臺灣高等法院民事-TPHV,112,上,656,20240130,1

臺灣高等法院民事判決
112年度上字第656號
上 訴 人 趙愛卿

訴訟代理人 許峻瑋律師
被 上訴人 北投麗禧溫泉酒店股份有限公司

法定代理人 翁秀文
被 上訴人 墨攻網路科技股份有限公司

法定代理人 黃少風
共 同
訴訟代理人 陳盈君律師
上列當事人間請求損害賠償等事件，上訴人對於中華民國112年3月20日臺灣臺北地方法院111年度訴字第5578號第一審判決提起上訴，本院於113年1月16日言詞辯論終結，判決如下：

主 文

原判決關於駁回上訴人後開第二項之訴部分，及除確定部分外訴訟費用之裁判均廢棄。

被上訴人北投麗禧溫泉酒店股份有限公司、墨攻網路科技股份有限公司應分別給付上訴人新臺幣貳萬元，及均自民國一百一十一年十一月三十日起至清償日止，按年息百分之五計算之利息；

如被上訴人任一人為給付時，另一被上訴人於其給付範圍內免給付義務。

其餘上訴駁回。

第一（除確定部分外）、二審訴訟費用，由被上訴人負擔二十五分之一，餘由上訴人負擔。

事實及理由

壹、程序方面：按不變更訴訟標的，而補充或更正事實上或法律上之陳述者，非為訴之變更或追加，民事訴訟法第256條定有明文。

本件上訴人就原審敗訴部分提起上訴，原上訴聲明就請求㈡被上訴人北投麗禧溫泉酒店股份有限公司（下稱麗禧公司）應刪除並停止利用所有上訴人留存於麗禧公司系統中之所有個人資料、㈢墨攻網路科技股份有限公司（下稱墨攻公司）應刪除並停止利用所有上訴人留存於墨攻公司系統中之所有個人資料部分（見本院卷一第21、167、168頁），經本院行使闡明權後，補充、更正上開聲明為：㈡麗禧公司應刪除並停止利用所有上訴人留存於麗禧公司系統中之所有LineID、UUID、姓名、電話、地址、電子信箱、㈢墨攻公司應刪除並停止利用所有上訴人留存於墨攻公司系統中之LineID、UUID、姓名、電話、地址、電子信箱（見本院卷二第316頁），核屬補充、更正應受判決事項之聲明，依前開規定，應予准許。

貳、實體方面：

一、上訴人主張：麗禧公司之官方網站有提供消費者線上訂購溫泉券之購買系統（下稱系爭訂購系統），該系統由墨攻公司進行建置、維護與管理。

伊於民國109年10月5日、109年10月18日委由同事、於110年11月3日委由家人使用系爭訂購系統，依序購買溫泉券22張共新臺幣（下同）2萬0400元、10張共1萬0400元、5張共6500元，並於訂購時填載伊之姓名、電話、電子郵件、中國信託銀行股份有限公司（下稱中信銀行）刷卡帳號等個人資料（下稱個資）。

嗣伊於000年00月00日下午5時50分起接獲詐騙電話，誤信為麗禧公司之客服人員而配合操作解除分期付款設定，致遭訛詐轉出受詐騙金額9萬9987元。

是被上訴人未依個人資料保護法（下稱個資法）第27條規定，於取得伊個資後採行適當之安全措施、防止伊個資被竊取，竟使他人透過系爭訂購系統竊取伊個資；

且墨攻公司存放票券之系爭訂購系統確實有於110年8月及11月遭駭客入侵，消費者個資亦遭駭客竊取挪用，墨攻公司於110年11月16日或17日已知悉此情；

麗禧公司於110年11月底透過墨攻公司告以有個資外洩情形；

被上訴人卻均未依個資法第12條規定查明後以適當方式通知伊，即未盡其事前監督及事後通報之責。

麗禧公司未於個資外洩前就消費者個資親自採取適當安全措施、未於個資外洩前監督墨攻公司平時採取相關資安措施、未於個資外洩後依個資法以適當方式通知伊，均違反個資法第12條、第27條、個資法施行細則第8條、第22條、觀光旅館業個人資料檔案安全維護計畫辦法（於111年4月1日廢止）等規定；

墨攻公司未盡個資安全維護措施、未依照其制定之資安文件執行個資安全防護措施、未於事前採取適當之安全措施或防護作為，均違反個資法第27條規定、製造業及技術服務業個人資料檔案安全維護管理辦法第8條及其自行訂定之資安文件。

又伊遭詐騙金額9萬9987元與被上訴人將伊個資外洩間之因果關係，應類似於公害訴訟、商品製造人責任及醫療糾紛等事件，具有當事人間能力之不平等、證據偏在於蒐集個資方、消費者蒐證之困難、消費者就因果關係證明之困難等特性，應依民事訴訟法第277條但書規定由被上訴人負擔舉證責任，或降低伊之舉證責任；

