士林簡易庭107年度士簡字第438號

臺灣士林地方法院民事簡易判決　　　　107年度士簡字第438號

原告

張秋蘭

訴訟代理人

張耀瓏

被告

富爾特科技股份有限公司

訴訟代理人

王慕民律師

　　　　　　葉奇鑫律師

　　　　　　吳彥欽律師

上列當事人間請求侵權行為損害賠償事件，本院於民國107年5月31日言詞辯論終結，判決如下：

主文

事實及理由要領

一、本件原告向本院起訴，被告不抗辯本院無管轄權而為本案之言詞辯論（見本院卷第177頁），依民事訴訟法第25 條規定，本院自有管轄權。

二、原告主張：原告於民國106年4月11日，使用手機上網登入被告公司所營運的「EZ訂」網站平台（下稱系爭網站），購買2 張電影票，詎料原告於106 年4 月28日下午約5 時30分許，即遭詐騙集團誑稱為「EZ訂」的會計部門人員，並先與原告核對姓名、電話、購買電影票之金額、日期及場次等個人資料及消費紀錄均正確無訛後，聲稱因作業人員疏失，不小心誤植20筆原告之訂票紀錄，約新臺幣（下同）8,000 元，將會於原告所有之帳戶設定為每個月扣款，故須於當天24時將這項紀錄取消掉，因而需請原告協助授權，向原告的授權銀行退費，由於對方清楚說明，原告全名、訂票時間及購票場次，致原告不疑有他，陷入錯誤，導致上當受騙，先後遭詐騙共計25萬7,892 元，被告為蒐集個資之持有者，負有安全維護責任，但卻未盡妥善保管原告之個人資料，亦未能及時查明後以適當方式通知原告，致原告個資外洩而遭詐騙，隱私權受有侵害。被告應依個人資料保護法第29條規定賠償原告2 萬元，及依民法184 條第2 項、第195 條之規定連帶賠償原告受詐騙之25萬7,892 元，及賠償個資外洩將近1年期間，所受之精神上損害之精神慰撫金5 萬元，乃提起本件訴訟等語，並聲明求為判決被告應給付原告32萬7,892 元，且願供擔保請准宣告假執行。

二、被告則以：

(一)原告未能舉證證明被告有何違法、造成原告如何之損害及被告之違法行為與原告所受損害間有何相當因果關係，原告未能證明其受詐騙係因詐欺行為人以訂票資訊取信原告，及詐欺行為人必是自被告系統竊得原告個人資料。

(二)又被告對於「EZ訂」系統已提供適當之安全維護，被告客觀上並無違法，主觀上自無故意或過失，原告不能僅以蒐集個資機關有個資外洩情事，即認被告有安全維護不週的違法，蓋因個人資料保護法第29條法僅要求採行適當之安全措施，而非一律採取最高等級之安全防護，不得僅因有個資外洩即謂必有安全維護不周之違法之處。被告經營電子商務，對消費者提供訂票服務，消費者為被告之重要資產，因此對於系統之安全維護長期以來不遺餘力，已有設立資訊技術處負責系統安全維護及執行各項資訊安全維護與升級，導入（金融）支付卡產業安全標準協會訂定之高規格安全標準「支付卡產業資料安全標準」，委託資安公司執行弱點掃瞄，對系爭網站之主機安全與網站安全執行評估檢測，公司制訂個人資料保護之管理作業、電腦網路使用規範管理內部員工，每年定期舉辦個資保護與資訊安全教育訓練等作為。

(三)縱認有安全維護不周之處，近年政府無不大力宣導防騙，亦不必然生遭詐欺之情事，原告受詐欺與個資外洩間亦無相當因果關係。

(四)個人資料保護法應優先於民法適用，原告不得另依民法第184 條、第195 條規定請求損害賠償，又原告已與詐欺行為人之一劉永清達成和解取得賠償1 萬5,000 元，應予扣除等語，資為抗辯，並聲明求為判決駁回原告之訴，如受不利判決，願供擔保請准宣告免為假執行。

三、本院得心證之理由本件原告主張其有於106 年4 月11日，使用手機上網登入被告公司營運之系爭網站購買2 張電影票，而為被告蒐集、處理其個人資料；又其受詐騙集團詐欺而遭詐騙共計25萬7,892 元等事實，業據其提出信用卡帳單、匯款記錄、報案三聯單等件為證，且為被告所不爭執，並核與本院依職權調閱臺灣臺中地方法院107 年度豐簡字第131 號及臺灣新竹地方法院106 年度訴字第693 號刑事案卷資料相符，堪信為真。惟原告主張上開受害係源於被告持有原告之消費紀錄與個人資料外洩，被告未盡其安全維護之責所致，則為兩造所爭執，茲審認如下：

