個資外洩可以求償多少？個人資料保護法賠償上限解析 個資外洩可以求償多少？答案不是只有2萬元。依個人資料保護法規定，財產上損害原則依實際損失實報實銷、沒有固定上限；精神慰撫金則由法官依個案酌定，若不易或不能證明實際損害額時，才能改依每人每一事件500元至2萬元的法定賠償額計算，且公務機關及經準用的非公務機關同一原因事實的總賠償合計最高總額以新臺幣2億元為限。但因該原因事實所涉利益超過新臺幣2億元者，以該所涉利益為限（第28條第4項但書，經第29條準用於非公務機關）。能不能拿到高額賠償，關鍵在於你能否證明損失與外洩間的因果關係，以及企業是否能證明自己無故意或過失。 想像一下這個場景：阿明開心地訂了機票和飯店，準備來趟期待已久的日本之旅。幾天後，他接到一通電話，對方準確地說出他的姓名、身分證字號、航班日期和入住飯店，聲稱是旅行社人員，因系統錯誤誤設了分期付款，要求阿明操作ATM解除設定。阿明不疑有他，照著指示操作，結果畢生積蓄瞬間被轉走。事後他才驚覺，根本不是旅行社打來的，而是詐騙集團！而他的個資，正是從他訂購行程的旅遊網站外洩出去的。 這不是電影情節，而是臺灣法院真實審理過的案例。當個人資料外洩導致我們財產受損、精神痛苦時，到底能向洩漏個資的企業或機關求償多少錢？本文將用最白話的方式，帶你了解「個人資料保護法」（下稱個資法）的賠償規則，並透過真實的法院見解與計算範例，讓你徹底掌握自己的權益。 --- 一、個資外洩求償有哪兩種錢可以拿？財產損害與精神慰撫金完整解析 結論：個資外洩的賠償分兩種，一種是實際花掉或被騙走的錢，另一種是精神痛苦的慰撫金，兩者可以併計。 個資法就像是你個人資訊的保鏢。根據現行法律，任何公司（法律上稱「非公務機關」）保有你的個資檔案，必須採取適當的安全措施，防止資料被偷、被改、被洩漏。如果他們沒做好，導致你的個資外洩並讓你受害，他們就必須賠償。 個人資料保護法第27條經114年11月11日總統華總一經字第11400114521號令修正公布為「（刪除）」，但依該次修正條文，施行日期由行政院定之（尚未施行）；全國法規資料庫現行條文欄已顯示為「（刪除）」。現行非公務機關的安全維護義務，主體法源為個人資料保護法第20條之1第1項「非公務機關保有個人資料檔案者，應辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏」及同條第2項授權訂定之安全維護辦法，並由各目的事業主管機關訂定的安全維護辦法具體規範；個人資料保護法施行細則第12條現行仍有效，條文為「本法第六條第一項但書第二款及第五款所稱適當安全維護措施、第十八條所稱安全維護事項、第十九條第一項第二款及第二十七條第一項所稱適當之安全措施，指...」並列11款措施，該條雖仍援引已刪除之第27條，屬尚未配合新法修正之現行條文，實務判斷應回歸現行母法第20條之1及其授權辦法。第12條則為事故通知、通報、應變及紀錄保存義務，第51條之1則為監督管理事項於主管機關成立之日起六年內之過渡管轄條文，均非安全維護義務本身。法院在較早的判決中仍會引用舊第27條文字，例如113年度簡上字第219號判決所述的安全維護義務，即是事實發生於111年時的舊法用語，現行判斷應回歸第12條及第20條之1、安全維護辦法等新法源。 賠償主要分兩大類： 1. 財產上的損害：就是你實實在在的金錢損失，例如被詐騙匯出的款項、為了處理後續盜刷問題請假的薪資損失等。 2. 非財產上的損害（精神慰撫金）：因為個資外洩感到焦慮、失眠、名譽受損等精神痛苦，可以請求一筆慰撫金；其名譽被侵害者，並得請求為回復名譽之適當處分（第28條第2項後段，經第29條準用於非公務機關）。 