「會員註冊時已經勾了同意，之後推什麼、怎麼推都可以。」這句話在行銷團隊裡很常聽到，也是個資法第 20 條最常被誤會的地方。勾選同意解決的是「能不能拿到這筆資料」，第 20 條管的是另一件事：資料拿到之後，能用在哪裡、用到什麼程度，以及對方說不要的時候你要多快停下來。
這篇要回答的是：個資法第 20 條到底規定了什麼？行銷人從會員招募、分眾推播到上傳廣告受眾做再行銷，哪幾個環節最容易越線？我們把條文拆成三項規定，再整理出 5 條行銷實務上的合規紅線、對應罰則，以及可以直接做進系統裡的檢查方式。
（本文為行銷實務整理，不構成法律意見。個案判斷請洽專業律師或主管機關。）
個資法第20條在說什麼？三項規定拆開看
個資法第 20 條規範的是「非公務機關」，也就是企業、品牌、店家怎麼「利用」個人資料，一共三項：第 1 項定原則與例外，第 2 項是拒絕行銷後要停止，第 3 項是首次行銷要提供拒絕方式。
第 1 項：只能在蒐集的特定目的內使用
條文的原則是：利用個人資料，應該在「蒐集之特定目的必要範圍內」為之。白話講，你當初跟會員說要拿資料做什麼，就只能用在那件事上。
但書列了 7 款可以做「特定目的外利用」的例外：
- 法律明文規定
- 為增進公共利益所必要
- 為免除當事人的生命、身體、自由或財產上的危險
- 為防止他人權益的重大危害
- 公務機關或學術研究機構基於公共利益做統計或學術研究，且資料無從識別特定當事人
- 經當事人同意
- 有利於當事人權益
對行銷人來說，真正會用到的幾乎只有第 6 款「經當事人同意」。其他幾款要嘛跟商業行銷無關，要嘛很難主張。例如「有利於當事人權益」，推一檔促銷活動給會員，很難說服主管機關這是為了會員的權益。
第 2 項：對方拒絕，就要立即停止
第 2 項的原文是：非公務機關利用個人資料行銷，「當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷」。
這一項有兩個關鍵字。第一個是「應即」，沒有給緩衝期，不是下個月批次更新名單再處理。第二個是它管的是「行銷」這個利用方式，對方拒絕行銷，不代表你要刪掉他的會員資料；訂單通知、點數到期提醒這類履約相關的訊息，跟行銷是分開判斷的。
第 3 項：第一次行銷，就要給拒絕的方式
第 3 項規定：非公務機關「於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用」。
「首次」代表不能等對方抱怨了才補上退訂管道；「支付所需費用」代表退訂不能讓消費者付錢，例如要對方撥付費電話、或回傳付費簡訊才能拒絕，都不符合這一項。
蒐集和利用是兩道關卡：第19條管拿資料，第20條管用資料
會員資料要合法用在行銷，必須同時通過兩道關卡：蒐集時符合第 19 條，利用時符合第 20 條。很多團隊只做了第一道，就以為整條路都打通了。
第一道關卡是蒐集。 個資法第 19 條規定，非公務機關蒐集或處理個人資料，要有特定目的，並符合 8 款情形之一，常見的是「與當事人有契約或類似契約之關係，且已採取適當之安全措施」，以及「經當事人同意」。搭配第 8 條的告知義務，蒐集時要告訴對方你是誰、蒐集目的、資料類別、利用的期間、地區、對象及方式、當事人有哪些權利，以及不提供資料會有什麼影響。
第二道關卡是利用。 資料進了會員系統之後，每一次拿出來用，都要回頭對照當初告知的目的。法務部公告的「個人資料保護法之特定目的及個人資料之類別」裡，「行銷」（代號 040）和「消費者、客戶管理與服務」（代號 090）是兩個不同的特定目的。只寫了 090 的會員條款，拿資料去做行銷推播，就可能落到第 20 條第 1 項的特定目的外利用。
依契約蒐集的資料，可以拿去行銷嗎？
可以，但有條件。依法務部函釋的見解，依契約或類似契約關係蒐集的資料要用於行銷，行銷內容必須跟該契約關係有正當合理的關聯，才算是特定目的內的利用。例如會員在保養品牌消費，品牌依會員條款推播同品牌的保養新品，關聯性相對清楚；同一份會員名單拿去推合作的保險商品，關聯性就薄弱得多，比較穩當的做法是另外取得同意。
同一份函釋見解也提到：當事人拒絕行銷後，契約關係下的其他目的仍然存在，但行銷的部分還是要依第 20 條第 2 項停下來。也就是說，「他還是我們的會員」不能當作繼續推播的理由。
