跳到主要內容
選單
預約通話加到 Claude

EDM 法規：台灣個資法與各國同意規定

多數 EDM 法規要求三件事：取得寄信的許可、清楚表明寄件者身分、提供有效的退訂方式。台灣個資法要求首次行銷就提供拒絕方式，對方拒絕後立即停止；美國 CAN-SPAM 允許先寄、對方退出後停止，歐盟、英國、加拿大、日本與澳洲則大多要求先取得同意才能寄行銷信。

作者 Tellnod team · 更新於 · 閱讀約 10 分鐘

各國 EDM 法規共同的三項要求#

本文是寫給小型商店的一般資訊，不是法律意見。法規會修訂，細節也取決於你的實際情況。請查閱文末的官方來源，或請教你銷售所在國家的律師。

各國的反垃圾郵件法與個資法細節不同，但對寄送行銷信的人，都歸結為三項義務：

  1. 許可。 寄信前先取得同意（opt-in），或在開始寄送後，讓對方有權要求你停止（opt-out）。
  2. 身分。 說明你是誰，附上名稱與聯絡方式。有些法規要求附上實體通訊地址。
  3. 退出方式。 每封行銷信都要有可用的取消訂閱方式，並在期限內處理。

適用哪一國的規定，通常取決於收件人在哪裡，而不是你的商店設在哪裡。台灣品牌寄信給加拿大的顧客，對這些顧客就要符合加拿大的規定。

台灣：個資法對 EDM 的三個要求

台灣沒有已施行的反垃圾郵件專法，寄 EDM 主要依循《個人資料保護法》。對網路商店來說，可以拆成三個時間點來看：

  1. 蒐集時告知。 直接向顧客蒐集 Email 時，要告知商店名稱、蒐集目的、資料類別、利用的期間、地區、對象與方式，以及顧客可以行使的權利 S18。如果會用來寄行銷信，就把行銷寫進蒐集目的。
  2. 有合法依據。 蒐集與處理個資要有特定目的，並符合法定情形之一，例如經當事人同意，或與當事人有契約關係 S17。超出蒐集目的的利用，則需要當事人同意等法定事由 S16。
  3. 首次行銷就提供拒絕方式。 第一次寄行銷信時，就要提供拒絕接受行銷的方式，並負擔所需費用；對方表示拒絕後，應立即停止用其個資行銷 S16。

實務上，這代表訂閱表單與結帳頁的同意文字要寫清楚用途，每封 EDM 都附上取消訂閱連結，對方退訂後就不再寄。個資法在 2025 年 11 月修正了部分條文，施行日期由行政院另定，第 20 條不在這次修正之列 S16。

CAN-SPAM 與 GDPR：先寄後退，還是先同意再寄#

最常被拿來比較的兩部法規，出發點正好相反。

美國，[CAN-SPAM](/glossary#can-spam)。 不需事先同意就能寄信，但每封信都要有正確的標頭、不誤導的主旨、清楚標示這是廣告、有效的實體通訊地址，以及可用的退出方式。退訂必須在 10 個工作天內處理，企業對企業的信件也沒有例外。每封違規信件最高可罰 53,088 美元 S1。

歐盟，GDPR 與 ePrivacy 指令。 ePrivacy 指令對行銷信採事先同意制：除非對方是既有顧客，否則需要取得同意；每封信都要提供退出方式，也不能隱藏身分 S2。GDPR 則規範個人資料本身。有效的同意必須是明確、主動的選擇，不能用預先勾選的方框，而且你要能證明對方確實同意 S5。資料保護主管機關最高可處 2,000 萬歐元或全球年營業額 4% 的罰款 S3。

英國，PECR 與 UK GDPR。 英國沿用相同模式。ICO 表示，未經特定同意不得寄行銷信給個人，例外是「soft opt-in」：曾向你購買或洽談購買類似商品的既有顧客，而且你在蒐集資料時以及之後每封信中，都提供了退出方式 S4。

