怎麼樣算洩漏個資？個人資料外洩的定義、常見樣態與防護關鍵

怎麼樣算洩漏個資？

「咦？我的電話號碼怎麼會出現在奇怪的網站上？」、「為什麼會收到一堆我沒訂閱過的廣告簡訊？」相信不少朋友都曾經有過這樣的困惑。當我們的手機、電子郵件、甚至是住家地址，出現在不應該出現的地方時，心裡難免會產生警覺：這算是個人資料外洩嗎？ 究竟「怎麼樣才算洩漏個資」呢？簡單來說，任何未經當事人同意，或不符合法律規範，導致個人資料被非預期或不當接觸、取得、處理、利用、傳輸、公開或刪除的行為，都可以算是個人資料的洩漏。

這不只是理論上的定義，更是攸關我們每個人權益的大事。在數位時代，我們的個人資料可說是相當寶貴，一旦外洩，輕則造成騷擾，重則可能導致財產損失，甚至身份被盜用。因此，釐清個資外洩的定義和樣態，是我們保護自己的第一步。

根據台灣《個人資料保護法》（簡稱個資法），個人資料是指「得以**直接或間接方式識別該個人之資料**」。這範圍其實非常廣泛，除了最明顯的姓名、身分證字號、聯絡電話、電子郵件地址、住家地址、出生日期、性別等，還包含像是財務狀況、病歷、健康檢查資料、醫療資訊、通訊記錄、上網紀錄、行蹤相關資料、個人運動習慣、甚至臉部影像、指紋等，只要能連結到特定個人的，都屬於個資的範疇。

所以，怎麼樣才算洩漏個資？關鍵在於「**未經同意的非法取得、處理、利用或傳輸**」。就算沒有刻意刪除或銷毀，但只要這些資料落入不應接觸的第三方手中，或者被以非法的方式利用，例如：

• 企業資料庫被駭客入侵，導致客戶的姓名、電話、信用卡號等資訊外流。
• 公司員工將客戶名單販售給其他公司，進行非法行銷。
• 醫療機構未經病患同意，將其病歷資料提供給保險公司。
• 網站或APP在未告知使用者並取得同意的情況下，蒐集並販售使用者的瀏覽紀錄。
• 手機遺失，但未妥善設定密碼或遠端鎖定，導致資料被他人竊取。
• 攝影機拍攝到的個人影像，未經當事人同意就被公開在網路上。

這些都屬於個人資料外洩的樣態。這可不是小事，一旦被查獲，除了面臨民事賠償，嚴重者還可能觸犯刑事責任呢！

個人資料外洩的常見樣態深度解析

了解了個資外洩的基本定義，我們需要更深入地探究，在日常生活中，哪些情況最容易導致個人資料的洩漏。這不是單方面的「被動」發生，有時也與我們的「主動」行為息息相關。以下我將從幾個常見的面向，為大家詳細剖析。

一、技術層面的駭客入侵與系統漏洞

這是最讓人聞之色變的個資外洩途徑。駭客透過各種技術手段，利用軟體系統的漏洞，或是企業安全防護的疏失，潛入資料庫，竊取敏感的個人資訊。

• SQL注入攻擊 (SQL Injection)： 駭客在網頁的輸入框中，輸入惡意的SQL指令，繞過網站原有的安全機制，直接存取或修改後端資料庫中的資料。例如，在搜尋欄位輸入 ` ‘ OR ‘1’=’1 ` 這樣的指令，就可能讓系統認為條件成立，進而顯示出所有資料。
• 跨網站指令碼攻擊 (XSS – Cross-Site Scripting)： 駭客將惡意腳本注入到合法的網頁中，當使用者瀏覽該網頁時，腳本就會在使用者瀏覽器中執行，可能竊取使用者的Cookies、Session ID，甚至偽造使用者身份發送請求。
• 勒索軟體 (Ransomware)： 這類惡意軟體會加密受害者電腦或伺服器上的資料，並要求支付贖金才能解密。在這個過程中，未被加密或部分暴露的資料，也可能被駭客竊取。
• 零時差漏洞 (Zero-day Vulnerability)： 這是指駭客在軟體開發者或安全研究人員發現並修補漏洞之前，就已經知道並利用的漏洞。由於缺乏預警和防護措施，這類攻擊的破壞力往往非常驚人。
• 弱密碼與帳號被盜用： 許多人習慣使用簡單、容易猜測的密碼，或是為了方便，在多個網站使用相同的帳號密碼。一旦其中一個帳號密碼被破解，駭客就能利用這些資訊，嘗試登入其他網站，造成連鎖式的個資外洩。