告知寫得越模糊，後面越難用
會員條款寫「為提供更好的服務，本公司將利用您的資料」，看起來涵蓋很廣，實際上什麼都沒講清楚。告知事項要讓一般消費者讀得懂你會拿資料做什麼，目的寫得越具體，後續利用時越容易對照得上；目的寫得越空泛，越難主張某個利用方式在範圍內。
延伸閱讀：當 AI 讓技術變便宜，「信任」與「數據資產」才是企業真正的護城河
行銷人蒐集會員資料、做再行銷的 5 條合規紅線
把第 19 條、第 20 條和相關條文對到行銷日常，最容易越線的是這 5 個環節：告知目的、同意方式、首次行銷、拒絕後的處理、名單交給第三方。
紅線一：蒐集時沒把「行銷」寫進目的
會員註冊頁或入會條款裡，蒐集目的只寫了客戶管理、訂單處理、會員服務，卻沒有寫行銷，之後所有推播都要靠「跟契約有合理關聯」來撐。這條路能走，但每一檔活動都要重新判斷一次關聯性，風險落在灰色地帶。
比較好的做法是在告知事項裡把行銷列為明確的目的，寫清楚會透過哪些管道（LINE、簡訊、Email、App 推播）、推播哪類內容。告知事項本身不完整，違反的是第 8 條，依第 48 條可以限期改正，屆期未改正按次處新臺幣 2 萬到 20 萬元罰鍰。
紅線二：把行銷同意包在會員條款裡一起勾
第 20 條第 1 項第 6 款的「經當事人同意」，在第 7 條有特別定義：特定目的外的利用，要在明確告知其他利用目的、範圍，以及同意與否對權益的影響之後，由當事人「單獨」所為的意思表示。
這代表一件事：如果你要把資料用在蒐集目的以外的地方，例如把會員名單提供給關係企業或合作品牌做行銷，同意要單獨取得，不能跟「我已閱讀並同意會員條款」綁在同一個勾選框裡。另外，第 7 條也規定蒐集者對「經當事人同意」這件事負舉證責任，同意的時間、版本、管道都要留得下紀錄。
實務上常見的設計是在註冊頁把勾選框拆開：一個是必勾的會員條款，一個是選勾的「我願意收到合作品牌的優惠資訊」，而且不勾也能完成註冊。
紅線三：第一則行銷訊息沒有附上拒絕方式
第 20 條第 3 項要求首次行銷就提供拒絕方式，而且費用由品牌負擔。這條在各管道的落地方式不同：
- Email：信件底部放一鍵退訂連結，點了就生效，不用再登入
- 簡訊：附上免付費的退訂方式，不要求對方回傳付費簡訊
- LINE 官方帳號：好友可以直接封鎖帳號，但封鎖只解決 LINE 這一個管道；如果同一位會員也收 Email 和簡訊，最好在圖文選單或會員中心提供「不接收行銷訊息」的設定，讓拒絕可以套用到所有管道
- 電話行銷：通話開頭就要讓對方知道可以表示不再接受來電
最容易出事的是新管道上線的時候。 品牌原本只發 Email，退訂機制做得很完整；某天開始發簡訊或 App 推播，第一則就忘了附退訂方式，對這個管道來說就是「首次行銷」沒有提供拒絕方式。
紅線四：會員說不要了，其他管道還在推
這是行銷自動化普及之後最常見的狀況。會員在 Email 點了退訂，Email 系統把他標記起來了，但簡訊平台、LINE 推播、App 推播用的是各自的名單，沒有人把這個拒絕同步過去。下週會員又收到一則簡訊，他不會管你背後是幾套系統，他只知道「我說過不要了」。
第 20 條第 2 項要求的是「應即停止利用其個人資料行銷」，條文沒有說只停一個管道。對方表示拒絕之後，這個拒絕應該視為對這筆個人資料的行銷利用停止，而不是只對那一個發送管道生效。違反這一項，依第 48 條限期改正，屆期未改正按次處 2 萬到 20 萬元；按次處罰的意思是，每拖一次都可以再罰一次。
這條紅線的根本原因通常是結構性的：拒絕紀錄散在不同系統、沒有一份共用的排除名單。跟行銷人員認不認真無關，系統沒接起來，人工對名單一定會漏。
紅線五：再行銷名單交出去，沒有先排除、也沒有管好受託方
再行銷最常見的做法，是把會員的 Email 或手機號碼雜湊後上傳到廣告平台，比對出同一批人再投放廣告。這一步本身也是一種「利用個人資料行銷」，第 20 條的三項規定一樣適用：
- 上傳前要確認，這批會員的資料蒐集目的有涵蓋這種行銷利用
- 已經表示拒絕行銷的會員，要先從上傳名單裡排除，不能因為「廣告不是訊息推播」就繼續投
- 名單交給代理商、行銷科技廠商處理，依個資法第 4 條，受託者在適用範圍內視同委託機關；委託方也要對受託方做適當監督，合約裡寫清楚資料只能用在委託目的、用完怎麼刪除
