观念平台－团体诉讼难 个资法再修正有其必要

个人资料保护法（以下简称「个资法」）自民国99年大幅修正，101年正式施行以来，迄今也已超过十年。在99年大修后，因所有企业个人均被纳入个资法规范范围，而且个资法对于个资搜集、利用、处理、及传输均有严格程序规定，同时课以个资持有人负有采取适当安全措施，防止个人资料被窃取、窜改、毁损、灭失或泄漏义务。

因此，在修法通过当时，几乎所有会搜集个人资料公务机关及非公务机关（企业）都绷紧神经严正以待，开始体检内部个资搜集情形，制定个资安全维护计划，备妥个资搜集同意书，载明搜集目的、利用范围期间等，佐以个资侵害刑事责任及团体诉讼引进，加上当时法律学界律师界言之凿凿，日后个资团体诉讼高额请求将成为每个企业营业的法律风险，个资议题成为当时每个企业首要管理的风险。

■个资法前次修法已逾10年，

团体诉讼没有成功案例

在个资法施行十年后，民众对于个资意识有显著提升，但现实中个资法对民众的影响似乎只存在随时都会被要求填写的个资搜集利用同意书，同时个资外泄事件却仍然三不五时出现在报纸的社会新闻角落。

至于当时被评估为企业首要面对的团体诉讼法律风险，至今为止，除在107年消基会代雄狮旅行社受害消费者依个资法团体诉讼规定向雄狮旅行社提起团体诉讼，遭士林地方法院判决消基会败诉的案例外，不仅没有成功案例，且无其他个资外泄受害者循个资法相关规定委托提起团体诉讼。

原本被视为小虾米对抗大鲸鱼的个资团体诉讼，为何在个资法施行十年，并未产生如当初立法预期效益，究其原因无非是以下三点：一、依据个资法第32条规定得受委托代为提起团体诉讼的法人必须符合三要件，亦即财团法人之登记财产总额达新台币1,000万元或社团法人之社员人数达100人；保护个人资料事项于其章程所定目的范围内；许可设立三年以上，然细数国内符合前述门槛的法人团体着实屈指可数。

二、个资法第34条规定必须有受损害之当事人20人以上以书面授与诉讼实施权，但每个受害当事人无法证明其损害时，得请求之金额至多为新台币2万元，在多数个资外泄事件，受害人明明个资被不法利用，但实难证明损害，因此即使有财团法人或社团法人愿意出面筹组自救会提起团体诉讼，好不容易集合20名受害人，不计非财产损害，所得请求之金额不过为40万元，恐怕连支付受理求偿登记行政作业的费用都不够。

三、即使提起团体诉讼，受委托提起团体诉讼的原告，对于企业是否有违反个资法未就保有个资档案采行适当安全措施，受害人损害与个资外泄事件间是否有因果关系，仍要负举证责任，例如在消基会与雄狮旅行社的团体诉讼中，士林地方法院即以消基会仅提出被告公司及警政署新闻稿、网路新闻证明雄狮旅行社，尚不足以证明被告公司有违反个资法未采取适当安全措施之情。

■大规模个资外泄事件频传，

立法者应思考如何保护受害者

综合以上原因，在大规模个资外泄事件中，个资法规定的团体诉讼要发挥保护受害人的效果，恐怕非如立法之初所预设的理想状况。至于如何解决这些问题，在大规模个资外泄事件频传的现在，有效使得受害者得到保护，进而使企业对于持有个资能更谨慎以对，着实需要立法诸公们进一步思考。