(一)關於個人資料洩漏所生之損害賠償

⒈按「個人資料」指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。個人資料保護法第2 條第1 款、第27條第1 項分別定有明文。又被害人雖非財產上之損害，亦得請求賠償相當之金額。依前2 項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件新臺幣500 元以上2 萬元以下計算。非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。依前項規定請求賠償者，適用前條第2 項至第6 項規定。同法第28條第2 項前段、第3 項、第29條亦分別定有明文。

⒉經查，本件原告於106年4月11日在系爭網站上購票，並於訂票時輸入其姓名、電話等個人資料，系爭網站因而取得原告之個人資料，並進而將該個人資料記錄、儲存，而為被告公司蒐集、處理其個人資料等情，為兩造所不爭執，已如前述。又觀諸原告受騙之經過，乃因詐騙集團成員於106 年4 月28日假冒系爭網站人員而取信原告所致，此觀臺灣臺中地方法院107 年度豐簡字第131 號及臺灣新竹地方法院106 年度訴字第693 號刑事案卷之原告警詢筆錄甚明，衡情原告於知悉受騙後立即報案，應無自行虛構情節誣攀被告之必要，其於警詢所述之受騙經過，應可採信。從而，原告上開個人資料為被告以外之人知悉並用以向原告詐騙，已可認定。對此，被告就原告之個人資料於蒐集、處理後未採行適當之安全措施以防止個人資料被竊取或洩漏甚明，否則，詐騙集團成員不致可掌握原告上開個人資料，依上開說明，被告推定為有故意、過失，自應就其行為依個人資料保護法之規定負損害賠償責任。

⒊至被告雖謂其已盡適當之安全維護云云，惟查，參諸原告所提出之165 反詐騙專線統計資料、刑事警察局統計資料等資料（見本院卷第27至30頁、第39至45頁、第49至57頁、第65頁），可知系爭網站於105 、106 年間已有個資外洩遭詐騙集團成員利用之情事，且受害件數非少，個資外洩並非偶發事件，被告雖謂其已盡適當之安全維護，顯難令人信服。

⒋茲就原告上開請求金額分別審認如下：

⑴原告請求依個人資料保護法第29條規定賠償2 萬元部分：本件原告個人資料外洩而為第三人不法取得，致原告個人資料外洩而侵害其個人隱私權，已可認定，此項損害雖非財產上之損害，依上開規定亦得求償，本院依其受侵害情節，認原告所請求之2 萬元賠償，尚屬妥適。

⑵關於原告請求精神慰撫金5萬元部分：不法侵害他人之身體、健康、名譽、自由、信用、隱私、貞操，或不法侵害其他人格法益而情節重大者，被害人雖非財產上之損害，亦得請求賠償相當之金額。其名譽被侵害者，並得請求回復名譽之適當處分。民法第195 條第1 項固定有明文。然參酌個人資料保護法第28條第2 項之立法理由：「

二、…違反本法規定侵害當事人權益時，當事人可能不發生財產上損害而僅生精神上痛苦，爰參照民法第195 條之規定，於本條第2 項規定被害人亦得請求相當之慰藉金；如名譽受侵害時亦得請求為回復名譽之適當處分…。」可知原告上開依個人資料保護法第29條第2 項之請求，於非財產上損害部分，其性質已與民法第195 條規定之精神慰撫金相當，前揭個人資料保護法關於非財產之損害賠償自應優先民法第184 條、第195 條規定之適用。原告此部分請求，已屬重複請求，尚難准許。

(二)關於詐欺侵權行為所生之損害賠償

⒈本件原告雖因其個人資料外洩而受有損害，然此之損害與受詐騙之損害，其行為人及原因各別，依卷內事證以觀亦未見被告有何具體參與或幫助詐騙集團行騙之事實，原告尚不得僅因個人資料外洩之故，即令被告共負詐欺侵權行為之責。是原告此部分主張被告應連帶賠償受詐騙之25萬7,892 元，自無可採。

⒉同理，被告以原告已與詐欺行為人之一劉永清達成和解取得賠償1 萬5,000 元等語為辯，此部分亦屬詐欺侵權行為損害賠償債權之部分，與被告違反個人資料保護法對原告負有損害賠償責任之部分無涉，亦不得主張扣除，末此敘明。

四、從而，原告依上開法律關係，訴請被告給付2 萬元，為有理由，應予准許，逾此範圍之請求，則無理由，應予駁回，此部分假執行之聲請，失所附麗，併予駁回。

五、本件事證已臻明確，兩造其餘主張等攻擊防禦方法，核與判決結果不生影響，爰不一一論述。

六、本件原告勝訴部分，係就民事訴訟法第427條第1項訴訟適用簡易程序所為被告敗訴之判決，依同法第389 條第1項第3款之規定，應依職權宣告假執行，並依被告聲請宣告如預供如主文所示之擔保，得免為假執行，及依職權確定訴訟費用為3,530元（第一審裁判費），其中215元由被告負擔，其餘由原告負擔。