另外要留意：雜湊過的 Email、裝置 ID、Cookie 識別碼，如果能跟其他資料對照、間接識別出特定的人，依第 2 條的定義仍可能屬於個人資料。不要因為名單「看起來是亂碼」就當成不受個資法規範。
延伸閱讀：回購週期中位數是什麼？比平均值更該看的再行銷時間點
違反個資法第20條會怎樣？罰則與連帶風險
違反第 20 條第 1 項（特定目的外利用）罰得最重，罰鍰新臺幣 5 萬到 50 萬元；違反第 2、3 項（拒絕行銷的處理與提供拒絕方式）罰 2 萬到 20 萬元。兩者都要限期改正，屆期未改正會按次處罰。
把相關罰則整理成一張表（依全國法規資料庫個人資料保護法現行條文，查詢日 2026-11-03）：
| 違反行為 | 對應條文 | 罰則 |
|---|---|---|
| 蒐集時告知事項不完整 | 第 8 條 | 限期改正，屆期未改正按次處 2 萬–20 萬元（第 48 條） |
| 首次行銷未提供拒絕方式、拒絕後未停止 | 第 20 條第 2、3 項 | 限期改正，屆期未改正按次處 2 萬–20 萬元（第 48 條） |
| 蒐集或利用不符法定要件、特定目的外利用 | 第 19 條、第 20 條第 1 項 | 處 5 萬–50 萬元並限期改正，屆期未改正按次處罰（第 47 條） |
| 意圖為自己或第三人不法利益、或損害他人利益，違反上述規定且足生損害 | 第 41 條 | 5 年以下有期徒刑，得併科 100 萬元以下罰金 |
罰鍰之外，更貴的是信任
罰鍰金額看起來不高，真正的成本在後面。Cisco 在 2024 年 10 月發布的《2024 Consumer Privacy Survey》，訪問 12 個國家、2,600 位消費者，有超過 75% 的受訪者表示，如果不信任一家企業處理資料的方式，就不會跟它買東西；25 到 34 歲的受訪者裡，有 49% 曾經因為企業的資料政策或資料分享做法而換掉往來的公司。這份調查不含台灣樣本，但它指向的方向很清楚：個資處理方式本身就會影響購買決定。
對做會員經營的品牌來說，一位會員因為「說了不要還一直推」而離開，損失的是他未來所有的回購。拒絕行銷處理得好，反而是讓會員願意繼續留在名單上的理由。
法規也在往前走
個資法在 2023 年修正第 48 條，提高非公務機關違反安全維護義務的罰鍰，情節重大者最高可處 1,500 萬元。2025 年 11 月 11 日總統再公布一次修正，主管機關改為個人資料保護委員會，部分條文的施行日期由行政院另定。第 20 條本身這次沒有修正，但主管機關統一之後，執法標準與查核力道值得持續留意。
把合規做進系統：同意紀錄、拒絕名單、排除規則
這 5 條紅線，靠人工對名單很難長期守住。比較可行的做法，是把合規條件變成系統裡的欄位和規則，讓每一次分眾、每一次發送都自動套用。
每位會員要有一組「同意狀態」欄位
會員資料裡除了姓名、電話、消費紀錄，還要有幾個合規欄位：
- 會員條款同意的版本與時間
- 行銷同意（各管道分開，或至少有總開關）的狀態與取得時間、管道
- 拒絕行銷的時間與來源管道
- 特定目的外利用（例如提供給合作品牌）的單獨同意紀錄
這些欄位的用途有兩個。一是發送前可以篩選；二是被詢問時能舉證，第 7 條規定同意的舉證責任在蒐集者。
拒絕名單要集中，排除規則要預設套用
不論會員從哪個管道表示拒絕，都寫進同一份拒絕名單，再由這份名單去排除所有行銷發送與廣告受眾上傳。在支援集合運算的分眾工具裡，做法通常是「目標受眾」減去「拒絕行銷名單」的差集，並把這條排除規則設成每個行銷旅程的預設條件，而不是每次發送時由人手動勾選。
區分「行銷訊息」和「服務訊息」
拒絕行銷之後，訂單出貨、預約提醒、點數到期、帳號安全這類服務訊息原則上還是可以發。但要小心「包裝成服務訊息的行銷」：點數到期提醒裡塞了一大段新品促銷，就很難主張那是單純的服務通知。把兩類訊息的模板分開、分別管理，比較不容易混在一起。
新管道上線前，先跑一次合規檢查
每次開新的發送管道或接新的廣告平台，先確認三件事：這個管道的第一則訊息有沒有拒絕方式、拒絕名單有沒有同步進來、蒐集目的有沒有涵蓋這種利用。這三件事檢查一次只要幾十分鐘，漏掉一次可能就是一整批會員的抱怨。
現在可以立刻開始的 3 件事
