臺灣高等法院105年度金上訴字第5號

臺灣高等法院刑事判決　　　　　　　　105年度金上訴字第5號

上訴人

臺灣臺北地方法院檢察署檢察官

被告

陳建處

被告

高敬翔

被告

范姜世豪

上三人共同選任辯護人

許丕駿律師

上列上訴人因被告等銀行法等案件，不服臺灣臺北地方法院103年度易字第495 號，中華民國104 年11月26日第一審判決（起訴案號：臺灣臺北地方法院檢察署103 年度偵字第1321號），提起上訴，本院判決如下：

主文

理由

壹、本案審理的範圍：本案原審判決後，檢察官對於原審諭知被告陳建處、高敬翔、范姜世豪等3 人無罪之部分提起上訴，被告林凱于、黃巧嫣亦均上訴，惟嗣被告黃巧嫣撤回上訴，被告林凱于因上訴未敘明具體理由，經本院於105 年2 月24日駁回其上訴，是本院本案審理的範圍僅限於原審諭知被告陳建處、高敬翔、范姜世豪等3 人無罪之部分，合先敘明。

貳、公訴意旨略以：被告陳建處、高敬翔、黃巧嫣、范姜世豪等4 人係渣打銀行臺北電話行銷部門員工，陳建處等4 人與林凱于原為同事關係，均負責行銷信用卡及信用貸款予渣打銀行既有客戶之業務。陳建處等4 人於民國101 年6 月15日均與渣打銀行簽訂聘僱合約、資料維護及隱私聲明、渣打銀行業務人員工作準則、絕不容許行為清單，均明知業務上知悉之客戶資料不得外洩，及客戶資料屬於個人資料保護法第2 條第1 款規定之個人資料，又對個人資料之蒐集、處理，應有特定目的，並符合下列情形之一者：1.法律明文規定、2.與當事人有契約或類似契約之關係、3.當事人自行公開或其他已合法公開之個人資料、4.學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人、5.經當事人書面同意、6.與公共利益有關、7.個人資料取自於一般可得之來源。詎陳建處等4人竟共同意圖為自己不法之利益及意圖營利，基於無故洩漏業務上知悉工商秘密之犯意聯絡，林凱于則與陳建處、高敬翔、黃巧嫣、范姜世豪共同意圖營利，於101 年下半年起至102 年4 月間止（不含被訴於101 年下半年起至101 年9 月30日止間違反個人資料保護法第41條第2 項之意圖營利非法蒐集處理個人資料罪嫌部分，業經原審為公訴不受理判決而確定），在臺北電話行銷部門上址，由陳建處等4 人利用業務期間瀏覽渣打銀行電腦系統客戶資料之機會，以其等所有之行動電話照相機將客戶基本資料拍攝成照片，再以行動電話通訊軟體Line、WhatsApp等將上開照片傳送予林凱于，供林凱于作為延攬汽車貸款業務使用，林凱于則提供金額不等之回扣予陳建處等4 人，林凱于及陳建處等4 人即在不符合上列情形之情況下蒐集、處理個人資料，陳建處等4 人並無故洩漏屬於渣打銀行之客戶基本資料，以此方式違背任務致生損害於渣打銀行。嗣經渣打銀行內部查核發覺有異，始悉上情。因認陳建處、高敬翔、范姜世豪所為，均係犯刑法第317 條之無故洩漏業務上知悉之工商秘密罪、修正前刑法第342 條第1 項之背信罪（檢察官未變更起訴法條，然於原審論告時請求論以銀行法第125 條之2 之銀行職員背信罪）及違反個人資料保護法第41條第2 項之意圖營利非法蒐集處理個人資料罪嫌云云。

