臺灣高雄地方法院民事判決

原告

高雄元和雅診所

法定代理人

余采珮

訴訟代理人

葛光輝律師

訴訟代理人

馬思評律師

訴訟代理人

董尚晨律師

被告

楊立偉

訴訟代理人

蕭隆泉律師

上列當事人間請求損害賠償事件，原告提起刑事附帶民事經本院刑事庭以115年度簡附民字第20號裁定移送前來，本院於民國115年6月16日言詞辯論終結，判決如下︰

主文

事實及理由

一、原告主張：被告基於無故輸入他人帳號密碼而入侵他人電腦相關設備之接續犯意，於民國114年1月初至同年6月初間，在其家中利用桌上型電腦連結網路，以netScan軟體於網路掃描取得原告高雄元和雅診所診間內之監視器主機IP位址，並以瀏覽器輸入前開IP位址後，無故輸入預設之帳號密碼登入前開監視器，藉此觀看原告診間內女性病患諮詢、褪去衣物而露出身體私密部位等涉及特種個人資料之醫療隱私影像。被告前開妨害電腦使用之犯行（下稱系爭入侵行為），業經臺灣高雄地方檢察署檢察官提起公訴，並經鈞院刑事庭以114年度簡字第5910號刑事簡易判決判處有期徒刑肆月在案。原告因被告上開系爭入侵行為，為防堵監視系統漏洞、避免再度遭到不法入侵，在當時不知遭入侵確切原因之緊急狀態下，基於保護病患隱私之立場，不得不租借兩台16路監視器設備、購買兩顆10TB硬碟，另為防堵漏洞而升級防火牆，復委託專業廠商就原監視設備予以技術鑑識以釐清事發原因並防範再次發生，共計必要支出資訊設備更新與鑑定費用新臺幣（下同）342,457元，此等費用均與被告之系爭入侵行為具備相當因果關係。又因被告不法入侵原告電腦相關設備並觀看醫療隱私影像之行為，導致原告所保有之女性病患諮詢過程影像脫離原告控制而外洩，嗣經新聞媒體揭露後，引發高雄市政府衛生局依法查察，並以原告未建置內部必要防護措施、違反個人資料保護法為由，對原告裁處行政罰鍰2萬元，此項裁罰與被告之不法侵害個資行為間具有相當因果關係。此外，上開個資外洩事件經媒體報導後引起社會高度關注，使社會大眾質疑原告維護醫療隱私與內部資料安全之能力，致使原告於醫美市場長期累積之信用與大眾評價等商譽遭受嚴重貶損，而受有非財產上之重大損害。爰依民法第184條第1項前段及同條第2項前段等侵權行為法律關係提起本訴，請求被告賠償上述設備費用、裁罰損失及商譽權受損之非財產上損害賠償等語。並聲明：被告應給付原告2,362,457元，及自刑事附帶民事起訴狀繕本送達翌日起至清償日止，按週年利率5％計算之利息。

二、被告則以：伊雖有登入前開監視器觀看影像，惟僅屬私密觀看，絕無外洩或提供媒體報導，本件個資外洩、遭行政裁罰及商譽受損等情，實係因原告診間資安防護存有防火牆過期、預設密碼未改等重大漏洞，並因離職醫師於社群媒體發表聲明所致，與被告系爭入侵行為間無相當因果關係。又資訊設備更新與技術鑑定費用，乃原告補正自身資安瑕疵以履行法定義務之營業成本，非屬損害；且該鑑定費實際係由訴外人元和雅國際股份有限公司支付，原告既未實際支出，自不得請求賠償。縱認被告應負賠償責任，惟原告身為醫美診所，卻長期未盡個資保護義務，資安防護形同虛設，就損害之發生或擴大顯與有過失至少70％，應依法免除或減免賠償金額等語，資為抗辯。並聲明：㈠原告之訴駁回。㈡如受不利益判決，願供擔保請准供宣告假執行。

