海外での知的財産権訴訟リスクをサポートします 海外知財訴訟費 … · 中国における訴訟件数は5年間で約2倍! 中国知財民事訴訟件数の推移
個資訴訟高峰將來到! 企業的應對之道 - FISC ·...
Transcript of 個資訴訟高峰將來到! 企業的應對之道 - FISC ·...
www.fisc.com.tw 55
個資訴訟高峰將來到!企業的應對之道│資訊分享
個資訴訟高峰將來到! 企業的應對之道 曾韵∕勤業眾信聯合會計師事務所企業風險管理部門協理
一、前言
「個人資料保護法」(以下簡稱「個資法」)
已於 2012 年 10 月施行,以金融業而言,全臺
三十幾家銀行已有超過二十家建立個人資料管
理機制,其準備程度固然高,然而這樣就夠了
嗎?企業足以應對相關的風險嗎?
根據相關文獻指出,「個資法」施行後,
其高額賠償責任將對企業帶來重大衝擊;若以
鄰近國家日本為例,其於 2010 年上半年發生
之個資外洩十大事件中,雖未發生大規模外洩
情況,但是總共超過 500 萬人受影響,且損失
金額總計超過 1,215 億日元,民間與政府皆付
出慘痛代價。再從日本施行「個資法」後的統
計結果來看,請求損害賠償案件數量最高峰約
在施行後 2 年發生,而基於企業陸續導入個人
資料管理機制,以及接觸到較多案例累積應變
經驗的情況下,從第 3 年起相關案件數量才得
以逐年下降。
若我們比照鄰國日本的經驗,預估臺灣將
在 2014 年隨著個資訴訟案件的攀升,面臨相
關損害賠償數額的最高峰;然而,根據筆者任
職之勤業眾信聯合會計師事務所(以下簡稱勤
業眾信)導入超過 60 家企業的個資強化專案
經驗來看,目前各企業於數位鑑識領域的能
力,其準備程度遠遠不足以應付未來可能面臨
的風險。
二、企業面臨訴訟之困境
根據筆者協助客戶的經驗來看,企業在面
臨訴訟時常因數位證據之議題而遭遇困難,主
要問題分兩面向說明:
(一) 證據能力遭受質疑
某企業控告其員工違反商業會計法,並提
出日記帳、轉帳傳票的備份磁片,將其內容經
列印後以紙本提供法官,作為認定被告犯行的
證據。全案最終在最高法院審理時,被告提出
下列論點攻擊該等證據之證據能力:
1. 原告無法清楚說明該磁片內容是否依據
「商業使用電子方式處理會計資料辦法」
等主管機關之規定所製成。
2. 磁片是由何人以何種方式拷貝製作?原告
無法證明自蒐集到取得並存入磁片的過程
中未遭竄改。
由於被告抗辯表示原始日計帳與轉帳傳票
已不復存在,並對企業所提出的備份磁片檔案
之內容有所質疑;此外,法官亦認為該相關證
據缺乏證據能力,因此最終判原告敗訴,將原
判決發回更審。
從上述案例可知,數位證據的「易遭竄改
性」、「復原可能性」,使得企業在訴訟時,
56 財金資訊季刊∕No.76∕2013.10
資訊分享│個資訴訟高峰將來到!企業的應對之道
若未能充分掌握相關特性進行攻防,被告若針
對數位證據的證據能力提出質疑,而原告無法
確保數位證據之證據能力時,往往使原告成為
處於劣勢之一方。因此,許多企業漸漸對於數
位證據的蒐集過程愈加重視,期望在事件發生
時,可採取有效的措施,強化證據能力,使證
據得以被法院所採納。
(二) 證據之證明力不足
某家企業在經過長期就各系統軌跡資料的
調查後,終於鎖定外洩可能人員,並扣押其筆
記型電腦與 USB 外接硬碟進行分析,發現幾項
特點:
1. 相關系統的軌跡資料顯示,該名員工曾從
系統中下載客戶資料。
2. 從該名員工之 USB 外接硬碟將已刪除之
資料還原,發現其曾存放大量客戶名單,
且竄改副檔名而使其檔案可能被誤認為圖
片檔。
該企業調查人員依據上述資訊之推斷,認
為該名員工雖透過正常管道取得客戶資料,惟
卻違反公司規定,將資料存入個人的 USB 外接
硬碟,且試圖以竄改副檔名偽裝該檔案,應有
將資料外洩之意圖,乃對該名員工提起訴訟。
然,承審法官認為,相關證據至多可證明
該名員工違反公司規定,將檔案儲存至不妥適
之處,企業無法提出員工將資料外洩的違法證
據,因此認為證據不足而判企業敗訴。
從本案例可發現,企業若平時留存的證據
不足夠,事件發生時,往往無法有效將行為人
治罪,甚至可能連發生原因都無從調查。因此,
為因應個資之軌跡留存與外洩調查需求,筆者
在協助企業內部進行稽核軌跡留存相關研討
時,對於應留存多少稽核軌跡才能避免證據不
足之情形,亦有極多之討論。
一般來說,若企業進行較完整之系統稽核
軌跡留存,往往需要花費大量的金錢或時間才
能完成,這對企業來說無疑是重大負擔;如何
在風險與成本間取得平衡點,留存相對完整的
軌跡,對於企業來說是最困難的抉擇。
三、企業面對個資訴訟事件的應對
作法
前段係針對企業於訴訟時所遭遇之數位鑑
識相關議題進行探討;然而,企業面臨個資訴
訟案件時,卻常因情況不同而在訴訟策略及證
據準備上有所差異,為協助企業針對涉訟案件
採取有效訴訟策略,勤業眾信爰蒐集以往的個
資外洩相關訴訟判決案例,並進行分析與研
究,雖屬舊法時代之判決,但仍有其參考價值!