參、按犯罪事實應依證據認定之，無證據不得認定犯罪事實；不能證明被告犯罪或其行為不罰者應諭知無罪之判決。刑事訴訟法第154條第2項及第301條第1項分別定有明文。因告訴人之告訴，係以使被告受刑事訴追為目的，是其陳述是否與事實相符，自應調查其他證據以資審認。倘被害人之陳述無瑕疵，且就其他方面調查亦與事實相符，即足採為科刑之基礎。反之，其陳述尚有瑕疵，在未究明前，則不得採為論罪科刑之根據，否則難認為適法（最高法院52年臺上字第1300號及61年臺上字第3099號分別著有判例）。再者，認定不利於被告之事實，應依積極證據，倘積極證據不足為不利於被告事實之認定時，即應為有利於被告之認定，自不必有何有利之證據。事實之認定應憑證據，如未能發現相當證據，或證據不足以證明，即不能以推測或擬制之方法，以為裁判基礎。而認定犯罪事實所憑之證據，包括直接證據與間接證據。無論直接或間接證據，其為訴訟上之證明，須於通常一般之人均不致有所懷疑，可得確信其為真實之程度者，始可據為有罪之認定。倘其證明尚未達到此一程度，而有合理之懷疑存在，致使無從形成有罪之確信，根據罪疑唯輕、罪疑唯有利被告之原則，即不得遽為不利被告之認定（最高法院30年上字第816 號、40年臺上字第86號、76年臺上字第4986號著有判例可參）。次按刑事訴訟法第161 條第1 項規定：檢察官就被告犯罪事實，應負舉證責任，並指出證明之方法。因此，檢察官對於起訴之犯罪事實，應負提出證據及說服之實質舉證責任。倘其所提出之證據，不足為被告有罪之積極證明，或其指出證明之方法，無從說服法院以形成被告有罪之心證，基於無罪推定之原則，自應為被告無罪判決之諭知（最高法院92年臺上字第128 號亦著有判例可參）。

肆、訊據被告陳建處、高敬翔、范姜世豪固坦承有提供客戶之電話予被告林凱于之事實，惟堅決否認有何無故洩漏業務上知悉之工商秘密、背信及違反個人資料保護法第41條第2 項之意圖營利非法蒐集處理個人資料之犯行，均辯稱：伊等僅提供客戶之電話予被告林凱于做陌生開發等語。

伍、公訴人認被告陳建處、高敬翔、黃巧嫣、范姜世豪分別涉有前揭罪嫌，無非係以被告林凱于、黃巧嫣、陳建處、高敬翔、范姜世豪於偵查之供述、告訴代理人黃楷銘、許兆慶律師於偵查中之指訴、證人即渣打銀行電話行銷副理陳兆彥於偵查中之證述、被告陳建處、高敬翔、黃巧嫣、范姜世豪之聘僱合約資料維護及隱私聲明、業務人員工作準則、絕不容許行為清單、守密宣誓書、被告黃巧嫣、陳建處、高敬翔、范姜世豪之渣打銀行FCR訪談紀錄、被告黃巧嫣家用電腦內儲存告訴人渣打銀行客戶基本資料之電子檔、影像檔之列印資料、蒐證光碟、法務部調查局臺北市調查處搜索扣押筆錄及扣押物品目錄表等件為其主要論據。

