個人資料外洩之團體訴訟相關法制研析
個人資料保護法
僅供委員問政所需參考
                        

                        
                            不代表本院意見或立場
                        

                    
                

            
        

        
            編號：2390
        

        
            議題研析
        

        
            一、題目：個人資料外洩之團體訴訟相關法制研析
        

        
            二、議題所涉法規
        

        個人資料保護法

        
            
            三、背景說明
        

        （1） 
            我國為結合民間力量，發揮保護個人資料之功能，爰於2010年修正《個人資料保護法》（以下簡稱《個資法》），增訂財團法人或公益社團法人符合一定條件者，得提起團體訴訟，以協助隱私權遭侵害之當事人進行救濟。團體訴訟規範增訂迄今已逾10年，僅2018年由財團法人中華民國消費者文教基金會（以下簡稱消基會）代某大旅行社個資外洩之受害消費者，依該規範提起團體訴訟，惟遭法院判決消基會敗訴後[footnoteRef:1]，再無其他個資外洩受害者循《個資法》相關規定委託提起訴訟之案例。 [1:  臺灣士林地方法院107年消字第6號民事判決參照。該件總計25人被害，事件發生後，該旅行社僅表態願賠償每人2,000元折價券，雙方協商未果，由消基會依《個資法》等代25人提告求償450萬9,575元。臺灣士林地院認為該旅行社已善盡管理責任，惟消基會主張企業對個人資料保護觀念仍停留在個資外洩是他人不法犯行，企業本身對消費者受到損害不須負擔法律責任，不符一審判決而提出上訴，後續兩造於2020年7月7日經臺灣高等法院民事庭成立調解。陳孟萱，博客來詐不完2／會員個資外洩只肯給2千折價券 雄獅旅遊開「集體訴訟」先例，CTWANT，2022年9月27日，網址：https://www.ctwant.com/article/209463，最後瀏覽日期：2024年2月19日；消基會，雄獅個資外洩團體訴訟進度表，2020年9月10日，網址：https://www.consumers.org.tw/product-detail-2519883.html，最後瀏覽日期：2024年2月19日。] 

        

        （2） 未再有循《個資法》提起團體提訴訟之原因，並非我國個人資料外洩之案例大幅減少。相反地，每年傳出業者個資外洩案例層出不窮[footnoteRef:2]。雖發生個資侵害事件尚可依《民事訴訟法》提出團體訴訟[footnoteRef:3]，惟《個資法》於2023年5月16日經立法院三讀修正通過，增訂第1條之1明文成立個人資料保護委員會，專責處理個人資料保護事項。為達事權統一規範，國家發展委員會表示將採分階段修法[footnoteRef:4]。爰本文就《個資法》團體訴訟之規定，加以研析。 [2:  依刑事局統計，2023年我國發生7,643件網購詐騙，民眾財損4.7億元；6,366件解除分期付款，民眾財損7.8億元，主要皆是個資外洩造成。朱漢崙，打詐不力 去年詐騙金額件數新高，聯合報，2024年1月2日，網址：https://udn.com/news/story/7239/7679659。最後瀏覽日期：2024年2月20日。]  [3:  詳《民事訴訟法》第44條之3第1項規定，以公益為目的之社團法人或財團法人，經其目的事業主管機關許可，於章程所定目的範圍內，得對侵害多數人利益之行為人，提起不作為之訴。]  [4:  立法院第10屆第7會期第11次會議議案關係文書（院總第20號審查報告第10035471號），2023年5月12日印發。] 


        4、 
            探討研析
        

        （1） 
             修正得提起團體訴訟公益團體之資格要件及研議給付合理之律師酬金
        

        
            
