函釋新訊－「基於法律不溯及既往原則，個人資料保護法自以違法行為發生於修正施行後者為限」
2012-03-13
發文單位：法務部
發文字號：法律 字第 10100518090 號
發文日期：民國 101 年 02 月 17 日
資料來源：法務部
要 旨：電腦處理個人資料保護法第 27 條、個人資料保護法第 28 條等規定參照
，基於法律不溯及既往原則，個人資料保護法自以違法行為發生於修正施
行後者為限，個人資料外洩違法行為及所生損害結果均須在個人資料保護
法修正施行後，始有該法適用
主 旨：有關貴委員因問政需要詢問個人資料保護法相關爭議問題及提供相關資料
乙案，復如說明二至四，請查照參考。
說 明：
一、依貴委員國會辦公室 101 年 2 月 3 日傳真辦理。
二、按電腦處理個人資料保護法（下稱現行法）第 29 條規定：「損害賠
償請求權，自請求權人知有損害及賠償義務人時起，因二年間不行使
而消滅；自損害發生時起，逾五年者，亦同」（按：個人資料保護法
第 30 條，內容亦未修正），又尚未施行之個人資料保護法（下稱新
法）第四章雖新增有關團體訴訟規定，因該法尚未施行，如於現行法
有效施行期間發生個資外洩而造成損害事件，目前尚無個人資料保護
法團體訴訟之適用，當事人於修正施行後得依新法團體訴訟之規定主
張權利，但仍須注意有無罹於時效之問題。現行法雖無得提起團體訴
訟之相關規定，惟如符合民事訴訟法第 44 條之 1至第 44 條之 3
之規定得提起團體訴訟；如涉及消費爭議部分，得依消費者保護法第
50 條至第 55 條規定提起團體訴訟，併此敘明。另因個人資料保護
法尚未施行，就上開議題目前尚無相關之函釋或判例。
三、次按現行法第 27 條規定：「公務機關違反本法規定，致當事人權益
受損害者，應負損害賠償責任。但損害因天災、事變或其他不可抗力
所致者，不在此限（第一項）。被害人雖非財產上之損害，亦得請求
賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分
（第二項）。前二項損害賠償總額，以每人每一事件新臺幣二萬元以
上十萬元以下計算。但能證明其所受之損害額高於該金額者，不在此
限（第三項）。基於同一原因事實應對當事人負損害賠償責任者，其
合計最高總額以新臺幣二千萬元為限（第四項）。第二項請求權，不
得讓與或繼承。但以金額賠償之請求權已依契約承諾或已起訴者，不
在此限（第五項）。」。又新法第 28 條規定：「公務機關違反本法
規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者
，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不
在此限（第一項）。被害人雖非財產上之損害，亦得請求賠償相當之
金額；其名譽被侵害者，並得請求為回復名譽之適當處分（第二項）
。依前二項情形，如被害人不易或不能證明其實際損害額時，得請求
法院依侵害情節，以每人每一事件新臺幣五百元以上二萬元以下計算
（第三項）。對於同一原因事實造成多數當事人權利受侵害之事件，
經當事人請求損害賠償者，其合計最高總額以新臺幣二億元為限。但
因該原因事實所涉利益超過新臺幣二億元者，以該所涉利益為限（第
四項）。同一原因事實造成之損害總額逾前項金額時，被害人所受賠
償金額，不受第三項所定每人每一事件最低賠償金額新臺幣五百元之
限制（第五項）。第二項請求權，不得讓與或繼承。但以金額賠償之
請求權已依契約承諾或已起訴者，不在此限（第六項）。」。二者規
範當事人之損害賠償額度及同一原因事實造成之損害賠償總額有所不
同，且後者亦擴大非現行法規範之適用主體，基於法律不溯及既往原
則，新修正個人資料保護法自以違法行為發生於修正施行後者為限。
準此，個人資料外洩之違法行為及其所生損害結果均須在個人資料保
護法修正施行後，始有該法之適用。
四、隨函檢附「電腦處理個人資料保護法解釋彙編」2 本供參。