在我過去的經驗中，遇過一個小型電商，因為網站後端使用的資料庫軟體許久未更新，存在明顯的SQL注入漏洞，導致公司累積數年的客戶訂單紀錄，包含姓名、電話、地址、甚至是部分信用卡資訊，都被駭客一覽無遺。雖然事後公司努力補救，但客戶對其信任度已大打折扣。

二、人為疏失與內部人員濫用

技術漏洞固然可怕，但人為的疏忽和惡意行為，也是個資外洩的常見原因。有時候，我們忽略了「人」是整個安全鏈條中最脆弱的一環。

• 員工操作失誤： 像是誤將含有客戶個資的郵件、檔案寄給錯誤的收件人；在不安全的網路環境下傳輸敏感資料；電腦或隨身碟遺失，且未設定加密或密碼保護。
• 內部人員惡意竊取： 某些心懷不軌的員工，可能會利用職務之便，竊取公司客戶的資料，並將其販售給競爭對手或非法業者，以謀取私利。
• 公司內部權限管理不當： 員工擁有的存取權限超出其工作所需，一旦該員工帳號被盜用，或該員工離職，但權限未被及時收回，都可能導致資料外洩。
• 實體文件處理不當： 即使是紙本資料，如果未妥善保管、銷毀（例如直接丟棄垃圾桶，而非碎紙機處理），也可能被有心人士撿拾利用。

我曾聽聞一個案例，某知名健身房的櫃檯人員，為了賺取外快，將新加入會員的個資（姓名、電話、年齡、運動偏好等）整理成一份名單，販售給一家直銷公司。這不僅嚴重侵害了會員的權益，也讓該健身房品牌形象嚴重受損。這類的事件，實在讓人感到惋惜。

三、第三方合作夥伴與供應鏈風險

現今企業經營，很少是單打獨鬥，往往需要與許多第三方廠商合作，像是金流處理商、物流公司、雲端服務提供者、行銷公司等。然而，這些合作夥伴的資安防護能力，也直接影響到您的個人資料安全。

• 合作夥伴的資安漏洞： 如果您的資料被委託給一家資安防護較弱的第三方廠商處理，那麼一旦該廠商的系統被入侵，您的個資同樣面臨風險。
• 資料傳輸過程中的風險： 在將資料傳輸給第三方時，如果未使用加密通道（如HTTPS），資料在傳輸過程中就可能被攔截。
• 合作條款的疏漏： 在與第三方簽訂合約時，如果沒有明確規範資料使用範圍、安全措施，以及違約的賠償責任，一旦發生問題，將難以追究。

例如，您在網購平台下單，平台會將您的收件地址、電話等資訊提供給物流公司。如果該物流公司的資料管理系統出現漏洞，那麼您的個資就可能外洩。這也是為什麼，選擇有信譽、重視資安的合作夥伴，對企業而言至關重要。

四、社交工程與詐騙手法

這是一種非常常見且難以防範的攻擊方式，它利用人性的弱點，透過欺騙、誘騙等手段，讓使用者「自願」交出個人資料。

• 釣魚郵件 (Phishing Email)： 偽裝成銀行、政府機關、知名企業等，寄送帶有誘餌（如「帳戶異常」、「中獎通知」）的郵件，引誘使用者點擊惡意連結，或是在假冒的網站上輸入帳號密碼、信用卡資訊。
• 網路釣魚簡訊 (Smishing)： 類似釣魚郵件，但透過手機簡訊傳送。
• 假冒客服詐騙： 詐騙集團冒充電信公司、網購平台客服，謊稱帳號出現問題，要求您提供身分證字號、驗證碼，或是操作ATM解除設定，實際上卻是盜刷您的帳戶。
• 社交媒體上的資訊收集： 許多人在社交媒體上分享過於詳細的個人資訊，例如生日、家庭成員、寵物名稱、常去地點等，這些資訊都可能被詐騙集團用來進行身分盜用或猜測密碼。
• 不安全的Wi-Fi環境： 在公共場所連接來路不明的免費Wi-Fi時，您的通訊內容可能被竊聽，進而導致個資洩漏。