陸、惟經查：

一、被告高敬翔於渣打銀FCR訪談紀錄中供稱：101年底有隨機抄錄客戶聯絡電話，每次5至6位，共3次，最後一次約102年2月等語（見第6270號他卷第89頁）；於調查局時供稱：101年10月間前後3 次，每次大概提供4 至5 位客戶資料，都是隨機抄寫客戶號碼等語（見第6270號他卷第159 至161 頁）；於偵查及原審準備程序中均供稱：在101 年9 月間前後3次有提供電話給被告林凱于，每次約5 至6 支電話，只提供手機號碼等語（見第6270號他卷第312 頁；原審卷一第107頁反面）。被告范姜世豪於渣打銀行FCR 訪談紀錄中則供稱：伊有將想辦貸款的客戶資料報給被告林凱于，有一位朱先生，僅提供電話，從被告林凱于辭職到102 年3 月約10筆以上等語（見第6270號他卷第92頁）；於調查局時供稱：101年10月1 日以後給50個到100 個給林凱于等語（見第6270號他卷第162 至163 頁）。又被告陳建處於偵查中供稱：伊第一次是101 年9 、10月間，約5 、6 支手機號碼；第二次是102 年4 月有一個客戶應該信貸無法通過，但有車子，所以打電話給被告林凱于，將客戶號碼給被告林凱于等語（見第6270號他卷第312 頁）；於原審準備程序時供稱：伊記得是102 年2 、3 月時以電話跟林凱于溝通等語（見原審卷一第107 頁反面）。復參以同案被告林凱于於原審審理時供稱：被告陳建處、高敬翔及范姜世豪均有提供客戶電話號碼等語（見原審卷一第137 頁），是被告陳建處、高敬翔、范姜世豪均應僅提供渣打銀行客戶之電話號碼予同案被告林凱于之事實，洵堪認定。至被告陳建處雖曾於調查局時供稱：伊在102 年過年前及同年4 月曾將客戶姓名及電話給同案被告林凱于云云（見第6270號他卷第151 至154 頁），惟此部分與其於偵查中及原審準備程序之上開供述不一，亦與同案被告林凱于前揭於原審審理之供述不相符，於法尚遽難認被告陳建處確有提供客戶姓名及電話予同案被告林凱于。

二、關於個人資料保護法部分：

（一）個人資料保護法之立法目的：按個人資料保護法第1 條即開宗明義規定：「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」，針對本條於84年7 月12日制定時，即於其立法理由內宣示：「電腦科技進步迅速，使電腦能大量、快速處理各類資料，且運用日趨普及，因而對國民經濟之提昇有重大貢獻。惟個人資料因濫用電腦而侵害當事人權益之情形日漸嚴重，亦引起民主先進國家之關切。故經濟合作暨發展組織（OECD）於1980年9 月通過管理保護個人隱私及跨國界流通個人資料之指導綱領，歐洲理事會亦於1981年完成保護個人資料自動化處理公約，並提出8 項原則以供遵守。迄今已有瑞典、美國、紐西蘭、德國、法國、丹麥、挪威、奧地利、盧森堡、冰島、加拿大、英國、芬蘭、愛爾蘭、澳洲、日本、荷蘭等17國制定相關法律以保護個人資料」。是，就上揭法條及其立法理由相互參照之下，本法就個人資料保護之目的，乃是避免因濫用當事人之資訊而侵害其權益，故凡是針對個人資料之蒐集、處理及利用，必須在合理使用之範圍內始得為之，以避免造成個人人格權受到侵害；反面言之，若資訊之內容不足以造成個人人格權之侵害，甚至根本無法辨識、特定究係何人之資訊，自不在本法保護之範圍內。蓋以資訊之本身，若根本無法確定究係何一對象，自不會有個人人格權被侵害之問題，合先敘明。

（二）界定個人資料保障之範圍：按根據某項或多項個人資料之內容，無法或難以識別係特定個人之資訊時，由於欠缺直接識別性，究係何人之個人資料？無法或難以與該特定之個人建立直接識別性時，自前開立法理由之解釋而言，即非個人資料保護法所保障之對象。換言之，本法揭示之立法目的，既在於保障個人之資訊，避免受到公務機關或非公務機關之侵害，其前提必須在具備直接識別性之情形下，始有保護之必要。倘資訊之本身根本無從或難以識別究係何人，縱使依客觀方式進行推測，亦無法確定究係何一特定之個人時，則對於該資訊之蒐集、處理或利用，並未侵害特定個人之資訊，自不在個人資料保護法規範之範圍內。反之，若就資訊之本身進行觀察，已足以辨識、特定具體個人之資訊，亦即，資訊之內容與特定個人間已具備「直接識別性」時，此時既涉及個人資料之保障，自有個人資料保護法之適用。惟就本法第1條之文義解釋及其立法解釋而言，並非完全排除公務機關或非公務機關對於個人資料之蒐集、處理或利用，質言之，若公務機關或非公務機關基於公共利益之目的，本於使用最小侵害之方式下，仍得在法律所宣示之「合理使用」範圍內，蒐集、處理或利用個人之資訊。

