法律論壇

A:  個人資訊保護法第19條有以下規定：
非公務機關對個人資料之蒐集或處理，應有特定目的，並符合下列情形之一：
一、法律明文規定。
二、與當事人有契約或類似契約之關係。
三、當事人自行公開或其他已合法公開之個人資料。
四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
五、經當事人書面同意。
六、與公共利益有關。
七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。
蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之處理或利用時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。

簡單來說，公司對於個資的「蒐集、處理、利用」都必須合乎特定目的，並且取得當事人的書面同意。
公司在任職時是否有經員工同意，如果沒有，而公司的行為又足生損害於他人時，處二年以下有期徒刑、拘役或科或併科新臺幣二十萬元以下罰金。

參照：個人資訊保護法第19條、第41條