一般而言,當個資事件發生後,若民眾認
為是企業違反「個資法」,肇致個人權益受損
而向企業求償時,單純以「個資法」觀點觀之,
其請求權之基礎是「個資法」第 29 條第 1 項:
「非公務機關違反本法規定,致個人資料遭不
法蒐集、處理、利用或其他侵害當事人權利者,
負損害賠償責任。但能證明其無故意或過失
者,不在此限」。
勤業眾信針對條文進行深入研究,並佐以
相關判決實例進行歸納,發現企業若要主張免
於個資賠償責任,可從「無違反個資法」或「無
故意或過失」兩層面來切入,以下針對各層面
提出相關建議:
(一) 無違反個資法
即企業主張自己根本沒有違反個資法規
定。
判決案例的研究過程中發現,法院在判斷
企業的行為有無違反「個資法」規定時,若屬
法律適用上可能有疑義的情形時,基本上大多
www.fisc.com.tw 57
個資訴訟高峰將來到!企業的應對之道│資訊分享
尊重企業中央目的事業主管機關與法務部的意
見;因此,建議企業若於個資保護機制導入過
程中,遇有疑義事項時,應主動發文主管機關
或法務部,取得其對法律適用的解釋,以為依
歸。
(二) 無故意或過失
意指企業雖有違反「個資法」之情事並對
當事人造成侵害,但企業對該事件之發生並無
故意或過失。
筆者認為此主張對企業風險較高,企業如
擬說服法院其對個資侵害事件的發生無故意或
過失,若僅主張企業本身有相關制度的建置,
但無法提出落實執行的具體證據,恐怕是不夠
的。此外,在個資的呈現上,企業若無法提出
個資呈現最小化的證據(如定期清點個資欄位
的適當性),恐怕也不易說服法院。
四、因應之道
經過前述說明後,筆者就事件發生之前、
中、後,提出企業因應建議,以供參考。
圖 1 根據事件發生的各階段發展對應之機制
(一) 事前防控:留下軌跡並主動偵測預警
企業應於平時針對內部可能的風險進行衡
量,並規劃適當的軌跡留存機制,除前述筆者
所強調的電子紀錄外,建議企業應全面考量,
包含紙本與電子檔的相關軌跡紀錄,都應納入
規劃的範圍內。
以下就個資留存稽核軌跡為例,提出企業
可進行的方向:
1. 識別個資在哪裡
以勤業眾信的方法論觀之,個資保護的第
一步即為透過 BIF(Business Information
Framework)的系統化方式,協助企業辨識個
資自蒐集進入企業,至部門內部或系統上的留
存情況;因此透過此種方式,可協助企業瞭解
其業務運行過程中,哪些人、系統可能接觸個
資,始得進一步提供周全規劃在相關個資流動
58 財金資訊季刊∕No.76∕2013.10
資訊分享│個資訴訟高峰將來到!企業的應對之道
中所應留存軌跡之參考。
2. 留存哪些稽核軌跡
企業在留存軌跡上所遭遇的困難往往是成
本問題,除了須花費人力進行程式的修改、投
入金錢進行工具的採買,尚須考量留存巨量個
資的儲存空間與設備;因此,為有效利用資源,
企業在稽核軌跡留存與保護的決策上,應規劃
合理的排程順序。建議企業可透過流程所含個
資的重要性(如特種個資、高風險個資……
等),或從個資含量較多之處,優先規劃稽核
軌跡之留存機制。
3. 蒐集及管理相關稽核軌跡
依據筆者以往的經驗,多數企業未有效規
劃稽核軌跡留存;在有基本資安控管情況下,
針對作業系統與網路層面留存部分的登入登出
紀錄,聊備一格;僅有少數企業針對應用系統
進行適當的軌跡留存規劃;至於結合非結構化
的軌跡資料(如:email、通訊軟體等)的整體
考量更是少之又少。筆者建議企業應逐步擴大