依一般經驗法則，伊所提證據資料已可合理認定伊遭詐騙之損害與被上訴人將伊個資外洩有關，被上訴人將伊個資外洩之過失與伊因個資外洩之損害間具備相當合理關聯，應即推定有一般因果關係存在。

再者，被上訴人將伊個資外洩，已侵害伊之隱私權與資訊自主權，伊因該事件耗費時間心力為申訴，過程飽受煎熬，並需持續擔心個資遭他人不當使用，受有精神上之痛苦，伊得請求非財產上損害賠償2萬元。

而被上訴人各自違反個資法相關規定、各自成立過失，均為造成伊前開損害之共同原因，依民法第185條第1項前段規定，被上訴人應連帶負損害賠償責任。

爰依個資法第29條第1項、第2項、民法第184條第1項前段、第2項、民法第185條規定，求為命被上訴人連帶給付伊受詐騙之財產上損害9萬9987元、精神上痛苦之非財產上損害2萬元，共計11萬9987元，並加計自起訴狀繕本送達翌日即111年11月30日（見原審卷第117、119頁）起算法定遲延利息之判決；

另依個資法第3條、第11條第3項、第11條第4項、第20條第2項規定，求為命被上訴人應刪除並停止利用所有伊留存於被上訴人系統中之所有個人資料之判決（原審判命麗禧公司應刪除並停止利用所有上訴人留存於麗禧公司系統中之聯絡方式，並駁回上訴人其餘之訴，上訴人提起上訴，麗禧公司就其敗訴部分未聲明不服，非本院審理範圍，不予贅述）。

上訴人於本院就其請求被上訴人應刪除並停止利用所有其留存於被上訴人公司系統中之所有個資內容部分，補充及更正如上訴聲明㈡⒉⒊所示。

上訴聲明：㈠原判決不利上訴人部分廢棄。

㈡上開廢棄部分：⒈被上訴人應連帶給付上訴人11萬9987元，及自起訴狀繕本送達翌日即111年11月30日起至清償日止，按年息5%計算之利息。

⒉麗禧公司應刪除並停止利用所有上訴人留存於麗禧公司系統中之所有LineID、UUID、姓名、電話、地址、電子信箱。

⒊墨攻公司應刪除並停止利用所有上訴人留存於墨攻公司系統中之LineID、UUID、姓名、電話、地址、電子信箱。

二、被上訴人則以：上訴人自系爭訂購系統購買溫泉券之時間，與其受詐騙之時間已間隔近2個月，上訴人之個資亦非伊等所獨有，上訴人未證明詐騙集團取得其個資之來源為系爭訂購系統或由伊等洩漏。

縱上訴人遭詐騙之來源確與系爭訂購系統有關，然麗禧公司於110年8月28日在官方網站內公告相關詐騙手法及張貼警示標語，一再提醒消費者慎防詐騙，且上訴人亦多次進入麗禧公司官網線上刷卡，應足以查悉各該警示，然上訴人未查證而輕信詐騙集團所致財產上損失，與伊等處理上訴人個資之情形無相當因果關係；

墨攻公司雖發現有不明IP嘗試登入其公司系統，然該不明IP嘗試登入墨攻公司系統與個資外洩間，不具備直接相當因果關係，縱上訴人之個資係因墨攻公司系統遭到攻擊而外洩，此非「通常」或「高度可能」產生上訴人遭詐騙而受有損害之結果，即上訴人之個資外洩與其遭詐騙而受有損害間，不具備相當因果關係。

墨攻公司已為業界最高水準之資訊安全防護機制，平時（包括110年8月及11月間）已有相關資料維護措施，符合製造業及技術服務業個人資料檔案安全維護管理辦法第8條規定以及觀光旅館業個人資料檔案安全維護計畫辦法（於111年4月1日廢止）第15條之規定；

事發時已採取因應措施，即立即向檢警單位報案、於110年8月31日及11月16日以電子郵件通知旅宿業者客戶疑似有遭受網路攻擊之情事、與官方網站宣導消費者資訊安全觀念等，麗禧公司之官方網站及臉書均有明顯提醒消費者小心網路詐騙，於發現系統阻擋不明IP登入之狀況時，麗禧公司立即透過墨攻公司傳送「防詐騙提醒」文字簡訊予上訴人；

事後採取改善措施，即強制客戶加入電子郵件驗證方式、實施一次性動態密碼（OTP）功能、鎖定IP且強制客戶登入皆須要驗證IP、Fortify全系統弱點偵測掃描、公司電腦全面安裝關貿網路EDR端點防護、110年11月修補後透過精誠資訊進行網頁弱掃測試、111年9月14日透過Nessus進行主機掃描、取得ISO-27001資訊安全管理合格證書等；

