今(2026)年10月以來，個資與資安事件接連發生：電商開店平台91APP的訂單資料庫遭攻擊，公布的最大可能影響範圍涵蓋上千個品牌、近480萬名消費者；新創雲端部署平台Zeabur在接連遭遇資安事件後，宣布逐步停止營運；11月初，也有銀行表示，因新網銀交易系統程式異常，造成部分客戶帳戶款項不明轉出。

這陣子在演講和諮詢現場，最常被企業主和新創問到兩個問題：「是使用的廠商系統被駭，我們也要負責嗎？」、「消費者被詐騙集團騙走的錢，會算到公司頭上嗎？」

8月本專欄談過委外時契約該怎麼寫，這次換到事情發生之後：當個資外洩真的鬧上法院，法院與主管機關會怎麼回頭檢視企業。筆者近期為一場演講整理了近年的個資民事判決，以下分享幾點觀察（各案多屬個案判斷，事實細節不盡相同，僅供參考）。

一、法院審理個資求償的三道關卡

消費者因個資遭侵害而求償，請求基礎主要是個資法的損害賠償規定，並可一併主張民法的侵權責任。個資法對企業採「推定過失」；簡單說，就是先假設企業有過失，企業要自己舉證證明沒有故意或過失，才能免責。這聽起來對企業相當不利，但被推定的只有過失這一項，原告原則上仍須證明自己的資料確有外洩、受有損害，以及兩者間的因果關係。從判決來看，我的觀察是這類事件可以拆成三道關卡來討論：有沒有外洩、企業事前有無採取適當安全措施、損害跟外洩之間有沒有因果關係。

第一關是「有沒有外洩、從哪裡外洩」。臺灣高等法院的iRent案中，外媒報導其雲端資料庫曾可被外部存取，會員起訴求償，但法院認為原告只證明了「有風險」，未能證明原告自己的個資確已洩漏，一、二審全部敗訴確定。不過，這一關不一定要有直接證據：臺灣高等法院臺中分院的迪卡儂案、士林地院的雄獅案中，法院考量詐騙者掌握交易細節，以及同期出現多起類似案件，據以認定資料是從企業流出。另外，系統若由企業建置、管理，證據偏在企業一方，也有法院判決認為要減輕原告的舉證責任（臺灣高等法院的麗禧溫泉酒店案）。

第二關是「事前有沒有採取適當安全措施」。單憑事後補強，無法證明事前已盡義務。迪卡儂案中，公司事發前的清單仍將部分資安政策列為「擬訂中」，提出的資安健診報告與防護措施清單則是事後才完成，法院認定無法證明事前已盡義務；雄獅案亦同。另一件臺北地院審理的有線電視裝機案件更值得企業主留意：裝機人員用自己的手機拍客戶證件，照片隨手機自動備份到雲端，再被第三人取得、拿去申辦門號。法院認為公司可以預見員工會用私人手機拍照，卻沒有提供專用設備，叮囑刪照片、簽切結書都只是事前教育或事後檢核，仍屬於未採取適當安全措施，因為該措施並沒有辦法達到效果（本件為一審判決）。

二、被騙的錢，法院怎麼看因果關係？

這是最多人關心的一關。本文整理的幾件判決中，有法院認為個資外洩與被騙匯款之間欠缺相當因果關係，因此駁回被騙款項的賠償請求。

迪卡儂案的會員被冒充客服的詐騙集團騙走57萬餘元，法院認定公司有外洩、也有過失，但被騙的錢不賠，只判精神慰撫金2萬元，理由是外洩只是條件之一，「並不必然」導致被騙匯款。今(2026)年6月新竹地方法院的柏文健身案（一審）同樣否定因果關係：會員被冒充客服的詐騙集團騙走88萬餘元，主管機關已對公司裁罰，法院也認定公司違反安全維護與通知義務，但仍認為詐騙集團的故意犯罪是造成匯款損失的直接、主要且獨立原因，外洩只是前提或背景因素，財產損害的請求全部駁回。

當然也有例外。雄獅案中，法院認為洩漏個資「一般情形即足使詐騙集團惡用行詐」，因果關係成立；但同時認定被害人對常見詐騙手法疏於警覺，應自負八成過失，最後判賠7萬9,978元。

看到這裡，企業主或許會鬆一口氣，但我想不宜過度樂觀。首先，因果關係終究是個案判斷，雄獅案已經是反例。其次，被騙的錢不賠，慰撫金卻可能照賠：本文整理的案例中，獲准的慰撫金每人約從1萬元到10萬元不等，也有完全未獲准的；個資法另設有當事人不易或不能證明實際損害額時，以每人每一事件500元到2萬元計算的方式。同一原因事實侵害多人權利時，依個資法請求的賠償總額原則上以新臺幣2億元為限；若該原因事實所涉利益超過2億元，則以該利益為限。個資法也設有團體訴訟制度，企業仍須考量訴訟與商譽成本。而能把這個數字壓低的，往往就是事前的安全措施，以及事後及時、內容完整的通知。再者，請求權不限於個資法，有線電視案的原告依消費者保護法請求，法院另判了懲罰性賠償金。