稽核軌跡留存的種類,以便未來事故發生時,
得以較全面地進行調查。
4. 分析稽核軌跡與報告
部分企業早已完成全面稽核軌跡的佈署計
畫,但發現若花費人力物力將相關稽核軌跡進
行封存,只為「備不時之需」,其成本過高且
不符合投資效益;因此,為提升稽核軌跡之效
用,企業開始規劃將所留存的紀錄經適當的交
叉比對分析,期能進一步進行異常行為之偵測
與預警。
圖 2 事前留下足夠軌跡以進行偵測與預警
(二) 事中應變:依規劃之應變流程處理
企業應預先針對事發過程擬定相關應變計
畫,使企業能有效且立即應變與處理,相關重
點應包含以下項目:
1. 建立應變組織
企業應明確定義相關權責單位,當事件發
生時,人員能依其職務進行處理,並於適當時
機召開處理討論會議,且使會議決策能有效下
達至各單位,順利進行危機應變處理。
www.fisc.com.tw 59
個資訴訟高峰將來到!企業的應對之道│資訊分享
2. 規劃事件應變處理流程
應依據事前規劃的事件等級,由相關人員
進行通報與處理,並於事件結束後,適時召開
檢討會議,以記取相關教訓並徹底改善。
圖 3 個人資料檔案侵害事故之應變與處理流程應包含內容
(三) 事後調查:第一線人員的緊急處置與後
續調查
萬一事件持續至發生後期,企業於應變止
血,並對事件相關情況進行細部調查後,可能
進入訴訟階段時,唯有備妥良好規劃的數位鑑
識機制,才能有效協助企業在訴訟上的運作;
以下就幾個面向,提供企業規劃數位鑑識機制
參考:
1. 考量人員角色與職責,設計教育訓練
針對企業內部可能第一線接獲通報或發現
事件之人員,妥為教育該等人員於應變與處理
時,應留意其處理過程可能對證據的影響;此
外,針對實際執行證據蒐集之人員,亦應提供
對應的訓練,包括執行的程序、工具的操作方
式等,使其於事件發生時能妥適地因應與處理。
2. 擬定數位鑑識標準作業程序
由於目前國內尚未有公認的標準程序可參
採,因此建議參考國際間數位鑑識相關最佳實
作所提之作法,進行作業程序之規劃,使其符
合國際要求;在國內數位鑑識相關程序尚未標
準化前,國際作法將為法官最佳參考實例。
3. 建置數位鑑識分析環境
環境之建置端賴企業所能負擔之程度而
定,但若礙於成本考量,其實坊間也有不少免
費使用或價格低廉的工具可供參用。
60 財金資訊季刊∕No.76∕2013.10
資訊分享│個資訴訟高峰將來到!企業的應對之道
4. 規劃數位鑑識之演練機制
唯有在人員訓練足夠、程序完整、工具齊
備的情況下,機制始得發揮效用;因此,透過
一次次不同情境的演練,增加人員的應變實作
經驗與處理能力,是促使相關流程運作順暢的
最佳途徑。
圖 4 良好的數位鑑識規劃能有效協助企業訴訟過程
五、結語
「個資法」上路後,面對種種使民眾更容
易提起訴訟的設計與環境,企業應化被動為主
動,建置與落實整體性個人資料保護機制,適
時監控與偵測資料外洩的可能情況,才能在免
責主張中處於有利位置。
再者,預先進行訟訴策略擬定及適當的證
據留存,並且整體提升人員於事發時蒐集及保
全證據之能力,俾使企業有效掌握相關訟訴之
風險。
最後,若能有效利用企業內部各流程所留
存之稽核軌跡,於平時即進行監控與預警,將
使企業的風險降至最低,符合民眾對企業保護
個人資料責任之期望。
參考文獻∕資料來源:
1. 李相臣、葉奇鑫,淺談個人資料保護法民事賠償責任
及數位鑑識相關問題,司法新聲第 101 期,頁 33。
2. 錢世傑,圖解數位證據,2009 年。