最近半年常接到陌生來電直接叫出你的全名和訂單編號，掛掉後馬上又是另一通。信箱被釣魚信塞爆，line 也開始收到自稱客服的私訊。回想一下，半年前某個電商或外送 app 好像有發過「資料外洩通知」，當時你直接刪信了。
前同事的兒子去年某個遊戲帳號被綁的個資外洩，後來信用卡被連續試卡好幾次，銀行打來確認他才知道。他算一算光是花在處理停卡、改密碼、重綁帳號的時間就超過 20 小時。後來律師告訴他依《個資法》§29 即使單一被害人也可請求酌定賠償 500 到 2 萬不等，集體訴訟時人均賠償常落在 5 千到 5 萬。
《個資法》給了被害人具體的賠償請求權，每人 500 到 2 萬的酌定賠償，集體訴訟可由消基會代提免訴訟費。下面把外洩的法律定義、§29 損害賠償的 3 個要件、團體訴訟的申請，一次說清楚。
先看這幾個重點
- 個資外洩的法律定義：什麼情況可以求償？
- 《個資法》§29 損害賠償的 3 個關鍵要件
- 5 萬到 100 萬的酌定賠償（§28 第 3 項）
- 團體訴訟（§32-§34）：免訴訟費、由消基會代提
- 蒐證 SOP：5 步保留證據
一、什麼是「個資外洩」？法律怎麼認定？
個資外洩是指「非公務機關」（例如電商、銀行、網路平台）或「公務機關」未依《個資法》安全維護義務，導致你的個人資料被第三人不法取得。常見情境：
- 電商網站被駭客入侵，會員 email + 電話被釣魚集團買走
- 外送 app 員工把客戶名單拿去賣
- 公司內部資料庫沒設權限，前員工帶走客戶清單
- 免費 Wi-Fi 註冊填的姓名/手機被轉作行銷用途
《個資法》第 27 條第 1 項：非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
《個資法》第 28、29 條：違反本法致個資被不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。
二、求償的 3 個法律要件
要成功求償，必須同時滿足以下三點：
- 外洩單位有違法行為：未盡安全維護義務（§27），或目的外利用、蒐集（§19、§20）
- 你有實際損害或精神痛苦：被詐騙金額、受到大量騷擾電話/簡訊、心理壓力、信用受損等
- 違法行為與損害有因果關係：能說明「個資是從這家公司流出，而非其他地方」
實務小撇步：怎麼證明「個資是從 A 公司流出」？
最簡單的方式是「標記獨特資訊」：
- 註冊 A 公司時，姓名欄填「王小明A」、Email 用
name+a@gmail.com（Gmail 別名功能） - 後續收到行銷簡訊或詐騙電話時，對方喊出「王小明A」就是 A 公司洩漏的鐵證
- Email 別名收到垃圾郵件，也可清楚回溯來源
三、可以拿多少賠償？
1. 一般損害賠償（§29、§28 第 1 項）
如果能證明實際財產損失（例如被詐騙轉帳 NT$50,000），可請求該金額。但實務上，被害人很難證明「轉帳給詐騙集團是因為 A 公司外洩個資」，因為詐騙手法多樣。
2. 酌定賠償：NT$500 ~ NT$20,000 / 人 / 件（§28 第 3 項）
即使無法證明實際財產損害，依《個資法》第 28 條第 3 項，每人每一事件可請求 NT$500 至 NT$20,000 的酌定賠償（不需證明具體金額）。法院會考量：
- 外洩個資的敏感度（身分證號 > 手機號 > 姓名）
- 外洩規模（百萬筆 vs 十筆）
- 業者是否盡合理防護義務
- 被害人實際受到的騷擾程度
3. 集體事件總額上限：NT$2 億（§28 第 4 項）
同一原因事件造成多人受害（如一次大型資料外洩），對單一機構的賠償總額上限為 NT$2 億，但每人請求金額不受影響。超過 2 億時按比例分配。
⚠️ 加總後賠償金看起來不多，但**個資法請求權的真實價值是「促使企業加強防護」**。金額不大，但企業面對團體訴訟一次可能要賠數千萬，會嚴肅看待安全維護義務。
四、求償的 4 種途徑
- 1
向業者提出書面請求（先禮後兵）
先寄存證信函到業者法定代理人地址，說明個資外洩事實、依《個資法》第 28、29 條請求賠償的金額、付款帳號與期限（通常 7-14 天）。許多大公司收到存證信函後會直接和解（金額多落在 NT$1,000 ~ NT$10,000）。
- 2
向地方政府或目的事業主管機關申訴
撥打消費者服務專線
1950，或直接到對應主管機關申訴：
- 銀行：金管會銀行局
