前言
當您接到住客來電質問：「為什麼我的訂房資料被詐騙集團知道？」或發現飯店系統遭駭，成千上萬筆護照影本、入住紀錄可能外洩時，第一時間的反應往往決定後續賠償責任與商譽損失的嚴重程度。飯店住客資料外洩，飯店確實可能因違反個人資料保護法而負擔民事賠償責任，但並非所有外洩都會導致住客求償成功——關鍵在於飯店是否已採取適當安全措施、是否及時通知當事人，以及住客是否因外洩受有實際損害。第一步，請立即保存系統日誌、外包合約與通聯紀錄，切勿在未經盤點前刪除資料或對外發布不完整訊息。
壹、去識別化案例事實
某桃園旅宿業者A飯店，經營商務旅館，提供線上訂房、護照影本留存及會員消費紀錄服務。2025年3月，A飯店委外開發的訂房系統（PMS）遭駭客入侵，導致約500筆訂房資料（含姓名、電話、電子郵件、信用卡末四碼）及100筆護照影本外洩。A飯店於事故發生後第3日始發現，隨即關閉系統漏洞，但未立即通知受影響住客，僅在官網發布「提高警覺」公告。兩週後，多名住客反映接到假冒飯店客服的詐騙電話，其中一位住客B因此匯出新臺幣5萬元。B向A飯店求償財產損失及精神慰撫金。A飯店則主張已委託專業資訊公司維護系統，且詐騙集團行為屬第三人介入，與飯店無關。
貳、核心爭點
飯店對於住客的訂房資料、護照影本、入住紀錄與消費偏好，應負哪些個資保護義務？
訂房平台、旅行社、PMS系統商與飯店間，如何分配責任？
事故發生後，飯店應如何進行範圍盤點、停損與通知，才符合個資法要求？
住客求償時，需要證明哪些損害與因果關係？
對外公告時，如何避免二次洩漏與不實陳述？
參、法律解析
一、飯店作為個人資料保有者之義務
依個人資料保護法第27條第1項（現行法，雖經刪除但實務仍引用舊法概念，應注意2023年修法後第27條已刪除，但實務上仍以個人資料保護法第27條之「適當安全措施」義務為判斷標準，請參照主管機關指引），飯店作為非公務機關，對所保有的個人資料應採取適當之安全措施，防止資料被竊取、竄改、毀損、滅失或洩漏。訂房資料、護照影本、入住紀錄與消費偏好，風險程度不同： 護照影本屬可直接識別身分之高度敏感資料，應採取加密、存取權限控管等較高標準；訂房資料（姓名、電話）雖屬一般個資，但若結合信用卡資訊，仍具高度風險；入住紀錄與消費偏好則可能涉及隱私，但風險相對較低。
二、委外責任與平台責任
飯店與訂房平台（如Booking.com、Agoda）、旅行社、PMS系統商的責任分配，須依委外契約與實際控制關係判斷。 若飯店將訂房系統委外開發，但未對委外廠商進行適當監督或未要求其採取安全措施，飯店仍可能因違反個資法第27條而負責。反之，若平台直接取得住客資料並自行處理，則平台可能為主要責任主體。實務上，法院曾認定飯店即使透過平台接單，仍須對自身系統中留存之資料負保管責任（參照判決，緩慢公司被認定為個資保有者，應負安全措施義務）。另判決中，臺中國軍英雄館亦因未落實安全措施而遭認定違法。
三、事故發現後的義務
個人資料保護法第12條規定，非公務機關知悉個人資料被竊取、洩漏時，應立即通知當事人。通知方式應「適當」，例如簡訊、電子郵件或電話，而非僅在官網發布一般性防詐公告。 判決明確指出，緩慢公司僅發布一般防詐訊息，未以明確方式告知住客個資外洩，不符合第12條要件。此外，飯店應通報主管機關（交通部觀光署或桃園市政府觀光旅遊局），並保存事故紀錄。
四、住客求償要件
住客依個人資料保護法第29條第1項及民法第184條第2項請求賠償時，須證明：
飯店違反個資法（如未盡安全措施或未通知）；
住客受有損害（財產損失或精神痛苦）；
違法行為與損害間有因果關係。
