鑫鹿法律事務所-律師事務所,律師事務所推薦,高雄律師事務所推薦

【客戶控飯店個資外洩訴請刪除個資 加碼判賠2萬元】
2024-02-17
<法律解析>
一、 法條依據:
(一)、個人資料保護法第27條第一項規定:「非公務機關保有個人資料檔案者,應採行適當之安全措施,防止個人資料被竊取、竄改、毀損、滅失或洩漏。」。
(二)、個人資料保護法第29條規定:「非公務機關違反本法規定,致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者,負損害賠償責任。但能證明其無故意或過失者,不在此限。依前項規定請求賠償者,適用前條第二項至第六項規定。」。
(三)、民事訴訟法第277條規定:「當事人主張有利於己之事實者,就其事實有舉證之責任。但法律別有規定,或依其情形顯失公平者,不在此限。」。
(四)、製造業及技術服務業個人資料檔案安全維護管理辦法第8條規定:「業者為維護所保有消費者個人資料之安全,應採取下列資料安全管理措施:一、消費者個人資料有加密之必要者,應於蒐集、處理或利用時,採取適當之加密措施。二、消費者個人資料有備份之必要者,應對備份資料採取適當之保護措施。三、傳輸消費者個人資料時,應依不同傳輸方式,採取適當之安全措施。業者使用資訊系統處理消費者個人資料者,為維護所保有消費者個人資料之安全,除前項要求外,應採取下列資料安全管理措施:一、建置防火牆或其他入侵偵測設備。二、與網際網路相聯之資訊系統存有消費者個人資料者,應安裝防毒軟體,定期更新病毒碼,並執行掃毒作業。三、針對電腦作業系統及應用程式之漏洞,定期安裝修補程式。四、資訊系統存有消費者個人資料者,應設定認證機制,其帳號及密碼須符合一定之複雜度。五、資訊系統存有消費者個人資料者,應設定異常存取資料行為之監控機制。六、處理消費者個人資料之資訊系統進行測試時,應避免使用消費者真實個人資料;使用消費者真實個人資料者,應訂定使用規範。七、處理消費者個人資料之資訊系統有變更時,應確保其安全性未降低。八、定期檢視處理消費者個人資料之資訊系統,檢查其使用狀況及存取個人資料之情形。」。
(五)、民法第184條第一項前段規定:「因故意或過失,不法侵害他人之權利者,負損害賠償責任。」;同條第二項規定:「違反保護他人之法律,致生損害於他人者,負賠償責任。但能證明其行為無過失者,不在此限。」。
(六)、民法第185條規定:「數人共同不法侵害他人之權利者,連帶負損害賠償責任。不能知其中孰為加害人者亦同。造意人及幫助人,視為共同行為人。」。
(七)、個人資料保護法第28條第二項規定:「被害人雖非財產上之損害,亦得請求賠償相當之金額;其名譽被侵害者,並得請求為回復名譽之適當處分。」;同條第三項規定:「依前二項情形,如被害人不易或不能證明其實際損害額時,得請求法院依侵害情節,以每人每一事件新臺幣五百元以上二萬元以下計算。」。
二、 判決主文:
(一)、原判決關於駁回上訴人後開第二項之訴部分,及除確定部分外訴訟費用之裁判均廢棄。
(二)、被上訴人○○○○○○○○股份有限公司、○○○○科技股份有限公司應分別給付上訴人新臺幣貳萬元,及均自民國一百一十一年十一月三十日起至清償日止,按年息百分之五計算之利息;如被上訴人任一人為給付時,另一被上訴人於其給付範圍內免給付義務。
(三)、其餘上訴駁回。
三、 判決理由:
(一)、上訴人遭詐騙集團詐騙所用之個資是否來自系爭訂購系統?
