111年度沙簡字第3號｜民事：損害賠償｜裁判日期：111 年 04 月 20 日

臺灣臺中地方法院民事判決 111年度沙簡字第3號原告龔恆暉黃尚汯即黃聖棋張紘洋林庭毓周思妤柯依瑩共同訴訟代理人林盛煌律師許琬婷律師被告星月大地休閒事業股份有限公司法定代理人林麗娟被告耘家國際事業有限公司法定代理人陳妤葳共同訴訟代理人王昱勝上列當事人間請求損害賠償事件，本院於民國111年4月6日言詞辯論終結，判決如下：主文被告應連帶給付原告龔恆暉新臺幣壹萬元，及自民國一一○年十二月八日起至清償日止，按年息百分之五計算之利息。被告應連帶給付原告黃尚汯、張紘洋、林庭毓各新臺幣壹萬貳仟元，及均自民國一一○年十二月八日起至清償日止，按年息百分之五計算之利息。被告應連帶給付原告周思妤、柯依瑩各新臺幣壹萬伍仟元，及均自民國一一○年十二月八日起至清償日止，按年息百分之五計算之利息。原告其餘之訴駁回。訴訟費用由被告連帶負擔四分之一，餘由原告共同負擔。本判決第一、二項得假執行。但被告如各以新臺幣壹萬元、壹萬貳仟元、壹萬貳仟元、壹萬貳仟元、壹萬伍仟元、壹萬伍仟元為原告龔恆暉、黃尚汯、張紘洋、林庭毓、周思妤、柯依瑩供擔保後，得免為假執行。原告其餘假執行之聲請駁回。事實及理由一、原告起訴主張：㈠原告龔恆暉、黃尚汯（更名前為黃聖棋）、張紘洋、林庭毓、周思妤、柯依瑩6人（下合稱時稱原告），前均受雇於被告星月大地休閒事業股份有限公司（下稱被告星月公司），被告星月公司前基於人事管理及辦理原告之薪資發放暨所得稅扣繳事宜目的，方得蒐集、處理及於前揭特定目的之必要範圍內，利用包括原告姓名、國民身分證統一編號、地址及薪資所得等個人資料。又被告星月公司，將其財務、稅務相關會計事項，委由被告耘家國際事業有限公司（下稱被告耘家公司）處理，故被告耘家公司因此而得蒐集、處理及於前揭特定目的之必要範圍內，利用原告之上開個人資料。被告耘家公司創立並管理「耘家會計師雲端管理系統」（下稱耘家網站），用以管理客戶之財務、稅務相關資料，被告耘家公司亦提供耘家網站使用權限予被告星月公司線上檢視相關財務、稅務文件之用。詎原告於民國110年6月23日，於網路上瀏覽時，赫然發現於Google搜尋引擎（下稱谷歌網站，稱該公司為谷歌公司）中，輸入原告姓名、扣憑、扣繳等關鍵字搜尋，竟出現載有原告姓名、國民身分證統一編號、地址及薪資所得等個人資料之各類所得扣繳暨免扣繳憑單（下稱所得憑單）網頁，且上開網頁均顯示「yunjia168.com.tw」，與耘家網站網址相同，則被告耘家公司在未經原告同意下，將原告個人資料公開在被告耘家網站內；迄110年7月間，再於谷歌網站上搜尋，仍可見原告前揭之所得憑單，有原告所提供之截圖可憑。被告耘家公司受被告星月公司委託處理其財務、稅務相關會計事項，其蒐集、處理、利用原告之個人資料，自應遵守個人資料保護法（下稱個資法）第20、27條之規範，於合法範圍內為之、並有採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩露之義務，惟被告耘家公司違反上開義務，亦無法定事由存在、違反個資法上開規範，致原告個人資料外洩公開，而各該資料除含個人身分相關辨識資料外，亦攸關個人財產狀況，一旦揭露於外，即容易遭人冒用身分資料或查知個人財務狀況，陷於無法預估風險或引發不法覬覦，而屬原告之重要隱私，故上開行為已侵害原告隱私權，被告耘家公司應負個資法第29條損害賠償責任。而被告星月公司，因委託被告耘家公司處理資料，依個資法施行細則第8條規定，被告星月公司對受託者實有監督義務，惟被告星月公司未善盡對被告耘家公司之監督，致原告個人資料外洩，亦侵害原告之隱私權，應與被告耘家公司共同就個資法第29條、民法第185條、第195條第1 項規定，負連帶侵權責任。又因個資法屬民法第184條第2項之保護他人之法律，被告共同侵害原告隱私權，應依民法第184條第2項、第185條、第195條第1項規定，連帶負損害賠償責任。即令法院認本件無個資法適用，被告亦共同侵害原告隱私權，亦應依民法第184條第1項前段、第185條、第195條第1項規定，連帶負損害賠償責任。