CRM 與個資法：客戶資料蒐集、行銷聯繫、權限與外洩處理的實務重點
企業用 CRM 蒐集客戶資料時，需要注意個人資料保護法的告知、特定目的、行銷退訂、安全維護、委外與外洩通知，附實務檢查表與提醒。
CRM 裡存放的姓名、電話、電子郵件、職稱與互動紀錄，大多屬於個人資料保護法所規範的個人資料。 企業在蒐集、處理與利用這些資料時，需要有特定目的與法定事由，並依規定告知當事人、採取安全維護措施、處理當事人的行使權利要求，以及在行銷時提供退訂方式。本文整理 CRM 實務中最常遇到的個資問題，供一般性參考；法規與主管機關安排可能調整，具體個案請以全國法規資料庫的最新條文與主管機關公告為準，並諮詢律師或法務人員。
一、哪些資料算個人資料
依個人資料保護法，個人資料是指可以直接或間接識別特定個人的資料，例如姓名、出生年月日、國民身分證統一編號、聯絡方式、職業、財務情況與社會活動等。在 B2B 的 CRM 中，業務聯絡人的姓名、職稱、公司電子郵件與手機，同樣屬於個人資料，並不因為是「公司聯絡人」就不受規範。
法律也對特定類別的資料（例如病歷、醫療、基因、性生活、健康檢查與犯罪前科）有更嚴格的規定。除非有法律明確許可的情形，一般企業不應在 CRM 中蒐集這類資料。若你的產業涉及醫療或健康服務，請特別諮詢專業意見。
二、蒐集時的告知義務
企業向當事人直接蒐集個資時，原則上應告知：蒐集機關名稱、蒐集目的、資料類別、利用的期間、地區、對象與方式、當事人可以行使的權利，以及不提供資料時對權益的影響。實務上，通常以網站表單的隱私權政策連結、紙本表單說明或活動報名頁面的聲明處理。
間接取得的資料（例如從名片、轉介紹或購買的名單）也有告知的需求，通常應於處理或利用前或首次利用時告知。請確保名單的來源合法，並且保存取得的紀錄。不建議向來源不明的名單供應者購買資料，因為你仍須負擔合規責任。
三、特定目的與利用限制
蒐集個資時需要有特定目的，後續的利用原則上要在特定目的必要範圍內。例如，客戶為了「詢價與報價」而提供資料，業務可以用來聯絡、報價與履約；但將這些資料用於與原先目的無關的行銷，可能需要另外取得當事人同意或符合其他法定事由。建議在表單上以清楚的文字列出主要用途，例如「報價與訂單服務」「產品資訊與活動通知」，並讓當事人可以分別選擇是否同意行銷用途。
四、行銷聯繫與退訂
當事人表示拒絕接受行銷時，企業應即停止利用其個人資料進行行銷。首次行銷時也應提供表示拒絕接受行銷的方式。實務上，電子報應有明確的退訂連結，電話與簡訊行銷也應提供拒絕方式並確實在系統中標記。
建議在 CRM 設立「行銷同意」與「拒絕行銷」欄位，記錄同意時間、方式與範圍，並讓行銷人員在發送前自動排除已拒絕的聯絡人。拒絕行銷的標記優先於任何其他名單或活動設定。
五、安全維護措施
非公務機關保有個人資料檔案者，應採行適當的安全措施，防止個資被竊取、竄改、毀損、滅失或洩漏。CRM 的實務做法包括：
| 措施 | 做法 |
|---|---|
| 存取權限 | 依職務設定角色，業務只看自己或團隊的客戶 |
| 帳號管理 | 一人一帳號，離職當日停用，定期清查未使用帳號 |
| 登入安全 | 使用強密碼與多重驗證 |
| 操作紀錄 | 啟用資料匯出、刪除與修改的稽核紀錄 |
| 匯出控管 | 限制匯出權限，大量匯出需主管核准 |
| 裝置安全 | 手機與電腦設定鎖定與遠端清除功能 |
| 備份與保存 | 備份加密，並訂定保存期限 |
| 教育訓練 | 定期告知同仁個資使用與保密責任 |
六、委外與雲端服務
使用雲端 CRM，代表你把個資委託給廠商處理。委託他人蒐集、處理或利用個資時，委託機關對受託者應為適當監督。實務上可以做的有：審閱廠商的隱私與資安說明；在合約中明定資料處理範圍、保密、資安事件通報、終止後的刪除或返還；確認資料存放地區；要求廠商提供必要的稽核或查詢支援。若涉及國際傳輸，法規允許中央目的事業主管機關在特定情形下限制，請留意主管機關公告。
七、當事人的權利
當事人可以向企業請求查詢或閱覽、請求製給複製本、請求補充或更正、請求停止蒐集處理利用，以及請求刪除其個人資料。企業需要建立受理與回覆的流程，例如指定窗口、確認身分的方式、處理期限與紀錄。CRM 若能快速搜尋某位當事人的所有資料、並支援刪除或匿名化，會讓處理這些請求大幅簡化。
八、資料外洩的處理
若發生個資被竊取、洩漏、竄改或其他侵害，企業在查明後，應以適當方式儘速通知當事人，並依規定採取補救。實務上，應預先擬定資安事件應變流程：誰負責判斷、如何止血（停用帳號、更換密碼、通知廠商）、如何通知當事人與相關主管機關、如何保存證據、如何事後檢討。部分產業另有主管機關的通報規定，請依所屬產業查詢。
九、資料保留與刪除
個資不應無限期保存。建議為不同類型的資料訂定保留期限，例如：已成交客戶依合約與會計法令所需的年限；無回應的名單在一定期間後刪除或匿名化；失敗商機的聯絡資料在合理期間後處理。CRM 中可以用「最後互動日期」輔助判斷，並定期（例如每年一次）檢視清理。與會計與稅務相關的文件，保存年限依商業會計法與稅法規定，請與會計師確認。
十、實務檢查表
- 表單與名片蒐集流程是否有告知蒐集目的與用途？
- CRM 是否記錄資料來源與取得日期？
- 行銷同意與拒絕是否可以被記錄與自動排除？
- 角色權限是否依職務最小化？
- 離職同仁帳號是否當日停用？
- 是否限制並記錄大量匯出？
- 與雲端 CRM 廠商的合約是否載明資料處理與終止後的刪除？
- 是否有個資事件應變流程與聯絡人？
- 是否有受理當事人請求的窗口與流程？
- 是否訂定資料保留與刪除的規則？
你可以在 需求盤點與廠商提問清單 的合約與個資項目中，逐項確認廠商的支援情形。名單端的處理請參考 名單管理與分派。
何時應該諮詢專業人士
下列情況建議諮詢律師或法務：蒐集特種個資、進行大規模行銷、把資料傳輸到海外、使用外部名單、發生外洩事件，或收到當事人或主管機關的要求。
常見問題
B2B 業務名片上的資料可以直接加入電子報嗎？
不建議直接加入。名片提供的目的通常是聯絡與業務往來，將其用於電子報可能需要另外取得同意或提供清楚的退訂方式。
客戶要求刪除資料，一定要全部刪嗎？
要視是否有法令或合約需要保存的情形而定，例如會計憑證。請依個案評估並留下處理紀錄。
員工離職，客戶資料算公司的還是個人的？
客戶資料是公司蒐集與管理的資料，應透過帳號權限控管，並在合約與規章中明定員工的保密義務。
