臺灣臺北地方法院民事判決
112年度訴字第3711號
原 告 李青樺
張惠雯
歐陽智文
丁俐玲
胡繼韋
柯旻宜
施元凱
陳彥翰
盛心毓
邱泓達
李立聖
盧宥融
賴冠霖
吳淑蘋
陳昆甫
林藝臻
劉宜其
蕭祐德
曾郁茹
彭宜凡
林弘軒
廖宥咨
李育霖
沈彬彥
陳怡瑋
林禹賢
王晨宇
蔡欣憲
鄧佳珣
陳連壎
吳佩儒
黃柏元
黃勝孺
江翰林
洪妤瑄
劉玳爾
涂祥誠
康家健
柯泯諺
黃俊嘉
李奕賢
莊琬琪
劉廣彞
共 同
訴訟代理人 黃韋儒律師
被 告 和雲行動服務股份有限公司
法定代理人 謝富來
訴訟代理人 楊大德律師
方瑋晨律師
黃馬煜律師
上列當事人間請求損害賠償事件，本院於民國112年10月27日言
詞辯論終結，判決如下：
主 文
原告之訴及假執行之聲請均駁回。
訴訟費用由原告負擔。
事實及理由
一、原告主張略以：
(一)
1、被告以經營汽、機車租賃為業，並提供「iRent」應用程式
系統(下稱系爭系統)，供消費者租賃汽、機車使用。原告為 向被告承租汽、機車，而將其等個人資料（姓名、手機號碼 、電子信箱、住址、駕照照片與信用卡資料，以下合稱系爭 個資）提供予被告。詎料，於民國112年1月31日時，經外國 媒體Tech Crunch報導(下稱系爭報導)，某安全研究員在被 告關係企業和泰車雲端伺服器發現公開資料庫，包括iRent 客戶之個人資料已遭外洩，並經我國媒體報導（原證1)。 2、交通部公路總局臺北市區監理所(下稱北市監理所)人員，亦 112年2月1日前往被告營業處進行行政檢查，經調查始知客 戶資料外洩之原因為被告之「紀錄應用程式Log檔的暫存資 料庫(下稱系爭資料庫)發生防護性缺口」(下稱系爭缺口)， 且被告未依規定提供「汽車運輸業個人資料檔案安全維護計 畫書」。
3、被告隨即於112年2月1日以電子郵件發出「和雲行動服務聲 明稿（下稱系爭聲明一，原證2)」，上載:「經内部調查後 ，為紀錄應用程式Log檔之暫存資料庫生防護性缺口，倘外 部專業資訊人員使用特定工具及技巧，可能得以進入該資料 庫内查詢近三個月的會員異動資料」，被告並核發受個人資 料外洩影響之用戶「使用期限112年2月2日至112年5月31日 之汽車3小時折抵券」（原證3)1紙，上載「本券係基於2/1 聲明所贈送」。被告嗣於112年2月4日復以電子郵件發出「2 /4和雲行動服務聲明稿（下稱系爭聲明二，原證4)」，上載 :「内部用來記錄應用程式Log檔之暫存資料庫，因未適當阻 擋外部連線，導致該資料庫可能遭外部專業資訊人員使用特 定工具及技巧進入該資料庫内查詢近三個月的會員異動資料 」。
4、北市監理所於112年3月9日發出之北市監運字第1120028878 號電子郵件回覆函（原證5)中載明：「三、本案iRent APP 用戶個資外洩，該公司未依『個人資料保護法』與『汽車運輸 業個人資料檔案安全維護計晝及處理辦法』採行適當之安全 措施致個人資料洩漏，又未訂定完整個人資料檔案安全維護 計畫，已明確違反個人資料保護法第27條第1項及第2項規定 ，爰依個人資料保護法第48條第4款定處最高罰鍰新臺幣(下 同)20萬元，倘後續查有違反個人資料保護法情事，將按次 處以罰鍰。」。
5、本件原告因信賴被告為大公司應盡保障用戶個人資料之責任 及義務，而提供系爭個資予被告，後卻因被告未盡個人資料 保護義務，致原告用戶個資外洩，顯已侵害原告隱私權甚鉅 。而北市區監理所已認定被告確實有洩漏原告在内之系爭個 資，並處以罰鍰20萬元，且原告已收受被告所發出之原證2
、原證3、原證4聲明稿及抵用券(原證6)，足證被告有侵害 原告隱私權。
(二)原告得依個人資料保護法(簡稱個資法)第29條之規定請求被 告負損害賠償責任:被告於系爭聲明一、二皆載明本件係因 「暫存資料庫」發生防護性缺口、未適當阻擋外部連線等， 被告未能依規定提供「汽車運輸業個人資料檔案安全維護計 畫書」。且被告於系爭聲明二第二段亦表示:「暫存資料庫 發生防護性缺口一事，iRent已於1/28(六）接獲通報1小時 進行缺失防堵」，是被告自陳漏未阻擋外部連線，且被告亦 得於1個小時内修護資料庫弊端，足證被告未就所保有個人 資料檔案採行當前科技水準可行之適當安全之措施。