消費者只是到網路商店買一樣商品。
姓名、電話、地址都填好了，結帳頁卻還有一格「生日（必填）」。他想跳過，按下結帳後，系統又提醒必須填完。
站在品牌端，這格欄位可能是為了生日優惠、會員分群，或只是多年以前留下的表單設定。但站在消費者的角度，他很自然會想：我只是要買東西，為什麼不給生日就不能結帳？
這正好是個資法第 8 條告知義務的切入點。網頁放了隱私權政策或勾選框，不代表蒐集目的、資料類別、利用方式和不提供資料的影響都已說清楚；而告知充分、蒐集合法性與是否需要取得同意，也不能混為一談。
此為表單設計情境示意，不代表要求生日一律違法；仍須依實際目的、必要性及適用法規判斷。
以下按 2026 年 10 月已施行的臺灣《個人資料保護法》整理六項告知重點。
第 8 條的六項告知內容
| 法定項目 | 電商網站可以如何檢查 | 常見遺漏 |
|---|---|---|
| 蒐集者名稱 | 是否讓消費者知道實際蒐集資料的公司 | 只出現商標，沒公司名稱 |
| 蒐集目的 | 訂單履行、客服、會員管理、行銷等目的是否清楚 | 用「改善服務」包辦所有用途 |
| 個人資料類別 | 姓名、聯絡、地址、訂單、交易資訊等 | 實際多蒐集資料卻沒更新 |
| 利用期間、地區、對象及方式 | 資料保存、傳輸地區、委外對象、處理方式 | 導入海外 SaaS 後內容過時 |
| 當事人權利及行使方式 | 如何查詢、更正、停止利用或依法請求刪除等 | 只有權利名稱，沒有聯繫方式 |
| 自由選擇提供時不提供的影響 | 對選填與必填資料分別說明後果 | 把所有欄位都設成必填但未解釋 |
上表是便於查核的說明，以正式法條及主管機關解釋為準。
圖解：告知已完成不代表任何蒐集都合法
三種實際場景，告知要求可能不同
結帳送貨： 地址、聯絡方式為履行配送所必要的情境，仍須釐清蒐集者身分、資料利用對象與方式。實際合法性條件還需另按個資法第 19 條檢查。
訂閱促銷簡訊： 行銷目的與訂單履行目的不能隨意混成一包。應檢查行銷利用的合法依據、告知內容，以及當事人拒絕行銷時的處理流程；第 20 條對行銷拒絕另有要求。
客服上傳截圖： 截圖可能包含電話、地址、身分識別或他人資料；不能只因為是客服對話，就把其內容全部加入可跨部門搜尋、無限期留存的資料庫。
第 8 條有免告知的例外嗎？
有。法律列有法定免告知、履行法定義務必要、當事人明知告知內容等情況。但有例外不表示可以一律省略隱私告知。 應對每個處理活動確認適用依據及可支持事實，而不是全站統一貼一句「依法免告知」。
實務稽核應拿哪些證據？
- 實際註冊、結帳、客服、活動報名的頁面截圖與版次。
- 告知文字和個資處理活動清冊對照表。
- 表單必填／選填欄位定義與系統變更紀錄。
- 第三方平台、物流、CRM、行銷等接收對象與資料流。
- 當事人權利請求的受理與處理流程。
一個常見風險：網站的隱私權政策三年前寫好，但新的行銷工具昨天才串接。 這種情況首先要檢查實際蒐集使用行為與告知資料是否一致，而不是只看網站有沒有放那個頁面。
圖解：本圖整理查核主題，仍須依法確認所有六項
如果是在第三方購物車上賣東西，品牌仍需就自己決定與執行的資料處理活動確認告知和管理責任，不會因為平台代管網頁而自動免責。
資料來源： 《個人資料保護法》第 8 條、第 19 條、第 20 條。
同主題延伸閱讀：個資法第 9 條怎麼做？名單不是本人提供時的來源告知與例外、個資法第 20 條怎麼判斷？目的外利用、行銷拒絕與電商案例。