實務上，只要清楚取得同意並留下紀錄，就能同時符合較嚴格的模式與美國的規定。

各國 EDM 法規比較表#

九個地區的行銷信同意與內容規定
地區主要法規同意模式每封信需要什麼最高罰則
台灣個人資料保護法 S10S16沒有反垃圾郵件專法；蒐集要有合法依據，對方拒絕行銷後停止（見下方說明）首次行銷時提供拒絕方式，對方拒絕後立即停止本文不涵蓋
美國CAN-SPAM Act（FTC）S1先寄後退（opt-out）正確的寄件者、不誤導的主旨、標示廣告、實體通訊地址、10 個工作天內處理退訂每封最高 53,088 美元
歐盟ePrivacy 指令與 GDPR S2事先同意；既有顧客可收到類似商品的信寄件者身分、有效的回覆地址、每封信都有退出方式依 GDPR 最高 2,000 萬歐元或全球營業額 4% S3
英國PECR 與 UK GDPR（ICO）S4事先同意；既有顧客適用 soft opt-in寄件者身分、可用來退出的有效聯絡地址本文不涵蓋
加拿大CASL S6事先同意，可為明示或默示（例如過去兩年內曾購買）S7寄件者身分、聯絡資訊、10 個工作天內處理退訂 S7組織每次違規最高 1,000 萬加幣 S8
日本特定電子郵件法 S9事先同意，並保存對方要求或同意的紀錄寄件者名稱、接收退訂通知的 Email 地址主管機關命令改善寄送方式
泰國個人資料保護法（PDPA）S12主管機關的指引草案預期另外取得行銷同意可有效撤回同意與提出異議的方式本文不涵蓋
印尼個人資料保護法（2022 年第 27 號法律）S13需要合法依據；同意是六種依據之一，與 GDPR 類似請求同意時說明目的、保存期間與當事人權利最高營業額 2% 的罰款
澳洲Spam Act 2003 S14事先同意，可為明示或推定寄件者識別、有效的退訂機制，並在五個工作天內處理 S15本文不涵蓋

表格補充說明：日本要求寄件者保存紀錄，證明收件人曾要求或同意收信 S9。台灣的國家通訊傳播委員會曾在 2008 年審議通過「濫發商業電子郵件管理條例」草案 S11，但截至 2026 年 10 月，我們在全國法規資料庫中沒有找到已施行的反垃圾郵件專法，所以要遵循的是個資法：對方表示拒絕行銷後，就必須停止用其資料行銷 S10S16。泰國的行銷指引在 2026 年 7 月以草案形式公開徵詢意見，內容可能調整 S12。

無法以官方來源或律師事務所的一手分析確認規定的國家，我們沒有列入，包括墨西哥與其他拉丁美洲市場。如果你在這些地方銷售，寄信前請先查當地規定。

小型網路商店的實用做法#

你不需要九套合規流程。以下這套習慣，就能涵蓋上面最嚴格的規定：

  • 先問再寄。 在結帳頁和訂閱表單放一個預設不勾選的方框，文字寫出你的店名，以及會寄什麼內容。在台灣，這段文字也是告知蒐集目的的好位置 S18。
  • 購買與訂閱分開處理。 在多數採事先同意制的國家，購買本身不等於同意收行銷信。英國與歐盟的既有顧客例外，需要在結帳時與每封信中提供退出方式 S4。
  • 不要購買或借用名單。 對方同意收的是另一家公司的信，除非他也同意收你的信，這份同意不會轉移給你。
  • 每封信的頁尾都放上身分與地址。 CAN-SPAM 要求附上實體通訊地址 S1；頁尾檢查工具會標出缺少的項目。
  • 退訂一步完成，並盡快處理。 上表最短的期限是澳洲的五個工作天 S15，台灣則要求對方拒絕後立即停止 S16。退訂即時生效，就能符合每個地區。
  • 維護[停寄名單](/glossary#suppression-list)。 已退訂或檢舉過的人，不能因為重新匯入名單而被意外加回來。

Tellnod 如何處理同意、退訂與你的地址#

Tellnod 是一個 MCP 連接器，讓商店在 Claude 或 ChatGPT 裡撰寫、預覽並寄出行銷信。合規的基本項目，每次發送都會處理：

  • 同意紀錄。 Tellnod 為每位聯絡人保存同意紀錄。匯入名單時，會保留同意狀態與退訂紀錄；沒有同意資訊的聯絡人，在你確認他們曾同意之前，不會被標為已訂閱。
  • 退訂連結與地址。 每個行銷活動都會自動加上取消訂閱連結與你的實體通訊地址。
  • 寄出前排除。 已退訂的聯絡人不會算進收件人數，確認卡片會顯示收件人與排除名單。只有你能按下 Confirm。

