裁判書系統

115年度訴字第231號

原      告  陳仕淳  

被      告  柏文健康事業股份有限公司

法定代理人  陳尚義  

被      告  柏文健康事業股份有限公司新竹湳雅分公司

法定代理人  陳尚文  

共      同

訴訟代理人  林曉伶  

            陳慶勳  

上列當事人間損害賠償事件，本院於民國115年5月11日辯論終結，判決如下：

原告之訴駁回。

訴訟費用由原告負擔。

一、原告主張：其於民國111年12月29日在被告柏文健康事業股份有限公司新竹湳雅分公司（下稱新竹分公司）所經營門市辦理交易或註冊，提供姓名、手機、信用卡號、電子郵件及住址等個人資料，嗣於112年5月29日續約。詎被告柏文健康事業股份有限公司（下稱柏文公司）於112年11月間因資安管理疏失，致客戶個人資料外洩，詐騙集團因而利用外洩資料冒充被告客服人員與原告聯繫，誘使原告陷於錯誤而遭詐騙，受有財產損失共計新臺幣（下同）884,714元。原告復主張：被告柏文公司未盡個人資料安全維護義務，業經主管機關教育部於113年3月8日以臺教授體部字第1130009688號行政處分書認定違反個人資料保護法（下稱個資法）第27條第1項及相關安全維護規範，並裁處罰鍰120萬元，足認被告柏文公司就個人資料外洩具有過失。被告等自應依個資法第29條第1項、民法第184條第1項、第224條規定，連帶賠償原告所受損害。為此，請求被告連帶給付原告884,714元，及自起訴狀繕本送達翌日起至清償日止，按年息百分之五計算之利息等語。

二、被告則以：被告於112年7月29日接獲北一區區經理通知，有會員接獲疑似詐騙電話後，即啟動緊急應變措施，並向主管機關及警察機關報案，寄發反詐騙簡訊予會員，於官網及社群網站張貼反詐騙聲明，另委託專業資安防護公司協助修復系統漏洞、進行加密升級，已盡善良管理人注意義務。又原告所受財產損失，係詐騙集團對原告施以積極詐術所造成，不法行為、損害結果及因果關係均存在於詐騙集團與原告之間，與被告行為間並無相當因果關係。況被告已廣發警示通知，原告仍於112年11月間依詐騙集團指示操作而受有損失，縱認被告應負責任，原告亦與有重大過失，應依民法第217條第1項規定免除或減輕被告賠償責任。另臺灣臺北地方檢察署112年度偵字第44635號不起訴處分書及臺灣臺中地方法院112年度中小字第4208號民事判決，均不足以證明被告未採行適當安全措施而有管理疏失。並聲明：原告之訴駁回。

三、兩造不爭執事項

　㈠原告於111年12月29日在被告新竹分公司所經營門市提供個人資料，並於112年5月29日續約。

　㈡教育部於113年3月8日以臺教授體部字第1130009688號行政處分書，就被告柏文公司個人資料安全維護事件為裁處。

　㈢被告柏文公司客戶資料外洩後，詐騙集團曾以冒充被告客服名義對會員實施詐騙；原告嗣後受有財產損失884,714元。

四、本件應審究者，厥為：

　㈠被告柏文公司就個人資料安全維護及事故通知義務之履行，是否具有過失？

　㈡被告個人資料外洩或通知行為與原告所受884,714元財產損失間，是否具有相當因果關係？

　㈢原告依個資法第29條第1項、民法第184條第1項、第224條規定，請求被告賠償884,714元本息，是否有理由？

五、得心證之理由

　㈠個資法第29條第1項規定，非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任；但能證明其無故意或過失者，不在此限。又行為時個資法第27條第1項規定，非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏；同法第12條規定，公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。個資法第31條亦明定，非公務機關損害賠償除依個資法規定外，適用民法規定。查原告係因與被告間會員契約及續約關係，向被告提供姓名、手機、電子郵件、住址、信用卡等資料，此等資料足以直接或間接識別原告身分，屬個資法所稱個人資料。被告柏文公司為經營會員制健身服務之非公務機關，既蒐集、處理及利用大量會員個人資料，自應依其保有資料種類、數量、利用方式及可能風險，採取相當之技術上及組織上安全維護措施。本件依原告提出之主管機關裁處資料，參以被告就個人資料外洩前是否已具體完成風險評估、存取權限控管、異常行為偵測、事故預防及即時通知機制等節，尚未提出足以證明其無故意或過失之證據，應認被告柏文公司就個人資料安全維護及事故通知義務之履行，未盡相當注意義務。是就被告違反個資法上安全維護及通知義務，並具有過失之責任原因事實，固可認定。