接下來的關鍵問題就是：這兩種賠償，金額怎麼算？有天花板嗎？ 非公務機關安全維護義務修法對照 | 項目 | 修法前（舊法） | 現行法（114年11月11日修正公布，施行日期由行政院定之） | | :--- | :--- | :--- | | 法源依據 | 個人資料保護法第27條第1項 | 個人資料保護法第20條之1第1項、第2項及安全維護辦法（第12條為事故通知／通報／應變及紀錄保存義務，第51條之1為主管機關過渡管轄規定，非安全維護義務本身） | | 義務內容 | 採行適當安全措施防止個資被竊取、竄改、毀損、滅失或洩漏 | 依第20條之1應辦理安全維護事項、訂定安全維護計畫等並依安全維護辦法落實；第12條另課予事故發生時應通知當事人、符合一定範圍應通報主管機關、採行即時有效應變措施並記載保存紀錄等義務 | | 違反效果 | 依舊第48條論處 | 依現行第48條分級處罰（詳下表） | 個資事故發生時，企業還有哪些法定作為義務？ 依現行個資法第12條第1項：公務機關或非公務機關知悉所保有之個人資料被竊取、竄改、毀損、滅失或洩漏時，應通知當事人。第2項：前項情形符合主管機關所定一定通報範圍者，應通報（公務機關向主管機關及第21條之1機關、非公務機關向主管機關）。第3項：第一項情形，應採取即時有效之應變措施，防止事故之擴大，及記載相關事實、影響、已採取之因應措施，並保存相關紀錄，以備主管機關查驗。第4項為辦法授權。全條並無「查明事故原因」文字。這些通知、通報及應變紀錄義務，是法院判斷企業有無過失的重要依據。 --- 二、財產損害賠償可以拿多少？實報實銷但要證明因果關係與注意過失相抵 結論：財產損失原則賠多少算多少、沒有法定上限，但你必須證明「若非個資外洩就不會被騙」，而且如果你自己也有疏失，賠償會被打折。 財產損失的賠償，法律上原則是你損失多少，就賠償多少。但最大的挑戰在於，你必須向法官證明「你的損失」和「對方的個資外洩」有直接的因果關係。 真實法院案例解析： 假設你就是開頭提到的阿明，你告上法院，必須說服法官：「就是因為這間旅遊網站沒保管好我的個資，才會讓詐騙集團拿到我的旅遊細節來騙我，如果他們沒外洩，詐騙集團根本無從騙起。」 法院在審理這類案件時，會仔細檢視這種連結是否成立。參照113年度簡上字第219號判決（臺灣士林地方法院民事判決，二審，2025年8月27日宣判，尚未確定，本文為要旨摘述）所述，其要旨摘述如下：法院認為，若非詐騙集團取得上訴人留存於被上訴人公司主機的個人資料及旅遊資訊，並使用該等明確、特定的資料取信於上訴人，上訴人應不致陷於錯誤而遭詐騙，足認無此條件即無此結果，故可認定被上訴人未盡適當安全維護措施致洩漏個資的行為，與上訴人遭詐騙受有399,890元損害間有相當因果關係，上訴人自得請求該部分財產上損害之賠償（要旨摘述，非逐字引文）。 在這個真實案例中，詐騙集團能說出精準的個人資料與旅遊計畫，顯然是從旅行社那邊流出的。這種「無A則無B」的關係成立，因此認定被害人被騙走的 399,890元 與旅行社外洩個資間有相當因果關係。這筆財產上損害沒有特定的法定上限，端看實際損失金額。 注意：因果關係成立，不等於全額賠償。 在本案中，法院雖認定 399,890 元的財產損失與個資外洩有相當因果關係，但同時依民法第217條第1項「過失相抵」原則，認為被害人聽從詐騙集團指示、於短時間內多次操作ATM匯款一事「與有過失」，最終酌定旅行社僅負 二成（20%） 賠償責任，實際判賠金額為 79,978元（399,890元 × 20%）。