被告對 於個人資料檔案管理上有疏失之行為已違反個人資料保護法 ，原告得依個人資料保護法第29條之規定請求被告負損害賠 償責任。且主管機關已認定被告確實有洩漏原告系爭個資無 誤，則不論係依據民事訴訟法第278條第1項規定，或者個人 資料保護法第28條第3項規定，原告毋庸舉證個人資料遭受 外洩之情事，且得依法請求每人最高二萬元之賠償，況被告 並已承認有外洩原告系爭個資情形（原證2、3)。(三)原告得依民法第227條第1項、民法第227條之1之規定請求被 告負損害賠償責任:保管保護個人資料雖非屬契約之給付義 務内容，然從維護契約當事人完整利益，避免給付利益以外 法益遭受損害之角度而言，應屬附隨義務中之保護義務無疑 ，故被告未妥善加以保管保護所獲原告個人資料屬於可歸責 ，已違反契約附隨義務，且被告就原告個人資料外洩一事， 遲至112年1月28日接獲通報後才察覺，侵害原告隱私權已繼 續一段時間，被告實應負不完全給付之責任。
(四)原告得依民法第184條第1項前段、民法第184條第2項之規定 ，請求被告負損害賠償責任：被告對於儲存原告資訊之資料 庫具有管理及控制權限，並為兼顧消費者之人性尊嚴等權益 之保護，被告應有提供適當安全環境之作為義務。簡言之， 被告有採取防止措施避免原告權益受侵害之作為義務。倘被 告未為任何適當安全措施以保護資料庫之資料，導致原告之 個人資料洩漏，自屬違反作為義務，可成立不作為侵權行為 。被告於系爭聲明一、二皆坦承有過失、有預防可能性，被 告未為防止原告個人資料洩漏之不作為，具有可歸責性，且 被告不作為之行為導致了原告隱私權被侵害之結果，兩者間 具有因果關係。被告未依規定提供「汽車運輸業個人資料檔 案安全維護計畫書」，已明顯違反保護他人之法律，致生損 害於原告，故依上揭規定擇一請求法院判命被告就原告系爭 個資遭洩漏致隱私權受侵害分別給付原告各2萬元之勝訴判
決等語。並聲明：被告應給付原告分別如附表總計欄位所示 之金額，及均自起訴狀繕本送達之翌日起至清償日止，按年 息5%計算之利息;原告願供擔保請准宣告假執行。二、被告辯解略以：
(一)原告主張被告應負個資法第29條損害賠償責任部分: 1、原告所稱被告已承認外洩原告個人資料云云，被告嚴正否認 之。被告於系爭聲明一、二，謹表明消費者之個人資料有外 洩之風險，被告本於風險管控及維護消費者權益，預先提醒 消費者應留意潛在詐騙風險。且迄今並無任何會員之個人資 料因此流出，或遭不法蒐集、處理、利用，遑論有何侵害原 告權利情事。
2、又原告所提之原證7即被告經營之iRent臉書粉絲團110年8月 30日貼文與留言，並未能證明確有被告確有用戶個人資料庫 外洩情事，且前揭貼文與留言與原告主張之用戶個人資料庫 外洩情事無關。又原證7僅係未經證實之網友片面留言内容 ，不足以證明被告有任何用戶個人資料庫外洩情事。況且， 原證7係110年8月30日前後之貼文與留言，與原告起訴狀主 張被告111年1月28日前有個人資料庫外洩情事毫無關聯，原 告錯置事實，片面主張「被告用戶個人資料庫外洩長達一年 多」云云，顯有刻意誤導事實認定之嫌。原證7與原告等43 人亦無任何關聯性，原告節錄網友回覆留言，與原告等43人 無涉。
(二)本件儲存庫外洩風險事件，並無任何個人資料遭不法蒐集、 處理、利用，或其他侵害當事人權利情事，原告請求損害賠 償無理由:
1、被告於112年1月28日晚上獲悉儲存庫外洩風險後，隨即於當 晚確認阻斷外部連線，故外部人已無法再對資料庫進行任何 存取作為。
2、國内媒體約於112年1月31日陸續刊出相關新聞報導，惟被告 已於112年1月28日晚上，對資料庫阻斷外部連線，故外部第 三人已無法再對資料庫進行存取。
3、被告於儲存庫外洩風險事件發生後，即委請外部專業資安公 司調查及監控，以查明本件儲存庫外洩風險事件，是否有實 際之個人資料遭不法蒐集、處理、利用或其他侵害當事人權 利情事，惟迄今並無任何儲存庫内之個人資料遭不法蒐集、 處理、利用，或發生其他侵害當事人權利情事。 4、本件儲存庫外洩風險事件發生後，客觀上並無任何個人資料 遭不法蒐集、處理、利用，且亦無其他侵害原告等人之權利 情事發生；況被告獲悉儲存庫外洩風險後，已即刻阻斷外部 連線，亦未有任何個人資料遭不法蒐集、處理、利用或其他
