品牌原本蒐集資料是為了配送訂單，後來想把舊客電話拿去推銷新的合作品牌。最大的問題不是系統能不能匯出，而是這次使用是否仍在原蒐集特定目的的必要範圍，或具有法律允許的目的外利用依據。
台灣《個人資料保護法》第 20 條對非公務機關的個資利用訂有原則與例外，也對行銷拒絕設有明確要求。
先從原則理解第 20 條
非公務機關利用個資，原則上應在原蒐集的特定目的必要範圍內進行；若要目的外利用，需符合條文列舉的法定例外。不能只因為企業已蒐集、保有資料，就當成任何後續用途都合法。
| 常見情境 | 最重要的檢查點 | 可能需要的紀錄 |
|---|---|---|
| 配送訂單使用地址 | 是否符合蒐集目的與必要性 | 訂單、出貨流程、配送委外契約 |
| 客服查詢歷史訂單 | 是否限於實際客服需求 | 權限、查詢紀錄與留存政策 |
| 用會員電話推銷無關商品 | 是否逾越原目的及有無法定依據 | 原告知、用途評估、適法依據 |
| 名單交給合作品牌行銷 | 是否涉及新對象、新目的及委外／提供關係 | 合作條款、資料流、合法性評估 |
上表不是對個別使用情境的法律結論；是否符合特定目的與條文例外，仍須依具體事實判定。
目的外利用有哪些例外？
條文有法律明文規定、增進公共利益、避免生命／身體／自由／財產危險、避免他人權益重大危害、特定研究需求、當事人同意、對當事人權益無侵害等法定情形（個別要件以條文為準）。其中「經當事人同意」也必須檢查告知及同意效力，不能把所有網站點擊都當成對所有目的的概括授權。
行銷拒絕不是客服建議，而是法定處理重點
第 20 條亦規定：非公務機關依規定利用個資行銷時，當事人表示拒絕接受行銷，應即停止利用其個資行銷。 首次行銷時應提供當事人表示拒絕接受行銷的方式，並支付所需費用。
實務上可以檢查：
- EDM、簡訊、電話行銷是否提供可使用的拒絕管道。
- 拒絕名單是否跨客服、CRM、代理商及行銷平台同步。
- 會員拒絕後，是否有停止利用的執行紀錄。
- 是否存在同一個人透過不同系統又被重新匯入行銷名單的問題。
三種管理紀錄，哪個最值錢？
原用途的證據： 蒐集當下的告知版本、表單來源與活動條款。
目的變更的證據： 新用途評估、個資處理活動變更、核准與委外文件。
拒絕處理的證據： 拒絕提出時間、同步流程、完成時間與後續稽核。
光有「我們尊重客戶選擇」的隱私政策，不能證明名單在各系統確實停止行銷。對電商品牌而言，這些紀錄反而是最容易從日常流程做起的法遵基礎。
資料來源： 《個人資料保護法》第 20 條現行條文、第 7 條同意定義、第 8 條告知事項。
同主題延伸閱讀：personal data law article 8、personal data audit practical guide。