（三）直接識別性與識別重要性：惟如何界定「特定個人之資訊」？如何始得確定「資訊」與「特定個人」之間，具有足以連結之相關性？本院認為其標準應建立在「直接識別性」與「識別之重要性」二個基礎之上：

1.直接識別性：按依個人資料保護法第2條第1款規定，所謂個人資料，係指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料，然而，前揭個人資料之種類為數非鮮、數量亦龐大，有不必結合複數以上之個人資料即可特定個人之資料者，例如：姓名、國民身分證統一編號、護照號碼、指紋，即具有直接識別性，其所代表之單一意義，原則上具有直接識別個人之特徵且具有重要性，學理上即有主張，「個人資料」之要件為：（1）生存自然人之資料；（2）具有特定個人識別性，依此，個人資料保護法第2條第1項所規範之例示性事項，除姓名、國民身分證統一編號、護照號碼、指紋等資料具有直接特定個人識別性外，其餘例示性規範資料除非與前者結合外，並非當然得識別出特定個人。換言之，其他部分，原則上必須結合複數以上之資料群，始具有直接識別性，因此，若對於資料群之比對，僅提出單一形態或縱使結合複數形態之個人資料，亦不足以表現或特定個人之資料，自無侵害之問題。例如：單以曾有竊盜之前科、有心臟病之病史等資料，並不足以認定究為何特定之個人，既不足以認定究為何特定之個人，自無侵害特定個人隱私權等權利之問題；又例如：某人慣於使用何種品牌之手機，應屬於中立的社會評價，並不會有「社會標籤」的爭議產生，甚至很難想像一旦讓第三人知悉使用手機品牌會產生精神上的痛苦。但如果個人使用之商品聯結一些個人的特徵，便成立所謂之間接識別，是否合理？正是因為個人資料保護之重點在於資料與個人間的相連與識別性，而非單純資料本身；從而，與個人脫鉤之資料，並不會造成資訊隱私或自決權的損害，也稱不上個人資料，任何自然人的資料如果和特定個人沒有最低的『可識別性』連結性，該部分資料的累積應該稱之為統計數字。

2.識別重要性：按識別之重要性，乃是針對「可間接識別特定個人」資料之判斷標準。申言之，在上開資料群之範圍外，仍須參酌各該資料在資料群中，對於識別特定個人之「關鍵」或「重要性」之多寡，以確立各該間接資料是否對於「特定」個人有其「關鍵」或「重要性」之價值，若經判斷之結果，其特定個人欠缺「關鍵」或「重要性」之價值時，即屬於無用之個人資料，此種無用之個人資料，自非適格之保護對象。因此，若屬於單一之個人資料，無法識別究為何人時，並無個人資料保護法之適用。倘客觀上結合複數之個人資料，亦無法識別究為何人、究竟是否為特定之個人，亦無法確定時，則此亦非屬於個人資料保護法所規範之對象。個人資料保護法於修正通過後，對各行業蒐集、處理或利用個人資料造成重大衝擊，實務上亦就何種資料該當於個人資料保護法所規範之「個人資料」，曾作出為數不少之函釋，例如：悠遊卡刷卡交易個人資料（法務部103年6月26 日法律字第10303507480號函參照）、稅捐稽徵機關保有之債權人查調紀錄（法務部103年1月29 日法律字第10303501350號函參照）或軌跡資料及拍賣交易詳細資料（法務部103年1月2日法律字第10203513180號函參照）等節，均屬之。而分析上開函釋內容，主管機關係依個人資料保護法第2條、個人資料保護法施行細則第3條規定，視該等「社會活動」資料與其他資料對照、組合、連結是否得識別特定個人而定，從而，識別之重要性在於對個人資料，是否可因為比對、連結、勾稽等方式，進而達到直接識別之結果，若藉由比對、連結、勾稽等方式，足以直接識別特定之個人時，此份資料方具有個人資料保護之價值和意義。對於此種足以直接識別特定個人之內涵，稱為「識別之重要性」。故決定個人資料是否足以直接識別特定個人之方法，必須藉由「識別之重要性」程度之多寡，以擔保對於各該事實群進行比對、連結後，具有產生出直接識別之效果。

