品牌行銷部從外部代理商拿到一份潛在客戶名單，就能直接上傳廣告平台做再行銷嗎？先不要急著判斷。當個人資料不是當事人直接提供時，台灣《個資法》第 9 條涉及間接蒐集的告知義務，還需要另外確認第 19 條等規範下的蒐集合法性。
名單「有人賣」或「合作夥伴提供」，都不能直接當作合法使用的保證。
第 9 條基本要求是什麼？
法律原則上要求：若依法蒐集的是非由當事人提供的個資，應於處理或利用前，告知資料來源，以及第 8 條第一項第 1 款至第 5 款的事項：蒐集者名稱、目的、資料類別、利用期間／地區／對象／方式、當事人權利與行使方式。條文並規定告知得於首次對當事人利用時併同為之，且存在明文的免告知事由。
提醒：第 9 條的告知義務和資料蒐集是否合法，不能互相代替。 不是發一封「我們取得您的資料」通知，就自動讓不具合法依據的名單變成可任意行銷。
四種企業常見情境
| 情境 | 需要先確認什麼 | 可保留證據 |
|---|---|---|
| 行銷代理商交付客戶名單 | 原始來源、取得方式、目的、是否有轉交權限 | 委託契約、來源與用途說明 |
| 聯合抽獎主辦方共用名單 | 告知內容是否包含共用與後續目的 | 報名頁版本、合作條款、資料交付紀錄 |
| 購買 B2B 聯絡人名單 | 資料性質、合法來源、適用的例外與限制 | 供應商提供的來源說明、內部法律評估 |
| 在公開社群蒐集資料 | 是否屬法定例外、資料目的與後續利用是否適法 | 蒐集理由、限制、使用紀錄 |
不能因為資料可以在社群搜尋到，就認定可無限制下載、建檔、轉售或行銷。
條文中的免告知例外要怎麼用？
第 9 條包含準用第 8 條相關免告知情形、當事人自行公開或其他已合法公開資料、不能向當事人告知，以及一定條件下的公共利益研究、公益新聞報導等例外。
適用例外要有事實依據，而不是行銷部門為了省成本就自行宣稱「公開資料免告知」。 同時還要檢查蒐集、利用是否合法、是否存在當事人拒絕等其他限制。
要把名單匯進 CRM 前，建議先建一份來源清冊
至少記下：名單名稱、來源單位、來源取得日期、取得方式、原本告知／同意範圍（如有）、預計使用目的、可使用期間、負責審查人、資料刪除與拒絕流程。
若無法取得上游原始取得方式或允許利用的證據，應暫緩具風險的使用並釐清，不要靠「合作夥伴說沒問題」代替文件。
第 8 條和第 9 條怎麼區分？
第 8 條主要處理向本人直接蒐集時的告知；第 9 條主要處理非由本人提供時的告知與來源資訊。兩條都不能簡化成「只要網站有隱私政策就沒問題」。
可先延伸閱讀電商品牌個資查核與證據整理，了解如何釐清資料來源和各方交付紀錄。
資料來源： 《個人資料保護法》第 9 條、第 8 條、第 19 條。
同主題延伸閱讀：personal data law key articles、personal data law article 8。