　㈡惟原告所受884,714元財產損害，與被告個資外洩行為間，尚欠缺相當因果關係

　　侵權行為損害賠償責任之成立，除須有違法行為、故意或過失及損害外，尚須該違法行為與損害結果間具有相當因果關係。所謂相當因果關係，應依經驗法則，綜合行為時存在之一切事實，為客觀之事後審查；如在一般情形下，有此環境及行為，通常均足發生同一損害結果者，始得認該行為與損害間具有相當因果關係。反之，如有該條件存在，依通常情形尚非必然或通常發生同一結果者，則該條件僅屬偶然事實，尚難認與損害結果具有相當因果關係。本件原告請求賠償之損害，並非其個人資料本身遭不法蒐集、處理或利用所生之非財產上損害，亦非信用卡資料遭直接盜刷、金融帳戶遭未授權侵入或身分遭直接冒用所生之損害，而係原告遭詐騙集團聯繫後，因受詐術誤導而自行依指示匯款所生之884,714元財產損失。衡諸詐騙取財事件之通常發生過程，財產損害之形成，通常須經第三人主動聯繫、設計話術、假冒身分、取得被害人信任、指示匯款或操作金融交易，以及被害人實際處分財產等多階段行為始能完成。個人資料外洩固可能增加詐騙集團接觸特定對象或提高詐騙話術可信度之風險，然依一般社會經驗，並非所有個人資料外洩者均會遭詐騙，亦非所有遭詐騙者之財產損失均係由個人資料外洩直接導致。個人資料外洩與財產匯款損失間，仍須視詐騙話術內容、使用資料種類、被害人受騙過程、匯款原因及第三人犯罪介入程度等具體情形判斷。查原告雖主張詐騙集團係利用被告外洩資料冒充客服，然其所提出證據尚不足以證明詐騙集團施用詐術之核心內容，係直接來自被告外洩之特定個人資料；亦不足證明如無被告個人資料外洩，詐騙集團即無從接觸原告或施詐；更不足證明被告如於特定時間即時通知原告，依通常情形即足以避免原告於112年11月間遭詐騙而匯款。原告財產損害之直接原因，仍係詐騙集團積極施用詐術及原告受詐欺後處分財產之行為。從而，被告未採取適當安全措施或通知義務履行不全之行為，至多可評價為詐騙集團得以接觸或取信原告之前提或背景因素；惟造成原告884,714元財產損害之直接、主要且獨立原因，係詐騙集團另行實施之故意犯罪行為。該第三人犯罪行為具有獨立介入性及主要損害形成作用，依經驗法則，尚難認被告個資外洩或通知遲延，在一般通常情形下即會發生原告匯款884,714元之同一損害結果。是原告所受財產損害與被告違反個資保護義務之行為間，欠缺相當因果關係。

　㈢原告依個資法第29條第1項請求賠償，為無理由

　　個資法第29條第1項固規定非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，應負損害賠償責任。惟該條所定責任，仍以違反個資法之行為與請求賠償之損害間具有因果關係為前提；且個資法第31條明定，非公務機關損害賠償除依個資法規定外，適用民法規定，益徵相當因果關係仍為損害賠償成立之必要要件。本件被告柏文公司違反個人資料安全維護及通知義務之過失，固經本院認定如前；惟原告請求之884,714元，係遭詐騙集團詐欺後匯款所生之財產損失，並非個人資料外洩依通常情形即會發生之損害結果。原告未能證明該財產損失與被告違反個資保護義務間具有相當因果關係，其依個資法第29條第1項請求被告賠償884,714元，即屬無據。

　㈣原告依民法第224條主張被告應負責任，亦不足採

　　民法第224條規定，債務人之代理人或使用人，關於債之履行有故意或過失時，債務人應與自己之故意或過失負同一責任；但當事人另有訂定者，不在此限。該條係債務人就其代理人、使用人或履行輔助人關於債之履行所生故意或過失，負同一責任之歸責規定，並非獨立之損害賠償請求權基礎。本件縱認被告對原告會員資料之保管，屬會員契約關係中之附隨義務，而有民法第224條適用之可能，仍須以被告之代理人、使用人或履行輔助人關於債之履行有故意或過失，且該債務不履行與原告所受損害間具有相當因果關係為必要。然本件造成原告財產損失之詐騙集團，係獨立實施詐欺犯罪之第三人，並非被告之代理人、使用人或履行輔助人，其詐欺行為自不得依民法第224條歸責於被告。況原告所受884,714元財產損失與被告個資保管或通知義務履行不全間，欠缺相當因果關係，亦如前述。從而，原告援引民法第224條主張被告應負損害賠償責任，亦無理由。

六、綜上，被告柏文公司就原告個人資料之安全維護及事故通知義務，雖有違反個資法之過失，然原告所受884,714元財產損害，係因詐騙集團積極施用詐術及原告受詐欺後匯款所致。個人資料外洩或通知遲延，依一般經驗法則，尚非通常足以發生該匯款損害之相當條件，二者間欠缺相當因果關係。從而，原告依個資法第29條第1項、民法第184條第1項、第224條規定，請求被告連帶給付884,714元，及自起訴狀繕本送達翌日起至清償日止按年息百分之五計算之利息，為無理由，應予駁回。

七、本件事證已臻明確，兩造其餘攻擊防禦方法及所提出之證據，經本院斟酌後，認均不足以影響前開判斷及判決結果，爰不逐一論述，附此敘明。

八、訴訟費用負擔之依據：民事訴訟法第78條。

中　　華　　民　　國　　115 　年　　6 　　月　　5 　　日

　　　　　　　　　民事第一庭法　　　官　黃致毅

　　　　　　　　　　　　　　　　書記官　魏翊洳