縱認上訴人之個資外洩係因墨攻公司系統遭到攻擊而致，然墨攻公司已盡力維護資訊安全而無故意或過失。

況麗禧公司為飯店經營業者，電子票證非其專業，故委由墨攻公司開發電子票證業務並管理客戶資料，麗禧公司於選任墨攻公司為其資訊服務系統廠商時，曾審核墨攻公司具備「個資暨資安防護措施包含取得IS027001」及「BSI0012認證」、「加密個資與加密客戶密碼」、「資料區隔措施防火牆設置」等資格及個資保護措施，已盡其選任及監督義務；

並已盡即時通知消費者個資詐騙風險之義務。

且系爭訂購系統於上訴人訂購票券之時，無存在滲透之弱點風險，行政院數位發展部（下稱數發部）亦認墨攻公司之平時維護措施尚稱妥適。

倘認伊等應負賠償責任，上訴人與有過失，應負擔90%之責任，又上訴人已於臺灣高雄地方法院（下稱高雄地院）112年度金簡字第402號詐欺案件（下稱系爭刑案）中，以高雄地院111年度雄司附民移調字第1765號調解筆錄，與訴外人即詐欺集團成員彭建成以6萬元調解成立，上訴人已不得再向伊等請求賠償。

再者，伊等已刪除上訴人個資，而「北投麗禧LINE@官方帳號」資料庫非伊等所有，伊等無法刪除「北投麗禧LINE@官方帳號」、「我的票夾」中之購票訊息；

另上訴人於112年10月25日收到之電子郵件，雖署名為麗禧公司，惟實為鯨躍科技有限公司（下稱鯨躍公司）因處理上訴人退款乙事而系統自動發送之電子折讓單通知，非麗禧公司所寄送，上訴人留存於麗禧公司所有的個人資料（包括LINE ID、姓名、電話、地址、電子郵件等），麗禧公司皆已刪除，自無再如上訴人所請刪除其個資之必要等語置辯。

答辯聲明：上訴駁回。

三、兩造不爭執事項（見本院卷一第367、368頁）：㈠麗禧公司之官方網站有提供消費者線上訂購溫泉券之系爭訂購系統，該系統由墨攻公司進行建置、維護與管理。

㈡上訴人曾於109年10月5日、109年10月18日委由同事、於110年11月3日委由家人使用系爭訂購系統，依序購買溫泉券22張共2萬0400元、10張共1萬0400元、5張共6500元，並於訂購時填載上訴人之姓名、電話、電子郵件、中信銀行帳號等個資。

㈢上訴人於000年00月00日下午5時50分起接獲詐騙電話，上訴人信以為真乃配合操作解除分期付款設定，並因而損失受詐騙金額9萬9987元，隨即報警處理並聯繫中信銀行等情，有上訴人提出中華電信股份有限公司用戶授信通信紀錄報表（見原審卷第29頁）、上訴人於110年12月21日以跨行轉出9萬9987元之存摺交易明細內頁（見原審卷第33頁）、臺北市政府警察局松山分局三民派出所（下稱三民派出所）受理案件證明單（見原審卷第35頁）、上訴人於110年12月21日查悉遭詐騙後至中信銀行處理聯繫之通訊對話紀錄與譯文（見原審卷第319至323頁）存卷為憑。

㈣上訴人曾於111年1月4日以存證信函要求麗禧公司刪除並不得再使用上訴人個資，該信函經麗禧公司於111年1月4日收受，其後曾於111年1月5日、111年1月8日、111年1月12日、111年1月19日、111年2月21日持續接獲麗禧公司之防詐騙簡訊等情，有該存證信函（見原審卷第45至51頁）、上述訊息翻拍畫面（見原審卷第53頁）在卷可稽。

四、得心證之理由：上訴人主張被上訴人透過系爭訂購系統取得上訴人之個資，卻未為適當之保護措施，且於被上訴人查悉系爭訂購系統有個資外洩之情形後，竟未依個資法第12條、個資法施行細則第22條之規定通知上訴人，使上訴人個資遭他人竊取，並進而為詐騙集團使用，致上訴人受有遭詐騙金額9萬9987元之財產上損害，並因該隱私權、個資自主權遭侵害受有精神上痛苦，應賠償其非財產上損害2萬元，爰依個資法第29條第1項、第2項、民法第184條第1項前段、第2項、民法第185條規定，請求被上訴人連帶賠償共計11萬9987元本息；

另依個資法第3條、第11條第3項、第11條第4項、第20條第2項規定，請求被上訴人應刪除並停止利用所有上訴人留存於被上訴人系統中之所有如上訴聲明㈡⒉⒊所示之個資等情，為被上訴人所否認，並以前詞置辯。

