Google 搜尋「個資法第 4 條」「個資法第 5 條」「個資法第 6 條」的企業，常常不是想背法條，而是想知道：會員資料到底能不能收、能不能拿去行銷、委託平台做要不要自己負責。 讀法條前最好先區分五個不同問題：資料類型、合法蒐集、告知義務、後續利用與管理證據。
以下是企業實務閱讀索引，不是完整法條轉載或個案法律意見。台灣個資法 2025 年修正涉及部分尚未施行條文，涉及時間與罰則時務必核對最新施行狀態。
九個最常用的基礎條文
| 條文 | 白話問題 | 電商／企業常見情境 |
|---|---|---|
| 第 3 條 | 消費者有哪些個資權利？ | 查詢、閱覽、複製、補正、停止蒐集利用、依法請求刪除 |
| 第 4 條 | 事情交給外包商就完全不用管？ | 購物車、簡訊、CRM、物流委外 |
| 第 5 條 | 有蒐集目的就能無限擴張？ | 不能逾越特定目的必要範圍，應有正當合理關聯 |
| 第 6 條 | 涉及特殊性質資料怎麼處理？ | 病歷、醫療、基因、性生活、健康檢查、犯罪前科資料，有特別規範與例外 |
| 第 7 條 | 「同意」怎麼判斷？ | 告知後同意、目的外利用單獨告知、同意的舉證 |
| 第 8 條 | 直接向消費者收資料，怎麼告知？ | 會員註冊、結帳、活動報名 |
| 第 9 條 | 名單是第三方給的，怎麼告知？ | 代理商名單、聯合活動、其他來源資料 |
| 第 19 條 | 非公務機關為何可以蒐集處理個資？ | 應有特定目的並符合列舉法定條件 |
| 第 20 條 | 蒐集後可以怎麼使用？ | 目的內利用、目的外例外、行銷拒絕 |
同一家公司可能同時涉及好幾條，不能只看一條就下結論。
第 4 條：委外不等於責任自動消失
第 4 條規範受委託蒐集、處理或利用個資者，在本法適用範圍內視同委託機關。這不表示所有平台事故最終都由品牌負全責，更不能反推品牌什麼都不用管。 實際責任仍須依各方行為、法定義務、契約及具體事故查核，並重視委外監督紀錄。
如果平台說「可能是品牌端匯出」，品牌需要能提出自己可控制範圍內的帳號、匯出、委外交付和異常紀錄，而不是只有一句「系統是平台的」。
第 5、6、7 條：必要性、特殊資料、同意是三回事
第 5 條重點是蒐集、處理或利用要遵守誠信與必要性等原則；第 6 條對特定敏感性質個資訂有更嚴格要求及法定例外；第 7 條則規範同意的法律意義與舉證。
例如網站為了配送收集地址，不能因此推論客戶所有健康資料、額外行銷資料都可以一起收。就算使用者點了同意，也不代表任何超出必要範圍或其他法律明文限制的行為都能合法化。
第 8、9、19、20 條：從取得到行銷的完整鏈條
假設企業取得會員電話：
- 是否合法蒐集？ 先看第 19 條適用條件。
- 當初告知了什麼？ 本人直接提供主要看第 8 條，非本人提供則注意第 9 條的來源及告知義務。
- 實際怎麼使用？ 第 20 條區分原目的必要範圍及目的外利用的法定例外。
- 拒絕行銷怎麼辦？ 當事人拒絕接受行銷時應依法停止利用其個資行銷。
其中任一步有缺口，都不能因為購物車是知名 SaaS 或公司有 ISO 證書就直接當作沒有問題。
法條查詢常見陷阱：看到數字，不代表要新寫一篇文章
「個資法 5 條」「個資法第5條規定」「個人資料保護法第五條」通常在問同一個規範，應由一個完整解答承接，而非拆成三篇重複內容。
另外第 31 條屬損害賠償時其他法律適用關係，和第 47 條等行政罰則、第 41 條等刑責不能混為一談。若要討論裁罰金額，應先確認違法事實、適用版本、程序與責任主體。
企業真正需要的是一張「資料從哪來、合法依據、告知內容、實際用途、保存及委外證據」可以相互對照的清冊。 先把這件事做出來，才有基礎判斷自己缺的是法規諮詢、作業制度還是資安技術控制。
官方來源： 《個人資料保護法》全文、第 3 條、第 6 條、第 19 條。
同主題延伸閱讀：personal data penalties cases、personal data law article 9。