被騙88萬元，個資外洩的公司一毛不用賠？

集保中心個資講座後記：到法院見真章

上週受臺灣集中保管結算所（集保中心/TDCC）邀請做個資法演講，題目是「到法院見真章：個資爭議實務的啟示與警訊」。

這次不談條文介紹，直接整理近兩年的判決來談，感想是實務主題果然現場反應互動多，像是講到證券業私人查詢他人個資的爭訟事件，也謝謝集保再次的邀請。

挑兩個部分跟大家分享：

一、查客戶資料，無罪不等於沒事

當時有上新聞的元大證券主管案，背景大概是：前董事長與他人有返還股份糾紛，請作業中心副總交辦同事查對方證券帳戶，沒走公司調閱申請，也還沒聲請強制執行。

（北院113年度訴字第236號、高院114年度上訴字第3782號、最高法院114年度台上字第6266號）

法院認為查詢違法，但個資法第41條還要有「意圖損害他人之利益」。二審認為這裡的利益不含資訊隱私本身，兩人無罪確定。

不過最高法院只以上訴不合法駁回，沒有就這點表態；另一件臉書貼文案，最高法院則認為隱私本身也算（最高法院114年度台上字第6942號），這兩種見解實務上都有，務必注意。

另外還有一件是臺銀證券經理案是勞動訴訟：該經理7個多月查中實戶301次，公司認為其行為欠缺必要性且違反管理規範等，記二大過免職。經理提起確認勞動關係存在訴訟（就是解雇不合法）。一審經理敗訴，二審高院認為公司只拿查詢次數表，證明不了不是業務需要，免職違法（但調職可以）；最高法院以公司早有風控報表的抗辯沒被處理，廢棄發回。重點是，所謂「業務需要」要說得出跟哪個職務連在一起。

二、個資外洩後被詐騙，被騙的錢通常賠不到

新竹地院今年6月才判的案子。

柏文健身會員資料遭駭，詐騙集團冒充客服，會員被騙88萬4,714元。教育部已裁罰120萬元，法院也認定柏文違反安全維護與通知義務、有過失，但財損與外洩欠缺「相當因果關係」，請求全部駁回。

理由是詐騙集團故意犯罪是「獨立介入的原因」，外洩只是背景因素。

類似的還有迪卡儂、緩慢民宿案等，當然也有例外，雄獅案法院認定因果成立（不是集體訴訟的那件），但仍然認定被害人要自負八成過失責任，判賠7萬9,978元。

雖然說民眾看似求償不容易，不代表企業可以放心。安全維護措施、通知、委外監督，法院還是會一項一項檢查。

12月在資策會還有一場同主題的演講，如果有有趣的判決也會再更新。

秋天來了。