侵害當事人權利情事。原告主張之原因事實既不存在，則其 據此不存在之事實所提出之損害賠償請求，亦屬無理由等語 。並聲明：原告之訴駁回；如受不利判決，願供擔保請准予 宣告免為假執行。
三、得心證之理由:
(一)按當事人主張有利於己之事實，就其事實負有舉證之責，民 事訴訟法第277條本文定有明文。次按個人資料係指自然人 之姓名、出生年月日、國民身分證統一編號、護照號碼、特 徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、 性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會 活動及其他得以直接或間接方式識別該個人之資料；公務機 關違反本法規定，致個人資料遭不法蒐集、處理、利用或其 他侵害當事人權利者，負損害賠償責任。但損害因天災、事 變或其他不可抗力所致者，不在此限。被害人雖非財產上之 損害，亦得請求賠償相當之金額；其名譽被侵害者，並得請 求為回復名譽之適當處分；非公務機關違反本法規定，致個 人資料遭不法蒐集、處理、利用或其他侵害當事人權利者， 負損害賠償責任。但能證明其無故意或過失者，不在此限。 依前項規定請求賠償者，適用前條第2項至第6項規定。個人 資料保護法第2條第1款、第28條第1項、第2項、第29條分別 規定有明文。復按損害賠償之債，以有損害之發生及有責任 原因之事實，並二者之間，有相當因果關係為成立要件。故 原告所主張損害賠償之債，如不合於此項成立要件者，即難 謂有損害賠償請求權存在。是凡違反個人資料保護法規定導 致個人資料遭不法蒐集、處理、利用，而侵害其隱私權者， 即推定為有故意、過失，且依舉證責任倒置原則，由行為人 就其無故意、過失負舉證責任。但被害人仍應就其個人資料 遭不法蒐集、處理及利用之事實負舉證之責，先予敘明。本 件原告依系爭報導、被告所發系爭聲明一、二及北市監理所 調查等主張系爭系統資料庫內原告之系爭個資，業因系爭資 料庫發生系爭缺口而遭不法蒐集、處理、利用，而造成原告 隱私權受侵害等情，為被告所否認，並以上詞置辯，依首揭 規定及說明，應由原告就上開有利於己之積極事實負舉證之 責。
(二)經查，本件原告確曾為登錄系爭系統成為會員而提供系爭個 資，並曾接獲如附表所示系爭聲明一、二電子郵件及折抵券 等情，為兩造所未爭執，並有原告之會員基本資料、歷史訂 單、折抵券及系爭聲明一、二等件在卷可稽（見本院卷一第 189-615頁、卷二第3-131頁），足認原告系爭個資確曾輸入 系爭系統，而儲存於系爭系統資料庫中之事實為真。次查，
依112年1月31日系爭報導所載:「Taiwanese automotive co nglomerate Hotai Motor exposed reams of personal cus tomer data from its car rental and carshare unit,iRe nt,until a security researcher found the data online last week.…Security researcher Anurag Sen discovere d a database containing iRent customers’full names, cell phone numbers and email addresses, home address es, photos of their drivers’ licenses, and partially redacted payment card details, on a Hotai-owned clo ud server that was inadvertently accessible from the internet.Because the database was not password-prot ected, anyone on the internet could access the iRent customer data just by knowing its IP address.