根據《個人資料保護法》第19條第1項，「同意」的意思是：資料被蒐集前，資料持有人（當事人）在清楚知道該知道的資訊後，自己做出允許的表示。

如果是因為簽了契約才需要蒐集個資，那原則上這些個資只能用在「跟契約有關」的特定目的裡，而且要是「必要」的範圍內。

如果要蒐集的資料超出了契約需要的範圍，或是跟履行契約沒什麼直接關係，就必須另外取得當事人的同意，這才合法。

舉例來說：

如果你跟某公司簽了合約，對方只能拿你的資料來處理跟合約有關的事；不能拿去做別的事，比如行銷。除非你另外又同意了，或有其他法律依據。

而且，如果公司（非公務機關）想用這些資料來對你做行銷，那這個行銷行為要符合一般人對「隱私合理期待」的標準。也就是說，行銷的內容要和你們原本的契約有合理關聯，才算在合法的範圍內。

如果公司要用你的個資去推銷和你合約無關的商品或服務，或甚至把你的資料給其他公司，這就已經超出原本目的了，這種情況必須再符合《個資法》第20條但書裡面特別列出的一些條件，才可以這樣做。

(資料來源:法務部106年10月11日法律字第10603509640號函)

參考法條：個資法第19條、第20條