實務上，因果關係是最難證明的一環。 判決中，法院認為飯店違反通知義務與詐騙集團的詐欺行為缺乏直接因果關係，因此僅認可精神慰撫金10萬元，不賠償財產損失81萬餘元。判決亦採相同見解，駁回財產損失請求。判決也指出，財產損失與個資外洩無因果關係，僅賠償精神慰撫金2萬元。因此，住客若因詐騙而匯款，須證明該詐騙直接源自飯店外洩之資料，且飯店可預見此風險。
五、精神慰撫金計算
依個人資料保護法第28條第3項（非公務機關適用第29條第2項準用第28條），若無法證明實際損害，法院得依侵害情節，以每人每一事件新臺幣500元以上2萬元以下計算。但實務上，法院會綜合考量受害程度、飯店過失情節、住客身分等，酌定更高金額。判決精神慰撫金10萬元，判決2萬元，判決（冒用個資案）則依行為次數計算達32萬4,000元。飯店住客資料外洩案件，倘涉及大量敏感資料，慰撫金可能落在數千元至十餘萬元之間。
肆、實務判斷重點
法院及主管機關審理飯店個資外洩案件時，通常綜合觀察以下因素：
飯店是否已採取「適當」安全措施：例如有無防火牆、加密、存取權限管理、定期資安檢測、員工教育訓練等。若僅有基本防護，卻無對應規模之投入，容易被認定有過失。
事故發現時間與通知時效：發現後是否立即停損、通知住客、通報主管機關？拖延越久，責任越重。
委外廠商監督程度：飯店是否定期稽核委外廠商資安？合約中有無明定責任歸屬？
住客是否確實因外洩受騙：需有具體事證（如詐騙電話時間、內容、匯款紀錄）證明因果關係。
飯店後續補救措施：有無提供免費信用監控、賠償、道歉等，影響法院對過失程度的評價。
伍、證據保存與處理流程
立即（發現後24小時內）
關閉受影響系統或服務，防止損害擴大。
保存原始系統日誌、存取紀錄、駭客攻擊軌跡（不可刪除或覆寫）。
通知資訊人員或委外廠商，記錄發現時間、通報過程。
短期（1至3日內）
盤點受影響資料欄位、人數、期間。
準備住客通知內容，內容應包括：外洩事實、可能影響、已採取措施、建議住客注意事項（如更換密碼、留意詐騙）。
通知主管機關（交通部觀光署或桃園市政府），並依規定於時限內通報。
後續（1週內）
委請第三方資安公司進行鑑識，取得正式報告。
評估是否需對外發布新聞稿，內容應避免揭露具體住客姓名、房號等個資，僅說明事件概況與處理進度。
保留所有外包合約、權限清單、教育訓練紀錄，以備日後舉證。
陸、不同立場的風險與策略
住客立場
風險：若無法證明財產損失與外洩之直接因果關係，可能僅獲精神慰撫金（數千至數萬元），且訴訟成本可能高於賠償金額。
策略：先保存所有詐騙相關證據（電話錄音、簡訊、匯款單），並向飯店要求書面說明外洩範圍。必要時向主管機關陳情或提起民事訴訟，請求刪除個資。
飯店立場
風險：可能面臨行政罰鍰、民事賠償、商譽損失及住客集體訴訟。若未通知，個資法第12條違反可處罰鍰。
策略：立即通知並提供補償方案（如免費住宿券、信用監控服務），降低住客訴訟意願。與委外廠商釐清責任歸屬，保留對廠商求償權利。切勿隱瞞或拖延，否則法院可能加重認定過失。
柒、律師建議
何時適合先協商、申訴、報案、調解、保全或提起訴訟？
協商：當外洩範圍小、住客僅要求精神慰撫金時，飯店可主動提出合理補償，避免進入訴訟。
申訴：住客可向桃園市政府消費者服務中心或個資法主管機關（國家通訊傳播委員會、交通部）申訴，由主管機關調查。
報案：若涉及詐騙集團刑事責任，住客應向警察機關報案，以取得刑事紀錄作為民事求償證據。
調解：透過鄉鎮市調解委員會或法院調解，可節省訴訟時間。
保全證據：飯店應於發現後立即保全系統日誌；住客應保全詐騙通聯紀錄。
提起訴訟：當雙方無法達成共識，且損害明確（如大額匯款損失），可考慮提起民事訴訟。但須注意訴訟成本與因果關係舉證難度。
捌、謹律律師專業解析
第一步：立即盤點與通知，保存所有數位證據，切勿刪除日誌或修改系統設定。
常見誤區一：認為只要委外就免責。實務上飯店仍須對委外廠商負監督責任，否則仍可能違法。
