從容應對個資外洩事故 產官民三方各具重要角色

個資事故依法通知會員

然依照我國個人資料保護法（以下稱「個資法」）第12條規定，公務或非公務機關於發生個資事故的時候，應查明後以適當方式通知當事人，如經主管機關要求改善未果，則有違反個資法第48條得裁處行政罰鍰之可能。

而中華郵政目前業已於郵政商城網站首頁、臉書粉絲頁公告，並發送電子郵件提醒會員防範，此外，更針對資料可能遭竊取之會員，透過電子郵件通知，以避免類似詐騙事件再次發生。

▲中華郵政目前業已於郵政商城網站首頁提醒會員防範。

對於資料當事人而言，個資的外洩已成既定事實，知悉具體事故的內容及因應措施，可提高對於遭遇詐騙的警覺性，亦能降低當事人可能的損失，甚至可以協助詐騙的防制。

中華郵政採行之處理措施

依照個資法施行細則第12條第4款，亦要求機關於訂定適當安全維護措施時，應考量訂定事故之預防、通報及應變機制，中華郵政針對本次事故，立即成立了緊急應變小組，並通報主管機關，並與第三方資安專家展開合作調查，並提供了聯絡人及聯絡方式以供民眾查詢通報。

而關於事故之預防、通報及應變機制，除各主管機關（如本案為交通部）所訂定之個人資料檔案安全維護計畫辦法中有原則性的規定外，另有如經濟部委託資策會科法所制訂之產業標準「臺灣個人資料保護與管理制度（TPIPAS）」，針對事故所應採取之預防、通報及應變措施，均認為應包括下列重點：

1. 採取適當之應變措施，以控制事故對當事人的損害，並通報主管機關及有關單位。

2. 查明事故之狀況並以適當方式通知當事人，其通知內容包括：
a. 個資外洩之事實。
b. 業者所採取之因應措施。
c. 提供之諮詢服務專線。

3. 研議預防機制，避免類似事故再次發生。

對於發生事故之機關而言，除了通知當事人及主管機關外，機關如果能在事故發生當下立即做出有效處置，不僅可以降低損害賠償之成本，更有可能藉由妥善的處置，降低對於機關信譽的影響。

四措施避免再次受騙

對消費者而言，為了預防再次受到詐騙的可能性，現在可以參考的措施計有：

1. 修改會員密碼：以避免取得帳號相關資料的不肖份子，繼續登入帳號為不法行為。

2. 預防個資購物詐騙，可參考「內政部警政署165全民防騙超連結」，牢記「一聽、二掛、三查」：聽清楚電話內容是否有疑似詐騙的關鍵字，例如簽單錯誤、帳號設定錯誤、取消分期付款等；若是聽到關鍵字，立刻掛斷電話，不讓歹徒繼續操控你的情緒；然後快撥165反詐騙專線查證。

3. 如果還是不確定是否遭到詐騙，可以撥打中華郵政於相關通知中提供之聯絡窗口，請其協助確認。

4. 保留相關證據：保留可以證明個資係因機關而外洩，作為後續求償或訴訟的證明。

損害賠償與權益保障

就目前中華郵政積極處理本次事故之態度與作為，或許多數的會員可能都會接受和解的條件，而依個資法第29條規定，受害人如不易或不能證明其實際損害額，法院得依侵害情節以每人每一事件新台幣500元以上，2萬元以下計算，假設外洩資料筆數確實為新聞所述1萬7千多筆（且無重複資料），則中華郵政可能需負擔850萬至上限2億元之天價損害賠償金額。

但因訴訟成本所費不貲，絕大多數消費者都會因為損害賠償的金額，遠遠不如所需負擔的訴訟成本（如律師費、裁判費等），因而怠於保護自己的權利，故個資法第34條規定，對於基於同一事實造成多數人（20人以上）權利受侵害之事件，財團法人或公益社團法人得協助其提起團體訴訟，藉由多人參與訴訟，不僅可分攤訴訟成本，更可藉由民眾捍衛自己個人資料的權益，加強機關對於個資防護的意識與作為。

為了避免有假聲張正義之名，行濫用個資法訴訟資源之實的「個資蟑螂」出現，個資法第32條亦要求得提起訴訟之財團法人或公益社團法人，應符合下列要件：

1. 登記財產總額達新台幣1,000萬元或社員人數達100人。

2. 保護個人資料於其章程所定目的範圍內。

3. 許可設立3年以上。

政府該做些什麼？

依個資法第22條規定，中央目的事業主管機關或直轄市、縣（市）政府為例行性檢查或有違反本法規定之虞時，得對機關執行行政檢查，因此於事故發生後，相關政府部門得對中華郵政進行行政檢查，針對機關違法之處，為行政處分或裁處行政罰鍰，以盡政府監督之責。

＜本文作者：蔣哲宇，資策會科法所法律研究員。資訊工業策進會科技法律研究所（資策會科法所）為國內首屈一指之科技及產業政策法制智庫，研究領域包含科技研發、科技專案、生物科技、個人資料保護、資通訊、資訊安全、文化創意及智慧財產權等法制議題，詳細資訊可參閱官網https://stli.iii.org.tw/。本文作者為蔣哲宇，現於資策會科法所擔任法律研究員，專注於個人資料保護與管理相關法制議題，並協助推動臺灣個人資料保護與管理制度（TPIPAS）。>