正 本：立法委員江○○國會辦公室
副 本：本部綜合規劃司、本部法律事務司（4 份）
發文字號：法律 字第 10100518090 號
發文日期：民國 101 年 02 月 17 日
資料來源：法務部
要 旨：電腦處理個人資料保護法第 27 條、個人資料保護法第 28 條等規定參照
，基於法律不溯及既往原則，個人資料保護法自以違法行為發生於修正施
行後者為限，個人資料外洩違法行為及所生損害結果均須在個人資料保護
法修正施行後，始有該法適用
主 旨：有關貴委員因問政需要詢問個人資料保護法相關爭議問題及提供相關資料
乙案，復如說明二至四，請查照參考。
說 明：
一、依貴委員國會辦公室 101 年 2 月 3 日傳真辦理。
二、按電腦處理個人資料保護法（下稱現行法）第 29 條規定：「損害賠
償請求權，自請求權人知有損害及賠償義務人時起，因二年間不行使
而消滅；自損害發生時起，逾五年者，亦同」（按：個人資料保護法
第 30 條，內容亦未修正），又尚未施行之個人資料保護法（下稱新
法）第四章雖新增有關團體訴訟規定，因該法尚未施行，如於現行法
有效施行期間發生個資外洩而造成損害事件，目前尚無個人資料保護
法團體訴訟之適用，當事人於修正施行後得依新法團體訴訟之規定主
張權利，但仍須注意有無罹於時效之問題。現行法雖無得提起團體訴
訟之相關規定，惟如符合民事訴訟法第 44 條之 1至第 44 條之 3
之規定得提起團體訴訟；如涉及消費爭議部分，得依消費者保護法第
50 條至第 55 條規定提起團體訴訟，併此敘明。另因個人資料保護
法尚未施行，就上開議題目前尚無相關之函釋或判例。
三、次按現行法第 27 條規定：「公務機關違反本法規定，致當事人權益
受損害者，應負損害賠償責任。但損害因天災、事變或其他不可抗力
所致者，不在此限（第一項）。被害人雖非財產上之損害，亦得請求
賠償相當之金額；其名譽被侵害者，並得請求為回復名譽之適當處分
（第二項）。前二項損害賠償總額，以每人每一事件新臺幣二萬元以
上十萬元以下計算。但能證明其所受之損害額高於該金額者，不在此
限（第三項）。基於同一原因事實應對當事人負損害賠償責任者，其
合計最高總額以新臺幣二千萬元為限（第四項）。第二項請求權，不
得讓與或繼承。但以金額賠償之請求權已依契約承諾或已起訴者，不
在此限（第五項）。」。又新法第 28 條規定：「公務機關違反本法
規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者
，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不
在此限（第一項）。被害人雖非財產上之損害，亦得請求賠償相當之
金額；其名譽被侵害者，並得請求為回復名譽之適當處分（第二項）
。依前二項情形，如被害人不易或不能證明其實際損害額時，得請求
法院依侵害情節，以每人每一事件新臺幣五百元以上二萬元以下計算
（第三項）。對於同一原因事實造成多數當事人權利受侵害之事件，
經當事人請求損害賠償者，其合計最高總額以新臺幣二億元為限。但
因該原因事實所涉利益超過新臺幣二億元者，以該所涉利益為限（第
四項）。同一原因事實造成之損害總額逾前項金額時，被害人所受賠
償金額，不受第三項所定每人每一事件最低賠償金額新臺幣五百元之
限制（第五項）。第二項請求權，不得讓與或繼承。但以金額賠償之
請求權已依契約承諾或已起訴者，不在此限（第六項）。」。二者規
範當事人之損害賠償額度及同一原因事實造成之損害賠償總額有所不
同，且後者亦擴大非現行法規範之適用主體，基於法律不溯及既往原
則，新修正個人資料保護法自以違法行為發生於修正施行後者為限。
準此，個人資料外洩之違法行為及其所生損害結果均須在個人資料保
護法修正施行後，始有該法之適用。
四、隨函檢附「電腦處理個人資料保護法解釋彙編」2 本供參。
正 本：立法委員江○○國會辦公室
副 本：本部綜合規劃司、本部法律事務司（4 份）