三、得心證之理由原告主張被告有前開系爭入侵行為，並致原告遭受行政裁罰等情，業據其提出與所述相符之高雄市政府衛生局行政裁處書為憑（見附民卷第27至33頁），被告就前開文書之形式上真正並不爭執，自堪信原告此部分之主張為真實。惟原告主張因被告上開不法侵害行為，而受有資訊設備更新費用、鑑定服務費、行政裁罰損失及商譽權受損等損害，並據此請求被告負損害賠償責任等情，則為被告所否認，並以前揭情詞置辯。是本件兩造爭點厥為：㈠原告依侵權行為之法律關係，請求被告賠償資訊設備更新與鑑定費用、遭行政裁罰損失，以及商譽權受損之非財產上損害賠償，有無理由？㈡原告於事發前就其診所內保有之患者醫療特種個人資料，是否因資安防護存有瑕疵而未採行適當之安全措施，進而就本件損害之發生或擴大與有過失？茲分述如下：

㈠資訊設備更新及鑑定費用部分：

⒈按因故意或過失，不法侵害他人之權利者，負損害賠償責任；違反保護他人之法律，致生損害於他人者，負賠償責任，民法第184條第1項前段、第2項前段分別定有明文。經查，本件原告主張被告於114年1月初至同年6月初間，數次無故輸入預設帳號密碼登入原告診間監視器觀看影像，且原告知悉監視系統遭不法入侵之初，因尚無從得知遭入侵之確切原因，基於保護病患隱私與防堵系統漏洞之立場，不得不更換原資訊設備並添購新設備，因而租借兩台16路監視器設備、購買兩顆10TB硬碟支出39,900元，另升級防火牆支出75,000元，復委託廠商就原資訊設備予以技術鑑識而支出鑑定服務費227,557元，共計必要支出342,457元等事實，業據原告提出翔宇資訊科技公司統一發票、鈺銓資訊有限公司估價單、委託鑑識暨保密合約書等件為憑（見附民卷第15至22頁）。且被告對前開妨害電腦使用之犯行及前開證據形式上之真正均不爭執，並有本院114年度簡字第5910號刑事簡易判決暨刑事卷證可稽，自堪信原告此部分之主張為真實。

⒉被告雖抗辯：前開費用乃原告補正自身長期資安瑕疵之營業成本，非屬損害，且實際匯款人為訴外人元和雅國際股份有限公司，原告並未實際支出而無損害云云。惟查，原告屬醫療美容診所，病患於諮詢或檢查過程中，常有褪去衣物而露身體私密部位之情形，涉及醫療特種個人資料之隱私維護。原告於知悉監視系統遭惡意入侵之緊急狀態下，衡之常情，為即時防堵資安漏洞以避免類似事件再度發生，所為緊急租借監視設備、升級防火牆，並委託專業廠商就原資訊設備予以技術鑑識以釐清事發原因之支出，核與常理相符，且均係因被告故意不法入侵犯行所致之必要支出，與被告之系爭入侵行為間具備相當因果關係。被告上開辯稱既無提出反證以實其說，自無可採。至被告另辯稱上開鑑定費用係由訴外人元和雅國際股份有限公司支付一節，固據原告陳報前開鑑定服務費含稅金額為227,557元，扣繳所得稅及補充保費後，由該訴外人於114年6月10日實際匯款20萬元予鑑定人蘇惟銓等情屬實。然原告業已到庭陳明該筆費用係由相關企業即訴外人元和雅國際股份有限公司名義代為支付，且原告亦已提出該訴外人出具之債權讓與同意書為憑（見本院卷第75至79頁），足證縱前開鑑定費用係由訴外人名義代墊，原告亦已依法受讓該債權，其據此請求被告賠償，即屬有據。本院審酌已有一切事證，認原告主張之設備更新及鑑定費用數額共計342,457元，核屬因被告不法侵權行為所生之必要且合理之損害支出，應予准許。