並請求法院就上開3項之請求權基礎，擇一為有利原告之判決。另依目前實務見解，法人具有侵權行為能力，應負自己之侵權行為責任，原告自得對被告2人主張之。㈡依原告於110年6月23日發現個資被公開於耘家網站資料，其標題所得憑單旁顯示資料，均係PDF檔案，亦即第三人均可透過網路任意下載、儲存該檔案，後續係因該資料已公開於網路，谷歌搜尋引擎始自動建立如原告所提原證6之頁庫存檔。而原告於111年1月14日時，仍發現除原告龔恆暉外，其餘原告5人之國民身分證統一編號、姓名個人資料，於耘家網站網頁之「網址」欄仍公開可見，於111年3月2日再次確認，原告周思妤、柯依瑩之國民身分證統一編號、姓名之個人資料，仍於耘家網站網頁之「網址」欄公開可見，至111 年4月6日言詞辯論前始全部移除。原告認為被告之侵害，在相關網站連結移除前，均還在持續中，這部分應該只有一個事件，但如被告都不移除，則損害賠償上限如依個資法規定僅為2萬元以下，有失公允，故認原告以民法第184條第2項，或以民法第184條第1項前段規定主張之隱私權受害，應不受2萬元賠償之限制。至被告雖辯稱本件係由網路爬蟲所造成，惟被告根本未予舉證，況依個資法第29條第1項、民法第184條第2項規定，被告如主張無故意或過失，自應由被告舉證證明之。㈢聲明：被告應連帶給付原告各新臺幣（下同）5萬元，及自起訴狀繕本送達翌日起至清償日止，按年息5%計算之利息。願供擔保請准宣告假執行。二、被告共同答辯略以：㈠被告耘家公司所提供予被告星月公司使用之耘家網站，於開發設計上具有妥善之安全防護及資料保護設計，使用者於使用該系統時，須登錄使用者帳號及密碼，才可使用。被告耘家公司於接獲原告委託之律師所發之函文時，為避免損害擴大，立即關閉主機並進行自己系統及發生原因之查核，查核結果發現關閉主機不能對谷歌網頁系爭個資瀏覽產生影響，即系爭個資已儲存於谷歌網頁暫存器中，如使用其他網頁瀏覽器（如Microsoft IE）不會產生相同結果，故係肇因於谷歌搜尋引擎經由圖、文交叉比對，鏈結耘家網站之系爭個資網路位址，並形成系爭個資圖片、文件預覽，此有系爭個資圖片檔不能由網頁上直接按取下載可憑，故造成本件事件之主因即為網路爬蟲（web crawler），此亦可從原告所提供資料為列印資料，非下載資料而可得知，本件原告既沒有舉證資料可以下載，不能認為是電腦資料外洩。被告耘家公司查明原因後，隨即以書面及電子郵件方式，於110年7月28日發函訴外人美商科高國際有限公司台灣分公司，要求對方處理惟書面部分遭退件、電子郵件亦不獲回應，最後被告耘家公司使用谷歌網站線上反映處理機制，於110年7月28日通過核准，但谷歌公司處理結果是網址連結還在，但無法預覽，被告耘家公司又於111年1月26日16時54分許，再次提出移除要求，於111年1月28日上午8時許始接獲核准移除通知，始將鏈結移除並清除暫存檔，問題始得加以解決。足見被告耘家公司、星月公司，與原告受限於谷歌公司之隱私權政策及服務條款，而立於相同地位，僅能要求谷歌公司處理，被告對於移除個資外洩事件，已經盡到跟原告相同的注意義務。而原告為被告星月公司前員工，依所得稅法等規定雇主為員工之扣繳義務人，被告星月公司對所得憑單依法有製作、申報權限，被告耘家公司與被告星月公司有契約關係，亦係依法所允許持有系爭個資及製作文件之人，無任何侵害原告權益之意圖或原因。㈡至原告所提原證6之列印文件，其上已清楚記載係谷歌在檢索網路時會自動產生文件的HTML版本，非被告耘家公司之網站資料。如法院認被告確有疏失，本件應依個資法第28條第3 項規定，每人每一事件有2萬元之限制，並請求法院酌減原告請求之金額。㈢聲明：原告之訴駁回。如受不利判決願供擔保請准宣告免為假執行。三、經查：原告主張均為被告星月公司前員工，被告星月公司委託被告耘家公司處理財務、稅務相關會計事項，惟於原告離職後，原告於110年6月23日發現其所得憑單被公開於耘家網站上，其上有原告個人之姓名、國民身分證統一編號、地址連絡方式、108年度所得等情，其後於110年11月23日谷歌搜尋引擎內搜尋，亦有自動建立如原告所提原證6之頁庫存檔。