1.按個資法第27條第1項、第29條第1項分別定有明文。依上開規定,就被上訴人保有個資而發生個資遭不法蒐集、處理、利用或其他侵害當事人權利者,採過失推定原則,即由被上訴人舉證證明其無故意或過失,始能免責。又民事訴訟法第277條亦有規定。是上訴人就其遭詐騙集團詐騙所用之個資,係來自被上訴人經營管理之系爭訂購系統乙節,固應先負舉證責任,惟系爭訂購系統為被上訴人所保有、建置及管理,上訴人所輸入之個資亦存放於該系統中,上訴人無從自行使用、管理,此等證據偏在被上訴人方面之情形對上訴人顯失公平,自有民事訴訟法第277條但書規定之適用,應輕減上訴人之舉證責任。
2.查○○公司之官方網站有提供消費者系爭訂購系統,該系統由○○公司進行建置、維護與管理;上訴人曾於109年10月5日、109年10月18日委由同事、於110年11月3日委由家人使用系爭訂購系統購買溫泉券,並於訂購時填載上訴人之姓名、電話、電子郵件、○○銀行帳號等個資(下稱系爭個資);又被上訴人自認系爭訂購系統之消費者個資係存放於○○公司,足見上訴人之系爭個資確曾輸入系爭訂購系統使用,且會保留於該系統中。佐以上訴人於000年00月00日下午5時50分起,陸續接獲詐騙電話,亦如不爭執事項㈢所示,且依證人即上訴人之子王○○證稱,可知該詐騙集團係於上訴人110年11月3日最末一次使用系爭訂購系統訂購溫泉券後,始撥打上訴人之電話聯繫上訴人,且其對話內容已清楚掌握上訴人為○○公司會員、上訴人曾購買溫泉券、上訴人係使用○○銀行帳戶等細節,並自述為○○公司員工等節,均與上訴人透過系爭訂購系統訂購商品所需輸入之系爭個資相符。
3.而上訴人於遭詐騙後,曾於111年1月4日寄發存證信函給○○公司,○○公司遂於111年1月24日函覆上訴人,並於該函文中提及「…本公司線上訂票系統向來皆是委託…○○○○科技股份有限公司(下稱○○公司)建置與維護,客戶如欲線上訂購本公司票券皆需至○○平台進行操作…本公司110年11月底接獲○○公司通報後台偵測到異常IP…」;再徵之上訴人因其利用系爭訂購系統遭個資外洩之情形向○○部○○局陳情,經該局111年12月9日函覆其處理之相關卷證資料,其中監督通報紀錄表記載,足徵○○公司所建置管理之系爭訂購系統,確有於110年11月16日偵測到異常IP,其資料庫遭駭客侵入竊取而洩漏個資約為5423筆。
4.又上訴人係於上開個資外洩事件發生後之110年12月21日接獲上開詐騙電話,詐騙集團於電話中之對話內容已清楚掌握上訴人透過系爭訂購系統所輸入之系爭個資,亦如前述,堪認上訴人就其主張遭詐騙集團詐騙所用之個資,為系爭訂購系統所外洩乙節,已盡舉證之責,洵屬可採。
5.被上訴人抗辯由○○部○○○○署112年1月13日函內容,可知自始至終僅發生「網站攻擊事件」,並非「個資外洩事件」,且該函所提Log紀錄雖顯示○○公司有受到SQL injection之攻擊,但無法排除另有其他非法攻擊行為取得客戶個資之可能,而上訴人之個資亦非被上訴人獨有,故○○公司系統遭到攻擊與上訴人之個資外洩並無相當因果關係云云。惟如前述,上訴人已證明其遭詐騙集團詐騙所用之個資,為系爭訂購系統所外洩,而被上訴人所舉上開函文僅係表示「無法排除另有其他非法攻擊行為取得客戶個資之可能」,並非確認上訴人之個資外洩係由其他非法攻擊行為所致,而非○○公司之前述網站攻擊事件所致,不足據為反證證明上訴人遭詐騙集團詐騙所用之個資,非系爭訂購系統所外洩。被上訴人上開抗辯,洵屬無稽。
(二)、被上訴人就上訴人個資外洩而遭詐騙集團不法利用,是否具有故意、過失?
