一、 案例：
小明再次轉換跑道，決定前往A補習班任職，某日，小明要求工讀生去各個國中發放傳單，並請學生填寫升學問卷。結果小明在取得問卷資料後，將問卷交給同集團另一間B補習班招生組的員工小華，請小華去跟有留下姓名、電話的學生進行電訪，並推銷同集團B補習班課程。學生家長得知後，極為生氣，認為在填寫問卷時，沒有取得學生的同意便將其個資交給B補習班，形同洩漏學生個資，於是學生家長揚言對小明提告。二、 問題：
實務上公司聘僱員工或服務客戶時，或多或少會取得他人的個人資料，而且員工在提供勞務的過程中，可能也會觸及其他同仁、客戶的個人資料，如果在沒有符合法律規定的情況下，蒐集、處理、利用他人個人資料，仍可能會受到刑事的制裁。
三、 解說：
(一) 依照個人資料保護法第2條第1款規定：「本法用詞，定義如下：一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」、第19條第1項規定：「非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者(略)。」、第20條第1項規定：「非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用(略)。」
(二) 簡言之，個人資料原則上指的是「自然人」的資料，且除了上開規定列出的項目外，還要特別留意「其他得以直接或間接方式識別該個人之資料」也屬之，像手機號碼就是一例。而在非公務機關蒐集、處理、利用他人個資時，原則上必須要在「特定目的必要範圍」內為之，例如假設以小明的例子，在蒐集個人資料時，可能會先告知學生說，這些資料只會用在某某補習班的某某統計上，而當小明利用個資有逾越這個目的、範圍時，就可能會被認定是違反前揭個資法的情形。
(三) 而違反前揭個資法的蒐集、處理、利用，都可能會遁入刑事的制裁，依照個資法第41條規定：「意圖為自己或第三人不法之利益或損害他人之利益，而違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳輸之命令或處分，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。」，若意圖為自己或第三人不法利益或者有損害他人利益，足生損害於他人者(包含非財產上損害，且不以實際發生損害結果為必要)，就可能會構成此項違反個資法的犯罪。
(四) 換言之，在小明的案例中，假設小明在蒐集個資的時候，有提及該等資料只限於A補習班使用，嗣後卻將資料交給B補習班的小華利用，就可能會被認定為逾越特定目的必要範圍之情形，而有成立前開犯罪的風險(參臺灣高等法院臺中分院111年度上訴字第41號刑事判決)，且前開犯罪屬於非告訴乃論之罪(個資法第45條但書參照)，告訴人就算同意撤回，檢察官仍可繼續偵辦，不可不慎。
四、 結論：
個人資料的蒐集、處理、利用等，如何在特定目的下安全地使用，不僅勞工要留意，雇主也要小心，實務上有許多案例是雇主故意或不慎洩漏他人(包括但不限於員工、客戶)個人資料的情況，因此遭到刑法追訴，小明的案例也只是其中一個，如果家長嗣後執意要對小明提告，小明恐怕會需要為其行為負責，難辭其咎。