㈡行政裁罰損失部分：

⒈原告主張被告上開系爭入侵行為，導致原告所保有之女性病患諮詢過程影像外洩，嗣經新聞媒體於114年8月2日披露後，引發高雄市政府衛生局依法查察，因認原告未依個人資料保護法施行細則第12條規定建置內部必要防護措施，違反個人資料保護法第27條第1項非公務機關應採行適當安全措施以防止個人資料被洩漏之規定，爰依同法第48條第2項規定處以罰鍰2萬元等情，有原告提出之上開衛生局行政裁處書在卷可稽，自堪信為真實。

⒉被告固抗辯：該行政裁罰係肇因於原告自身資安缺失，且其僅為私密觀看，絕無外洩行為，核與被告行為無相當因果關係云云。惟按損害賠償之債，以有損害之發生及有責任原因之事實，且兩者間有相當因果關係為成立要件；若某不法侵害行為，依客觀情事觀之，通常均足引發相應之行政管制或處罰者，即具備法律上之相當因果關係。經查，本件醫療特種個資外洩事件之侵害源頭，厥為被告無故輸入預設帳號密碼，非法且接續入侵原告診間監視器主機之行為，此不法侵害行為客觀上使原告原所保有、處於封閉保護狀態下之病患隱私影像，直接暴露於遭侵入者任意點閱、側錄、備份及流傳之高度風險中，已實質破壞原告對該等個人資料之支配與控制權，即已構成個資法上之「洩漏」。此項不法行為依客觀情事觀之，通常均足引發主管機關發動職權管制、調查並依法施以裁罰，自具備法律上之相當因果關係。被告不法入侵在先，自無從以原告事前資安防護存有缺失或後續媒體披露等偶發外在因素，執為阻斷因果關係之論據，亦不因被告主觀上是否僅止於私人觀看而有所異。是原告因本件個資外洩事件所遭受之行政裁罰損失2萬元，與被告前開不法系爭入侵行為間，具有相當因果關係，原告據此請求被告如數賠償2萬元，核屬有據，應予准許。

㈢商譽權之非財產上損害部分：

⒈按侵害法人之名譽，為對其社會上評價之侵害。又侵害法人之信用，為對其經濟上評價之侵害，是名譽權廣義言之，應包括信用權在內，故對法人商譽之侵害，倘足以毀損其名譽及營業信用，僅登報道歉是否即足以回復其商譽，自滋疑問（最高法院90年度台上字第2109號判決意旨參照）。復按法人商譽及個人名譽為人格之社會評價，有無受侵害，應以社會上對其評價是否貶損作為判斷之依據，苟行為人之行為足以使他人在社會上之評價受到貶損，不論其為故意或過失，均可構成侵權行為（最高法院111年度台上字第1942號判決意旨參照）。法人為自然人與物之集合體，具有行為能力，其商譽足以使其獲得超額利潤之無形資產，其價值應為法人總市值與其資產淨值之差額，既具有經濟價值，自應受到保護。因而參酌88年4月21日修訂民法第195條第1項前段規定增列「信用」法益及前揭判決意旨，法人之名譽被侵害乃同時貶損其信用，並造成法人之商譽上無形損害，雖不得請求精神上之慰撫金，然就法人因信用、名譽及商譽等無體財產權受侵害所造成經濟利益上之無形損害，自得依民法第195條第1項前段規定，請求非財產上損害。

