臺灣臺北地方法院民事判決

上訴人

張芝玲

訴訟代理人

謝允綺

被上訴人

中華民國運動神經元疾病病友協會

法定代理人

沈心慧

訴訟代理人

楊永芳律師

被上訴人

網軟股份有限公司

法定代理人

陳世安

訴訟代理人

陳永隆

上列上列當事人間請求損害賠償事件，上訴人對於中華民國111年3月24日本院臺北簡易庭111年度北簡字第1007號第一審判決提起上訴，本院於112年4月26日言詞辯論終結，判決如下：

主文

事實及理由

一、上訴人經合法通知未於言詞辯論期日到場，核無民事訴訟法第386條所列各款情形，爰依被上訴人聲請，由其一造辯論而為判決。

二、上訴人起訴及上訴主張：被上訴人中華民國運動神經元疾病病友協會（下稱漸凍人協會）為收受捐款之社團法人公益團體，本應依個人資料保護法第19條至第21條規定處理捐款人姓名、電話、聯絡地址、銀行帳戶等捐款明細資料（下合稱系爭捐款資料），然被上訴人漸凍人協會疏未採取適當安全措施，致上訴人系爭捐款資料外洩，上訴人於民國110年8月20日接獲佯裝被上訴人漸凍人協會之詐騙電話，而受有財產損害15萬2元（含轉帳金額14萬9,987元、轉帳手續費15元）。據新聞報載被上訴人漸凍人協會委託之被上訴人網軟股份有限公司（下稱網軟公司）管理系爭捐款資料而發生個資外洩，若非詐騙集團取得上訴人留存於被上訴人漸凍人協會之系爭捐款資料，上訴人不會因此受有財產損害，爰依個人資料保護法第27條第1項、第29條、第28條第3項、民法第184條第2項、第185條、第195條等規定請求被上訴人連帶賠償上訴人財產損害15萬2元及非財產損害1萬元。並聲明：㈠原判決廢棄；㈡被上訴人應連帶給付上訴人16萬2元，及自起訴狀繕本送達翌日起至清償日止，按年息5％計算之利息。

三、被上訴人則以：

㈠被上訴人漸凍人協會：被上訴人漸凍人協會於110年8月6日公告關於其他社福團體遭詐騙集團冒用名義之詐騙事件係提醒社會大眾，從未有所謂自承系爭捐款資料外洩之情。上訴人顯無法排除因自身上網裝備遭駭客入侵或被他人竊看知悉致個資外洩之可能，實無從僅以曾捐款予被上訴人漸凍人協會即推論係因被上訴人之故意或過失致個資外洩。被上訴人漸凍人協會係請被上訴人網軟公司提供硬體設備以儲存電子資料並遵守個人資料保護法相關規定，被上訴人漸凍人協會並無指揮監督被上訴人網軟公司可言，上訴人未舉證被上訴人如何違反個人資料保護法，且上訴人受詐騙係因自己疏失誤信所致，與所謂洩漏資料並無相當因果關係，上訴人之上訴應屬無據等語，資為抗辯，並聲明：上訴駁回。

㈡被上訴人網軟公司：被上訴人網軟公司僅係提供主機空間供被上訴人漸凍人協會付費租用，且已提供符合一般業界標準之資安要求，自110年7月接獲非營利組織客戶反應有捐款人接獲詐騙電話後，即配合檢調單位偵查，並無償協助非營利組織客戶發送警示簡訊給捐款人，被上訴人網軟公司已竭盡事前防範與事後通知等適當安全措施。上訴人係因個人疏忽遭詐騙，難認損害與被上訴人網軟公司未盡資安義務間有相當因果關係，被上訴人網軟公司未收受上訴人之個人資料，亦未實際管理系爭捐款資料，並無實際蒐集、利用上訴人之個資，自無違反個人資料保護法規定等語，資為抗辯，並聲明：上訴駁回。

四、得心證之理由：

㈠查上訴人於110年8月15日自其申設玉山銀行桃鶯分行帳號：0000-000-000000號帳戶轉帳15萬2元至訴外人林雅婷申設之合作金庫銀行帳號：0000000000000號帳戶之情，有上訴人申設玉山銀行桃鶯分行帳戶存摺交易明細（本院卷第209-211頁）、玉山銀行集中管理部111年10月25日函及附件（本院卷第265-267頁）、合作金庫商業銀行九如分行111年11月8日函及附件新開戶建檔登錄單（本院卷第273-276頁）為憑，復為兩造無爭執，應堪認屬實。

㈡按非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏，個人資料保護法第27條第1項定有明文。次按民法第184條第2項規定：「違反保護他人之法律，致生損害於他人者，負賠償責任。但能證明其行為無過失者，不在此限」，揆其旨趣乃因保護他人為目的之法律，意在使人類互盡保護之義務，倘違反之，致損害他人權利，與親自加害無異，自應使其負損害賠償責任。惟其性質上屬於「轉介條款」及「概括條款」，自須引入連結該條以外之其他公私法中之強制規範，使之成為民事侵權責任的內容，俾該項不明確之法律規範得以充實及具體化。而所謂「保護他人之法律」，亦屬抽象之概念，應就法規之立法目的、態樣、整體結構、體系價值，所欲產生之規範效果及社會發展等因素綜合研判之；凡以禁止侵害行為，避免個人權益遭受危害，不問係直接或間接以保護個人權益為目的者，均屬之。依此規定，苟違反以保護他人權益為目的之法律，致生損害於他人，即推定為有過失，而損害與違反保護他人法律之行為間復具有因果關係者，即應負損害賠償責任（最高法院103年度臺上字第1242號判決意旨參照）。

