和運怎麼都知道

[國外科技媒體《TechCrunch》報導](https://techcrunch.com/2023/01/30/hotai-motor-exposed-irent-customer-data/)，一名資安研究員 [Anurag Sen](https://infosec.exchange/@hak1mlukha) 發現和泰汽的某個雲端伺服器資料庫沒有加密，這個資料庫有 iRent 使用者的個資（包括姓名、電話、Email、地址、照片、信用卡號碼等等）。

由於資料庫沒有作任何權限控制，因此任何知道這個資料庫 IP 位置的閒雜人等，都可以瀏覽這些資料。

iRent 母公司曾有一句經典廣告詞「[和運怎麼都知道](https://www.youtube.com/watch?v=y1Eg039b7jo)」，現在你在何年何月租了什麼車、駕照上的照片長怎樣，和運還讓全世界都知道了。

這些資料最早在 2022 年 5 月就外洩，且無法確定有沒有其他人看過這些資料。《TechCrunch》指出，他們之後與和泰聯絡，但沒有獲得回應。1 月 28 日轉與數位發展部部長唐鳳聯繫，獲得回應「著手處理」後一個多小時，資料庫才控制瀏覽的權限。

[數位發展部李懷仁政務次長表示：](https://www.facebook.com/cateinbigcity/posts/pfbid02ye8fhUzJxVr4X16nSST98sL5asE7KRSLFC5SG5YHnFPpnSXYQ7aq6ZX9AbMAErW4l?comment_id=5110069685762644&__cft__[0]=AZXw46QyKU6zm7gAJuxec02pi9SZXWTOgpCksW2qfu3_Y83ZY2LsoG8rsE0LspQgtDntMoI5OkWWjkg4GzSAviILEylGE0-1GbH2e1dxwqqzUx0YJKzIkN8crM5agZz_0xkO4BnjM1gbyuqNlGAkoryzbNr452o4QJJb5imt_xDb4qvJml0uJqx_m0IllqVDlJQ)

> 唐鳳部長在年假期間收到外媒來信詢問關於和泰汽車的會員資料問題，發現問題是民間企業的會員個資資料保護措施，但因為涉及資訊系統，所以數位部第一時間將這件事轉由數位部所轄管的財團法人台灣網路資訊中心負責維運的「台灣電腦網路危機處理暨協調中心（TWCERT/CC）」協助處理，從外媒的報導中也有提到，大約在外媒跟唐部長提及此事的一小時左右，該資料庫已經無法被造訪。

個資外洩的法律責任

個資外洩的問題就是你我都知道的《個人資料保護法》。非公務機關（例如這次事件的主角和泰）若是擁有個人資料檔案，必須採取防止個資被竊取的安全措施。

若因為故意或過失導致資料被竊取，依[個資法第 48 條規定](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050021&flno=48)政府會要求企業限期改善，否則可以開罰 2-20 萬元。個資被外洩的人可以對企業請求損害賠償，除非企業能證明他們沒有故意或過失，否則就要負起損害賠償的責任。

實務上也有很多票企業個資外洩，而被法院判決賠償的案例。

你的資料在個資法上值多少錢呢？根據[個資法第 28 條第 3 項規定](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050021&flno=28)，每個人、每一時間依情節輕重為新台幣 500 元以上、2 萬元以下。

訴訟過程中必須證明：

1. 被告是否有個資外洩的情形？ 2. 與原告受損害間有無因果關係？ 3. 被告公司有無採行適當安全措施？

如果今天被告企業能舉證他們已經盡力了，但資料就是被駭客盜走，那可能就會不用賠償。

被害人這麼多，要怎麼告？

通常個資外洩時間不會只有一個人，例如本次 iRent 事件，據報道至少有 10 萬名客戶的資料外洩。

那麼，這麼多人要怎麼告呢？

個資法第四章也規定，對於資料外洩事件，可以透過「[團體訴訟](https://www.moj.gov.tw/media/3953/551414284881.pdf?mediaDL=true)」進行。

只要能集滿 20 個被害人，並且找到符合[個資法第 32 條](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050021&flno=32)規定的「財團法人」或「公益社團法人」來幫你打訴訟，就能依法由這個法人的名義提起「團體訴訟」。

這些「法人」必須符合這些條件： 1. 財團法人的登記財產總額達新臺幣 1000 萬元／社團法人的社員人數達 100 人。 2. 保護個人資料事項於法人章程所定目的範圍內。 3. 許可設立 3 年以上。

[2017 年，雄獅旅行社資料庫遭到駭客入侵](https://news.ltn.com.tw/news/society/breakingnews/2077078)，其中 25 名受害者就請消基會提起團體訴訟。不過這個案子一審的時候雄獅主張他們是被駭客入侵，且有盡到保護個資的注意義務，因此[法院一審判決](https://judgment.judicial.gov.tw/FJUD/default.aspx)消基會敗訴。上訴之後雙方調解成功，因此沒有最終的法院判決。

團體訴訟的好處是，可以由專業的團體請到專業的律師來協助多數受害者主張權利，避免個別受害者陷入小蝦米對抗大鯨魚的困境。