個人資料保護法 第 28 條

非公務機關違反本法規定，致當事人權益受損害者，應負損害賠償責任。但能證明其無故意或過失者，不在此限。 　　依前項規定請求賠償者，適用前條第二項至第五項之規定。

立法理由一、非公務機關違反本法規定致當事人權益受損害時，在立法上宜採較輕責任之政策，爰於第一項為過失賠償責任及舉證責任倒置之規定。 　　二、至於其餘之賠償責任，與公務機關並無不同，爰於本條第二項規定適用前條第一項以外之各項規定。

公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。 　　被害人雖非財產上之損害，亦得請求賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分。 　　依前二項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件新臺幣五百元以上二萬元以下計算。 　　對於同一原因事實造成多數當事人權利受侵害之事件，經當事人請求損害賠償者，其合計最高總額以新臺幣二億元為限。但因該原因事實所涉利益超過新臺幣二億元者，以該所涉利益為限。 　　同一原因事實造成之損害總額逾前項金額時，被害人所受賠償金額，不受第三項所定每人每一事件最低賠償金額新臺幣五百元之限制。 　　第二項請求權，不得讓與或繼承。但以金額賠償之請求權已依契約承諾或已起訴者，不在此限。

立法理由一、條次變更，本條為原條文第二十七條移列。 　　二、第一項將原條文「致當事人權益受損害者」等文字，修正為「致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者」，使其與國家賠償法第二條第二項及民法第一百八十四條第一項規定用語一致。 　　三、基於有損害始有賠償之法理，當事人能證明之損害均得請求賠償，且本法規範有不足者，亦得依民法相關規定為之。例外於當事人不易或不能證明其實際損害額之情形時，始有規範每人每一事件賠償金額上、下限之必要。另考量個人資料之價值性及當事人行使請求權、出庭作證之意願，擬參酌法院辦理民事事件證人鑑定人日費旅費及鑑定費支給標準第三點「證人、鑑定人到場之日費，每次依新臺幣伍佰元支給」之規定，並兼顧法院在個案之裁量權限及防止有心人士興訟，將賠償金額下限往下修正為伍佰元，以便法院為個案審理及判決。又上限部分亦配合下限降低。 　　四、違法侵害個人資料事件，可能一個行為有眾多被害人或造成損害過於鉅大，為避免賠償額過鉅無法負擔並為風險預估與控管，原條文第四項遂規定合計賠償最高總額以新臺幣二千萬元為限。惟現今公務機關或非公務機關蒐集、處理、利用或國際傳輸個人資料之情形日漸普遍，為加重個人資料蒐集者或持有者之責任，促其重視維護個人資料檔案安全之措施，並使被害人能受到較高額度之賠償，且總額限制之金額過低時，恐將產生實務操作之困難，爰修正第四項規定，將賠償總額新臺幣二千萬元之限制，提高為新臺幣二億元。另基於同一原因事實違法侵害個人資料事件，如其所涉利益超過新臺幣二億元者，自不宜再以該金額限制之，而以該所涉利益為限。 　　五、同一原因事實造成之被害人數過多或部分被害人實際損害嚴重，致損害總額超過第四項所定總額限制之新台幣二億元或所涉利益時，為避免第三項規定之賠償下限與第四項規定之賠償總額限制產生矛盾，爰增訂第五項規定，使其不受第三項所定每人每一事件最低賠償金額新台幣五百元之限制，以配合第四項對於單一原因事實賠償總額限制之規定。 　　六、第二項及原第五項未修正。