茲就兩造爭執事項，析述如下：㈠上訴人遭詐騙集團詐騙所用之個資是否來自系爭訂購系統？⒈按非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。

非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。

但能證明其無故意或過失者，不在此限。

個資法第27條第1項、第29條第1項分別定有明文。

依上開規定，就被上訴人保有個資而發生個資遭不法蒐集、處理、利用或其他侵害當事人權利者，採過失推定原則，即由被上訴人舉證證明其無故意或過失，始能免責。

又當事人主張有利於己之事實者，就其事實有舉證之責任。

但法律別有規定，或依其情形顯失公平者，不在此限，民事訴訟法第277條亦有規定。

是上訴人就其遭詐騙集團詐騙所用之個資，係來自被上訴人經營管理之系爭訂購系統乙節，固應先負舉證責任，惟系爭訂購系統為被上訴人所保有、建置及管理，上訴人所輸入之個資亦存放於該系統中，上訴人無從自行使用、管理，此等證據偏在被上訴人方面之情形對上訴人顯失公平，自有民事訴訟法第277條但書規定之適用，應輕減上訴人之舉證責任。

⒉查麗禧公司之官方網站有提供消費者系爭訂購系統，該系統由墨攻公司進行建置、維護與管理；

上訴人曾於109年10月5日、109年10月18日委由同事、於110年11月3日委由家人使用系爭訂購系統購買溫泉券，並於訂購時填載上訴人之姓名、電話、電子郵件、中信銀行帳號等個資（下稱系爭個資），業如不爭執事項㈠、㈡所示，並有系爭訂購系統購票頁面在卷可稽（見原審卷第23至27頁）；

又被上訴人自認系爭訂購系統之消費者個資係存放於麗禧公司（見原審卷第273頁），足見上訴人之系爭個資確曾輸入系爭訂購系統使用，且會保留於該系統中。

佐以上訴人於000年00月00日下午5時50分起，陸續接獲詐騙電話，亦如不爭執事項㈢所示，且依證人即上訴人之子王運杰證稱：當時我是拿我媽媽的手機，當時她也在場，我直接和對方通話；

我媽拿著手機按擴音跑到我旁邊找我，對我說你知不知道如何解除分期付款設定，我就問對方是誰、為何要突然解除分期付款設定，對方就說是麗禧公司員工，他就跟我解釋說我媽有去購買他們家的溫泉票券，他們系統有出問題，需要我們去協助解除分期付款設定，因為我還是不會解除分期付款定，對方就說他會請中國信託客服跟我們聯絡；

對方除了表示是麗禧公司員工，也有提到我媽是他們的會員等語（見原審卷第424、425頁），可知該詐騙集團係於上訴人110年11月3日最末一次使用系爭訂購系統訂購溫泉券後，始撥打上訴人之電話聯繫上訴人，且其對話內容已清楚掌握上訴人為麗禧公司會員、上訴人曾購買溫泉券、上訴人係使用中信銀行帳戶等細節，並自述為麗禧公司員工等節，均與上訴人透過系爭訂購系統訂購商品所需輸入之系爭個資相符。

⒊而上訴人於遭詐騙後，曾於111年1月4日寄發存證信函給麗禧公司（存證信函見原審卷第45至51頁），麗禧公司遂於111年1月24日函覆上訴人，並於該函文中提及「…本公司線上訂票系統向來皆是委託…墨攻網路科技股份有限公司(下稱墨攻公司)建置與維護，客戶如欲線上訂購本公司票券皆需至墨攻平台進行操作…本公司110年11月底接獲墨攻公司通報後台偵測到異常IP…」（見原審卷第55頁）；

再徵之上訴人因其利用系爭訂購系統遭個資外洩之情形向交通部觀光局陳情（下稱系爭陳情事件），經該局111年12月9日函覆其處理之相關卷證資料，其中監督通報紀錄表記載：「事件發生種類：竊取、個資侵害之總筆數（大約）資料庫外洩約5,423筆…」、「發生原因及事實摘要：…2.該飯店（即麗禧公司）於110/11/16日接獲墨攻公司通知票券系統資料被駭客入侵，相關購買紀錄恐遭竊取…」、「個資外洩可能結果：…另票券系統經由墨攻公司提出電磁資料洩漏紀錄預估5,423筆，恐為不法利用之風險。」

（見原審卷第149頁），足徵墨攻公司所建置管理之系爭訂購系統，確有於110年11月16日偵測到異常IP，其資料庫遭駭客侵入竊取而洩漏個資約為5423筆。

又上訴人係於上開個資外洩事件發生後之110年12月21日接獲上開詐騙電話，詐騙集團於電話中之對話內容已清楚掌握上訴人透過系爭訂購系統所輸入之系爭個資，亦如前述，堪認上訴人就其主張遭詐騙集團詐騙所用之個資，為系爭訂購系統所外洩乙節，已盡舉證之責，洵屬可採。

