蒐集 100 位素人的身分證字號與地址,個資法上要注意什麼?

跑一檔 100 人的 KOC 活動,你會需要:

• 姓名與身分證統一編號——開扣繳憑單一定要
• 住址——寄樣品一定要
• 金融帳戶——撥款一定要
• 外加報名時收的 IG 帳號、粉絲數、聯絡方式

活動結束後,這些資料通常還留在一份 Google 試算表裡,擁有連結的人都打得開。

這不是「小心一點」的問題,是個人資料保護法的範圍。本文適用 2026 年(民國 115 年)。

先確認一件事:你確實是在蒐集個資

有些人以為「對方自己填的表單」不算蒐集。不是這樣——只要你取得、保有這些資料,你就是個資法上的非公務機關,蒐集、處理、利用都受規範。

身分證統一編號不是個資法定義的「特種個資」(那指的是病歷、醫療、基因、性生活、健康檢查、犯罪前科),但它仍是個人資料,而且是識別性極高的一種。外洩的後果不會因為它不是特種個資就比較輕。

一、你的報名表單有沒有「告知」?

依《個人資料保護法》第 8 條第 1 項,蒐集個資時應明確告知當事人六件事:

一、公務機關或非公務機關名稱。二、蒐集之目的。三、個人資料之類別。四、個人資料利用之期間、地區、對象及方式。五、當事人依第三條規定得行使之權利及方式。六、當事人得自由選擇提供個人資料時,不提供將對其權益之影響。

用白話講,你的報名表單開頭應該讓對方看得到:

第 8 條第 2 項有六種得免告知的例外,其中一款是「非公務機關履行法定義務所必要」。開扣繳憑單確實是法定義務——但要注意兩件事:

1. 免告知不等於免遵守其他規定。 安全維護、保存期限、當事人權利都還在
2. 你收的通常不只法定義務所需。 寄樣品要的住址、報名時收的粉絲數,都不是扣繳義務要求的。這些欄位沒有免告知的空間

實務上最省事的作法就是一律告知,不用逐欄判斷哪一欄可以免。

二、活動結束後,你有刪除義務

這是最多人忽略的一條。個資法第 11 條第 3 項:

個人資料蒐集之特定目的消失或期限屆滿時,應主動或依當事人之請求,刪除、停止處理或利用該個人資料。

注意「主動」——不是等對方來要求你才刪。

實務上要拆開看,因為不同欄位的「目的」結束時間不一樣:

• 住址:寄完樣品,目的就消失了
• 金融帳戶:撥款完成,目的就消失了
• 姓名與身分證統一編號:扣繳憑單有法定的保存要求,不能在申報完就刪

也就是說,一檔活動結束後你不是全刪也不是全留,而是該分批清理。多數品牌的實際狀況是整份表單原封不動放到永遠,那是不符合這一條的。

三、罰則長什麼樣

依個資法第 48 條,違反第 8 條(告知義務)等規定的,主管機關會令限期改正;屆期未改正者,按次處 2 萬元以上 20 萬元以下罰鍰。情節重大的,另有 15 萬元以上 1,500 萬元以下的規定。

罰鍰通常不是最痛的。真正麻煩的是外洩之後的通知義務、對品牌的信任損害,以及當你手上有上百位素人的身分證字號時,那個規模。

實務上怎麼做才不會出事

① 報名表單第一段就放告知事項
不是藏在連結裡的隱私權政策。表單開頭一段話,勾選「我已閱讀」再往下填。

② 分欄位設定保存期限,而且真的執行
建一個欄位對照表:哪一欄、為什麼收、什麼時候可以刪。活動結案時照表清理。沒有這張表,「主動刪除」不會發生。

③ 收最少的資料
沒有要寄實體樣品就不要收住址。不是「先收著以後可能用得到」——那正是個資法要防的事。

④ 限制誰看得到
「知道連結的人都可以編輯」是最常見的錯誤設定。一百筆身分證字號不該躺在一個可以隨手轉傳的連結後面。

⑤ 想清楚承辦人離職怎麼辦
資料在誰的個人雲端硬碟?交接時怎麼移轉?這件事在出事之前永遠不會有人問。

小結

KOC 活動的規模效應不只發生在行政工時上,也發生在個資風險上。一檔 KOL 合作你手上有 1 筆身分證字號;一檔百人 KOC 活動,你手上有 100 筆。

三件事做到就守住大半:表單有告知、欄位有保存期限、權限不是任何人都能開。

行政量的完整試算見一檔 KOC 活動找 100 個素人,行政會爆在哪裡?;扣繳與憑單的門檻見扣繳試算工具。

---

*本文適用 2026 年(民國 115 年),法規可能調整。個資的蒐集、處理與利用是否合法涉及個案判斷,本文僅說明原則,實際適用請洽法律專業人士或主管機關。*

*出處:個人資料保護法第 8 條、第 11 條、第 48 條*