㈢上訴人雖主張被上訴人違反個人資料保護法第27條第1項規定致上訴人系爭捐款資料外洩，上訴人於110年8月20日接獲佯裝被上訴人漸凍人協會詐騙電話而陷於錯誤匯款至指定帳戶而受有損害云云。惟按當事人主張有利於己之事實者，就其事實有舉證之責任，民事訴訟法第277條本文定有明文。民事訴訟如係由原告主張權利者，應先由原告負舉證之責，若原告先不能舉證，以證實自己主張之事實為真實，則被告就其抗辯事實即令不能舉證，或其所舉證據尚有疵累，亦應駁回原告之請求（最高法院17年上字第917號裁判意旨參照）。按侵權行為之債，固以有侵權之行為及損害之發生，並二者間有相當因果關係為其成立要件（即「責任成立之相當因果關係」）。惟相當因果關係乃由「條件關係」及「相當性」所構成，必先肯定「條件關係」後，再判斷該條件之「相當性」，始得謂有相當因果關係，該「相當性」之審認，必以行為人之行為所造成之客觀存在事實，為觀察之基礎，並就此客觀存在事實，依吾人智識經驗判斷，通常均有發生同樣損害結果之可能者，始足稱之；若侵權之行為與損害之發生間，僅止於「條件關係」或「事實上因果關係」，而不具「相當性」者，仍難謂該行為有「責任成立之相當因果關係」，或為被害人所生損害之共同原因（最高法院101年度臺上字第443號判決意旨參照）。查上訴人主張被上訴人違反保護他人法律致生損害於上訴人，係以被上訴人漸凍人協會110年8月16日網站聲明（下稱系爭網站聲明）為據，惟觀諸系爭網站聲明係以：近日有部分捐款者反映收到詐騙電話一事，本會已於110/8/6官網發出提醒，惟恐捐款者權益受損，本會極重視此事件，今再次提醒大家，並向各位說明：此次捐款詐騙主因是來自於外部合作捐款系統平台的資料遭駭客入侵，並非從本會網站或內部所洩漏出去的。本會內部網路安全，請各位朋友可以放心等語（本院卷第199頁），足見系爭網站聲明內容係提醒捐款者留意詐騙電話，並澄清被上訴人漸凍人協會內部網路安全無虞。則上訴人依系爭網站聲明主張被上訴人漸凍人協會自承未採行適當安全措施致系爭捐款資料外洩云云，殊難採憑。揆諸前揭說明，自難認被上訴人漸凍人協會之何等行為與上訴人所主張損害之發生間具相當因果關係，上訴人主張依民法第184條第2項（違反個人資料保護法第27條第1項）規定請求被上訴人漸凍人協會負侵權行為損害賠償責任，難認有據。

㈣上訴人另主張被上訴人網軟公司外洩系爭捐款資料致上訴人遭詐騙而受有損害云云。查上訴人之上開主張係以網路新聞為據，而觀諸上訴人所提出110年9月7日台灣公益團體自律聯盟網路聲明略以：公益團體自律聯盟於8月初起接獲聯盟會員團體回報，發生捐款人接獲詐騙電話之事，使捐款人個資安全受到影響，此一事件是因捐款系統廠商「網軟資訊公司」資料庫駭客入侵而導致，警調單位已成立專案小組介入調查等語（原審卷第35頁），則僅依上開網路聲明尚難遽認被上訴人網軟公司是否即為該網路聲明所指捐款系統廠商「網軟資訊公司」，亦無從遽認系爭捐款資料是否確為被上訴人網軟公司所保有而未採行適當安全措施致外洩。上訴人復未舉證證明系爭捐款資料確有交由被上訴人網軟公司保有致洩漏，自無從僅依上開網路聲明據為上訴人有利之認定。

㈤另按非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任；依前2項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件500元以上2萬元以下計算，個人資料保護法第29條第1項、第28條第3項固分別定有明文。惟查上訴人未舉證證明被上訴人違反個人資料保護法第27條規定業如前述，則上訴人主張依個人資料保護法第29條第1項、第28條第3項請求被上訴人負損害賠償責任，自難認有理。

㈥綜上，上訴人無法舉證證明被上訴人確有共同違反個人資料保護法第27條規定致生損害於上訴人，亦無從證明其損害與被上訴人之何等行為間具責任成立之相當因果關係，上訴人依民法第184條第2項（違反個人資料保護法第27條第1項）、第185條、個人資料保護法第29條、第28條第3項請求被上訴人連帶給付上訴人16萬2元及利息，為無理由，應予駁回。原審為上訴人敗訴之判決，並無違誤，上訴意旨指摘原判決不當，求予廢棄改判，為無理由，應駁回其上訴。

五、本件事證已臻明確，兩造其餘攻擊防禦方法及證據，經本院斟酌後，核與判決結果不生影響，爰不另論述。

六、訴訟費用負擔之依據：民事訴訟法第78條。