⒋被上訴人抗辯由數發部數位產業署（下逕稱數發部）112年1月13日函內容（見原審卷第265至267頁），可知自始至終僅發生「網站攻擊事件」，並非「個資外洩事件」，且該函所提Log紀錄雖顯示墨攻公司有受到SQL injection之攻擊，但無法排除另有其他非法攻擊行為取得客戶個資之可能，而上訴人之個資亦非被上訴人獨有，故墨攻公司系統遭到攻擊與上訴人之個資外洩並無相當因果關係云云。

惟如前述，上訴人已證明其遭詐騙集團詐騙所用之個資，為系爭訂購系統所外洩，而被上訴人所舉上開函文僅係表示「無法排除另有其他非法攻擊行為取得客戶個資之可能」，並非確認上訴人之個資外洩係由其他非法攻擊行為所致，而非墨攻公司之前述網站攻擊事件所致，不足據為反證證明上訴人遭詐騙集團詐騙所用之個資，非系爭訂購系統所外洩。

被上訴人上開抗辯，洵屬無稽。

㈡被上訴人就上訴人個資外洩而遭詐騙集團不法利用，是否具有故意、過失?⒈上訴人主張麗禧公司未於個資外洩前就消費者個資親自採取適當安全措施、未於個資外洩前監督墨攻公司平時採取相關資安措施；

墨攻公司未盡個資安全維護措施、未依照其制定之資安文件執行個資安全防護措施、未於事前採取適當之安全措施或防護作為，違反個資法第27條規定、觀光旅館業個人資料檔案安全維護計畫辦法（於111年4月1日廢止）、製造業及技術服務業個人資料檔案安全維護管理辦法第8條及墨攻公司自行訂定之資安文件等情，為被上訴人否認，惟上訴人遭詐騙集團詐騙所用之個資，為系爭訂購系統所外洩，已如前述，依上說明，自應由被上訴人舉證證明其就上訴人個資外洩乙事，並無違反個資法之故意或過失。

⒉被上訴人抗辯墨攻公司平時（包括000年0月間及11月間受到SQL injection之攻擊前及攻擊後）已有相關資料維護措施，且亦符合製造業及技術服務業個人資料檔案安全維護管理辦法第8條、觀光旅館業個人資料檔案安全維護計畫辦法（已於111年4月1日廢止）第15條等規定，即墨攻公司已強制廠商IP登入位置綁定、AES256加密機制針對廠商帳號密碼及個人資料、多重伺服器分散資料管理、資料庫與程式分開存放、主機帳密權限控管與RSA私鑰管理、限定防火牆規則僅特定IP及帳號密碼始得進入、Linux主機使用防毒軟體ClamAV、辦公室環境以ESET防毒軟體監控，以及伺服器安裝關貿網路EDR端點防護、訂定個資及資訊安全政策文件等。

惟查：⑴觀諸被上訴人所提被上證7：墨攻公司透過測試帳號模擬登入，系統將針對IP來源進行白名單限制，並對非允許IP進行阻擋之截圖、被上證10：AES256加密機制針對廠商帳號密碼及個人資料截圖、被上證11:多重伺服器分散資料、被上證12:主機帳密權限控管與RSA私鑰管理、被上證13:限定防火牆規則僅特定IP及帳號密碼始得進入截圖（見本院卷一第157、333至339頁），均僅有片段截圖，且有資料遭遮隱，無從辨識為系爭訂購系統及被上訴人上開抗辯之資料維護措施；

被上證14:ClamAV維基百科介紹（見本院卷一第341頁），僅為網頁就ClamAV應用程式之介紹；

被上證15：墨攻公司資訊安全管理政策、被上證16：墨攻公司個人資料保護管理政策（見本院卷一第343至355頁），均屬抽象之管理規範，非就系爭訂購系統所為之具體維護措施；

被證8：關貿EDR雲服務交貨確認表、被證9：關貿網路EDR端點防護說明、被證10：「精誠全盤滲透報告」、「墨攻滲透報告書 210.241.131.226Nessus」、「墨攻滲透測試報告書」、被上證19：墨攻公司就XSS攻擊提出之改善方式（見原審卷第235至257頁，本院卷一第361頁），均屬110年11月16日系爭訂購系統資料庫遭駭客侵入竊取個資後所為，亦未見與墨攻公司就個資外洩前之管理維護系爭訂購系統行為，有何關聯性。