而111年1月14日查詢時，仍發現除原告龔恆暉外，其餘原告5人之國民身分證統一編號、姓名個人資料，於耘家網站網頁之「網址」欄仍公開可見，於111年3月2日再次確認，原告周思妤、柯依瑩之國民身分證統一編號、姓名之個人資料，仍於耘家網站網頁之「網址」欄公開可見等情，有原告所提光碟2片、原證4至8（見本院卷第43-89、193-211頁）之列印資料、本院111年3月2日言詞辯論時所提出之列印資料（見本院卷第285-291頁），並為被告所不爭執，均堪認為真實。四、得心證之理由：原告主張被告耘家公司違反個資法規定，無故洩露原告之個人資料，被告星月公司未盡委託人監督義務，應連帶對原告負損害賠償責任。惟為被告所否認，並以前詞置辯，茲分述如下：㈠按維護人性尊嚴與尊重人格自由發展，乃自由民主憲政秩序之核心價值。隱私權雖非憲法明文列舉之權利，惟基於人性尊嚴與個人主體性之維護及人格發展之完整，並為保障個人生活私密領域免於他人侵擾及個人資料之自主控制，隱私權乃為不可或缺之基本權利，而受憲法第22條所保障（釋字第585號解釋意旨參照）。其中就個人自主控制個人資料之資訊隱私權而言，乃保障人民決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並保障人民對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權。惟憲法對資訊隱私權之保障並非絕對，國家得於符合憲法第23條規定意旨之範圍內，以法律明確規定對之予以適當之限制（釋字第603號解釋意旨參照）。是當事人對於自己之個人資料是否揭露、在何種範圍內、於何時、以何種方式、向何人揭露等事宜，具有充分之決定權，此乃當事人自主控制個人資料之資訊隱私權，不容他人任意侵害；倘無法定事由復未經當事人同意，擅自揭露當事人之個人資料者，即屬侵害憲法所保障之當事人「隱私權」。次按非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限，個資法第29條第1項定有明文。又因故意或過失，不法侵害他人之權利者，負損害賠償責任。故意以背於善良風俗之方法，加損害於他人者亦同。違反保護他人之法律，致生損害於他人者，負賠償責任。但能證明其行為無過失者，不在此限；又不法侵害他人之身體、健康、名譽、自由、信用、隱私、貞操，或不法侵害其他人格法益而情節重大者，被害人雖非財產上之損害，亦得請求賠償相當之金額，民法第184條、第195條第1項前段亦有明定；且所謂保護他人之法律，係指保護他人為目的之法律，即一般防止危害權益，或禁止侵害權益之法律，凡直接或間接以保護個人之權益為目的者，均屬之（最高法院100年度台上字第390、1314號判決意旨參照），而參以個資法第1條規定：「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」，則個資法之規範目的，當係為求個人權益之保障周全，而同屬民法第184條第2項所稱「保護他人之法律」。是依個資法第29條第1項、民法第184條第2項規定，凡違反個資法規定而導致個人資料遭不法蒐集、處理、利用，致侵害當事人之隱私權，即推定為有故意、過失，至於加害人如主張其無故意、過失，依舉證責任倒置之原則，應由加害人舉證證明，以減輕被害人之舉證責任。又數人共同不法侵害他人之權利者，連帶負賠償責任；受委託蒐集、處理或利用個人資料之法人、團體或自然人，依委託機關應適用之規定為之；委託他人蒐集、處理或利用個人資料時，委託機關應對受託者為適當之監督。前項監督至少應包含下列事項：二、受託者就第十二條第二項採取之措施。民法第185條、個資法施行細則第7條、第8條第1項、第2項第2款亦分別定有明文。