在對話裡，常見的開始方式是：「從這個 CSV 匯入我的顧客，只有檔案註明同意收信的人才標為已訂閱。」接著：「寄信給加拿大和英國的訂閱者，介紹新的美麗諾羊毛針織衫。」任何信寄出前，你都會先看到預覽與確認卡片。每一次發送都由你核准。

Tellnod 處理的是執行細節，可以寄給誰仍由你判斷，所以只匯入同意收信的人。方案從免費開始；請看方案與價格，或從連接頁面加入 Tellnod。關於如何順利進到收件匣的技術面，請看 Gmail 與 Yahoo 寄件者規範。

常見問題#

在台灣寄 EDM，需要先取得同意嗎？

台灣沒有已施行的反垃圾郵件專法，2008 年的商業電子郵件條例停在草案階段 S11，EDM 依循個資法。蒐集 Email 時要告知目的，並有合法依據，例如當事人同意 S17S18；首次行銷時要提供拒絕方式，對方拒絕後立即停止 S16。最穩妥的做法是在訂閱時清楚取得同意，並留下紀錄。

CAN-SPAM 是 opt-in 還是 opt-out？

是 opt-out。CAN-SPAM 允許不經事先同意寄信，但每封信都要有可用的退出方式，而且必須在 10 個工作天內處理退訂要求 S1。

跟我買過東西的顧客，可以不先詢問就寄 EDM 嗎？

在美國可以，但每封信都要有退出方式。在英國與歐盟，只適用既有顧客例外：限於類似商品，並在結帳時與每封信中提供退出方式 S4。加拿大與澳洲在有限情況下可視為默示或推定同意，依賴這點之前請先確認規定。在台灣，要看蒐集 Email 時告知的目的是否包含行銷 S16S18。

法律有規定一定要雙重確認訂閱嗎？

多數法規沒有直接點名。它們要求的是能夠證明的同意，而確認點擊是很有力的證明，所以在採事先同意制的國家，雙重確認訂閱是較穩妥的預設做法。

同意紀錄應該包含哪些內容？

Email 地址、同意的時間、在哪裡同意（結帳頁、表單或活動）、當時顯示的確切文字，以及之後的退訂或檢舉。ICO 等主管機關會期待你能拿出這些紀錄 S5。

資料來源#

  1. [S1] FTC: CAN-SPAM Act: A compliance guide for business, 查核於
  2. [S2] European Commission: Protecting privacy and fighting spam (fact sheet 24), 查核於
  3. [S3] European Commission: Enforcement and sanctions, 查核於
  4. [S4] ICO: Electronic mail marketing, 查核於
  5. [S5] ICO: What is valid consent?, 查核於
  6. [S6] Justice Laws Website: S.C. 2010, c. 23 (CASL), sections 1 to 8, 查核於
  7. [S7] Justice Laws Website: S.C. 2010, c. 23 (CASL), section 11, 查核於
  8. [S8] Justice Laws Website: S.C. 2010, c. 23 (CASL), section 20, 查核於
  9. [S9] Ministry of Internal Affairs and Communications: Act on Regulation of Transmission of Specified Electronic Mail (unofficial translation), 查核於
  10. [S10] Laws and Regulations Database of the Republic of China (Taiwan): Personal Data Protection Act, 查核於
  11. [S11] Lee and Li: 國家通訊傳播委員會審議通過「濫發商業電子郵件管理條例」草案, 查核於
  12. [S12] Tilleke & Gibbins: Thailand releases new draft PDPA guidance on lawful bases and marketing, 查核於
  13. [S13] Rouse: 2022 Indonesian Data Protection Law overview, 查核於
  14. [S14] Federal Register of Legislation: Spam Act 2003, 查核於
  15. [S15] Corrs Chambers Westgarth: ACMA Spam Act enforcement and the implications for business, 查核於
  16. [S16] 全國法規資料庫：個人資料保護法 第 20 條, 查核於
  17. [S17] 全國法規資料庫：個人資料保護法 第 19 條, 查核於
  18. [S18] 全國法規資料庫：個人資料保護法 第 8 條, 查核於