另外，非国家机关在收集个人资料时所负有的义务与国家机关的情形大体一致。即：实际接触资料本人或进行收集活动的具体人员须是非国家机关的业务工作人员或委托、雇用的自然人，其收集行为具有执行职业事务的可认知的外观，符合该行业应有的收集程序。非国家机关的行业差异性比较大，其收集程序也各不相同，但个人资料保护法各原则在非国家机关收集过程中应予贯彻。比如在直接收集时出示职业证明、表明身份，书面记录或电脑录入中有个人资料本人无异议的声明签章。间接从他方获得个人资料的，本人在前手收集个人资料时已经明确书面同意传输。非国家机关也应采取人员专业培训、内部制度管理、技术手段等措施保证收集的个人资料在业务必要范围及判断个人形象的完整性、正确性和及时更新，以备置簿册等公开方式为个人提供行使参与权的渠道，建立相关制度以提供个人改正、消除或限制自我资料的途径和方法，采取合理的物理性、制度性和技术性安全措施，保障其收集、掌握的个人资料内容的安全性与机密性，防止任何可预见的非法进入、泄露、破坏、篡改、删除等危害。
单纯讨论非国家机关收集、传输个人资料的一般要件，是在个人资料保护的基本原理上进行的，对宏观把握普遍情况有一定的意义。但现实生活中非国家机关收集、传输个人资料的情形远比理论复杂得多。不论是传统行业还是新兴行业，都在收集、传输个人资料问题上有不同程度的特殊问题，下面就几种非国家机关展开特别论述。
（第六节）个别行业个人资料的收集与传输
一、网络商家
电子商务的勃兴是网络时代的重要特征，各营利组织大力依靠计算机及通信网络来达到预期目标。鉴于个人资料保护法的中心法益是保障自然人的资料权，这里仅探讨Ｂ２Ｃ（ＢｕｓｉｎｅｓｓｔｏＣｏｎｓｕｍｅｒ）即商业机构对消费者的电子商务，指网络商家（主要指ＩＳＰ网络服务供应商ＩｎｔｅｒｎｅｔＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）凭互联网络对消费者开展在线营销活动。
无论是在线电子交易还是传统商务经营，企业在激烈的竞争中都学会一项关键的营销策略，即锁定顾客群体、提供个人导向服务。这种“以客为尊”的关系行销，就是指经营者针对特定消费者提供个人式的服务，同时巩固消费者与自身之间的关系与忠诚度。网络空间给商家们带来了空前的宣传成本降低、潜在顾客激增、技术优势加强等大好机会，他们可以更便利地收集顾客及潜在顾客的各种特征统计和消费行为资料，从而建立顾客数据库，并藉此发掘出对自家产品兴趣最大的消费群体，主动地与他们建立长期的交易关系。在网络空间，经营者收集个人资料的方式基本上有两种，一是消费者主动地提供相关资料，二是消费者未主动提供资料，而是网络商家利用信息技术于对方不知情时收集个人资料。消费者主动提供个人资料，通常是商务网站以登录网站、加入会员的例行性程序或者提供优惠等方式要求消费者提供个人资料的情形，消费者一般有选择接受或拒绝的权利（但对于选择权的规制仍有探讨的必要，容后说明），且对该收集行为较熟悉，故这种收集方式本身并无多大侵犯本人资料权的问题。引起忧虑的是，业者未先行取得消费者的同意而利用信息技术收集个人资料，就此讨论这种间接（不知情）收集及资料权保护的问题。