            報告指出，我國《個資法》第32條就委託公益團體提起訴訟門檻雖無美、法、荷、韓國須先向被告提出通知或協商才得以提起團體訴訟，亦無韓國對公益團體之要求有較高門檻之限制，惟仍未發揮其應有之功能，恐非透過比較法研究或單純引進外國立法例所能改善[footnoteRef:5]。有關團體訴訟之規定，除《個資法》外，《消費者保護法》（以下簡稱《消保法》）、《證券投資人及期貨交易人保護法》（以下簡稱《投保法》）規定[footnoteRef:6]，其中《個資法》考量社會上公益性民間團體良莠不齊，為免發生濫訴，爰加以限制，對提起訴訟之適格團體資格加以明文要求[footnoteRef:7]。惟依此條件，能承受訴訟之適格團體本即不多，另外《個資法》第39條規定，提出訴訟之法人應將訴訟結果所得之賠償，扣除訴訟必要費用後，分別交付授與訴訟實施權之當事人，且不得請求報酬[footnoteRef:8]。由於立法者希冀透過具有一定資格之公益法人擔任訴訟，利用公益團體之公益性，以避免招攬訴訟或濫訴之情形發生。惟有論者指出，該規定忽略我國目前公益法人制度是否足夠健全[footnoteRef:9]，且符合資格之公益法人是否有足夠經驗擔任團體訴訟亦屬未知[footnoteRef:10]。 [5:  美國《加州消費者隱私法》（California Consumer Privacy Act）第1798.150條（b）規定，針對企業提起個人或集體法定損害賠償之任何訴訟之前，消費者應提前30天向企業發出書面通知並說明具體條款，若有補正可能，該企業得於前開30日內補正違反事項，並以書面向消費者聲明該違反事項已補正，並承諾將來不會再發生，消費者即不得向該企業提起個別或集體訴訟。法國《關於21世紀司法現代化的第2016-1547號法律》（LOI n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle）第63條規定，只有經准許之協會和已正式註冊至少5年之協會，且其法定目標包括維護被侵犯之利益，才可採取第62條所述的行動（第62條指團體訴訟）；另第64條規定，至少須於提起團體訴訟前4個月通知潛在被告。荷蘭《民法典》（Burgerlijk wetboek）第305a條第3項第c款規定，原告須先向被告提出協商請求，始能提出訴訟。韓國《個人資料保護法》（PERSONAL INFORMATION PROTECTION ACT）第51條規定，拒絕接受第49條之集體爭議調解或不接受集體爭議調解結果，得提起個資團體訴訟之團體分為2類：（一）依《消費者基本法》（ ENFORCEMENT DECREE OF THE FRAMEWORK ACT ON CONSUMERS）第29條規定向公平交易委員會登記且具備下列資格之消費者團體：1、依其章程規定，經常性以增進個人資料當事人權益為其主要目的；2、團體正是社員1,000人以上；3、依《消費者基本法》登記滿3年以上；（二）依《非營利民間團體支援法》（ASSISTANCE FOR NON-PROFIT, NON-GOVERNMENTAL ORGANIZATIONS ACT）第2條所定之非營利民間團體且具備下列資格：1、受100名以上在法律或事實上共同受同一侵害之個人資料當事人請求提起團體訴訟；2、章程明示係以個人資料保護作為設立目的，且最近3年期間有相當活動實績；3、擁有至少5,000名以上經常性社員；4、經中央行政機關登記在案。國家發展委員會，《個人資料保護法團體訴訟規範之研析》，2023年5月，網址：https://gov.tw/YQj，頁6-7、26、29-30。]  [6:  詳參《消保法》第47條至第55條、《投保法》第28條至第36條規定。]  [7:  《個資法》第32條規定提起訴訟之財團法人及公益法人之要件應符合（一）財團法人之登記財產總額達新臺幣1,000萬元或社團法人之社員人數達100人；（二）保護個人資料事項於其章程所定目的範圍內；（三）許可設立3年以上。其與《消保法》第49條規定消費者保護團體提起訴訟之要件應符合（一）許可設立2年以上；（二）置有消費者保護專門人員；（三）申請行政院評鑑優良，或《投保法》未為資格限制相較，《個資法》之資格要求最為嚴格。]  [8:  經檢視其立法理由，係參考《消保法》第50條及《投保法》第33條規定。]  [9:  由於公益法人之運作，端賴部分政府資金挹注，或公司企業會員捐助，若不得因處理訴訟受有報酬，是否有足夠誘因積極處理個人資料訴訟；若發生個人資料外洩之企業為捐助該公益法人之會員，該公益法人是否願意承擔訴訟，亦有疑義。參見曾學立，《個人資料保護法團體訴訟之研究》，世新大學法學院碩士論文，2013年6月，頁124-125。]  [10:  消基會指出，《個資法》修法之初，對法人資格並未限制，凡章程中記載有個資保護目的，皆可承受訴訟，惟如無法勝訴，所有費用皆只能由消基會自行承擔，故團體訴訟不應奠基消保團體之犧牲上。黃彥棻，臺灣個資外洩頻傳，該如何使個資法發揮更大保護力?消基會提個資修法三大建議，iThome，2023年3月16日，網址：https://www.ithome.com.tw/news/155951，最後瀏覽日期：2024年2月20日；張景皓，個資法將滿周年 產業因應情況仍紛亂不齊，iThome，2013年10月2日，網址：https://www.ithome.com.tw/tech/82900，最後瀏覽日期：2024年2月29日。] 