㈡查原告於110年6月23日查詢時，於谷歌網站上確有查到所有原告之108年度所得憑單等情，有原告所提原證4之列印資料可憑（至原證4內，雖無原告龔恆暉之列印資料，惟依原告所提原證6網站列印資料，其內亦有原告龔恆暉之所得憑單資料，足證原告龔恆暉之所得憑單於110年6月23日亦應可查詢得到，始會有其後產生原證6之自動產生文件之HTML版本，被告對此亦不否認），而依原證4之畫面資料顯示，其網址資料旁確實均顯示有「pdf」之框線資料（見本院卷第43 、47、51、55、59頁），其後點選後即進入所得憑單畫面資料（見本院卷第45、49、53、57、61頁）等情，足見原告所述各該進入資料確實為可供下載之pdf檔資料應屬無誤，故被告所辯各該資料係圖片檔，不能由網頁上直接按取下載云云，自不可採。況即使資料不可下載，惟既可從網頁上瀏覽，則第三人自仍可觀察到原告之姓名、國民身分證統一編號、住址連絡方式及108年度所得之財務資料，而用手記等方式轉為記載，自已洩露原告個人資料，被告辯稱原告沒有舉證資料可以下載，不能認為是電腦資料外洩云云，亦不可採。㈢被告雖辯稱耘家網站設有帳號及密碼機制，本件資料外洩係因網路爬蟲所造成，被告耘家公司使用谷歌網站線上反映處理機制，於110年7月28日通過核准，但谷歌公司處理結果是網址連結還在，但無法預覽，被告耘家公司又於111年1月26日16時54分許，再次提出移除要求，於111年1月28日上午8 時許始接獲核准移除通知，始將鏈結移除並清除暫存檔等語，並提出被1、3、4、7、8之網頁列印資料（見本院卷第153、161-173、243-253頁）為證。惟查，原告並未登入耘家網站資料，單以關鍵字查詢，即可查得上開原證4之資料，有原告所提列印資料可憑，足見確實係被告耘家公司電腦程式設計不佳，始造成原告個人資料外洩，自有違反個資法第27條第1項之「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏」之規定，而被告星月公司未盡監督義務，自亦有過失責任。至被告表示係網路爬蟲所造成，既為原告所否認，被告亦未舉證其對本件資料洩露無過失之情形，其所辯自不可採信。㈣至原告其後所提原證6，於110年11月23日所列印資料，其上方雖載明：Google在檢索網路時會自動產生文件的HTML版本，原證7、8等資料，於111年1月14日查詢時，仍發現除原告龔恆暉外，其餘原告5人之國民身分證統一編號、姓名個人資料，於耘家網站網頁之「網址」欄仍公開可見，於111年3月2日再次確認，原告周思妤、柯依瑩之國民身分證統一編號、姓名之個人資料等情，雖非如上開於被告耘家公司網站上洩露之原告個人資料之pdf檔，惟顯係因被告耘家公司洩露原證4之資料後，始造成其後有搜尋網站存有暫存檔之情形，自仍係被告耘家公司、星月公司上開過失所繼續造成，依個資法第11條第4項規定：違反本法規定蒐集、處理或利用個人資料者，應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料。則被告自負有刪除該資料之義務，此亦可從被告耘家公司使用谷歌網站線上反映處理機制，於110年7月28日通過核准，但谷歌公司處理結果是網址連結還在，但無法預覽，被告耘家公司又於111年1月26日16時54分許，再次提出移除要求，於111年1月28日上午8時許始接獲核准移除通知，惟仍有原告周思妤、柯依瑩之資料，於111年3月2日仍未刪除（見本院卷第285-291頁），其後於本院111年4月6日言詞辯論前始全部刪除等情，足證各該違反個資情形確實可以刪除，僅係被告消極不作為，則上開期間資料洩露情形，自均可歸責被告無誤，故被告辯稱其與原告受限於谷歌公司之隱私權政策及服務條款，而立於相同地位，僅能要求谷歌公司處理，被告對於移除個資外洩事件，已經盡到跟原告相同的注意義務云云，亦不足減免被告之責任。㈤按非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。依前項規定請求賠償者，適用前條第2項至第6項規定；又被害人雖非財產上之損害，亦得請求賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分。依前2項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件500元以上2萬元以下計算。