…Tech Crunch reviewed a portion of the exposed data and co nfirmed Sen’s findings.…On January 28, TechCrunch su bsequently contacted Taiwan’s Ministry of Digital Af fairs,…, for help in disclosing the security lapse t o the company. In an emailed response, Taiwan’s mini ster for digital affairs Audrey Tang told TechCrunch that the exposed database had been flagged with Tai wan’s national computer emergency response team, kno wn as TWCERT/CC. Within an hour, the exposed iRent d atabase became inaccessible.…It’s not clear if anyon e else, other than Sen, found the database during th e nine months it was spilling data.…」等語(中譯文:台 灣汽車集團和泰汽車暴露了其汽車租賃和汽車共享部門iRen t的大量個人客戶數據，直到安全研究人員上週在網路上發 現了這些數據。…安全研究員Anurag Sen在和泰雲端伺服器 上發現了一個資料庫，其中包含iRent客戶的全名、手機號 碼和電子郵件地址、家庭住址、駕照照片以及部分經過編輯 的支付卡信息，該資料庫可無意中透過網際網路存取之。由 於該資料庫沒有密碼保護，在網際網路上任何人只要知道其 IP位址就可以存取iRent客戶資料。…Tech Crunch 審查了部 分暴露的數據並證實了Sen的發現…1月28日, Tech Crunch 隨後聯繫了台灣數位發展部，請求協助向該公司揭露安全漏 洞。數位發展部唐鳳部長的電子郵件回覆Tech Crunch，暴 露的資料庫已經台灣電腦網路危機處理暨協調中心（TWCERT /CC）標記。在一個小時內，該暴露的iRent資料庫已無法存 取。…目前尚不清楚，除了Sen之外，是否還有其他人在該資 料庫暴露資料的九個月內發現了該資料庫。…)，有系爭報導
在卷可參(見本院卷187-188頁)，可知系爭系統資料庫固因 未加密保護存有安全漏洞，有使系爭個資暴露在可透過網際 網路協定位址(IPAddress)而存取之安全風險，然報導中既 稱目前除了該安全研究員，是否有其他人發見該暴露之資料 庫尚屬未明，則該資料庫縱存有上開風險，亦難僅憑該報導 或其他國內媒體轉載之報導，逕認儲存於系爭系統資料庫內 之系爭個資有遭不法蒐集、處理、利用之事實。另暴露的資 料庫業經數位發展部標記，並於1小時內已無法存取乙節， 亦經系爭報導明載，則被告所辯其已於112年1月28日晚上獲 悉上開風險後，隨即於當晚確認並阻斷外部連線，外部人已 無法再對資料庫進行存取作為等語，亦堪信為真。(三)原告固又以被告所發予原告之系爭聲明一、二及折抵券，足 認被告已承認系爭個資遭不法蒐集、處理、利用，及依北市 監理所之調查已足證上情云云，惟縱覽系爭聲明一:「近日 新聞媒體提及本公司iRent資料庫部分資料『存在外洩風險』 ，經内部調查後，為紀錄應用程式Log檔之暫存資料庫生防 護性缺口，『倘』外部專業資訊人員使用特定工具及技巧，『 可能』得以進入該資料庫内查詢近三個月的會員異動資料。 本公司在1/28(六)接獲通報1個小時內，已將該資料庫之缺 失防堵，並加強提高安全防護等級，致力防免資安事件。經 過本公司初步評估，可能受影響會員資料約有14萬筆，…本 公司將儘速針對『可能受影響之用戶』寄發通知與補償…」等 詞及系爭聲明二:「iRent針對日前發生『會員個資外流疑慮』 ，引起廣大消費者不安與社會關注，向大眾致上萬分歉意。 此事件發生原因為內部用來記錄應用程式Log檔之暫存資料 庫，因未適當阻擋外部連線，導致該資料庫『可能』遭外部專 業資訊人員使用特定工具及技巧進入該資料庫內查詢近三個 月的會員異動資料。