文章審閱：孔德澔律師
法國國家資訊自由委員會（CNIL）於2026年10月發布指引，針對「從公開網路資料推算公務電子郵件地址」的合法性劃定清楚界線，明確指出即使資料於公開網路取得，仍須嚴格受歐盟GDPR及商業開發規範管轄。
1. 何謂「重構公務信箱」？
所謂「重構公務信箱」（Reconstitution of professional email addresses），是指透過網路上散落的公開個人資料（如姓名、職稱及所屬任職機構名稱），結合該機構已知的電子郵件命名規則（例如[email protected]），進而推導或猜測出該特定人員的公務電子郵件地址。
在實務運作上，此手法主要見於兩大情境：
- 大量建置商務名單：為滿足企業內部需求，廣泛建立潛在客戶資料庫，作為B2B商業開發與業務推廣之用
- 特定個案之公務聯繫：例如針對特定組織或機構進行專案拜訪、制度性溝通等單次或臨時性的聯繫需求
CNIL強調，資料存在於公開網路並不代表企業擁有無限制使用的豁免權。無論信箱推算技術多麼普遍，該行為本質上仍屬於個人資料處理，必須全面恪遵 GDPR 的各項原則。
2. 以「正當利益」為核心的適法性門檻
重構公務信箱通常未經當事人事前同意，因此在GDPR架構下，最常主張的法律依據為第6條所定之「正當利益」（Legitimate Interest）。然而，正當利益並非無條件適用的免死金牌，企業或機構必須通過嚴格的利益衡量檢驗：
(1) 真實且合法的利益：機構必須具備聯繫該當事人的明確且正當理由，例如為了推進公務溝通或發展商業業務
(2) 比例原則與權益衡平：機構必須確保該資料處理行為不會不成比例地侵害當事人的權利與自由
(3) 當事人的合理期待：機構必須進行個案分析，判斷當事人在該情境下，是否能「合理期待」其公開資訊會被以此方式加工使用，並應採取相應防護以降低處理過程對當事人的衝擊
3. CNIL兩大核心審查標準：目的關聯與資訊控制力
(1) 處理目的與侵害程度的連動性
信箱重構鮮少是一項獨立存在的作業，它通常是為了達成一項預先設定的大型目標（例如 B2B 行銷檔期、機構間專案交流）所採取的技術輔助手段。因此，主處理活動的合法基礎至關重要。若整體活動具備正當利益基礎（例如符合規範的 B2B 開發），技術推算信箱的步驟原則上可依附於相同基礎，但此項關聯並非「自動且必然成立」，仍必須綜合考量資訊公開度與當事人預期。
(2) 資料曝光程度與當事人的控制意圖
- 無公開足跡者（No identifiable online presence）：若當事人在專業社群平台（如 LinkedIn）或組織官網上沒有任何可識別的公開足跡，這強烈顯示該當事人無意讓自身資訊公開，更不希望輕易被直接聯繫；對此類人員推算信箱即違反其合理期待
- 主動設限者（Active restrictions）：若當事人已主動設定嚴格的隱私權限、限制特定內容瀏覽，或刻意以「網站線上聯絡表單」取代提供個人直接信箱，皆明確表達出控制個資散布的意願；此時若強行推算其信箱，便屬過度侵害其權益。
換言之，對刻意保持低調或積極隱藏聯繫方式的人員進行信箱重構，在法規上推定為不符當事人的合理期待。
4. 為確保重構信箱之操作能通過正當利益的衡量，機構必須在作業流程中建立具體的技術與組織防護措施：
- 信箱保留期限控制：採取嚴格的資料保存限制。機構推算出的信箱，僅限於在合理期限內與當事人完成「第一次有效聯繫」時方可留存；若未於期限內取得有效回應，即應主動刪除
- 無條件即時拒絕機制（Opt-out）：當事人若提出反對，機構必須「立即」將其從任何未來的信箱重構名單與處理流程中排除。此項排除權不得要求當事人提出任何個別情況的合理化證明。
- 法定 GDPR 責任落實：全程維持透明度原則，落實隱私告知義務、確保資料保存期限合規、保障當事人各項權利行使，並落實適當的資訊安全防護
此外，若涉及公共行政機關或公法人為遂行公共服務任務所進行的信箱重構，其法律依據可對應至 GDPR 第 6 條第 1 項 (e) 款之「執行公共利益任務」，但 CNIL 仍強烈建議公部門必須落實相同的保護與刪除措施
5. 結論：
當機構經評估後，發現無法滿足上述「正當利益要件」或無法落實相應防護機制時，唯一的合法路徑是全面停止推算該公務信箱，除非機構能在處理前直接取得當事人明確有效的「知情同意」。企業在進行跨國（特別是涉及歐盟境內目標）名單蒐集與商務聯絡時，不能再單純仰賴「信箱命名公式」進行盲目推算，而必須建立動態的名單過濾審查機制、保留期限控管，以及即時的反對排除名單，方能在業務拓展與法規遵循之間取得平衡。