損害賠償，除依本法規定外，公務機關適用國家賠償法之規定，非公務機關適用民法之規定，個資法第29條、第28條及第31條定有明文。則因違反個資法所衍生之侵權行為損害賠償金額之酌定，除被害人能證明其損害超過個資法第29條第2項準用第28條第3項所明定之最高限額以外，均應由法院斟酌雙方身分資力與加害程度，於個資法第29條第2項準用第28條第3項之範圍內，為其賠償數額之相當酌定。再者，個資法第29條第2項準用第28條第3項規定所稱之「每一事件」，應以被害人個資遭「行為人不法蒐集、處理、利用之次數」計算，而「非」以被害人之個資件數計算；此觀法條明文以「事件」計算，而非以「被害人之個資件數（數量）」計算。原告既未舉證其各受有5 萬元損害之依據為何，是原告隱私權遭受侵害所蒙受精神上之痛苦，有損害範圍不能證明之情形，參諸前揭法條說明，自應回歸個資法第29條第2項準用第28條第3項規定，以每一事件500元以上2萬元以下酌定賠償數額。㈥本院審酌各原告之財產及所得情形，有本院所列印原告之稅務電子閘門財產所得調件明細表（見本院卷第301-324頁），及被告星月公司、耘家公司之設立資本（見本院卷第131-140頁），並審酌原告主張受害情節，其中原告龔恆暉於而111年1月14日查詢時，已無發現國民身分證統一編號、姓名之個人資料，於111年3月2日再次確認，僅剩原告周思妤、柯依瑩之國民身分證統一編號、姓名之個人資料，仍於耘家網站網頁之「網址」欄公開可見，至111年4月6日本院言詞辯論前始完全刪除等情，認原告龔恆暉受害較輕，次為原告黃尚汯、張紘洋、林庭毓，而原告周思妤、柯依瑩受害期間最久，自均屬侵害原告之隱私權，惟衡以渠等違反個資法之行為，係因網站管理不佳及監督不佳，始造成資料洩露，致違反個資法侵害原告之隱私權，其後於本院111年4月6日前已刪除完畢等一切情事，認原告依個資法第29條、民法第185條、第195條第1項規定，請求被告負連帶侵權責任，於原告龔恆暉、黃尚汯、張紘洋、林庭毓、周思妤、柯依瑩之請求，各於1萬元、1萬2千元、1萬2千元、1萬2千元、1萬5千元、1萬5千元，及均自起訴狀繕本送達翌日即110年12月8日起至清償日止，按年息百分之5部分為有理由，逾此範圍之請求，則屬過高，不應准許。㈦至原告雖依據民法第184條第2項，或依民法第184條第1項前段規定，主張其受賠償額不應受2萬元之限制，惟查原告既未舉證其隱私權受有所受損害為何，參以被告所洩露原告之個人資料，並無另造成原告其他人格權受有損害之情形，即使原告依其他選擇合併之訴，自仍應受到相同金額之限制，故原告此部分主張並不可採。㈧本院既認原告主張個資法第29條之請求為有理由，就其他原告主張請求權基礎部分自無庸再加以論敘。另被告請求將本件洩露原因送請鑑定，惟本院既已認定係因被告耘家公司網站管理不佳所造成，業如前述，自無再加以鑑定必要，均併予敘明。五、綜上所述，原告龔恆暉、黃尚汯、張紘洋、林庭毓、周思妤、柯依瑩各依侵權行為之法律關係請求被告連帶給付其損害，各於1萬元、1萬2千元、1萬2千元、1萬2千元、1萬5千元、1萬5千元，及均自110年12月8日起至清償日止，按年息5%計算之利息，為有理由，逾此範圍則無理由。本件原告勝訴部分，所命給付金額未逾50萬元，依民事訴訟法第389條第1項第5款規定，應依職權宣告假執行，並准被告供相當擔保，免為假執行。至於原告敗訴部分，其假執行之聲請失所附麗，不應准許。六、本件事證已臻明確，兩造其餘攻擊防禦方法及證據，經審酌後，核與本件結論不生影響，爰不一一贅述，附此敘明。七、訴訟費用負擔之依據：民事訴訟法第79條、第85條第1、2項。中　　華　　民　　國　　111 　年　　4 　　月　　20　　日沙鹿簡易庭法官黃建都以上為正本係照原本作成。如不服本判決，應於送達後20日內，向本院提出上訴狀並表明上訴理由，如於本判決宣示後送達前提起上訴者，應於判決送達後20日內補提上訴理由書（須附繕本）。如委任律師提起上訴者，應一併繳納上訴審裁判費。中　　華　　民　　國　　111 　年　　4 　　月　　20　　日書記官

沙鹿簡易庭111年度沙簡字第3號

關鍵資訊