网络商家经常通过“网络小甜饼”（Ｃｏｏｋｉｅｓ）及其他一些追踪软件（ｔｒａｃｋｉｎｇｓｏｆｔｗａｒｅ），来追踪消费者的网上行为，收集其个人兴趣和偏好，从而开展针对性的广告和营销业务。Ｃｏｏｋｉｅｓ本身是一种计算机档案，该词早期发源于ｕｎｉｘ／ｐｒｏｇｒａｍｍｉｎｇ中ｍａｇｉｃｃｏｏｋｉｅｓ的概念，就如同一个执照或者搭乘地铁所需的代币。相关的Ｃｏｏｋｉｅｓ技术随后被一家名为Ｄｏｕｂｌｅｃｌｉｃｋ的计算机公司发扬光大，成为商家竞相使用的辅助推销工具。利用Ｃｏｏｋｉｅｓ技术，网站的服务商能够在消费者访问网站时，在消费者的电脑中以文本文件的形式设置信息代码，只有网站服务商能够识别该代码。这个信息代码，是网站给每一个上网的消费者一个惟一的代码（不必是消费者的真实身份，只是该电脑的识别代码），这样当消费者随后再次访问该站点时，就会被认出来，而其访问的行为亦被追踪。网站还可通过隐藏的导航电子软件（ｅｌｅｃｔｒｏｎｉｃｎａｖｉｇａｔｉｏｎｓｏｆｔｗａｒｅ）收集访问网站的信息，包括哪些网站被访问，哪些信息被下载，哪种类型的浏览器被使用，以及消费者所上过的网址。这样，网站可查识该代码所代表用户的Ｅｍａｉｌ、ＩＤ号码、密码、消费习惯、阅读习惯等兴趣和偏好，甚至信用记录和通讯记录等。对于网络消费者来说，一个形象的比喻就是，Ｃｏｏｋｉｅｓ如同现实世界中的旅行者进入不同国家疆域时，其所持的护照被盖上的海关入境戳印，一旦盖上这个戳印后，便不难察知持有该护照的旅行者造访过的国家。由于Ｃｏｏｋｉｅｓ具有这样强大的顾客轮廓描绘功能，并得以依此整理出具有实效性的交易习性资料，而成为直效行销者对网络消费者寄送无穷无尽、不受欢迎的电子邮件或普通邮件（皆为垃圾邮件ｓｐａｍ）的根源。
为保护消费者个人资料权益不受商家追逐营利的非法侵害，同时促进电子商务的健康发展，以下对策可资采取：
第一，法律调整是不可或缺的。世界各个人资料保护立法对于私的部门处理个人资料的要求，一般都确立了特定目的、经本人书面同意及公开等规定，但由于行文概括，对网络空间技术与人为因素交叉的复杂问题不能有效解决。
不可否认，法律永远落于社会特别是科技发展之后，法律规范科技运用不但缓不济急更是窘态必露，但法律是人类共同选择的最佳秩序调节器，法律与科技并无根本对立的矛盾。我们所要做的，是研究科技手段解决问题的有效规则和成熟规律后，以法律形式表现和执行。多种不同的解决途径之间，也应该互相配合运用，以求问题的较好解决。
比如在线消费者对于收集和后续利用的选择权立法。就消费者的选择权，目前有两种法律规制方法：一种是定出规则（亦称“反对必须原则”，ｏｐｔｏｕｔ），是指对于个人资料的收集和利用的反对，消费者应当明确表示，未明确反对的即视为默示同意收集和利用其相关个人资料。另一种是定入规则（亦称“许可必须原则”，ｏｐｔｉｎ），是指在收集和利用个人资料的许可上，必须得到消费者明确的同意，未明确许可或者说默示的情况视为消费者不同意，不得收集和利用其个人资料。显然，前一规则有利于网络商家，后一规则有利于普通消费者，而法律所作出的规定是在促进电子商务和保护个人权益的天平两端一定限度地倾向何者的选择。如我国台湾“资料法”实施细则第３０条第２项：
“非公务机关基于特定目的，为取得当事人书面同意，于初次洽询时，检附为特定目的收集、计算机处理或利用之相关资料，连同得于锁定相当期间表示反对意思之书面，仅本人或其他法定代理人收受，而未于所定期间内为反对意思表示者，推定其已有同意之表示。”该条文实际上是承认了定出规则的合法性。