常見誤區二：只發布官網公告就算通知。法院已明確指出，個資法第12條要求「直接通知當事人」，一般公告不構成適當通知。
證據策略：飯店應製作「事故報告書」，記錄發現時間、處理過程、通知對象與內容，作為日後證明已盡義務之依據。
住客求償關鍵：必須證明「飯店違法」與「損害」間有因果關係。若無法證明，僅能請求精神慰撫金，且金額通常不高。
飯店危機處理：主動提供補償（如免費住宿、信用監控服務），可降低集體訴訟風險，並展現誠意。
法規動態：個人資料保護法第27條雖已刪除，但實務上仍以「適當安全措施」義務為判斷標準，主管機關亦發布相關指引，飯店應定期檢視資安措施。
行政責任：未依規定通知，可處新臺幣2萬元以上20萬元以下罰鍰。
玖、FAQ
只有姓名和電話外洩也要處理嗎？
要。 姓名與電話雖屬一般個資，但若結合其他資訊（如訂房日期、房號），仍可能被詐騙集團利用進行精準詐騙。依個資法第12條，只要知悉個資被竊取或洩漏，無論資料敏感性高低，均應通知當事人。實務上，飯店若未通知，即使外洩資料僅為姓名電話，仍可能被認定違法，住客可請求精神慰撫金（參照判決，飯店因未通知而賠償10萬元）。
訂房平台被駭，飯店要負責嗎？
視情況而定。 若飯店本身系統也留存住客資料（例如同步備份或手動輸入），則飯店仍須負保管責任。若資料完全由平台獨立處理，飯店未接觸或儲存，則責任主要在平台。但飯店仍應與平台簽訂明確的資料保護條款，並要求平台提供事故通報機制。實務上，法院傾向於認定飯店作為服務提供者，對住客資料有整體監督義務（判決、判決均將飯店列為責任主體）。
護照影本可以保存多久？
依個資法第19條及個資法第20條，個人資料之保存期間應以「特定目的存在期間」為限。 飯店蒐集護照影本通常為辦理入住登記及依法通報，目的完成後（如住客退房）即應刪除或銷毀，不得長期保留。若飯店欲保留作為會員資料，須另行取得當事人同意。建議保存期間不超過退房後6個月，除非有法律規定或契約約定。長期保存未加密護照影本，風險極高，一旦外洩可能面臨高額賠償。
住客沒有被詐騙也能求償嗎？
可以，但難度較高。 住客須證明因資料外洩而受有實際損害，例如時間成本、精神痛苦（如焦慮、失眠）。若僅有外洩事實而無具體損害，法院可能僅依個資法第28條第3項酌定極低金額（500元至2萬元）。判決中，住客雖未受詐騙，但仍獲精神慰撫金2萬元。判決中，住客被詐騙，但法院仍以因果關係不足為由，僅賠償精神慰撫金10萬元。因此，即使無詐騙，仍可嘗試求償，但須舉證精神痛苦程度。
公告時可以說明受影響房客身分嗎？
絕對不可以。 公告時應避免揭露任何可識別特定住客的資訊，如姓名、房號、身分證字號、護照號碼、信用卡號等。否則可能構成二次洩漏，違反個資法第20條（特定目的外利用），且可能侵害住客隱私權，衍生額外民事賠償責任。正確做法是：僅說明事件概況（如「系統遭駭，部分訂房資料可能外洩」）、已採取之措施、建議住客注意事項，並提供客服專線供住客個別查詢。
拾、大桃園與雙北服務
桃園市為觀光重鎮，中壢、八德、平鎮、龜山、蘆竹、楊梅、龍潭、大溪等地旅宿業者眾多，資料安全與個資合規需求日益迫切。謹律法律事務所具備豐富旅宿業法律顧問經驗，協助企業建立個人資料保護管理制度、審閱委外合約、處理資安事故通報與住客紛爭。無論您在桃園、新北或臺北市，我們均可提供專業法律諮詢，協助您評估風險、擬定應變策略。
拾壹、相關文章延伸閱讀與諮詢引導
諮詢引導
若您正面臨飯店住客資料外洩事件，或想提前建立個資保護制度，歡迎聯繫謹律法律事務所。我們提供初步諮詢，由律師依個案事實與證據資料，為您分析風險、策略與後續行動。請先準備下列資料：事故發現時間、受影響系統與資料範圍、外包合約、內部通報紀錄、住客求償內容等，將有助於律師快速掌握狀況。
諮詢專線：0907-010257
官方LINE：@best1177
