顧客在網路商店買過一次家具。訂單送達、款項結清，交易結束。
幾個月後，品牌與其他服務商合作，行銷提議：「舊客手機我們都有，直接發合作優惠簡訊最快。」
工程說名單匯得出來，客服也有辦法發。沒有人先確認當初蒐集電話的目的，是否能支持這次新的使用。
系統讓你做得到，不代表這次使用就一定有合法依據。
台灣《個資法》第 20 條處理非公務機關個資利用的原則、例外及行銷拒絕。必須把履行原交易與新的行銷目的分開，才知道需要檢查哪些法定條件與拒絕處理紀錄。
以上為行銷利用的情境示意，不指涉特定商家。
先從原則理解第 20 條
非公務機關利用個資，原則上應在原蒐集的特定目的必要範圍內進行；若要目的外利用，需符合條文列舉的法定例外。不能只因為企業已蒐集、保有資料，就當成任何後續用途都合法。
| 常見情境 | 最重要的檢查點 | 可能需要的紀錄 |
|---|---|---|
| 配送訂單使用地址 | 是否符合蒐集目的與必要性 | 訂單、出貨流程、配送委外契約 |
| 客服查詢歷史訂單 | 是否限於實際客服需求 | 權限、查詢紀錄與留存政策 |
| 用會員電話推銷無關商品 | 是否逾越原目的及有無法定依據 | 原告知、用途評估、適法依據 |
| 名單交給合作品牌行銷 | 是否涉及新對象、新目的及委外／提供關係 | 合作條款、資料流、合法性評估 |
上表不是對個別使用情境的法律結論；是否符合特定目的與條文例外，仍須依具體事實判定。
目的外利用有哪些例外？
條文有法律明文規定、增進公共利益、避免生命／身體／自由／財產危險、避免他人權益重大危害、特定研究需求、當事人同意、對當事人權益無侵害等法定情形（個別要件以條文為準）。其中「經當事人同意」也必須檢查告知及同意效力，不能把所有網站點擊都當成對所有目的的概括授權。
圖解：能從系統匯出電話不表示可任意推銷
行銷拒絕不是客服建議，而是法定處理重點
第 20 條亦規定：非公務機關依規定利用個資行銷時，當事人表示拒絕接受行銷，應即停止利用其個資行銷。 首次行銷時應提供當事人表示拒絕接受行銷的方式，並支付所需費用。
實務上可以檢查：
- EDM、簡訊、電話行銷是否提供可使用的拒絕管道。
- 拒絕名單是否跨客服、CRM、代理商及行銷平台同步。
- 會員拒絕後，是否有停止利用的執行紀錄。
- 是否存在同一個人透過不同系統又被重新匯入行銷名單的問題。
三種管理紀錄，哪個最值錢？
原用途的證據： 蒐集當下的告知版本、表單來源與活動條款。
圖解：客服標成拒收不等於所有 EDM 工具同步了
目的變更的證據： 新用途評估、個資處理活動變更、核准與委外文件。
拒絕處理的證據： 拒絕提出時間、同步流程、完成時間與後續稽核。
光有「我們尊重客戶選擇」的隱私政策，不能證明名單在各系統確實停止行銷。對電商品牌而言，這些紀錄反而是最容易從日常流程做起的法遵基礎。
資料來源： 《個人資料保護法》第 20 條現行條文、第 7 條同意定義、第 8 條告知事項。
同主題延伸閱讀：個資法第 8 條怎麼告知？電商蒐集會員資料的六項要求與查核表、個資稽核怎麼做？電商品牌查核流程、抽樣方法與報告範例。