而欧盟于２０００年７月２７日正式同意了美国商业部订立的旨在使美国商业团体分享欧盟消费者资料的“国际安全港隐私权原则”（ＩｎｔｅｒｎａｔｉｏｎａｌＳａｆｅＨａｒｂｏｒＰｒｉｖａｃｙＰｒｉｎｃｉｐｌｅｓ），其中确立的消费者选择权规则是：个人得以ｏｐｔｏｕｔ的方式选择资料被收集与披露与否的权利，尤其是在披露给第三者或是资料利用与原目的相冲突或矛盾时；如果是涉及个人敏感性的资料，包括医疗健康状况、种族、政治立场、宗教信仰、性生活等问题，则应以ｏｐｔｉｎ的方式取得本人的同意，也就是根据不同种类的个人资料适用不同限制程度的收集同意选择权。
第二，业界自律是可以并行的途径。ＩＳＰ业者、征信业、直效行销业等可以通过明确订立产业成员应遵守的行为，鼓励产业成员和网络消费者达成个人资料处理契约，或建立保护消费者个人资料的同业惯例等方式，减少双方的利益摩擦。例如，美国一个相当着名的网络联盟ＴｈｅＷｏｒｌｄＷｉｄｅＷｅｂＣｏｎｓｏｒｄｉｕｍ（Ｗ３Ｃ），一直致力于建立网站经营者收集各种统计资料的行为标准。另一个广为流行的商业性通用注册系统（ｕｎｉｖｅｒｓａｌｒｅｇｉｓｔｒａｔｉｏｎｓｙｓｔｅｍ）Ｉ／Ｃｏｄｅ，则是以某些诱因为基础，要求在线消费者主动提供个人资料的收集系统。研发出此一系统的Ｉ／Ｃｏｄｅ公司，也表明其政策是“在未经使用者明示授权的情形下，绝不透露加入此一注册系统者的身份与个人网络使用者资料”。关于公开原则，各业界也逐渐形成了隐私公告的行业惯例。网络商家通常在其网页上披露其信息收集行为，或张贴有关隐私政策。根据行业惯例，它应当措辞清楚，置于主页的显着位置且以显着的方式提醒消费者，并在任何一个收集信息的网页上以“通知”（ｎｏｔｉｃｅ）或“隐私政策”（ｐｒｉｖａｃｙｐｏｌｉｃｙ）的字样出现，形成方便查阅该政策的链接。业界自律途径的缺陷在于，它的执行实效受业界成员与行业团体的疏密关系所左右，尽管有取缔成员资格或取消具有某种商标性质的“认证”作为督促和惩罚手段，但在没有法律强制力的保障下，受害人不能获得有效的救济；而且各行业的自律规范也不尽相同，保护本人资料权的力度和方法仍然可能因行业的自私和垄断而收效甚微。
第三，信息技术的运用。无论法律规范或业界自律的成效如何，鼓励网络消费者使用自助式科技（ｓｅｌｆｈｅｌｐｔｅｃｈｎｏｌｏｇｙ）来自觉保护个人资料，也是行之有效的方法。麻省理工学院（ＭＩＴ）研究开发的ＴｈｅＷｏｒｌｄＷｉｄｅＷｅｂＣｏｎｓｏｒｄｉｕｍ（Ｗ３Ｃ）标准就是一个例子。Ｗ３Ｃ技术在各色信息横行网络的今日，可以帮助父母为子女筛选网络内容（ｉｎｔｅｒｎｅｔｃｏｎｔｅｎｔｓｅｌｅｃｔｉｏｎ）。该技术软件的运作方式，类似电视节目内容的分级制度（ｒａｔｉｎｇｓｙｓｔｅｍ），即以各个网站提供个人资料保护的程度高低作为分级的重要标准，父母可为子女选择那些提供个人资料保护等级较高的网站，从而对网络肆意侵犯儿童个人生活少一些忧虑。再如引人注目的“谍对谍”（ｓｐｙｖｓ．ｓｐｙ）现象，即用以反制侵犯个人资料权的收集技术的计算机软件或科技手段，越来越多地开发研制和投入市场应用。