個資外洩可以求償嗎？法院每人每件 500 到 2 萬元，公司要自己證明沒有過失；114 年修法還沒施行

2019 年站上轉錄了一則新聞：台灣人常用的密碼「ji32k7au4a83」（注音輸入「我的密碼」），在外洩密碼資料庫裡出現了上百次，那篇有 259 則回覆。密碼外洩之後，大家關心的通常是趕快改密碼；但如果外洩的是你在某家購物網站、電信公司留下的姓名、電話、地址，還有一個問題：可以向那家公司要求賠償嗎？答案在個人資料保護法第 28 到 30 條。

賠償規則

項目	規定	條文
誰要負責	非公務機關（公司、網站、商店）違反個資法，致個資遭不法蒐集、處理、利用或其他侵害	第 29 條第 1 項
舉證	公司要證明自己沒有故意或過失，才能免責	第 29 條第 1 項但書
精神損害	非財產上的損害也可請求相當金額，名譽受損可請求回復名譽的處分	第 28 條第 2 項
證明不了損失時	請求法院依侵害情節，以每人每一事件 500～20,000 元計算	第 28 條第 3 項
多人受害的上限	同一原因事實合計最高 2 億元；所涉利益超過 2 億元的，以所涉利益為限	第 28 條第 4 項
時效	知有損害及賠償義務人起 2 年；損害發生起 5 年	第 30 條
團體訴訟	受害 20 人以上書面授與訴訟實施權，財團法人或公益社團法人可用自己名義起訴	第 34 條

公務機關外洩，依第 28 條負責，免責事由只有天災、事變或其他不可抗力，並適用國家賠償法（第 31 條）；公司、網站等非公務機關適用民法。

「每人每一事件」的意思是：同一次外洩事件，一個人最多以 2 萬元計算，金額由法院依侵害情節決定，不是一律 2 萬元。如果同一原因事實的損害總額超過 2 億元上限，每人分到的金額可以低於 500 元（第 28 條第 5 項）。

公司本來就該做什麼

義務	內容	違反的罰鍰（現行）
安全措施	保有個資檔案應採行適當安全措施，防止被竊取、竄改、毀損、滅失或洩漏（第 27 條第 1 項）；施行細則第 12 條列出人員配置、風險評估、事故通報應變機制等	2 萬～200 萬元，屆期未改正按次 15 萬～1,500 萬元；情節重大 15 萬～1,500 萬元（第 48 條第 2、3 項）
通知當事人	違反本法致個資被竊取、洩漏、竄改或其他侵害，應查明後以適當方式通知（第 12 條）	限期改正，屆期未改正按次 2 萬～20 萬元（第 48 條第 1 項）
回應查詢、刪除	當事人可以查詢、請求複製、更正、停止利用、刪除，這些權利不能預先拋棄或以契約限制（第 3 條）	同上

施行細則第 22 條說的「適當方式通知」，是即時以言詞、書面、電話、簡訊、電子郵件、傳真等方式，內容要包括個資被侵害的事實和已採取的因應措施；費用過鉅的，才能改用網站或新聞媒體公告。

114 年的修法還沒施行

114 年 11 月 11 日總統公布個資法修正，主要改變包括：主管機關改為個人資料保護委員會（第 1-1 條）；第 12 條改成公司「知悉」個資被竊取、竄改、毀損、滅失或洩漏時就應通知當事人，符合一定範圍還要向主管機關通報，並刪除第 27 條、改由新增的第 20-1 條規範安全維護。

但沿革載明這次修正的施行日期由行政院定之，全國法規資料庫標示「最後生效日期：未定」（法規整編截止 115 年 10 月 22 日）。所以現在發生的外洩，仍適用 112 年 5 月 31 日版本的第 12、27、48 條；資料庫「所有條文」頁顯示的是尚未施行的新條文，查的時候要注意。賠償的第 28 至 30 條這次沒有修正。

不適用的情況

• 個人之間的分享：第 51 條規定自然人為單純個人或家庭活動目的蒐集、利用個資，不適用本法；朋友把你的電話傳到群組，本文的賠償規則用不上
• 帳號被盜但公司沒有違法：像 2015 年站上Google 帳戶一直要求改密碼那類情形，如果是你自己的密碼被猜中或重複使用，公司不一定有違反個資法，能否求償依個案，本文不下結論
• 境外公司：第 51 條第 2 項規定在境外蒐集我國人民個資也適用本法，但實際上要在哪裡起訴、怎麼執行，本文沒有查證
• 信用卡被盜刷：卡號外洩後被盜刷的款項，先依信用卡契約處理掛失與爭議款，見 money 站信用卡被盜刷誰付
• 詐騙電話造成的損失：外洩和被詐騙之間的因果關係、公司要不要賠詐騙金額，法院依個案判斷，本文不下結論

實際該怎麼做

1. 收到外洩通知或新聞，先改掉在那個網站用過的密碼，其他網站用同一組密碼的也一起改
2. 保留通知信、簡訊或公告截圖，記下外洩的資料項目與日期，2 年時效從你知道時開始算
3. 依第 3 條向公司查詢它保有你哪些資料，用不到的請求刪除
4. 要求賠償時，先寫信向公司提出；能證明損失（例如被盜刷、被詐騙）的附上證據，證明不了的可以主張每人每件 500～2 萬元
5. 受害人多的，可以問消基會等公益團體是否發起團體訴訟（第 34 條要 20 人以上授與）