客戶名單與會員資料可以一起賣嗎？個資法第19、20條與三則法務部函釋解析
重點摘要
- 客戶姓名、電話、電子郵件等能直接或間接識別個人的資料，都屬個人資料保護法第2條的「個人資料」，移轉與利用須遵守個資法。
- 依法務部102年10月21日、102年11月19日、104年8月26日三則書函，合併、概括承受或營業讓與並承受債權債務時，受讓方得在原蒐集特定目的範圍內利用個資。
- 依法務部104年8月26日書函，沒有營業讓與而單純取得資料庫者，屬目的外利用，須符合個資法第20條第1項但書事由（例如當事人書面同意）。
- 現行有效罰則：違反第19條、第20條第1項者，依第47條處新臺幣5萬元以上50萬元以下罰鍰；違反安全維護義務者，依112年5月31日公布之第48條處新臺幣2萬元以上200萬元以下罰鍰，屆期未改正按次處15萬元以上1,500萬元以下。
- 個資法114年11月11日修正條文施行日期由行政院定之，截至2026年10月15日仍未定；個人資料保護委員會仍為籌備處。
客戶名單與會員資料可以隨事業移轉，但不是當成一份清單直接賣。依法務部函釋，合併、概括承受或營業讓與並承受相關契約時，受讓方可在原蒐集目的範圍內繼續利用；單純買一份名單、沒有承受營業，則屬目的外利用，原則上要取得當事人同意。交易各階段也要控制資料揭露範圍。
一、為什麼客戶資料在事業移轉中特別敏感
結論：客戶資料常是買方估值的重點，但它同時受個資法規範；交易型態不對、揭露方式不當，買賣雙方都可能面臨行政罰鍰。
電商會員名單、補習班家長聯絡資料、美容業顧客紀錄、B2B 公司的採購窗口資訊，都可能含有個人資料。買方評估事業價值時，常會問：「有多少活躍會員？回購率多少？」賣方為了證明價值，也可能想直接交出名單。問題在於，這些資料當初是為了特定目的蒐集，移轉給另一個主體使用，必須有法律依據。
二、個資法的基本規則
結論：個資的蒐集、處理、利用都要在特定目的範圍內；非公務機關利用個資，原則上不得逾越蒐集的特定目的。
2-1 什麼是個人資料
個資法第2條規定，個人資料是指自然人之姓名、出生年月日、國民身分證統一編號等，以及其他「得以直接或間接方式識別該個人之資料」。同條也定義：
| 用語 | 意義（依個資法第2條） |
|---|---|
| 蒐集 | 以任何方式取得個人資料 |
| 處理 | 為建立或利用個資檔案所為之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送 |
| 利用 | 將蒐集之個資為處理以外之使用 |
| 國際傳輸 | 個資作跨國（境）之處理或利用 |
法人本身的名稱、統一編號不是個人資料，但 B2B 客戶名單中的窗口姓名、手機、電子郵件，仍屬自然人的個人資料。
2-2 第5條：誠信與目的拘束
個資法第5條要求，個資的蒐集、處理或利用，應尊重當事人權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。
2-3 第19條：非公務機關蒐集、處理的要件
第19條規定，非公務機關蒐集或處理個資，應有特定目的，並符合法定情形之一，例如：法律明文規定、與當事人有契約或類似契約之關係且已採適當安全措施、當事人自行公開或其他已合法公開、經當事人同意、對當事人權益無侵害等。
2-4 第20條：利用要在目的範圍內
第20條規定，非公務機關利用個資，應於蒐集之特定目的必要範圍內為之；目的外利用須符合但書事由（例如經當事人同意）。另外，用於行銷時，當事人表示拒絕接受行銷後，應立即停止利用其個資行銷。
三、三則法務部函釋：哪些交易型態可以延續利用
結論：三則函釋的共同邏輯是「營業與契約關係一起移轉時，受讓方可在原目的內利用；只拿資料、沒有承受營業時，屬目的外利用」。函釋並未表示「一律無須同意」。
