單口EP137 Recap：個資出事之後，三條責任線和兩家公司一賠一倖免的差別

回顧：個資法系列的最後一集，這集講最現實的一件事：真的出事會怎樣，全部用真實判決看。

先給一個懸念。薰衣草森林旅宿和和雲iRent，兩家都出過個資外洩、都上新聞、客戶也都接到詐騙電話，結果一家被判賠，另一家的用戶告到二審一毛錢都拿不到。差別跟「哪家比較有錯」關係不大，這也是企業主很常混淆的，先說：個資法民事的賠償責任並不是無過失責任，因此努力就有機會。

一、民事：第一關要你自己證明「外洩了」

個資法第29條把舉證責任倒置：先推定企業有過失，企業要自己證明盡到安全維護義務，證不出來就要賠。但倒置有界線。

薰衣草森林那件，消費者在訂房系統留的個資外洩後被詐騙，台中地院113年度訴字第2391號一審判賠2萬，二審把慰撫金拉到大約10萬：業者拿不出盡了安全維護的證據。

iRent反而不賠。2023年1月資安研究員發現和泰車雲端有資料庫對外公開，業者發聲明說受影響會員可能到40萬人，交通部也開了20萬元罰單。27位用戶提告，北院112年度訴字第3711號、高院113年度上易字第471號，全部敗訴、不得上訴。

高院把話講得很白：倒置的只有「公司有沒有故意過失」，「我的個資確實外洩」這個前提還是原告要先證明。外媒報導只證明資料庫連得進去，業者一小時內就切斷；業者聲明講的是外洩風險與補償；接到詐騙電話、被盜刷，也證明不了資料來自iRent。連那張罰單，都在訴願後被交通部撤銷。

順序是先證明外洩，再談損害，最後才是因果關係。而第一關最有殺傷力、也容易影響法官心證的證據通常是：詐騙電話能講得出只有你跟這家公司才知道的細節，訂單編號、買了什麼。接到這種電話別急著掛，先錄音截圖。

二、刑事：關鍵在「意圖」兩個字

不是碰到個資、外流個資就會坐牢，第41條要的是「為自己或第三人不法利益、或損害他人利益」的意圖。最高法院109年度台上大字第1869號大法庭見解，不法利益限於財產上利益，損害他人不限財產，隱私也算。

有位業務經理決定資遣女下屬後，抄了她的生日拿去算生命靈數還傳給她（真的是很有趣），新北地院107年度訴字第994號判無罪、高院108年度上訴字第1519號駁回：他確實逾越蒐集目的必要範圍，只是檢察官證明不了意圖。刑事無罪不代表合法，行政責任還在。

肉搜公審則很容易踩到損害他人，像桃園地院113年度原自字第1號，咖啡店老闆不爽一星負評，把客人的臉書照片和監視器畫面發到IG限動嘲諷。但為了討債、澄清不實指控而公開，通常不會被認定有不法意圖。（這些我最近的演講都會講到）

三、行政：國家直接罰公司

蝦皮因帳號管理與委外監督不足又未限期改正，被數位發展部罰20萬，是數位部第一張個資罰單；中國信託銀行的員工未經授權查客戶個資，罰200萬。

後面這件出事的是員工。很多人以為「我只是員工，出事公司會扛」，這錯得很徹底：民法第188條是僱用人與行為人連帶負責，但公司賠完可以回頭向你求償；第41條的刑責是你個人的；主管縱容下屬也一樣。

五句口訣，記住大概九成的雷都能避開：

．資料不外傳：不翻拍、不上社群。

．權限只給夠：最小權限、資料加密。

．寄信看兩眼：收件人確認，大量個資附件先給主管審。

．廠商簽到底：委外合約寫資安條款、稽核留紀錄。

．出事馬上報：一知悉就啟動通知與通報，別隱匿拖延。

個資保護賭的不是運氣，是平常留下的每一份紀錄。

完整版在《用說的法律兵工廠》聽一下吧。