1.被上訴人抗辯○○公司平時已有相關資料維護措施,且亦符合製造業及技術服務業個人資料檔案安全維護管理辦法第8條、觀光旅館業個人資料檔案安全維護計畫辦法(已於111年4月1日廢止)第15條等規定,惟查:
(1)觀諸被上訴人所提被上證7、被上證10、被上證11、被上證12、被上證13均僅有片段截圖,且有資料遭遮隱,無從辨識為系爭訂購系統及被上訴人上開抗辯之資料維護措施;被上證14僅為網頁就ClamAV應用程式之介紹;被上證15、被上證16,均屬抽象之管理規範,非就系爭訂購系統所為之具體維護措施;被證8、被證9、被證10、被上證19,均屬110年11月16日系爭訂購系統資料庫遭駭客侵入竊取個資後所為,亦未見與○○公司就個資外洩前之管理維護系爭訂購系統行為,有何關聯性。是以被上訴人所提上開資料,均無法證明○○公司就其管理維護之系爭訂購系統所保有之上訴人個資,已盡採取適當安全措施之責,被上訴人上開抗辯,即無足取。上訴人主張○○公司就其系爭個資外洩而遭詐騙集團不法利用,有違反個資法第27條第1項規定之疏失,洵屬可採。
(2)至○○部112年1月13日函固認:「本署檢視前揭所復內容暨佐證資料,認為○○公司之平時維護措施尚稱妥適,亦於110年8月及11月事件發生時之應變措施尚屬合宜,並持續精進其個資安全管理措施,且已依照本署要求補充相關佐證資料,該公司之改善措施亦尚稱合理。」,惟○○部之調查程序與訴訟事件程序不同,且其認定並無拘束本院之效力,被上訴人抗辯應援引○○部上開函文及112年7月28日函檢送之相關資料為有利被上訴人之認定云云,亦非可取。
2.被上訴人抗辯○○公司委由○○公司開發電子票證業務並管理客戶資料,已盡其選任及監督義務云云。惟查,系爭訂購系統之消費者個資係存放於○○公司,上訴人之系爭個資確曾輸入系爭訂購系統使用,且會保留於該系統中,○○公司就其所保有之上訴人系爭個資,即應採行適當之安全措施,防止其個資被竊取或洩漏,則○○公司委由○○公司管理維護系爭訂購系統,亦應對○○公司為適當監督,而被上訴人所提被上證17、被上證18均為○○公司之單方資料,無法據以證明○○公司於上訴人系爭個資遭竊外洩前,已就○○公司管理維護系爭訂購系統,為適當監督之行為,被上訴人上開抗辯,不足採信。是上訴人主張○○公司就其系爭個資外洩而遭詐騙集團不法利用,有違反個資法第27條第1項規定之疏失,亦屬可採。
3.至○○部○○局111年12月9日回函固認:「…○○公司於個資外洩前後皆採行相關因應措施及處置,除於事前曾要求○○公司加強個資防護措施…加強飯店本身各項個資安全防護機制且持續進行改善,尚符個人資料保護法相關規定…」,並於「主管機關就個資外洩事件判斷是否違反個資法」部分,調查結果表示「否」,惟○○部○○局之調查程序與訴訟事件程序不同,且其認定並無拘束本院之效力,無從據為有利被上訴人之認定。
4.綜前,被上訴人對於系爭訂購系統保存上訴人之系爭個資未盡適當安全維護措施,致系爭個資外洩而遭詐騙集團不法利用,違反個資法第27條第1項規定,係有過失;又系爭個資為上訴人個人基本資料與消費資料,均屬上訴人之隱私及個資自主範疇,故上訴人主張被上訴人不法侵害其隱私權、個資自主權,應為可採。
(三)、上訴人請求被上訴人賠償受詐騙集團詐騙之財產損失,有無理由﹖