        

        因此，針對提起團體訴訟之公益團體資格，建議研修《個資法》第32條規定，參考《消保法》第49條2015年修正消保團體資格之規定，放寬承受團體訴訟之法人資格[footnoteRef:11]，以及《勞動事件法》第40條第5項規定，得適度允許請求合理律師費[footnoteRef:12]。 [11:  2015年《消保法》第49條修正時，刪除提起團體訴訟須為「社員人數500人以上之社團法人」、「登記財產總額新臺幣1,000萬以上之財團法人」之資格限制。]  [12:  2018年《勞動事件法》制定時，第40條第5項就團體訴訟律師酬金之規定，明文得	為訴訟費用之一部，並應限定其最高額。其制定理由係為使委任律師之酬金公平合理，應由司法院根據社會經濟狀況，並參酌法務部及中華民國律師公會全國聯合會之意見，就委任律師酬金之支給標準及其最高限額。如委任律師酬金公平合理，即可避免濫訴之虞。] 


        （2） 
            研議提高被害人不易或不能證明實際損害之賠償費用上限
        

        《個資法》第28條第3項規定，被害人不易或不能證明其實際損害時，得請求之金額至多為新臺幣（下同）2萬元，如依團體訴訟規定起訴人數為20人計算，不計非財產損害，所得請求金額最高僅為40萬元，是否足夠支付受理求償登記之行政費用?該金額於2010年《個資法》修正時係參考《法院辦理民事事件證人鑑定人日費旅費及鑑定費支給標準》第3條規定[footnoteRef:13]，惟該條於2003年迄今未修正，實有重新檢視之必要，俾提高業者正視個資外洩之嚴重性及被害人及求償之意願[footnoteRef:14]。 [13:  《個資法》第28條於1995年制定時，規定每人每一事件之賠償總額以新臺幣2萬元以上10萬元以下計算，2010年修正時考量當事人不易或不能證明其實際損害額之例外情形，且個人資料之價值性及當事人行使請求權、出庭作證之意願，爰參考《法院辦理民事事件證人鑑定人日費旅費及鑑定費支給標準》之規定，修正為每人每一事件新臺幣500元以上2萬元以下計算，係為兼顧法院在個案之裁量權限及防止有心人士興訟。]  [14:  由於訴訟成本與賠償費用不成比例，民眾提告之意願極低，另《食品安全衛生管理法》第56條第3項規定，消費者不易或不能證明其實際損害額時，每人每一事件上限為新臺幣30萬元。何家慈、陳曉芙、劉以羚、羅思涵，當電商平台成為詐騙高風險賣場，政府與企業該如何聯防資安漏洞?報導者，2023年2月7日，網址：https://www.twreporter.org/a/personal-data-leaked-e-commerce，最後瀏覽日期：2024年2月20日。] 


        （3） 
            舉證責任轉由被告負擔
        

        在個資外洩之訴訟中，受害者必須就個資外洩係由被告造成進行舉證，惟個資保管系統係由被告所保有、建置及管理，於訴訟中要求受害者自行舉證似顯失公允。又民事訴訟法第277條但書雖有就舉證責任顯失公平者，當事人得減輕舉證責任，惟為避免個案審判情形不一[footnoteRef:15]，爰建議於《個資法》增訂舉證責任由受害者轉換成由被告負起證明個資並無外洩之責任。 [15:  以消基會控訴雄獅旅行社個資外洩一案為例，當時法院認為原告消基會應就個資外洩一事負舉證責任。] 


        撰稿人：林淑靜

        

        1