臺灣桃園地方法院民事判決

原告

田海寧

訴訟代理人

田燕平

訴訟代理人

官振忠律師

被告

財團法人桃園市藍迪基金會

法定代理人

李雪櫻

訴訟代理人

蔡榮德律師

複代理人

賴妍蓉

參加人

網軟股份有限公司

法定代理人

陳世安

訴訟代理人

陳永隆

上列當事人間請求損害賠償事件，於民國112年2月15日言詞辯論終結，本院判決如下：

主文

事實及理由

壹、程序方面：

一、按依本法規定對於公務機關提起損害賠償訴訟者，專屬該機關所在地之地方法院管轄。對於非公務機關提起者，專屬其主事務所、主營業所或住所地之地方法院管轄，個人資料保護法（下稱個資法）第33條第1項定有明文。本件原告係依個資法第29條第1項前段、第29條第2項準用第28條第2項、第3項、民法第184條第1項前段、第2項、第195條第1項之規定向被告起訴請求損害賠償，核屬因個資法提起損害賠償訴訟，應專屬於被告登記所在地之法院即本院管轄，首先說明。

二、按就兩造之訴訟有法律上利害關係之第三人，為輔助一造起見，於訴訟繫屬中，得為參加，民事訴訟法第58條第1項定有明文。本件原告依個資法之上開法條對被告起訴，主張被告保有其個人資料但未採行適當之安全措施，致其個資遭詐欺集團竊取，因而請求損害賠償，被告則陳稱該等個資係委由參加人網軟股份有限公司代為管理（詳後述）；依此情節，若本院認定被告須因上開事實負損害賠償責任，參加人即有另受被告追償之可能，堪認對於本訴訟具有利害關係。是參加人於民國111年5月26日具狀聲請參加訴訟，合於上開規定，應予准許。

貳、實體方面：

一、原告主張：原告於110年6月6日，透過被告網站連線至訴外人綠界科技股份有限公司（下稱綠界科技）之「ECPay」金流平台，以線上刷卡之方式單次捐款新臺幣（下同）1,000元予被告，並因此於捐款系統填寫其姓名、手機號碼、電子郵件信箱、地址，及信用卡之卡號、發卡銀行、有效年月、安全碼等個人資料（下稱系爭個資）。然被告蒐集系爭個資後，卻未採取適當之安全措施，致系爭個資遭竊取或洩漏，而為真實身分不詳之詐欺集團成員不法蒐集。該等詐欺集團成員進而利用系爭個資，於110年10月8日晚間9時許，佯裝為被告及中國信託商業銀行（下稱中信商銀）職員，偽稱捐款錯誤設定為每月定期定額扣款，須依指示操作自動櫃員機始能解除設定云云，致原告陷於錯誤，陸續匯款471,911元至詐欺集團所持人頭帳戶，因而受有該等金錢之損害。故依個資法第29條第1項前段、第29條第2項準用第28條第2項，或民法第184條第1項前段、第2項、第195條第1項之規定，請求被告賠償上開金額，及賠償慰撫金128,089元。並聲明：1.被告應給付原告600,000元，及自起訴狀繕本送達翌日起至清償日止，按年息5%計算之利息。2.願供擔保，請求准予宣告假執行。

二、被告答辯：被告之捐款管理系統，乃是委由參加人建置並代為管理，包括原告等捐款人之個資亦係由參加人代管，故系爭個資應係由參加人而非被告所蒐集及保有。其次，現今社會生活中個資外洩之管道多端，系爭個資除可能於刷卡時遭側錄，或原告自行遺失刷卡資料外，亦無法排除自綠界科技或發卡銀行之環節洩漏之可能性，無從證明係由被告之捐款系統洩漏。再者，被告委託參加人建置代管之捐款系統，已經採用SSL加密機制、建置防火牆、安裝有防毒軟體、實施定期弱點掃描、每次使用者連線之帳號密碼、時間、IP紀錄均有存檔，亦已合於適當之安全性。另原告就其遭詐欺之經過與金額，於本件及相關刑事案件偵查中之陳述有所出入，且縱令系爭個資係於被告捐款系統洩漏，原告所受上開金錢損害仍係因不詳詐欺集團成員之故意不法侵害行為介入所致，並非一般情形均可預期發生之同一結果，應不具備相當因果關係。退而言之，參加人於本件事發前已有發送系統簡訊，提醒捐款者被告不會要求操作ATM解除設定，政府、媒體就此亦有諸多宣導，原告仍疏而未查，應與有過失。並聲明：1.原告之訴及假執行之聲請均駁回。2.如受不利判決，願供擔保，請求准予宣告免為假執行。

三、參加人則以：參加人與被告間之契約，內容係為被告建置、維護捐款系統，及提供「主機代管服務」，亦即將伺服器之磁碟空間出租予被告，並提供應用軟體，但其中儲存之資料仍係由被告自行管理運用，參加人並未實際管理。又參加人所提供之系統，已採取如被告上開所述之資安管理措施，合於業界之一般標準，亦未曾因違反個資法而遭主管機關為任何裁罰，應無欠缺安全性之情形。本件原告未能舉證其個資係自參加人建置之系統洩漏，且對於詐欺集團不合常理之說詞疏而未查，始導致損害發生，自難證明有相當因果關係存在等語。