例如，Ｎｅｔｓｃａｐｅ在ＮｅｔｓｃａｐｅＮｅｖｉｇａｔｏｒ３０的ＮｅｔｗｏｒｋＰｒｏｔｏｃｏｌｓＭｅｎｕ中，已经加入了让使用者选择在该浏览器侦测到任何网站送进来的Ｃｏｏｋｉｅｓ时，立即发出警告并删除Ｃｏｏｋｉｅｓ的功能。ＩｎｔｅｒｎｅｔＦａｓｔＦｏｒｗａｒｄ，ＷｅｂＦｉｌｔｅｒ以及ＮＳＣＩｅａｎ３２等也是反制Ｃｏｏｋｉｅｓ的对抗性软件。还有着名的个人隐私偏好平台Ｐ３Ｐ（ＰｌａｔｆｏｒｍｆｏｒＰｒｉｖａｃｙＰｒｅｆｅｒｅｎｃｅＰｒｏｊｅｃｔ）软件，通过一个共通的隐私权保护措施和技术通讯协定，在网络经营者收集个人资料时，提供使用者是否同意提供个人资料的程序选择权。一旦使用者和网络经营者一致同意一项个人隐私协定，资料的收集将在一个比较安全的环境下进行，使用者也可随时掌握自己的资料应用情况。Ｐ３Ｐ提倡消费者“拒绝的选择权”的ｏｐｔｏｕｔ定出规则，以对话框的形式出现，消费者点击的项目为其明确表示反对收集和利用的个人资料，其他未选的个人资料项目视为消费者默示同意网络服务商收集和利用。
信息技术保护的方法虽有针对性强、以牙还牙的优点，但就目前的技术水平来看，其安全性和实效性有待提高。随着技术的不断进步，反击这类反制软件的新软件仍会产生，仅靠技术的再进步来解决有亡羊补牢的遗憾。而Ｐ３Ｐ的缺陷更在于行业利益的因素削弱了保护初衷的技术优势，因为电子商务业者谙熟在线消费者少有考虑同意或反对的消费习惯，在未被要求作出某种选择的情况下，消费者往往不作选择也不细究网络商家的隐私政策，所以Ｐ３Ｐ相对于ｏｐｔｉｎ定入规则，实际上是网络商家推行个人资料保护但在一定程度上又有所保留的产物。可见，技术标准在非裁判人的掌握中，无法公正客观地衡量某一收集行为是否正当，而应从收集行为本身来判断。近来，欧盟对于某些这类技术进行评估，声称这些工具性的技术软件并不能完全取代网络隐私保护的法律框架，而仅具有辅助保护的作用。
第四，市场机制的作用。市场经济是任何力量也不能阻挡的，网络商家信息收集和在线消费者个人资料权益的激烈矛盾或许能在市场机制的作用下有所缓和，个人资料问题也能找到适当的保护方法。例如，《花花公子》杂志提供诱因给网络阅览者，以取得其个人资料的方式，以及网络购物中心以提供赠品等方式换取消费者个人资料等。在此种情况下，网络消费者可以认识到自己的个人资料是具有经济价值的，是否通过提供个人资料来换取利益，由他自己衡量得失而决定。对于网络商家所担心的问题——需一一征得消费者书面同意始能收集，有可能因为回执率过低而影响电子商务的发展——或许制定符合市场机制的灵活经营手段就可解决这一困扰。比如欲出售订户资料给广告业者做邮寄名单的杂志社，可拟订两种订阅费率而使目的变更的收集合法。一种费率适用于不愿意将杂志社收集的个人资料作直效行销的订户；再提供一种比前种费率优惠的订阅价格，适用于同意将收集的个人资料作商业利用的订户。
在某一订户看来，若两种费率的差价（即吸引他同意提供个人资料作商业利用的对价或利益）大于可能因此造成的不便，就有可能接受后一种订阅费率。这样，在形成网络经验后，消费者自然会偏向个人资料保护较严格或隐私政策较公平、从中获得实惠较多的网站；网络商家也会在优胜劣汰的竞争压力和动力下重视个人资料的保护问题，以较少的代价获得较多的个人资料以赢得商机，从而形成个人资料权益与电子商务社会公益双赢的局面。