該案主文並非單純「上訴駁回」，而是「原判決關於駁回後開第二項之訴及該假執行之聲請暨訴訟費用均廢棄。上開廢棄部分，被上訴人應給付上訴人79,978元。上訴人其餘上訴駁回。第一審、第二審訴訟費用，由被上訴人負擔十分之二，餘由上訴人負擔」。這提醒我們：除了證明因果關係，被害人自身的注意義務也會影響最終可獲得的賠償比例。法院會依雙方過失程度、被害人是否輕易聽信來電、是否查證對方身分等因素，綜合減輕賠償金額。 關於損害賠償的更多實務案例與操作細節，網路法律自保指南有系統性的整理可供參考。 --- 三、精神慰撫金真的只有2萬元嗎？500元至2萬元法定賠償額的3個關鍵 結論：2萬元不是總賠償天花板，它只是在「不易或不能證明實際損害額時」，精神慰撫金的替代計算方式；能證明高額財損時，賠償可以遠超過2萬元。 除了實際的財損，個資外洩讓人感到被侵犯、不安，當然可以請求精神賠償。這裡就涉及到一個特別的規定，也是大家最常聽到的「個資法賠償上限」。 1. 原則：法官酌定精神慰撫金 非財產上的損害，法官會根據個案情況，如外洩的資料敏感度（是姓名電話，還是病歷、財務資料？）、外洩的規模、當事人受影響的程度、企業是否曾發生外洩卻未改善等，來決定一個合理的慰撫金金額；其名譽被侵害者，並得請求為回復名譽之適當處分。參照113年度簡上字第219號判決（同上，二審尚未確定，要旨摘述）引述法條要旨：非公務機關違反個資法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，被害人雖非財產上之損害，亦得請求賠償相當之金額，其名譽被侵害者，並得請求為回復名譽之適當處分，此為個人資料保護法第29條準用第28條第2項之意旨（要旨摘述，非逐字引文）。 實務上，慰撫金沒有固定公式，法院會綜合侵害情節酌定。下表約3萬元至10萬元僅為舉例，實際金額由法院依個案認定，並非法律明定的區間。 2. 特別規定：每人每一事件「500元至2萬元」的法定賠償額 為了避免被害人舉證精神損害金額的困難，個資法設有「法定賠償額」機制。其正確法源是：公務機關適用第28條第3項，非公務機關則是依第29條第1項後段準用第28條第3項，兩者均為每人每一事件500元以上2萬元以下，且要件是「被害人雖不易或不能證明其實際損害額時」。 同時，第28條第4項設有同一原因事實的合計最高總額以2億元為限，但因該原因事實所涉利益超過新臺幣2億元者，以該所涉利益為限；第5項並規定，同一原因事實造成之損害總額逾前項金額時，不受每人最低500元之限制；第6項則規定，依第28條第2項請求賠償非財產上損害，不得讓與或繼承，但以金額賠償之請求權已依契約承諾或已起訴者不在此限，以上第2項至第6項均經第29條準用於非公務機關。 3. 重要！這是「擇一」關係，不是「外加」！ 這是最大的迷思！很多人以為，財產損失照賠，然後「另外還可以」再領一筆2萬元以下的賠償。這是錯誤的。 這個「500元至2萬元」的法定額度，是為了「替代」難以證明的「非財產上損害」（精神慰撫金）。如果被害人選擇主張這個法定賠償額，就不能再另外請求法官酌定更高的精神慰撫金。 更關鍵的是，如果被害人提出的「財產上損害」證據確鑿，而且金額超過2萬元，法院實務上會直接以證明的財產損失金額認定賠償（再視個案是否有過失相抵等因素調整），而不再適用這個法定賠償額規定。因為財產損失的賠償已經實質上覆蓋並超越了法定賠償額的保障目的。 