3-1 函釋整理
| 函釋 | 適用情形 | 重點 |
|---|---|---|
| 法務部102年10月21日法律字第10203511610號書函 | 依企業併購法合併、收購、分割 | 被併購公司與第三人之契約及權利義務一併移轉，且原蒐集符合第19條「契約或類似契約關係」者，承受企業得於原蒐集特定目的內處理、利用；具體個案宜徵詢中央目的事業主管機關 |
| 法務部102年11月19日法律字第10203512780號書函 | 依企業併購法第27條或金融機構合併法第18條概括承受資產、負債及營業 | 承受公司取得個資非屬「由第三人提供」的間接蒐集；繼續利用限原特定目的，目的外利用須符合第20條但書；被併購公司已告知或有免告知事由者，存續公司無須再告知 |
| 法務部104年8月26日法律字第10403509750號書函 | 有無營業讓與 | 有營業讓與並承受債權債務者，受讓方得在原蒐集目的必要範圍內利用資料庫；無營業讓與者屬目的外利用，須符合第20條第1項但書（如書面同意） |
3-2 適用條件要注意的地方
- 要有營業或契約的移轉：函釋的前提是事業本身（含與客戶的契約關係）一併移轉，不是只移轉資料。
- 只能在原目的內利用：例如原本為「會員服務與商品配送」蒐集的資料，受讓方接手後仍用於同樣目的；若要拿去推廣另一個品牌的全新業務，可能超出原目的。
- 個案宜徵詢主管機關：102年10月21日函釋明確提到，具體個案宜徵詢中央目的事業主管機關。
- 函釋不是萬用通行證：函釋說明的是在一定條件下可以延續利用，不是說事業移轉時個資問題都不存在。
四、單純買名單：目的外利用的風險
結論：只買客戶名單而沒有承受營業，依法務部104年8月26日函釋屬目的外利用，須符合第20條第1項但書事由；實務上最常見的是取得當事人同意，但要逐一取得並不容易。
4-1 常見的高風險安排
| 安排 | 風險 |
|---|---|
| 賣方歇業前把會員名單賣給同業 | 沒有營業讓與，受讓方利用屬目的外利用 |
| 賣方保留事業，只把部分客戶名單賣出 | 同上；賣方的提供行為也可能逾越原蒐集目的 |
| 買方拿取得的名單推廣其他業務 | 即使有營業讓與，超出原蒐集目的仍有風險 |
| DD 階段交付完整會員資料檔 | 賣方提供給尚未成為受讓方的第三人，可能屬目的外利用 |
4-2 情境示例（假設情境，非真實個案）
假設一家寵物美容店決定歇業，同區另一家店願意出價購買其顧客名單（含飼主姓名、手機、寵物資料），但不承接店面、員工與既有預約。這種安排沒有營業讓與，依104年8月26日函釋屬目的外利用，除非逐一取得顧客書面同意，否則雙方都有違反第20條的風險。較穩妥的做法，可能是由歇業的店家以自己的名義通知顧客「本店將歇業，如有需要可聯絡某店」，由顧客自行決定是否聯繫，而不是直接移交名單。實際做法是否合法，仍應由律師依個案判斷。
五、現行罰則：以112年版為準
結論：個資法114年11月修正條文尚未施行，現行有效的罰則是112年5月31日公布版本的第48條，以及第41條、第47條。
5-1 行政罰鍰
| 條文 | 違反事項 | 罰鍰 |
|---|---|---|
| 第47條 | 非公務機關違反第6條第1項、第19條、第20條第1項或限制國際傳輸命令 | 新臺幣5萬元以上50萬元以下，並令限期改正，屆期未改正按次處罰 |
| 第48條（112年5月31日公布） | 違反第8條、第9條、第10條至第13條、第20條第2項或第3項 | 限期改正，屆期未改正按次處新臺幣2萬元以上20萬元以下 |
| 第48條（同上） | 違反第27條第1項安全維護義務，或未依第27條第2項訂定安全維護計畫或業務終止後處理方法 | 新臺幣2萬元以上200萬元以下，並令限期改正；屆期未改正按次處新臺幣15萬元以上1,500萬元以下 |
