網站沒有被駭，會員資料卻可能跟著 GA4 事件或網址參數被送往第三方。最難處理的不是追蹤失效，而是公司直到出事才知道資料曾流到哪裡。
電商網站即使沒有被駭客入侵，也可能因為網址參數、事件追蹤或資料同步設定，把不該送出去的會員資訊送到第三方工具。 購物車平台負責底層網站運作，不代表品牌自行串接的 GA4、GTM、CRM、LINE、簡訊或廣告供應商都會自動符合最小資料使用原則。
這篇不是教你關掉追蹤，也不是說所有第三方分析都違法，而是提供一份行銷部門自己就能配合資訊窗口執行的資料流稽核方法。
Google Analytics 對個資傳送有明確限制
Google Analytics 官方說明要求避免將可以識別個人的資訊（PII，Personally Identifiable Information）送進 GA；舉例包含電子郵件、個人行動電話號碼、身分證號碼等。官方也提醒，頁面網址、頁面標題、站內搜尋詞、事件自訂維度以及 UTM 參數，都可能意外帶入個資。Google Analytics：避免傳送 PII。
所以真正的問題不是「我們有沒有裝 GA4」，而是：我們實際送出了什麼資料？
五條容易漏掉的資料出口
| 資料出口 | 常見錯誤 | 應優先檢查 |
|---|---|---|
| 網頁 URL 與 query string | 成功頁網址包含 email=...、phone=...、完整會員編號 | GA4 page_location、歷史追蹤與伺服器存取日誌 |
| GTM dataLayer（資料層） | 前端為方便追蹤，把完整會員資料物件推到 dataLayer | 所有觸發器與變數實際送到哪些標籤 |
| CRM 與試算表匯出 | 行銷同仁將客戶清單傳給外包商、共用雲端連結無期限 | 權限、下載分享歷史、外部收件人 |
| 客服與自動化串接 | 客服對話、訂單備註包含不必要的敏感欄位 | API 欄位對照、可存取人員、保存期間 |
| 外部行銷工具 | 使用者分群、雜湊資料、跨平台同步目的不明確 | 資料類型、處理目的、契約和可退出機制 |
這些是可能的風險情境，不是宣稱所有品牌或工具都會預設犯同樣的錯。每一項都必須以站上實際追蹤流量、設定與資料紀錄核實。
用一個虛構例子理解：會員信箱如何進到分析平台？
某電商結帳成功後，工程人員為了讓客服查單方便，把 email 放在成功頁網址：/[email protected]。即使 GA4 標籤沒有另外設定「email 事件參數」，其預設蒐集的頁面網址也可能讓這個個資跟著被傳送。
改善不應只靠把 GA4 報表中的欄位隱藏。更好的方向是避免在會被記錄或第三方讀取的位置暴露識別資訊，例如改用不含個資的安全識別碼、調整網址設計、確認第三方標籤實際接收內容。若以前已傳送，還需依平台機制評估資料刪除、通知、後續防堵與法遵處理。
這個例子只是示意；不能由此推論已對特定購物車平台完成實測。
不會寫程式，行銷主管怎麼查？
不用先成為工程師。你只需要能指出每個工具的用途、資料來源及負責人：
- 列工具： 91APP／SHOPLINE 等購物車、GA4、GTM、廣告像素、CRM、電子報、物流、客服、LINE 與自動化服務。
- 列資料： 姓名、信箱、電話、訂單、消費金額、會員識別碼、行為事件、客服紀錄等。
- 列路徑： 資料由何處產生，傳到哪裡，誰能查看、下載、刪除。
- 核對目的： 必須清楚分辨履行交易、客服、統計、行銷利用及其他目的，不能一張「同意分析」概括所有行為。
- 要求測試： 請技術窗口在測試環境用虛構測試帳號實際檢查網路請求、GTM Preview（預覽）、GA4 DebugView（偵錯檢視）等相關資訊；不要在錄影或截圖中暴露真實顧客資料。
- 留下紀錄： 截圖、檢查日期、問題、修正負責人、複驗結果與仍待判定項目。
台灣個資法要看的，不只資料有沒有送進 GA4
台灣《個資法》第 8 條、第 9 條涉及告知義務，第 19 條涉及非公務機關蒐集處理個資的法定事由，第 20 條涉及利用範圍與行銷拒絕等事項。即使某個追蹤設定沒有違反 GA4 平台政策，也不代表已自然滿足所有台灣法令或契約要求；反過來，GA4 平台政策違規，也不能不查事實就自動推定涉及特定法條的違法。《個人資料保護法》。
使用第三方行銷供應商還可能涉及委外資料處理。依實際契約關係，有必要另看 施行細則第 8 條的委外監督，把資料流、委託範圍和監督紀錄接起來。
行銷／工程對帳表（建議格式）
| 欄位 | 範例（虛構） |
|---|---|
| 系統與事件 | 網站完成購買事件 |
| 負責窗口 | 行銷 A + 工程 B |
| 原始資料 | 訂單金額、幣別、隨機交易識別碼 |
| 傳輸去向 | GA4 分析屬性 |
| 不可包含 | 姓名、email、電話等可直接識別資訊 |
| 已確認 | 測試事件沒有包含直接識別個資 |
| 待確認 | 其他自訂標籤是否把會員屬性同步出去 |
| 複驗 | 下次 GTM 發布前重新核對 |
這張表不能用「有制度」代替真實流量測試。 有些資料是否屬於可識別個資，仍要依使用情境及實際可識別性判斷；不要只憑欄位名稱推定絕對安全。
三個常見誤解
「我把 email 做雜湊，就一定不算個資？」 不一定。雜湊資訊是否仍可連結到個人、能否被他方比對，需依資料與實際識別風險判斷；也應遵守接收平台政策及相關法規。
「GTM 是 Google 的工具，所有標籤就都合規？」 GTM 是管理與觸發標籤的工具，實際送出哪些資料，仍取決於容器設定、標籤及網站程式。
「我們有寫隱私權政策，就不用檢查實際傳輸？」 不對。公告內容與實際執行應一致，還要核對必要的合法依據、資料接收者與保護措施。
如果你是企業內部行銷或法遵窗口，先把資料流畫出來，再與資訊團隊確認缺口。企業若需要更完整的品牌端權限、委外與證據查核，可以了解 個資健診服務內容；服務範圍不等於代替資安滲透測試或特定法律意見。
資料來源：Google Analytics 避免傳送 PII、Google Analytics 資料使用政策、台灣個資法、施行細則。
同主題延伸閱讀：personal data law article 8、personal data law article 20。