參照113年度簡上字第219號判決（同上，二審尚未確定，要旨摘述）說明此法律適用邏輯要旨：本件上訴人舉證證明之損害為其受詐之金額即399,890元，已超過法定賠償額之最高限額，法院自應審酌上訴人提出之證據認定損害賠償金額，而無該條法定賠償額規定之適用；其立法理由亦指出，為確保當事人權益，於第28條第3項明定每人每一事件得請求之最高及最低限額，但若被害人能證明損害超過最高限額時，仍應准許其請求（要旨摘述，非逐字引文）。 意思是，在這個案子裡，被害人證明了高達近40萬的財產損失，遠超過2萬元的法定賠償上限，法院就直接依證據判賠財產損害，而不去動用那個500至2萬元的規定。這個法院見解明確告訴我們：能證明高額財損時，賠償金額可以遠遠超過2萬元。 法定賠償額與慰撫金的關係 | 項目 | 說明 | | :--- | :--- | | 請求權基礎 | 公務機關：個資法第28條第2項、第3項；非公務機關：個資法第29條準用第28條第2項至第6項（含回復名譽處分） | | 適用要件 | 被害人「不易或不能證明其實際損害額時」，法院得酌定500至2萬元 | | 與實際損害的關係 | 已證明實際損害超過2萬元時，依實際損害認定，不再適用法定額 | | 總額上限 | 同一原因事實，不論被害人多寡，合計最高總額以2億元為限，但因該原因事實所涉利益超過2億元者，以該所涉利益為限；總額逾2億元時，不受每人最低500元限制 | | 權利性質 | 非財產上損害之慰撫金不得讓與或繼承，但已依契約承諾或已起訴者除外；名譽受侵害時並得請求回復名譽之適當處分 | --- 四、個資外洩總共可以求償多少？一張表與一個情境題搞懂 結論：總賠償＝實際財產損失（可能因過失相抵打折）＋法官酌定的精神慰撫金；舉證越完整，越可能突破2萬元。 讓我們用開頭的「阿明情境」搭配真實法院見解來算算看： 情境： 旅遊網站A公司個資外洩，導致阿明被詐騙新臺幣50萬元，並因此精神焦慮需就醫。 | 賠償項目 | 金額計算與依據 | 說明 | | :--- | :--- | :--- | | 財產上損害賠償 | 500,000元（主張額，需舉證；法院可能依民法第217條過失相抵酌減） | 阿明必須提出匯款紀錄、報案證明、通聯紀錄等，並像113年度簡上字第219號判決（臺灣士林地方法院二審尚未確定）那樣，說服法官這筆損失與A公司外洩個資有相當因果關係。若法院認定被害人多次匯款與有過失，可能如該案僅判賠2成。 | | 非財產上損害賠償（精神慰撫金） | 舉例約30,000元至100,000元（由法官酌定，非法律明定區間）；名譽受侵害時並得請求回復名譽處分 | 法官會考量A公司過往是否也曾外洩（如113年度簡上字第219號判決要旨提及之情形）、外洩資料的敏感性、是否為病歷或財務資料、阿明精神痛苦程度及就醫紀錄等來決定。 | | 個資法法定賠償額（500至20,000元） | 本例不適用 | 因為阿明的財產損失50萬元已遠高於2萬元，且其要件為「不易或不能證明實際損害額時」；本例既能證明高額財損且另請求法官酌定慰撫金，故不適用此定額。 | | 可能的總賠償金額（未計過失相抵前） | 約 530,000元至600,000元 | 財產損害＋法官酌定的精神慰撫金（及必要時回復名譽處分）；若有過失相抵，財產部分可能按比例減少。 | 結論： 個資外洩的求償總額，並不僅限於2萬元。2萬元只是「不易或不能證明實際損害額時，精神慰撫金的法定替代上限」，且同一原因事實的合計最高總額以2億元為限，但因該原因事實所涉利益超過2億元者，以該所涉利益為限。同一原因事實總額逾2億元時，甚至不受每人最低500元限制。當你能證明具體、高額的財產損失時，求償總額是「實際財產損失（可能經酌減）＋法官裁量的精神慰撫金」，總數可能非常可觀。 --- 五、個資外洩求償常見問題：免責事由、申訴管道、罰鍰、刑責與時效一次看 Q：公司說他們「已盡一切安全防護義務」，我就沒辦法求償了嗎？ A：不一定，但公司要證明自己完全無故意或過失，實務上非常困難。 根據個資法第29條第1項，非公務機關違反個資法致生損害於他人者，負損害賠償責任，但能證明其無故意或過失者，不在此限。此為「舉證責任倒置」，公司必須自己舉證已採取符合當時技術水準、足夠嚴密的組織與技術防護措施，例如加密、存取控管、弱點掃描、教育訓練、事故應變演練等，並符合安全維護辦法要求。 若公司過去已發生過個資外洩卻未改善，如113年度簡上字第219號判決（臺灣士林地方法院二審尚未確定，要旨摘述）所指出之情形，或如個資籌法字第 1140000195 號函釋（法規諮詢意見，非判決）作成當時所討論之適當安全措施標準未落實，幾乎不可能被認為無過失。需特別說明，該函釋作成時所引用的第27條已於114年修正公布為刪除（施行日期由行政院定之，尚未施行），現行應以第20條之1等新法及安全維護辦法為判斷基準，第12條則為通知、通報及應變紀錄義務。 與公務機關不同，公務機關依第28條第1項僅於「天災、事變或其他不可抗力」致資料被竊取等情形，始得免除損害賠償責任，兩者免責門檻不同： | 主體 | 免責事由 | 說明 | | :--- | :--- | :--- | | 公務機關（第28條第1項但書） | 天災、事變或其他不可抗力 | 需證明損害係不可抗力所致，範圍極窄 | | 非公務機關（第29條第1項但書） | 證明無故意或過失 | 需舉證已盡符合當時技術水準的防護義務，實務舉證困難 | Q：求償一定要打官司嗎？有其他途徑嗎？ A：訴訟是最終手段，建議先申訴、檢舉，再視情況提告。 你可以： 1. 先向企業申訴：正式要求他們說明外洩原因、影響範圍與賠償方案，並保留書面紀錄。 2. 向主管機關檢舉：可向目的事業主管機關（如金管會針對銀行、觀光局針對旅行社）或地方政府法制局（處）檢舉該企業違反個資法。主管機關查證屬實時，可依現行個資法第48條分級裁罰並限期改正。這有時能促使企業更願意坐下來談和解。 3. 提起民事訴訟：如果協調不成，最後手段就是向法院提起民事損害賠償訴訟，可同時請求財產損害與非財產損害賠償，並於名譽受侵害時併請求回復名譽之適當處分。 現行個資法第48條罰鍰分級（節錄要旨） | 違規類型 | 罰鍰額度 | 備註 | | :--- | :--- | :--- | | 違反第8、9、10、11、13、12條第1項、20條第2項、第3項等 | 2萬元以上20萬元以下 | 限期改正，屆期未改正按次處罰 | | 違反第12條第2項、第3項通報、紀錄義務等 | 2萬元以上20萬元以下 | 同上 | | 違反第20條之1、安全維護計畫、增訂申報等義務 | 2萬元以上200萬元以下 | 限期改正，屆期未改正按次處15萬元以上1,500萬元以下 | | 情節重大者 | 15萬元以上1,500萬元以下 | 得逕行處罰，不需先限期改正 | 需注意，舊時所稱「違反第27條處2萬元以上200萬元以下」已非現行規定，現行第27條已修正公布為刪除（施行日期由行政院定之），裁罰應依上表分級適用。另個資籌法字第 1140000195 號函釋為舊法時期的法規諮詢意見，其提及之第27條、第48條文字應以現行新法為準。 Q：個資外洩，洩漏的人會有刑事責任嗎？ A：有可能，但民事賠償與刑事責任要件不同，可以分軌進行。 