3.由上揭說明可知，就本法所指前開個人資料之意義，必須作目的性之限縮，解釋上，除了國民身分證統一編號、護照號碼、指紋具有直接識別性外，必須建立在藉由複數資料群之比對，始得特定個人、進而造成個人隱私權等權利受到侵害之虞時，始為本文所規範個人資料保護之範疇。作此解釋，較符合個人資料保護法之立法目的。果爾，則個人資料保護法第2條第1款規定之個人「可間接識別特定個人」之資料，應如何處理？如同前開所示，個人資料之意義應作目的性之限縮，必須以客觀化之解釋方式理解個人資料保護之意義，對於法條所指「可間接識別特定個人」之資料，自應理解為係：藉由複數之個人資料進行連結後，已足以特定個人之「直接識別性」而言。易言之，藉由複數之個人資料進行勾稽後，確足以直接認定係某特定個人時，此種藉由「間接連結」之方式，達到足以「直接識別」之結果，亦屬於個人資料保護之範疇。經由此種解釋方法，一方面吻合法條本身之意義，另一方面，亦契合個人資料保護法之立法目的，自無疑義。

（四）被告陳建處、高敬翔、范姜世豪確有於101年10月1日起至102年4月間多次提供予同案被告林凱于渣打銀行客戶之電話號碼，然並無提供客戶之姓名或其他資料，已如上述，則客觀上無從令蒐集者即同案被告林凱于得以知悉被提供之客戶之姓名年籍等私人資訊或對外之社會活動狀況，並進而利用該份資料對照、組合、連結而得識別特定個人，即其既無法藉由「間接連結」之方式，達到足以「直接識別」之結果，自難認屬個人資料保護法所指之個人資料法所指之個人資料。至檢察官上訴意旨固稱：依現今網路技術之進步神速，社交網站之興盛，單一資料、照片透過電腦運算或是網路搜尋方式做交叉比對查詢，可取得更完善之資料，而以同案被告林凱于蒐集所得之渣打銀行客戶電話號碼，輸入臉書網站進行查詢，輸入臉書網站進行查詢，15筆中即有8名電話號碼之人登錄資料於臉書網站上，是電話號碼應為個人保護法所保護之個人資料云云。惟綜觀全卷，檢察官並未提出任何其以渣打銀行客戶電話號碼，輸入臉書網站進行查詢之相關臉書查詢資料，復經本院單以電話號碼進入搜尋網站或臉書網站查詢，並未能獲得任何個人資料。故縱被告陳建處、高敬翔、范姜世豪確有利用上開渣打銀行客戶之電話資料，亦無從成立該法第41條第2項之罪責。

三、關於無故洩漏業務上知悉之工商秘密部分：所謂「工商祕密」，係指工業上或商業上之秘密事實、事項、物品或資料，而非可舉以告人者而言，重在經濟效益保護而言。本件被告陳建處、高敬翔、范姜世豪於101年下半年至102年4月多次提供被告林凱于渣打銀行客戶之電話號碼，並未包含客戶之姓名或其他資料，業如前述，尚無足以對照、連結而得以識別特定該聯絡人，難認有何經濟價值，實難認係工商秘密，則其等所為自難以無故洩漏業務上知悉之工商秘密罪相繩。

