您收到過稱呼您全名、知道您職稱、入職時間、甚至信用卡逾期紀錄的推銷郵件/電話嗎？這不是巧合，而是個人資料在數位供應鏈中流轉、被聚合、畫像、精準行銷 (或詐騙) 的結果。本文透過真實案例剖析資料外洩管道、法律保護邊界與自我防護實務。

真實案例：精準到令人毛骨悚然

• 陳老師：剛入職半年大學講師，收到郵件精準標註「入職時間」、「升等年限」，推銷學術服務。
• 楊女士：業務經理接獲自稱「轄區機關主管」來電，隔天真人送書發票上門，事後證實為詐騙，但對方精準掌握姓名、手機、公司地址。
• 董先生：貸款購屋，銀行查詢聯徵中心發現他舊信用卡逾期紀錄，調高利率。董質疑原發卡銀行洩露資料。

個人資料外洩三大管道

1. 合法蒐集與共享：金融聯徵 (Joint Credit Information Center)、政府開放資料、公開招標公報、學術論文作者資訊、企業公開簡歷庫。
2. 商業聚合與畫像：資料經紀商 從公開來源、合作夥伴、Cookie/行為追蹤、App 權限蒐集，建立「360 度用戶畫像」轉售廣告主/詐騙集團。
3. 非法竊取與洩漏：駭客入侵資料庫 (撞庫、SQL Injection)、內部人員竊售、釣魚網站騙取帳密、惡意 App 竊取通訊錄/簡訊/定位。

法律保護邊界：個資法與金融聯徵

• 個資法 (個人資料保護法)：蒐集須特定目的、告知當事人、不得超出必要範圍。當事人享有查詢、請求閱覽、製給複製、補充更正、刪除、停止蒐集處理利用權利。
• 金融聯徵機制：銀行間共享信用資訊屬「法律授權」例外，但僅限信用評估目的，不得作行銷用途；董先生案中銀行調高利率屬風險定價，非違法洩露。
• 立法趨勢：歐盟 GDPR、加州 CCPA、我國個資法修正草案皆強化「同意機制」、「資料可攜權」、「被遺忘權」、「高額罰鍰」。

自我防護實務清單

企業/組織責任

• 最小化蒐集、去識別化/假名化處理、資料保留期限管理、供應鏈資安評估 (TPRM)。
• 建立資料外洩通報機制 (72 小時內通報主管機關與當事人)。
• 隱私影響評估 (DPIA) 落實於新系統上線前。

「免費服務的代價是您的資料」已成常態，但我們不必無力感。透過技術工具最小化暴露面、法律權利主動行使、養成數位衛生習慣，即可在便利與隱私間找到平衡點。下次收到精準推銷郵件時，請問自己：這筆資料是從哪裡流出的？我能切斷哪個管道？