第四條（視同委託機關）
受公務機關或非公務機關委託蒐集、處理或利用個人資料者，於本法適用範圍內，視同委託 機關。

第九條（間接蒐集個人資料之告知義務）
公務機關或非公務機關依第十五條或第十九條規定蒐集非由當事人提供之個人資料，應於處 理或利用前，向當事人告知個人資料來源及前條第一項第一款至第五款所列事項。 有下列情形之一者，得免為前項之告知： 一、有前條第二項所列各款情形之一。 二、當事人自行公開或其他已合法公開之個人資料。 三、不能向當事人或其法定代理人為告知。 四、基於公共利益為統計或學術研究之目的而有必要，且該資料須經提供者處理後或蒐集者 依其揭露方式，無從識別特定當事人者為限。 五、大眾傳播業者基於新聞報導之公益目的而蒐集個人資料。 第一項之告知，得於首次對當事人為利用時併同為之。

第二十條（非公務機關利用個人資料之除外情形）
非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範 圍內為之。但有下列情形之一者，得為特定目的外之利用： 一、法律明文規定。 二、為增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者 處理後或經蒐集者依其揭露方式無從識別特定之當事人。 六、經當事人同意。 七、有利於當事人權益。 非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其 個人資料行銷。 非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。

第四十一條（罰則）
意圖為自己或第三人不法之利益或損害他人之利益，而違反第六條第一項、第十五條、第十 六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳 輸之命令或處分，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰 金。

第八條
委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。 前項監督至少應包含下列事項： 一、預定蒐集、處理或利用個人資料之範圍、類別、特定目的及其期間。 二、受託者就第十二條第二項採取之措施。 三、有複委託者，其約定之受託者。 四、受託者或其受僱人違反本法、其他個人資料保護法律或其法規命令時，應向委託機關通 知之事項及採行之補救措施。 五、委託機關如對受託者有保留指示者，其保留指示之事項。 六、委託關係終止或解除時，個人資料載體之返還，及受託者履行委託契約以儲存方式而持 有之個人資料之刪除。 第一項之監督，委託機關應定期確認受託者執行之狀況，並將確認結果記錄之。 受託者僅得於委託機關指示之範圍內，蒐集、處理或利用個人資料。受託者認委託機關之指 示有違反本法、其他個人資料保護法律或其法規命令者，應立即通知委託機關。