1.按損害賠償之債,以有損害之發生及有責任原因之事實,並二者之間,有相當因果關係為成立要件。故原告所主張損害賠償之債,如不合於此項成立要件者,即難謂有損害賠償請求權存在。且所謂相當因果關係,係指依經驗法則,綜合行為當時所存在之一切事實,為客觀之事後審查,認為在一般情形下,有此環境、有此行為之同一條件,均可發生同一之結果者,則該條件即為發生結果之相當條件,行為與結果即有相當之困果關係。反之,若在一般情形上,有此同一條件存在,而依客觀之審查,認為不必皆發生此結果者,則該條件與結果並不相當,不過為偶然之事實而已,其行為與結果間即無相當因果關係,不能僅以行為人就其行為有故意過失,即認該行為與損害間有相當因果關係(最高法院98年度台上字第673號判決意旨參照)。
2.查被上訴人不法侵害上訴人之隱私權、個資自主權固如前述,惟上訴人受有9萬9987元財產損害係因遭詐騙集團施以不爭執事項㈢所示之詐術,致其陷於錯誤,而依詐騙集團指示於110年12月21日以跨行轉出9萬9987元至指定之帳戶,上訴人之財產損失係因詐騙集團成員積極實施詐騙行為所致,即被上訴人上開不法侵害上訴人隱私權、個資自主權之行為,在一般情形下,並不必然會發生上訴人受詐騙且受有財物損失之侵害結果,此亦可由系爭陳情事件之監督通報紀錄表記載資料庫外洩約5423筆,然發生財損案件僅1筆足佐,即被上訴人之過失行為與上訴人之財物損失結果間,難謂有相當因果關係。
3.依上說明,上訴人依個資法第29條、民法第184條第1項前段、第2項、民法第185條規定,請求被上訴人應就其遭詐騙所受損失9萬9987元負連帶賠償之責,洵非可採。
(四)、上訴人請求被上訴人賠償非財產上損害,有無理由﹖
1.按個資法第29條、第28條第2、3項所規定。準此,被上訴人不法侵害上訴人隱私權、個資自主權,致上訴人系爭個資為詐騙集團不法利用,已如前述,則上訴人主張其因此而耗費時間心力為申訴,過程飽受煎熬,並需持續擔心個資遭他人不當使用,受有精神上之痛苦,自堪採信。是上訴人依前揭規定請求被上訴人賠償非財產上損害,即屬有據。
2.按慰撫金之賠償,其核給之標準固與財產上損害之計算不同,然非不可斟酌雙方身分、資力與加害程度,及其他各種情形核定相當之數額(最高法院51年台上字第223號判例意旨參照),是慰撫金之多寡,應斟酌雙方之身分、地位、資力、加害之程度、被害人所受之痛苦及其他各種情形,加以核定。爰審酌上訴人教育程度、年齡、身分、地位及兩造經濟狀況,被上訴人加害之態樣為過失侵害上訴人隱私權、個資自主權、上訴人所受精神上痛苦之程度等,認上訴人請求被上訴人賠償非財產上損害即慰撫金2萬元,核屬適當。至上訴人依民法第184條第1項前段、第2項規定為同此請求部分,即無庸再論。
3.按不真正連帶債務係謂數債務人具有同一目的,本於各別之發生原因,對債權人各負全部給付之義務,因債務人中一人為給付,他債務人即應同免其責任之債務(最高法院89年度台上字第2240號判決意旨參照)。查上訴人請求被上訴人賠償慰撫金2萬元,固屬有據,惟○○公司就其管理維護之系爭訂購系統所保有之上訴人系爭個資,未盡採取適當安全措施之責;○○公司於上訴人系爭個資遭竊外洩前,未就○○公司管理維護系爭訂購系統,為適當監督之行為,其二人過失行為不同,然所致上訴人損害及給付目的係屬同一,對上開慰撫金各負全部給付之責,而為不真正連帶債務,依前揭說明,因債務人中一人為給付,他債務人即應同免其責任之債務。是上訴人主張被上訴人應依民法第185條規定,負連帶損害賠償之責,並不可採。
4.從而,上訴人依個資法第29條規定,請求被上訴人應分別給付2萬元及均自111年11月30日起至清償日止,按年息5%計算之利息;如被上訴人任一人為給付時,另一被上訴人於其給付範圍內免給付義務,係屬有據,逾此即無理由。
(五)、上訴人請求被上訴人應刪除並停止利用上訴人之個資,是否可採?