三、系統是廠商的，委託人仍有監督義務

回到第一個問題：廠商被駭，企業要不要負責？法院會檢視企業如何監督廠商，以及企業本身是否盡到法定義務。

麗禧溫泉酒店案中，酒店委託系統商建置的訂購網站遭駭，系統商只拿得出事後的改善紀錄，酒店也證明不了自己有做事前監督，法院判酒店與系統商都應賠償慰撫金。臺中地院沙鹿簡易庭的星月大地案則是會計稅務委外，前員工以自己的名字及扣繳相關關鍵字搜尋，竟查得到含身分證字號與薪資的扣繳憑單，法院認為委託人未盡監督義務，應與受託的會計公司連帶賠償。臺灣高等法院臺中分院的緩慢民宿案與91APP的結構最為接近：民宿承租雲端訂房系統，系統商遭植入程式、竊取備份，法院認定系統商違反安全維護義務，民宿也未依法通知當事人，應負賠償責任（同案關係企業並非涉案個資的保有者，法院駁回對它的請求）。當然，企業若能證明自己確實已盡監督義務，仍有免責的空間，這也再次說明了事前監督紀錄的重要性。

這也是Zeabur停運事件提醒我們的另一面：個資法施行細則把委託關係終止時資料的返還與刪除，列為委託方應監督的事項。廠商停業時，資料搬走只是一半，留在原平台的原始資料、備份與副本怎麼處理，也應留下確認的紀錄。

四、防詐宣導，不等於通知

出事之後，不少企業的第一個動作，是發個「近日詐騙猖獗，請提高警覺」的提醒公告。緩慢民宿案就是如此：民宿寄出的簡訊只寫詐騙案件增多、請勿提供個人資料，法院認為個資法要求通知的是「個資被侵害的事實及已採取的因應措施」，這封簡訊完全沒提到個資已經外洩，不算是個資法所要求的通知，二審並把慰撫金從2萬元提高到10萬元。反過來說，通知的管道倒不必拘泥，依施行細則第22條，個別通知所費過鉅時，得斟酌技術可行性及當事人隱私，以公開方式通知。迪卡儂案中，法院認可該公司在官網與社群發布公告的做法。

另外也提醒，2025年11月公布的個資法修正條文，已把通知要件改為「知悉」個資遭侵害即應通知，並對達一定範圍的事故增加通報主管機關的義務，但施行日期由行政院定，截至本文撰寫時尚未施行。緩慢民宿案所要求的通知內容，在現行施行細則第22條已有明文。

五、主管機關看的，同樣是事前

行政監理也是同一個邏輯。旋轉拍賣案中，最高行政法院指出，安全維護義務的目的在於事前預防，而不是等外洩發生後才追究，主管機關查得相當事證、足認有外洩之虞，依行為時規定就可以命企業限期改正。酷澎臺灣案中，數位發展部認定的缺失，是離職員工的權限沒有刪除、各區資料庫的備援金鑰相同且沒有定期更換，最後對公司與代表人各罰75萬元；同一事件在韓國，主管機關則把公司刪除存取日誌列為不利因素，該次裁罰也涉及其他違規事項。另外，主管機關的函文或認定，也不當然拘束民事法院；麗禧溫泉酒店案中，企業提出對自己有利的主管機關函文，法院仍未據以免除責任。

結語：出事之前，把紀錄留好

整理下來，無論是法院還是主管機關，問的幾乎都是同一件事：事發之前，您做了什麼，又拿得出什麼紀錄？例如系統與委外廠商的清單（含版本與負責人）、對廠商的監督紀錄（問卷、稽核報告或廠商的書面回覆）、權限與金鑰的回收及輪替紀錄、事先擬好的通知範本（寫明外洩事實與已採取的因應措施），以及事故當下的日誌保全（韓國酷澎案中，刪除存取日誌就被列為不利因素），這些平時看似繁瑣的文件，到了訴訟或行政檢查時，往往就是企業能拿出來的主要證據。

資安事件很難保證百分之百不發生，但事前的準備，決定了事後要付出多少代價。這些工作都有其必要性，千萬不可輕忽，畢竟企業真正要守住的，是客戶的信任與長久的生意，而不只是在法庭上證明自己已經盡力。

陳全正律師（法律兵工廠粉專：https://reurl.cc/96Oryd ）