- 打開會員註冊頁，讀一次你的告知事項：確認蒐集目的有沒有寫到行銷、寫了哪些管道，行銷同意跟會員條款是不是同一個勾選框
- 列出所有正在發送行銷訊息的管道：Email、簡訊、LINE、App 推播、廣告受眾上傳，逐一確認第一則訊息有沒有拒絕方式，以及退訂紀錄存在哪裡
- 抽 10 位已退訂 Email 的會員，查他們上個月有沒有收到其他管道的行銷：如果有，代表拒絕名單沒有跨系統同步，這是第一個要補的洞
把會員資料用在行銷，不需要害怕個資法，需要的是把「誰同意了什麼、誰說了不要」記清楚，並讓每一次發送都自動照這份紀錄走。愛酷的跨渠道顧客數據平台 AccuCDP（介紹見文末）能把網站、LINE、CRM、POS 的會員資料整合成單一顧客輪廓，用標籤與受眾圈選把拒絕行銷名單從每一次發送中排除，並已通過 ISO 27001 與 ISO 27701 認證。想檢視自己的會員資料流哪裡還有合規缺口，歡迎來信 [email protected]，我們可以從你現有的會員系統一起盤點。
常見問題
個資法第20條是什麼？
個資法第 20 條規範企業等非公務機關怎麼利用個人資料。原則上只能在蒐集的特定目的必要範圍內使用，符合法定例外（例如經當事人同意）才能做目的外利用；用於行銷時，首次行銷要提供拒絕方式，對方拒絕就要立即停止。
個資法第20條第2項是什麼意思？
第 2 項規定，企業利用個人資料行銷時，只要當事人表示拒絕接受行銷，就應該立即停止用他的個人資料行銷。拒絕行銷不等於刪除會員資料，訂單、預約這類服務通知原則上仍可發送。
會員資料可以拿來行銷嗎？
可以，前提是蒐集時已告知行銷目的，或依契約關係蒐集、且行銷內容跟該契約有合理關聯。要提供給合作品牌或做蒐集目的以外的行銷，需要另外取得當事人單獨的同意。
違反個資法第20條罰多少？
違反第 1 項（特定目的外利用）處新臺幣 5 萬到 50 萬元並限期改正；違反第 2、3 項（未提供拒絕方式、拒絕後未停止）限期改正，屆期未改正按次處 2 萬到 20 萬元。意圖不法利益且足生損害者，另有第 41 條的刑事責任。
關於 AccuCDP
AccuCDP 是愛酷智能科技的跨渠道顧客數據平台，整合品牌所有渠道的破碎數據，透過 AccuID 技術建立單一真實顧客輪廓，讓數據從「有」變成「能用」。
- 數據治理：整合網站（FPC 埋碼）、CRM、LINE、POS 等數據；AccuID 記錄匿名訪客並串連實名；通過 ISO 27001 與 ISO 27701 認證
- 洞察分析：行為量化、行為探索水流圖、行動時間軸與異常示警，找出流程卡點
- 顧客精練：觸發型、CRM 屬性型、自定義型與 LINE OA 標籤自動更新，可用交集、聯集、差集自由圈選受眾
- 行銷自動化：EDM、SMS、LINE、Web Notify、APP Push、Meta 與 Google 廣告多渠道發送，搭配旅程畫布與 A/B Test
- 效益衡量：UTM 管理儀表板、「歸因 + 貢獻」分析與發送量儀表板
適合會員資料分散在網站、LINE、CRM、POS 等多個平台，需要整合後做精準分眾、並在多渠道發送時一致套用排除規則的品牌。了解更多：AccuCDP 產品介紹
資料來源
- 全國法規資料庫，〈個人資料保護法〉（最新修正 2025-11-11，部分條文施行日期由行政院另定），第 2、4、7、8、19、20、41、47、48 條，查詢日 2026-11-03
- 法務部，〈個人資料保護法之特定目的及個人資料之類別〉（代號 040 行銷、090 消費者、客戶管理與服務）
- 法務部函釋（彙整於臺北市法規查詢系統）：依契約關係蒐集資料用於行銷須具正當合理關聯；拒絕行銷後契約目的仍存但須停止行銷
- Cisco，《2024 Consumer Privacy Survey》新聞稿〈New Cisco Survey Shows Strong Relationship Between Privacy Awareness and Trust in AI〉，2024-10-30
- 2023 年個資法第 48 條修正（非公務機關違反安全維護義務，情節重大最高 1,500 萬元）：國發會說明，經工商時報 2023-05-16 報導
- 2025 年個資法修正公布（2025-11-11，主管機關改為個人資料保護委員會）：理律法律事務所 Newsletter