1.上訴人主張被上訴人應刪除並停止利用所有上訴人留存於被上訴人公司系統中之所有LineID、UUID、姓名、電話、地址、電子信箱,為被上訴人所否認。上訴人就其上開主張固提出「○○○○○○○○」之Line廣告訊息截圖、112年10月25日電子折讓單通知信等件。
2.惟查,被上訴人抗辯其已刪除上訴人「姓名」、「購買紀錄」等個資,而上訴人所提上開Line訊息截圖,依Line公司112年10月26日、同年11月15日回覆○○公司之電子郵件內容可知,如上訴人不願再持續收到「○○○○LINE官方」訊息,須由上訴人自行操作封鎖或者解除與「○○○○LINE官方」好友關係、Line官方帳戶服務內並未提供管理「好友」的相關功能,因此無法刪除或封鎖追蹤官方帳號的Line用戶,則上訴人如不欲再收到「○○○○LINE官方」之訊息,僅需自行解除與「○○○○LINE官方」好友關係即可,是被上訴人抗辯上開官方帳號資料庫並非其等所擁有,其等無法刪除「○○○○LINE@官方帳號」、「我的票夾」中之購票訊息等情,即屬可採。
3.至112年10月25日電子折讓單通知信,為電子發票加值中心認證業者即○○公司所寄送,僅係署名為○○公司,亦有該公司112年12月1日回覆○○公司之電子郵件可稽,是上訴人所提上開資料均無從證明被上訴人公司系統中,現仍留存上訴人所有LineID、UUID、姓名、電話、地址、電子信箱,且為被上訴人所利用,上訴人亦未再提出其他證據以實其說,其依個資法第3條、第11條第3項、第11條第4項、第20條第2項規定,請求被上訴人應刪除並停止利用所有上訴人留存於被上訴人公司系統中之所有上開個資,即非可採。
(六)、至上訴人主張被上訴人亦有均未依個資法規定,就個資外洩查明後以適當方式通知伊、未盡事後通報之責等疏失部分,縱認為真,亦與上訴人請求受詐騙之金錢損失結果間無相當因果關係;且被上訴人隱私權、個資自主權受侵害乃因○○公司就其管理維護之系爭訂購系統所保有之上訴人系爭個資,未盡採取適當安全措施之責;○○公司於上訴人系爭個資遭竊外洩前,未就○○公司管理維護系爭訂購系統,為適當監督之行為所致,均如前述,與被上訴人是否未以適當方式通知上訴人、未盡事後通報之責無涉。是上訴人此部分主張,自無再審究之必要。
(七)、綜上所述,上訴人依個資法第29條第1項、第2項規定,請求被上訴人應分別給付2萬元,及均自111年11月30日起至清償日止,按年息5%計算之利息;如被上訴人任一人為給付時,另一被上訴人於其給付範圍內免給付義務部分,為有理由,應予准許;逾此部分之請求,為無理由,不應准許。從而原審就上開應准許部分,為上訴人敗訴之判決,尚有未洽,上訴論旨指摘原判決此部分不當,求予廢棄改判,為有理由,爰由本院廢棄改判如主文第二項所示。至於上訴人之請求不應准許部分,原審為上訴人敗訴之判決,經核並無不合,上訴意旨指摘原判決此部分不當,求予廢棄改判,為無理由,應駁回此部分之上訴。
【資料來源: 臺灣高等法院 112 年度上字第 656 號民事判決】
#台南律師
#高雄律師
#屏東律師
#免費法律諮詢
#蕭縈璐律師
#鑫鹿法律事務所
諮詢專線:0987-229229
LINE:0987229229