是以被上訴人所提上開資料，均無法證明墨攻公司就其管理維護之系爭訂購系統所保有之上訴人個資，已盡採取適當安全措施之責，被上訴人上開抗辯，即無足取。

上訴人主張墨攻公司就其系爭個資外洩而遭詐騙集團不法利用，有違反個資法第27條第1項規定之疏失，洵屬可採。

⑵至數發部112年1月13日函固認:「本署檢視前揭所復內容暨佐證資料，認為墨攻公司之平時維護措施尚稱妥適，亦於110年8月及11月事件發生時之應變措施尚屬合宜，並持續精進其個資安全管理措施，且已依照本署要求補充相關佐證資料，該公司之改善措施亦尚稱合理。」

（見本院卷一第266頁），惟數發部之調查程序與訴訟事件程序不同，且其認定並無拘束本院之效力，被上訴人抗辯應援引數發部上開函文及112年7月28日函檢送之相關資料為有利被上訴人之認定云云，亦非可取。

⒊被上訴人抗辯麗禧公司委由墨攻公司開發電子票證業務並管理客戶資料，已盡其選任及監督義務云云。

惟查，系爭訂購系統之消費者個資係存放於麗禧公司，上訴人之系爭個資確曾輸入系爭訂購系統使用，且會保留於該系統中，麗禧公司就其所保有之上訴人系爭個資，即應採行適當之安全措施，防止其個資被竊取或洩漏，則麗禧公司委由墨攻公司管理維護系爭訂購系統，亦應對墨攻公司為適當監督，而被上訴人所提被上證17：墨攻公司官方網站首頁、被上證18：墨攻公司擁有多項專利（見本院卷一第357、359頁），均為墨攻公司之單方資料，無法據以證明麗禧公司於上訴人系爭個資遭竊外洩前，已就墨攻公司管理維護系爭訂購系統，為適當監督之行為，被上訴人上開抗辯，不足採信。

是上訴人主張麗禧公司就其系爭個資外洩而遭詐騙集團不法利用，有違反個資法第27條第1項規定之疏失，亦屬可採。

至交通部觀光局111年12月9日回函固認：「…麗禧公司於個資外洩前後皆採行相關因應措施及處置，除於事前曾要求墨攻公司加強個資防護措施…加強飯店本身各項個資安全防護機制且持續進行改善，尚符個人資料保護法相關規定…」（見原審卷第142頁），並於「主管機關就個資外洩事件判斷是否違反個資法」部分，調查結果表示「否」（見原審卷第151至152頁），惟交通部觀光局之調查程序與訴訟事件程序不同，且其認定並無拘束本院之效力，無從據為有利被上訴人之認定。

⒋綜前，被上訴人對於系爭訂購系統保存上訴人之系爭個資未盡適當安全維護措施，致系爭個資外洩而遭詐騙集團不法利用，違反個資法第27條第1項規定，係有過失；

又系爭個資為上訴人個人基本資料與消費資料，均屬上訴人之隱私及個資自主範疇，故上訴人主張被上訴人不法侵害其隱私權、個資自主權，應為可採。

㈢上訴人請求被上訴人賠償受詐騙集團詐騙之財產損失，有無理由﹖⒈按損害賠償之債，以有損害之發生及有責任原因之事實，並二者之間，有相當因果關係為成立要件。

故原告所主張損害賠償之債，如不合於此項成立要件者，即難謂有損害賠償請求權存在。

且所謂相當因果關係，係指依經驗法則，綜合行為當時所存在之一切事實，為客觀之事後審查，認為在一般情形下，有此環境、有此行為之同一條件，均可發生同一之結果者，則該條件即為發生結果之相當條件，行為與結果即有相當之困果關係。

反之，若在一般情形上，有此同一條件存在，而依客觀之審查，認為不必皆發生此結果者，則該條件與結果並不相當，不過為偶然之事實而已，其行為與結果間即無相當因果關係，不能僅以行為人就其行為有故意過失，即認該行為與損害間有相當因果關係（最高法院98年度台上字第673號判決意旨參照）。

⒉查被上訴人不法侵害上訴人之隱私權、個資自主權固如前述，惟上訴人受有9萬9987元財產損害係因遭詐騙集團施以不爭執事項㈢所示之詐術，致其陷於錯誤，而依詐騙集團指示於110年12月21日以跨行轉出9萬9987元至指定之帳戶，上訴人之財產損失係因詐騙集團成員積極實施詐騙行為所致，即被上訴人上開不法侵害上訴人隱私權、個資自主權之行為，在一般情形下，並不必然會發生上訴人受詐騙且受有財物損失之侵害結果，此亦可由系爭陳情事件之監督通報紀錄表記載資料庫外洩約5423筆，然發生財損案件僅1筆（見本院卷一第195頁）足佐，即被上訴人之過失行為與上訴人之財物損失結果間，難謂有相當因果關係。