- 電信業者：NCC（國家通訊傳播委員會）
- 電商：經濟部商業發展署
主管機關會調查，認定違法時可開罰 NT$50,000 ~ NT$5,000,000，業者壓力會更大。
- 3
提起民事訴訟（小額或一般）
求償金額 NT$10 萬以下走「小額訴訟」，不需律師、裁判費低、流程快（通常 1-3 個月）。可至各地方法院法律服務處免費諮詢書狀寫法。
- 4
加入團體訴訟（最推薦的途徑）
《個資法》§32-§34 設有團體訴訟制度。同一事件
20 人以上受害時，可委由「
消費者保護法第 49 條公告之消保團體」（如消基會）代為提起訴訟。優點：
- 免繳裁判費（高額求償時可省幾十萬）
- 由律師團專業處理
- 勝訴後賠償金一併分配
消基會：02-2700-1234｜
consumers.org.tw
五、蒐證 SOP：5 步驟保留證據
- 截圖外洩通報：許多公司外洩後會發 email/簡訊通知，截圖保留
- 記錄騷擾次數：把詐騙電話/簡訊的時間、號碼、內容寫成 Excel
- 保留新聞報導：大型外洩事件通常有媒體報導，可作為「公知事實」減輕舉證責任
- 查詢主管機關裁罰：上「政府開放資料平台」搜尋業者是否曾因個資被裁罰
- 保留標記資訊：前面提到的「姓名欄加 A」「+a@gmail.com」做溯源
六、台灣實際判決案例
案例 1：某航空公司會員資料外洩（台北地院）
逾百萬會員姓名、電話、護照號碼遭駭。集體訴訟原告每人獲賠 NT$1,000 ~ NT$3,000。
案例 2：購物網站員工偷賣客戶名單（台中地院）
員工內賊將 5 萬筆客戶資料賣給詐騙集團，公司因「未做員工權限分級控管」違反 §27，每名提告原告獲賠 NT$5,000。
案例 3：某銀行收到法院強制執行命令時，誤將欠款人個資告知第三人
個別案件，法院認定銀行違反個資法，賠償當事人 NT$15,000 + 律師費。
七、企業端：避免被告的 5 個基本動作
如果你是經營者，不想哪天突然成為被告，做好以下幾件事：
- 建立「個資管理檔案」（§18），記錄誰有權限存取哪些資料
- 對員工進行「個資法教育訓練」並留紀錄
- 導入 SSL/TLS 加密、資料庫加密、定期備份
- 制定「個資外洩通報 SOP」，事件發生 72 小時內通知當事人
- 每年做一次「個資安全稽核」，留存稽核報告
這些動作即使最後真的發生外洩，也能在訴訟中主張「已盡相當注意」（§29 第 1 項但書），免除或減輕賠償責任。
常見問題 FAQ
只是收到一通詐騙電話，可以告嗎？+
可以，但實務上單一電話不容易勝訴，因為很難證明「就是這家公司外洩」。建議先用前述「標記法」蒐證，或等同事件其他受害人浮現後集體行動。
外洩的是公司，可以告負責人個人嗎？+
原則上告法人（公司）即可，但若能證明負責人「明知」員工濫用個資而未制止，可依《個資法》第 50 條請求負責人連帶責任。
請求權的時效有多久？+
《個資法》第 30 條規定：自請求權人知有損害及賠償義務人時起，2 年內不行使而消滅；自損害發生時起，5 年內不行使而消滅。換句話說：知道外洩 2 年內或外洩發生 5 年內必須提告。
台灣公司把資料外包給海外（如 AWS、Cloudflare），出事誰負責？+
依《個資法》第 4 條，受委託處理個資的「受託人」也須遵守本法。原則上委託人（台灣公司）對當事人仍負損害賠償責任，再向受託人求償。所以即使你資料是被海外伺服器外洩，仍可在台灣法院告該台灣公司。
如果個資外洩涉及刑事責任怎麼辦？+
《個資法》第 41 條：意圖為自己或第三人不法之利益或損害他人之利益，違反本法規定者，處 5 年以下有期徒刑、拘役或科或併科 NT$100 萬以下罰金。發現有人在販售你的個資（例如在暗網市場上看到自己的資料），可向警政署刑事局「165 反詐騙專線」舉報，警方會立案偵辦。
想看完整「個資被外洩」情境頁
附《個資法》§28、§29、§41 條文對照、團體訴訟參加流程、消基會聯絡資訊、165 反詐騙專線。
查看情境頁個資被外洩的當下，多數人會覺得「反正只是手機號碼被多打幾通電話」就算了。但這種放著不管的心態正是企業不投資資安的最大原因。即使單筆求償 500 元，幾千人聯合提告金額就是幾百萬，這是消費者最有力的集體議價工具。
消基會 02-2700-1234 可受理 20 人以上的團體訴訟，由團體代提免訴訟費，勝訴後依比例分配。個案金額不大也別自己默默吞下，併進團體訴訟對你只是填一張表的事。
回到「個資被外洩」情境頁