⒉查本件被告無故侵入醫療機構內部監視器，接續且惡意觀看病患極為私密之就診及檢查等醫療特種個人資料影像，此不法行為本質上已嚴重侵害原告對於診所內部資訊安全之掌控。而現代經濟社會資訊發達，醫療美容產業具有高度競爭性，極度仰賴大眾之信賴感、隱私保障之安全感與網路輿論之正面評價，作為消費者決策之關鍵參考。被告系爭入侵行為瓦解原告維護病患隱私之資安防線，一旦經媒體報導揭露，在客觀上必然引發社會大眾對於原告維護醫療隱私與資訊安全能力之強烈質疑與負面評價，進而顯著降低潛在消費者對於原告診所之信賴感。被告雖抗辯其僅屬私自觀看，絕無外洩或提供媒體報導，原告商譽受損核與被告行為無相當因果關係云云，然本件不法入侵事件嗣經媒體大幅報導，社會一般大眾透過閱覽相關新聞，均得悉原告診所遭不法侵入監視器取得女性病患諮詢、褪去衣物影像之事實，引發公眾對原告之負面評價，導致原告商譽遭受嚴重貶損。被告不法入侵診間監視器觀看隱私影像之行為，本即為引發該負面評估與商譽受損之侵害源頭，自具備相當因果關係，不因被告主觀上是否有自行將影像外傳或交予媒體之行為而有異，被告上開辯詞，自無足採。本院審酌兩造之身分、地位、經濟能力，及被告不法侵害原告商譽權之手段、情節，暨原告為知名醫療機構，其商譽因本件個人資料安全維護重大漏洞與病患隱私影像外洩事件所受侵害之程度，將對原告之營運獲利與市場競爭力造成重大負面衝擊；再衡酌被告侵入之主機內含有大量涉及女性病患諮詢、褪去衣物之醫療特種個人個資，不法登入觀看次數甚多，侵害情節不可謂不重大，及原告商譽因此不法侵害所受貶損之傳播強度等一切情狀，認原告請求200萬元之非財產上損害，尚嫌過高，應以20萬元為適當。

㈣按損害之發生或擴大，被害人與有過失者，法院得減輕賠償金額或免除之，民法第217條第1項定有明文。此項規定之目的，在謀求加害人與被害人間之公平，故在裁判上法院得以職權減輕或免除之（最高法院85年台上字第1756號判決意旨參照）。又被害人之過失行為須為損害之共同原因，予損害之發生或擴大以助力，並與損害之發生與擴大有相當因果關係者，始有過失相抵之適用（最高法院89年度台上字第1036號判決參照）。被告抗辯：原告就診間監視系統之資安防護存有重大漏洞，長期違反個人資料保護法義務，就本件損害之發生或擴大與有至少70％之重大過失云云。惟查，資訊設備更新、升級防火牆及技術鑑定之功能，乃係於遭逢外力惡意且不法入侵之緊急狀態下，用以即時防堵資安漏洞、避免類似損害事件再度發生或擴大，並藉由專業鑑識以釐清受駭確切原因、重建系統安全以維護患者特種個資隱私之必要防範措施。觀諸本件被告無故輸入預設帳號密碼，接續不法入侵原告監視器主機之次數甚多，原告於知悉遭不法入侵之初，為保障病患醫療隱私並防範損失繼續擴大，不得不緊急租借監視設備、購買硬碟、升級防火牆並委託廠商就原設備予以技術鑑定，此等支出核屬原告因應被告惡意侵權行為，為防堵損害擴大所採取之合理且必要之因應手段。是以，原告事發前之資安防護狀態，純為被告故意發動不法入侵犯行之客觀環境，難認與原告事後因防堵侵權所必要支出之各項費用具有法律上之相當因果關係，對上開損害結果自無擴大之助力，核與過失相抵之要件不符。被告前開所辯，委無可採。

㈤綜上，原告得請求賠償之金額為資訊設備更新及鑑定費用342,457元、行政裁罰損失2萬元、商譽權受損之非財產上損害賠償20萬元，合計562,457元（計算式：342,457元＋2萬元＋20萬元＝562,457元）。

四、綜上所述，本件原告依侵權行為之法律關係，請求被告給付562,457元，及自刑事附帶民事狀繕本送達翌日即115年1月13日（附民卷第35頁）起至清償日止，按年息5％計算之利息，為有理由，應予准許，逾此部分之請求，為無理由，應予駁回。

五、本件原告勝訴部分，係依民事訴訟法第427條第1項規定適用簡易程序所為被告敗訴之判決，爰依同法第389條第1項第3款規定，應依職權宣告假執行，並依同法第436條第2項準用第392條第2項，依職權為被告預供擔保，得免為假執行之宣告。

六、本件損害賠償事件乃刑事附帶民事訴訟，由刑事庭移送前來，迄本院言詞辯論終結為止，當事人並無任何裁判費或其他訴訟費用之支出，自無諭知訴訟費用負擔之必要，併此指明。