| 第48條（同上） | 前項情節重大者 | 新臺幣15萬元以上1,500萬元以下，並令限期改正；屆期未改正按次處罰 |
5-2 刑事責任
第41條規定，意圖為自己或第三人不法之利益或損害他人之利益，違反相關規定足生損害於他人者，處5年以下有期徒刑，得併科新臺幣100萬元以下罰金。
5-3 第27條：安全維護義務
現行第27條規定，非公務機關保有個資檔案者，應採行適當之安全措施，防止個資被竊取、竄改、毀損、滅失或洩漏；中央目的事業主管機關得指定非公務機關訂定個資檔案安全維護計畫或業務終止後個資處理方法。對事業移轉而言，「業務終止後個資處理方法」尤其值得賣方注意：如果賣方是歇業而非出售，名單的處理方式也可能受到規範。
5-4 114年修正尚未施行
全國法規資料庫顯示，個資法114年11月11日修正第1條之1、第12條、第18條、第21條、第22條至第26條、第41條、第47條至第49條等條文，增訂第20條之1等條文並刪除第27條，施行日期由行政院定之，截至查證日仍為「未定」。修正後將安全維護義務移至新的第20條之1，罰則結構也有調整。此外，個資法第1條之1規定主管機關為個人資料保護委員會，但該條尚未施行，個資會官網機關名稱仍為「個人資料保護委員會籌備處」。
撰寫契約時，建議以現行有效條文為準，並留意修正施行後的變化。
六、交易各階段的實務做法
結論：個資風險要從第一次接觸就開始管理：DD 只看統計與樣本、交割後依法處理告知與行銷拒絕權、契約明確分配責任。
6-1 初步接觸與 DD 階段
- 只提供統計資料：會員數、活躍比例、回購率、地區分布、客單價等，不需揭露個人身分。
- 去識別化或抽樣：若買方需要驗證資料真實性，可提供去除姓名、電話等識別資訊的樣本，或在賣方場所由買方有限度檢視。
- 限制閱覽人與用途：在保密協議（NDA）中約定資料只能用於評估交易、不得複製、交易不成時須返還或銷毀。
- 確認個資來源合法：買方應詢問會員資料當初如何蒐集、告知了哪些目的、是否有書面同意紀錄、是否曾發生外洩事件。
6-2 簽約與交割
- 確認交易型態符合函釋前提：營業讓與要同時承受與客戶的契約關係，而不是只移轉資料。
- 確認原蒐集目的：盤點會員條款或隱私權政策中載明的蒐集目的，買方接手後的利用不超出該範圍。
- 安全移交：以加密、限制權限的方式移交資料，並留存紀錄。
6-3 交割後
- 告知：依102年11月19日函釋，概括承受情形下，被併購公司已告知或有免告知事由者，存續公司無須再告知。但若交易型態不同，或為維持客戶信任，主動通知客戶經營主體變更、更新隱私權政策，仍是常見做法。
- 尊重行銷拒絕權：依第20條，當事人表示拒絕接受行銷時，應立即停止利用其個資行銷。交割後首次行銷前，宜提供簡便的拒絕方式。
- 新目的另取同意：若買方要把資料用於原目的以外的新業務，應另行取得當事人同意。
七、契約條款建議
| 條款 | 內容要點 |
|---|---|
| 聲明保證 | 賣方保證個資蒐集、處理、利用符合個資法；已依法告知；無未揭露的外洩事件或主管機關調查 |
| 資料範圍附件 | 列明移轉的資料類別、筆數、原蒐集目的 |
| DD 保密 | 資料僅供評估使用；交易不成時返還或銷毀 |
| 移交方式 | 加密傳輸、權限控管、移交紀錄 |
| 賣方交割後義務 | 不得保留、使用或另行提供客戶資料（法律另有保存義務者除外） |
| 補償 | 因交割前個資違法行為導致買方受罰或受損時，賣方負補償責任 |
聲明保證與補償條款的一般設計，可參考本站〈股權買賣契約：聲明保證與補償〉。
常見問題
Q1：公司被收購，會員資料可以直接給新老闆用嗎？