該暫存資料庫曾紀錄之個資包含會員姓 名、電話、地址、…，『有遭外部查詢之可能』，iRent已通知 有風險用戶留意，並委請外部專業資安公司監控是否有會員 資料流出，對此品牌表達最深摯歉意。暫存資料庫發生防護 性缺口一事，iRent已於1/28(六)接獲通報1小時進行缺失防 堵，…，系統已完成資安強化防護及風險管理機制，…」等詞 ，可知被告依上開聲明所示者，乃指系爭資料庫有暴露在上 開安全風險，此亦可由被告明確陳稱:部分資料存在外洩風 險、倘外部人員使用特定工具技巧可能得以進入該資料庫、 可能受影響會員資料、所生個資外流疑慮、資料庫可能遭外 部人員使用特定工具技巧進入、有遭外部查詢之可能等語可 證，是被告所辯系爭聲明一、二謹表明消費者個人資料有外 洩之風險等語，自屬有據。原告憑此主張被告已承認系爭個
資有遭不法蒐集、處理、利用云云，洵屬有誤。再者，依北 市監理所回覆函:「二、旨案本所於112年2月1日、4日及3月 1日多次會同交通部公路總局、第三方資安團隊及政風人員 ，前往和雲行動服務股份有限公司進行行政檢查。現場查核 該公司未能依規定提供汽車運輸業個人資料檔案安全維護計 畫書，另該公司前於112年1月28日接獲客服信件告知資料庫 存有外洩風險，經調查係紀錄應用程式Log檔之暫存資料庫 發生防護性缺口，外部人員運用特定技術及工具『可能』得以 進入資料庫查詢近3個月之會員異動資料，故該公司已於同 日檢查資料庫及内、外部連線並進行防堵。」等語(見本院 卷一第183頁)，可知北市監理所所為行政檢查結果:系爭資 料庫存有外洩風險，並經被告進行防堵乙情，核與上揭系爭 報導及被告所發系爭聲明所示:系爭系統資料庫因未加密保 護存有安全漏洞，使系爭個資暴露在可透過網際網路協定位 址存取系爭個資之風險大致相符，然存有資安風險究與系爭 個資有遭不法蒐集、處理、利用之事實有別，故原告憑此主 張上情云云，難謂有據。至原告復提出原證7所示被告經營 之「和雲行動服務iRent汽機車共享」臉書粉絲團之「反詐 騙公告」貼文下之網友留言、原告施元凱、陳昆甫、劉宜其 、蕭祐德等人所接獲之或一接就掛、或未顯示號碼…等可疑 電話之通話紀錄頁面等件，欲以此證明系爭個資有遭不法蒐 集、處理、利用之事實，然徒依上開網友之留言及可疑電話 等資料，實無從檢驗、查悉該真實姓名年籍不詳之網友是否 為親身見聞待證事實而具證人適格者、其等留言內容之真偽 及其等留言、可疑電話與本件應證事實之關聯性，是尚難憑 此遽認原告主張系爭個資有遭不法蒐集、處理、利用之事實 為真。基上，原告未舉證證明系爭系統資料庫內原告之系爭 個資，業因系爭資料庫發生系爭缺口而遭不法蒐集處理利用 ，而造成原告隱私權受侵害乙節，故原告依個資法第29條請 求被告負損害賠償責任云云，為無理由。
(四)原告請求被告依不完全給付、侵權行為規定負損害賠償責任 ，亦無理由:
原告雖以被告違反契約之附隨義務，未妥善保管系爭個資， 導致系爭個資外洩，造成原告隱私權受侵害，應負不完全給 付損害賠償責任;及被告未為任何適當安全措施保護系爭個 資，導致系爭個資洩漏，屬違反作為義務，成立不作為侵權 行為，應負侵權行為責任云云，然原告既未舉證證明系爭個 資業因系爭資料庫發生系爭缺口而遭不法蒐集處理利用，造 成原告隱私權受侵害，已如前述，則依首揭規定及說明，原 告上開請求俱屬無據。
四、綜上所述，本件原告依個資法第29條、民法第227條第1項、 第227條之1、第184條第1項前段、第184條第2項之規定，請 求被告原告分別如附表總計欄位所示之金額及法定遲延利息 ，均無理由，應予駁回。又原告之訴既經駁回，假執行之聲 請即失所附麗，亦應併予駁回。
五、本件事證已臻明確，兩造其餘之攻擊或防禦方法及所提之證 據，經本院斟酌後，認為均不足以影響本判決之結果，爰不 逐一論列，附此敘明。
六、訴訟費用負擔之依據:民事訴訟法第78條。
中 華 民 國 112 年 12 月 8 日 民事第二庭 法 官 蒲心智
以上正本係照原本作成。
如對本判決上訴，須於判決送達後20日內向本院提出上訴狀。如委任律師提起上訴者，應一併繳納上訴審裁判費。中 華 民 國 112 年 12 月 8 日 書記官 林芯瑜