號，不分規模。三個核心義務：蒐集時告知（誰在收、收什麼、做什麼用）、利用不得逾越目的（收來寄出貨通知的電話，不能拿去推銷）、妥善保管與外洩應變。違反的代價包含民事賠償、行政罰鍰，惡性利用還有刑責。

本文為個資法通則整理，非法律意見。特種個資（病歷、犯罪前科等）與特定行業（金融、醫療）另有嚴格規範。

什麼算個資：比你想的廣

凡是能直接或間接識別特定個人的資料都算：姓名、電話、地址、Email、生日、身分證字號當然是；訂單紀錄、會員消費史、監視器影像、行車紀錄、LINE 對話也是。你店裡的「熟客小本本」若記著誰住哪、電話多少，法律上就是個資檔案。

蒐集：告知義務怎麼做到

蒐集時應告知：公司名稱、蒐集目的、資料類別、利用的期間地區對象方式、當事人權利、不提供的影響。實務落地很簡單——會員註冊頁放一段隱私權條款、紙本表單印告知文字、電話蒐集口頭說明。重點是「先講再收」，以及目的要具體：寫「行銷、客服、出貨」就分別涵蓋了這三種利用；只寫「出貨」就別拿去發廣告。

利用與行銷的紅線

①目的內利用：收來做 A 的資料只能做 A，要做 B 需另行同意或符合法定情形。②行銷要能退：首次行銷應提供免費的拒絕方式（簡訊回覆退訂、Email 取消連結），當事人拒絕後即不得再行銷。③買賣名單極高風險：來路不明的名單，賣方多半從未取得合法同意，買來就用等於接手違法利用——電銷、簡訊公司兜售「精準名單」，碰都別碰。④委外要管：把會員資料交給行銷公司、雲端系統商，你仍是責任主體，合約要有保密與個資條款（範本可參考免費契約範本的保密協議架構）。

保管與外洩應變

應採取適當安全維護措施：權限控管（不是全公司都能匯出會員名單）、傳輸加密、離職交接收回帳號。外洩時應查明後以適當方式通知當事人，並留存處理紀錄；金融等特定行業另有通報主管機關的時限要求。2023 年修法後罰則大幅提高、並設立個資保護委員會，安全維護義務的稽查只會越來越嚴。

當事人來行使權利怎麼辦

任何人有權向你查詢、閱覽、複製、更正、停止利用、刪除他的個資。收到請求時：確認身分→依請求處理→法定期限內回覆（查詢閱覽原則 15 日內）。不能拒絕的理由裝死，也不要求對方「先證明資料有錯」才處理更正。把流程寫成一頁 SOP 放在客服手冊，遇到就照做，這是成本最低的合規。

常見問題