四、關於背信部分：

（一）按刑法第342 條規定之背信罪，係以「為他人處理事務，意圖為自己或第三人不法之利益，或損害本人之利益，而為違背其任務之行為，致生損害於本人之財產或其他利益」，為其構成要件。所謂為他人處理事務，係指受他人委任，而為其處理事務而言，亦即行為人所處理之事務，必須具有「他屬性」，如係屬於自己之事務或工作行為，並非為他人處理事務，自無由構成背信罪。申言之，刑法第342 條背信罪之主體須為他人處理事務之人，即其為他人處理事務，本其對他人（本人）之內部關係，負有基於一定之注意而處理該本人事務之法的任務，因之，其為他人處理事務，係基於對內關係，並非對向關係，是基於誠實義務，並非基於交易上信義誠實之原則，例如買賣契約之單純當事人乃對向關係，非為他人處理事務，其未履行給付義務，僅生是否有背交易上信義誠實之原則，並非違背其誠實義務，與背信罪之要件不合（最高法院71年度台上字第1159號判決要旨參照）。再按刑法第342 條之背信罪，需以損害本人之財產利益為構成要件，是故必須行為人主觀上有損害之故意認識，客觀上亦造成財產利益之損害，始足構成背信罪責（最高法院30年上字第1210號判例及87年度台上字第3704號判決參照）。

（二）按不得將其於任職期間所知悉之工商秘密洩漏予第三人之「保密義務」約款，乃企業者與勞動者在勞動契約內約束勞工不得洩漏關於任職期間所知悉之工商秘密予其他企業工作之不作為給付之約定，是以勞動者不得洩漏工商秘密為契約義務內容，此條款在性質上顯屬企業者與勞動者間對向性之約定（與報酬給付之對向性），其內容僅係勞動者自己之不作為義務，而根本不含企業者之事務，更不具有「為」企業者處理事務之內涵，要非勞動者為企業者處理企業事務之約定及踐履，勞動者縱違反而洩漏其所知悉之工商秘密約款，除依其情節是否另構成妨害秘密外，亦僅生其不履行給付（不作為）義務之問題，尚無成立背信罪之可言。被告陳建處、高敬翔、范姜世豪於101年6月15日與渣打銀行簽署聘僱合約、資料維護及隱私聲明、渣打銀行業務人員工作準則、絕不容許行為清單，此有被告陳建處、高敬翔、范姜世豪所簽訂之聘僱合約、資料維護及隱私聲明、渣打銀行業務人員工作準則、絕不容許行為清單等件在卷可憑（見第6270號他卷第7至30、43至54、57至58、62、66、70、79至80、82至84、86頁），是被告陳建處、高敬翔、范姜世豪依其等與公司所締結之契約本具有保守此一工商秘密之義務。惟此保密義務僅係被告陳建處、高敬翔、范姜世豪自己之不作為義務，並不含渣打銀行之事務，更不具有「為」渣打銀行處理事務之內涵，是縱被告陳建處、高敬翔、范姜世豪確有提供予被告林凱于渣打銀行客戶之電話號碼之事實，亦不構成背信罪。故檢察官認被告陳建處、高敬翔、范姜世豪上揭行為構成背信罪，甚且應論以銀行職員背信罪，容有誤會。

五、綜上所述，依檢察官所指之證據方法，尚不足以證明被告陳建處、高敬翔、范姜世豪有何違反個人資料保護法第41條第2 項、無故洩漏業務上知悉之工商秘密及背信等犯行。此外，復查無其他積極證據足資證明被告等有何公訴意旨所指之犯行，揆諸前開說明，不能證明被告等犯罪，即應為被告陳建處、高敬翔、范姜世豪無罪之諭知，以昭慎重。

柒、原審以本案不能證明被告等犯罪，而為被告陳建處、高敬翔、范姜世豪無罪之諭知，於法核無違誤。檢察官上訴意旨，未另行積極舉提具體事證，徒就已經原審詳予論述之證據資料再事爭執，任意指摘原判決不當，求予撤銷改判，為無理由，應予駁回。

據上論斷，應依刑事訴訟法第368條，判決如主文。

本案經檢察官董怡臻到庭執行職務。

刑事第二十三庭審判長法 官 蔡聰明