依上說明，上訴人依個資法第29條、民法第184條第1項前段、第2項、民法第185條規定，請求被上訴人應就其遭詐騙所受損失9萬9987元負連帶賠償之責，洵非可採。

㈣上訴人請求被上訴人賠償非財產上損害，有無理由﹖⒈按非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。

依前項規定請求賠償者，適用前條第二項至第六項規定；

又被害人雖非財產上之損害，亦得請求賠償相當之金額。

依前二項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件新臺幣五百元以上二萬元以下計算。

為個資法第29條、第28條第2、3項所規定。

準此，被上訴人不法侵害上訴人隱私權、個資自主權，致上訴人系爭個資為詐騙集團不法利用，已如前述，則上訴人主張其因此而耗費時間心力為申訴，過程飽受煎熬，並需持續擔心個資遭他人不當使用，受有精神上之痛苦，自堪採信。

是上訴人依前揭規定請求被上訴人賠償非財產上損害，即屬有據。

⒉按慰撫金之賠償，其核給之標準固與財產上損害之計算不同，然非不可斟酌雙方身分、資力與加害程度，及其他各種情形核定相當之數額（最高法院51年台上字第223號判例意旨參照），是慰撫金之多寡，應斟酌雙方之身分、地位、資力、加害之程度、被害人所受之痛苦及其他各種情形，加以核定。

查上訴人現年滿63歲、專科學校畢業，111年度無薪資所得，110、111年度報稅所得分別為32萬6719元、157萬9003元，110、111年度財產資料均為11筆，財產總額均為1456萬1598元；

麗禧公司、墨攻公司之資本總額分別為4億2100萬元、1000萬元，有三民派出所報案證明、經濟部商工登記公示資料查詢、111年度綜合所得稅電子結算申報繳稅系統、稅務電子閘門財產所得調件明細表、全國財產稅總歸戶財產查詢清單、系爭刑案之上訴人110年12月21日調查筆錄在卷可稽（見原審卷第35頁，本院卷一第103至105頁，卷二第113至121頁，限閱卷第7至14頁，系爭刑案之高雄市政府警察局前鎮分局刑案偵查卷宗第5頁）。

爰審酌上訴人教育程度、年齡、身分、地位及兩造經濟狀況，被上訴人加害之態樣為過失侵害上訴人隱私權、個資自主權、上訴人所受精神上痛苦之程度等，認上訴人請求被上訴人賠償非財產上損害即慰撫金2萬元，核屬適當。

至上訴人依民法第184條第1項前段、第2項規定為同此請求部分，即無庸再論。

⒊按不真正連帶債務係謂數債務人具有同一目的，本於各別之發生原因，對債權人各負全部給付之義務，因債務人中一人為給付，他債務人即應同免其責任之債務（最高法院89年度台上字第2240號判決意旨參照）。

查上訴人請求被上訴人賠償慰撫金2萬元，固屬有據，惟墨攻公司就其管理維護之系爭訂購系統所保有之上訴人系爭個資，未盡採取適當安全措施之責；

麗禧公司於上訴人系爭個資遭竊外洩前，未就墨攻公司管理維護系爭訂購系統，為適當監督之行為，其二人過失行為不同，然所致上訴人損害及給付目的係屬同一，對上開慰撫金各負全部給付之責，而為不真正連帶債務，依前揭說明，因債務人中一人為給付，他債務人即應同免其責任之債務。

是上訴人主張被上訴人應依民法第185條規定，負連帶損害賠償之責，並不可採。

⒋按給付無確定期限者，債務人於債權人得請求給付時，經其催告而未為給付者，自受催告時起，負遲延責任，其經債權人起訴而送達訴狀，或依督促程式送達支付命令，或為其他相類之行為者，與催告有同一之效力。

遲延之債務，以支付金錢為標的者，債權人得請求依法定利率計算之遲延利息。

但約定利率較高者，仍從其約定利率。

應付利息之債務，其利率未經約定，亦無法律可據者，週年利率為百分之五。

民法第229條第2項、第233條第1項、第203條亦分別有明文。

本件上訴人之請求屬給付無確定期限，其經准許部分，併請求自起訴狀繕本送達翌日即111年11月30日（見原審卷第117、119頁）起至清償日止，按年息5%計算之利息，為有理由。

⒌從而，上訴人依個資法第29條規定，請求被上訴人應分別給付2萬元及均自111年11月30日起至清償日止，按年息5%計算之利息；

如被上訴人任一人為給付時，另一被上訴人於其給付範圍內免給付義務，係屬有據，逾此即無理由。

㈤上訴人請求被上訴人應刪除並停止利用上訴人之個資，是否可採？上訴人主張被上訴人應刪除並停止利用所有上訴人留存於被上訴人公司系統中之所有LineID、UUID、姓名、電話、地址、電子信箱，為被上訴人所否認。