如果是意圖為自己或第三人不法利益、或損害他人利益，而非法蒐集、處理、利用個資，例如公司內部員工偷賣客戶資料，可能觸犯個資法第41條之罪，最高可處五年以下有期徒刑，得併科100萬元以下罰金。這與民事賠償是兩條不同的路線，可以同時進行。參照110年度台上字第5423號判決（最高法院刑事判決）論及個資法第41條之情形，顯示實務上確有刑事追訴案例。但刑事需證明行為人有「意圖為自己或第三人不法利益或損害他人利益」且「足生損害於他人」等主觀與客觀要件，與民事只要證明違反個資法致生損害即可能成立賠償，門檻不同。 Q：如果外洩的是公務機關（如戶政事務所、醫院），賠償規則一樣嗎？ A：大致相同，但法源與細節略有差異。 公務機關違法侵害你的個資，同樣要負財產與非財產損害賠償責任（非財產損害並得請求回復名譽之適當處分）。其非財產損害的法定賠償額，依個資法第28條第3項為每人每一事件500元以上2萬元以下，合計最高總額以2億元為限，但因該原因事實所涉利益超過2億元者，以該所涉利益為限（第28條第4項但書）；非公務機關則是經由第29條準用第28條第3項至第6項而適用同一標準。 此部分常見引用的法律字第 10100518090 號函釋（法規諮詢意見，非判決），其內容為101年時說明修法前後差異：舊法時期為每人每一事件2萬元以上10萬元以下、總額2,000萬元；新法（即現行法）改為500元至2萬元、總額2億元（但書所涉利益超過2億元者以該利益為限）。現行應以新法標準為準，舊法數字已不適用。該函釋要旨並指出，損害賠償總額逾2億元時，不受每人最低500元限制，且慰撫金請求權原則不得讓與或繼承，但已依契約承諾或已起訴者除外，名譽受侵害時並得請求回復名譽處分。 Q：個資外洩求償有時效嗎？多久內要主張？ A：有，2年短期時效與5年長期時效，逾期即消滅。 依個資法第30條，損害賠償請求權，自請求權人知有損害及賠償義務人時起，因2年間不行使而消滅；自損害發生時起，逾5年者亦同。也就是說，從你知道被騙、知道是哪家公司外洩時起算2年內要主張，否則即使仍在5年內也會罹於時效；若超過損害發生後5年，即使你剛知悉，也已罹於時效。建議一發現外洩或受騙，立即保存證據並以存證信函或起訴等方式中斷時效。 --- 總結 個資外洩求償，絕非僅有「2萬元」這個答案。核心關鍵在於： 1. 財產損失證據力與因果關係：保存好所有匯款紀錄、通聯記錄、報案三聯單、與企業往來的訂單與客服紀錄等證據，證明損失與個資外洩間的相當因果關係。證明得了，賠償金額就從這裡開始累加，但也要留意自身是否有與有過失而被依民法第217條酌減。 2. 企業有無過失的舉證責任：非公務機關須依個資法第29條第1項但書證明自己無故意或過失，公務機關則僅限天災等不可抗力始能免責，兩者門檻不同，企業舉證並不容易。 3. 精神慰撫金與法定額的選擇：可以請求由法官酌定相當金額，或在不易或不能證明實際損害額時，選擇主張500至2萬元的法定額（與高額財產損失通常擇一適用）；同一原因事實合計最高總額以2億元為限，但因該原因事實所涉利益超過2億元者，以該所涉利益為限，總額逾2億元時不受每人最低500元限制，且慰撫金原則不得讓與或繼承，名譽受侵害時並得請求回復名譽之適當處分。 4. 時效與程序：記得個資法第30條的2年、5年時效，並善用申訴、檢舉及現行第48條的分級裁罰機制促使企業和解，必要時再提起民事訴訟；刑事責任則另依第41條判斷，兩者可並行。 你的個人資料是寶貴的數位資產。當它因為他人的疏失而外洩並造成損害時，法律賦予你完整的求償武器。了解這些規則，並在第一時間保存證據、注意時效，才能有效捍衛自己的權益，也讓不重視個資保護的企業，真正付出應有的代價。