若是合併、概括承受或營業讓與並承受與客戶的契約關係，依法務部102年及104年函釋，受讓方得在原蒐集特定目的範圍內利用。超出原目的的利用，仍須符合個資法第20條但書，例如取得當事人同意。
Q2：只買客戶名單、不買店，可以嗎？
風險很高。依法務部104年8月26日書函，沒有營業讓與者屬目的外利用，須符合個資法第20條第1項但書事由，例如當事人書面同意。違反第20條第1項者，依第47條可處新臺幣5萬元以上50萬元以下罰鍰。
Q3：盡職調查時，賣方可以把會員資料檔給買方看嗎？
不建議直接交付完整檔案。買方在交易完成前還不是受讓方，賣方提供完整個資可能逾越原蒐集目的。較穩妥的做法是提供統計數據、去識別化樣本，並以保密協議限制用途。
Q4：個資法罰則現在是多少？
現行有效版本中，非公務機關違反第19條或第20條第1項，依第47條處新臺幣5萬元以上50萬元以下罰鍰；違反第27條安全維護義務，依112年5月31日公布之第48條處新臺幣2萬元以上200萬元以下罰鍰，屆期未改正按次處15萬元以上1,500萬元以下。
Q5：個資法114年修正已經生效了嗎？
截至2026年10月15日尚未施行。114年11月11日修正的條文施行日期由行政院定之，全國法規資料庫標示為「未定」；個人資料保護委員會也仍為籌備處。
Q6：接手後寄行銷信給舊客戶，要注意什麼？
應確認行銷屬原蒐集目的範圍內，並尊重當事人的拒絕權。依個資法第20條，當事人表示拒絕接受行銷時，應立即停止利用其個資行銷。
參考法規與資料來源
- 個人資料保護法（全國法規資料庫，含施行狀態註記）：https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050021
- 個人資料保護法沿革（臺北市法規查詢系統）：https://laws.gov.taipei/law/LawSearch/LawArticleAmend/FL010627
- 個人資料保護法第27條現行條文（臺北市法規查詢系統相關法條）：https://laws.gov.taipei/Law/Interpretation/RelatedLaw/FE389013
- 112年5月31日總統令修正個資法第48條（高雄市政府轉載）：https://orgws.kcg.gov.tw/001/KcgOrgUploadFiles/400/relfile/73713/326130/182fb45b-d4e7-4a37-8314-c8266461c219.pdf
- 法務部102年10月21日法律字第10203511610號書函：https://laws.gov.taipei/law/Interpretation/Content/FE262899
- 法務部102年11月19日法律字第10203512780號書函：https://laws.gov.taipei/law/Interpretation/ContentExport/FE263639?type=5
- 法務部104年8月26日法律字第10403509750號書函：https://laws.gov.taipei/Law/Interpretation/Content/FE278988
- 個人資料保護委員會籌備處：https://www.pdpc.gov.tw
延伸閱讀
PassBiz 如何協助
PassBiz 寶秀的案件以不具名方式刊登，買方線上申請交涉、經賣方核准後才進一步揭露資訊；賣方在核准前只看到買方有限資訊。這種分段揭露的設計，讓賣方可先以會員數、營收等統計資訊吸引買方，再決定何時、向誰提供更詳細資料。賣方可免費登錄，也可透過免費諮詢表單（/consultation）提出問題。
本文依截至 2026 年 10 月 15 日之法規與公開資料撰寫，僅供一般知識參考，不構成法律、稅務或財務建議。個案請洽律師、會計師等專業人士。