上訴人就其上開主張固提出「北投麗禧溫泉酒店」之Line廣告訊息截圖、112年10月25日電子折讓單通知信等件（見本院卷一第299頁，卷二第45、47、49頁）。

惟查，被上訴人抗辯其已刪除上訴人「姓名」、「購買紀錄」等個資，業據提出電腦系統截圖為證（見原審卷第281至284頁）；

而上訴人所提上開Line訊息截圖，依Line公司112年10月26日、同年11月15日回覆麗禧公司之電子郵件（上訴人不爭執真正，見本院卷二第317頁）內容可知，如上訴人不願再持續收到「北投麗禧LINE官方」訊息，須由上訴人自行操作封鎖或者解除與「北投麗禧LINE官方」好友關係、Line官方帳戶服務內並未提供管理「好友」的相關功能，因此無法刪除或封鎖追蹤官方帳號的Line用戶（見本院卷二第41、43頁)，則上訴人如不欲再收到「北投麗禧LINE官方」之訊息，僅需自行解除與「北投麗禧LINE官方」好友關係即可，是被上訴人抗辯上開官方帳號資料庫並非其等所擁有，其等無法刪除「北投麗禧LINE@官方帳號」、「我的票夾」中之購票訊息等情，即屬可採。

至112年10月25日電子折讓單通知信，為電子發票加值中心認證業者即鯨躍公司所寄送，僅係署名為麗禧公司，亦有該公司112年12月1日回覆麗禧公司之電子郵件可稽（見本院卷二第133頁被上證26；

上訴人不爭執真正，見本院卷二第317頁），是上訴人所提上開資料均無從證明被上訴人公司系統中，現仍留存上訴人所有LineID、UUID、姓名、電話、地址、電子信箱，且為被上訴人所利用，上訴人亦未再提出其他證據以實其說，其依個資法第3條、第11條第3項、第11條第4項、第20條第2項規定，請求被上訴人應刪除並停止利用所有上訴人留存於被上訴人公司系統中之所有上開個資，即非可採。

㈥至上訴人主張被上訴人亦有均未依個資法規定，就個資外洩查明後以適當方式通知伊、未盡事後通報之責等疏失部分，縱認為真，亦與上訴人請求受詐騙之金錢損失結果間無相當因果關係；

且被上訴人隱私權、個資自主權受侵害乃因墨攻公司就其管理維護之系爭訂購系統所保有之上訴人系爭個資，未盡採取適當安全措施之責；

麗禧公司於上訴人系爭個資遭竊外洩前，未就墨攻公司管理維護系爭訂購系統，為適當監督之行為所致，均如前述，與被上訴人是否未以適當方式通知上訴人、未盡事後通報之責無涉。

是上訴人此部分主張，自無再審究之必要。

五、綜上所述，上訴人依個資法第29條第1項、第2項規定，請求被上訴人應分別給付2萬元，及均自111年11月30日起至清償日止，按年息5%計算之利息；

如被上訴人任一人為給付時，另一被上訴人於其給付範圍內免給付義務部分，為有理由，應予准許；

逾此部分之請求，為無理由，不應准許。

從而原審就上開應准許部分，為上訴人敗訴之判決，尚有未洽，上訴論旨指摘原判決此部分不當，求予廢棄改判，為有理由，爰由本院廢棄改判如主文第二項所示。

至於上訴人之請求不應准許部分，原審為上訴人敗訴之判決，經核並無不合，上訴意旨指摘原判決此部分不當，求予廢棄改判，為無理由，應駁回此部分之上訴。

六、本件事證已臻明確，兩造其餘之攻擊或防禦方法及所用之證據，經本院斟酌後，認為均不足以影響本判決之結果，爰不逐一論列，附此敘明。

七、據上論結，本件上訴為一部有理由、一部無理由，依民事訴訟法第450條、第449條第1項、第79條、第85條第1項前段，判決如主文。

中 華 民 國 113 年 1 月 30 日
民事第六庭
審判長法 官 周美雲
法 官 汪曉君
法 官 游悦晨
正本係照原本作成。
被上訴人不得上訴。
上訴人如不服本判決，應於收受送達後20日內向本院提出上訴書狀，其未表明上訴理由者，應於提出上訴後20日內向本院補提理由書狀（均須按他造當事人之人數附繕本），上訴時應提出委任律師或具有律師資格之人之委任狀；
委任有律師資格者，另應附具律師資格證書及釋明委任人與受任人有民事訴訟法第466條之1第1項但書或第2項所定關係之釋明文書影本。
如委任律師提起上訴者，應一併繳納上訴審裁判費。
中 華 民 國 113 年 1 月 30 日
書記官 王詩涵