四、本院之判斷：

(一)按當事人主張有利於己之事實者，就其事實有舉證之責任。但法律別有規定，或依其情形顯失公平者，不在此限。法律上推定之事實無反證者，無庸舉證，民事訴訟法第277條、第281條分別定有明文。故民事訴訟如係由原告主張權利者，除法律別有事實推定之規定等情形外，原則上即應先由原告負舉證之責，若原告先不能舉證，以證實自己主張之事實為真實，則被告就其抗辯事實即令不能舉證，或其所舉證據尚有疵累，亦應駁回原告之請求（最高法院72年度台上字第4225號判決見解可資參照）。又非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限，雖為個資法第27條第1項、第29條第1項所規定；惟上開但書所推定者僅為故意或過失之主觀歸責事由，至於非公務機關未採行適當安全措施，致所保有個人資料遭不法蒐集、處理、利用之事實及因果關係，仍須由主張受侵害之當事人負舉證之責。亦即，原告如依此規定主張權利者，仍須先舉證證明其遭不法蒐集、處理、利用之個資檔案係源自被告，且被告就該等個資檔案之保管措施欠缺適當之安全性後，始由被告就其無故意或過失一節負反證之責任。

(二)本件原告主張系爭個資係自被告之捐款管理系統遭竊取或洩漏一節，既為被告所否認，並以前詞置辯，依上說明，即應由原告就此負舉證之責。經查，原告於110年6月6日，經由被告網站之捐款管理系統，並透過綠界科技之「ECPay」第三方支付平台，持中信商銀所製發信用卡，以線上刷卡之方式捐款1,000元予被告，因而於上開系統、平台填寫包括其姓名、手機號碼、電子郵件信箱、地址，及信用卡之卡號、發卡銀行、有效年月、安全碼等內容之系爭個資，有原告信用卡帳單明細、綠界科技付款成功通知郵件可參（本院卷第17-19頁），此等事實固可認定；但觀諸上開捐款交易之流程，應可見其中有蒐集、處理原告個資之可能性者，除被告及參加人之外，顯然尚有第三方支付業者及發卡銀行等二機構。就此，原告雖主張詐欺集團成員以電話向原告施用詐術時，明確知悉原告之姓名、手機號碼、電子郵件信箱、地址、信用卡卡號、安全碼及捐款金額等逐項資料，而此等資訊僅有被告蒐集最為完整等語；然參諸原告於警詢時之指述，則僅見其陳稱詐欺集團成員佯裝為被告員工及中信商銀客服人員，偽稱要替其解除固定扣款設定等概略情節（本院卷第330頁），至於其等當時究竟向原告提及何等具體內容之個資，實已無從稽考。況第三方支付業者或發卡銀行既為上開刷卡交易之實際執行者，對於該筆交易相關個資蒐集、處理之詳細程度何以低於被告，亦未有合理說明。從而，依本件原告之主張，仍難合理排除系爭個資自其他環節遭竊取或洩漏之可能性，原告遭不法蒐集、利用之系爭個資是否確實來自被告捐款管理系統，即尚難證明。

(三)再者，本件被告委由參加人建置之捐款管理系統，所採取安全管理措施已包括：後台網站採用SSL加密機制、採用FortiGate FB80E.DBL規格防火牆並有7*24硬體保固加4項特徵碼更新、主機採用Windows Defender及ESET security防毒軟體防護、採用Acuntix OpenVas程式弱點掃描工具、每次機構使用者連線帳號密碼、時間及IP紀錄存檔等，業據參加人陳述綦詳（本院卷第111頁），堪認被告就個資之蒐集、處理，已於傳輸過程進行加密、使用防火牆以管制存取、以防毒軟體偵測惡意程式或弱點、對存取之情形進行紀錄，而採取相當之安全措施。原告雖主張上開防護項目僅為一般性措施，並引述臺灣士林地方法院107年度簡上字第225號判決，認被告至少應採取「網路及實體隔離方式」，亦即將所保有個人資料與網路連線切斷云云（本院卷第201、245頁）；但衡諸常理，一般之自然人或機構於保護其電腦系統或資料庫內電磁紀錄時，應多係針對系統或資料之整體進行廣泛、通盤之防護，以防範不特定之資訊攻擊，而非當然會就各該資料逐一採取特化之防護措施，原告以上開措施僅為一般性措施為由，認其不具適當之安全性，應非有理。另參照上開判決理由，可知所謂實體隔離措施，亦僅係該案被告在其內部之個資保護管理作業要點所定「機密性敏感性檔案資料應進行實體隔離（與外部網路隔絕）」之規定，尚無其他證據可認為同業之常規標準。此外，原告亦未為其他舉證，以證明被告捐款管理系統有何欠缺適當之安全性，因而導致系爭個資被竊取或洩漏之情事，自不能認被告有違反個資法第27條第1項之情形。

五、綜上所述，原告主張被告違反個資法第27條第1項之規定，及其保有之系爭個資檔案遭不法蒐集、利用之事實，均尚無法證明，其依個資法第29條第1項前段、第29條第2項準用第28條第2項、民法第184條第1項前段、第2項、第195條第1項之規定，請求被告賠償如其聲明所示，即無理由，應予駁回。又原告之訴既經駁回，假執行之聲請即失其依附，亦應併予駁回。

六、本件結論已臻明確，兩造其餘攻擊防禦方法及所提證據，經審酌均不至影響判決結果，故不逐一論述。

七、訴訟費用負擔之依據：民事訴訟法第78條、第86條第1項前段。