我曾遇過一位長輩，接到一通自稱是「健保局」來電，說他有未領取的補助款項，需要提供健保卡號和身分證字號才能辦理。老人家信以為真，乖乖地把資料報了上去。沒過多久，他的健保卡就被盜用去看了許多非必要的門診，產生了龐大的醫療費用。這類事件，真的讓人感到無奈，也凸顯了加強民眾資安意識的重要性。

個資外洩的危害有多大？

一旦個人資料被洩漏，其潛在的危害可說是五花八門，而且影響深遠。我們不能輕忽這其中的嚴重性。

一、財產損失

這是最直接、最容易被察覺的損害。當您的信用卡號、銀行帳戶資訊、身分證字號等敏感資料外洩，不肖人士可能就此冒用您的身份進行盜刷、詐騙，導致您蒙受金錢上的損失。例如，帳戶被盜領、信用卡被非法消費，或是被他人以您的名義申請貸款，這些都可能讓您背負沉重的債務。

二、身份盜用與名譽受損

更嚴重的，是身份被盜用。犯罪集團可能利用您的個資，開設人頭帳戶、申請假貸款、進行詐騙活動，甚至冒名參與非法交易。一旦這些行為被查獲，您可能需要花費大量時間和精力去釐清事實，證明自己的清白，這不僅耗費心力，更可能損害您的個人信用與名譽。

三、騷擾與詐騙不斷

即使未至於身份被盜用，外洩的個資也可能被用於不當的行銷或騷擾。您可能會收到大量未經許可的廣告推銷電話、簡訊、電子郵件，或是被植入惡意軟體，這些都會嚴重干擾您的日常生活，令人不勝其擾。

四、心理壓力與恐懼

知道自己的個人資料可能被他人掌握，且被用於不法用途，無疑會造成巨大的心理壓力與恐懼。擔心再次受害、對周遭環境產生不信任感，這些長期的精神折磨，其影響同樣不容小覷。

五、法律與行政責任

對於企業或組織而言，個資外洩更可能面臨嚴厲的法律與行政責任。根據台灣《個資法》，一旦因違反相關規定導致個資外洩，可能面臨高額罰鍰，甚至刑事追訴。而長期的法律訴訟、賠償、聲譽損害，對企業來說更是沉重的打擊。

如何有效防護個人資料不被洩漏？

面對如此嚴峻的個資外洩風險，我們絕對不能袖手旁觀。無論是個人還是企業，都應該積極採取措施，將風險降到最低。

一、個人層面的防護措施

身為個人，我們是自己個資的第一道防線。以下是一些實用建議：

• 建立強健的密碼習慣： 避免使用過於簡單的密碼（如生日、電話號碼、連續數字），建議組合使用大小寫英文字母、數字和特殊符號，並定期更換密碼。同時，為不同的網站設定不同的密碼，善用密碼管理工具。
• 啟用雙重認證 (2FA)： 在支援的服務上，務必啟用雙重認證，即使密碼被破解，也能大幅提高帳號安全性。
• 謹慎點擊連結與下載附件： 對於來路不明的郵件、簡訊，切勿輕易點擊其中的連結或下載附件，務必先確認寄件者身份。
• 保護個人裝置安全： 為手機、電腦設定螢幕鎖定密碼或生物辨識，並定期更新作業系統和應用程式，修補安全漏洞。
• 審慎分享個人資訊： 在社交媒體、網路上，盡量減少分享過於詳細的個人資訊，特別是生日、住家地址、聯絡方式等。
• 定期檢查帳戶活動： 留意自己的銀行帳戶、信用卡帳單，一旦發現異常交易，立即聯繫相關單位處理。
• 善用隱私設定： 檢視各種網路服務、App的隱私設定，選擇性地分享個人資料。
• 注意公共Wi-Fi的使用： 盡量避免在公共Wi-Fi環境下進行敏感操作，或使用VPN（虛擬私人網路）來加密連線。

二、企業層面的防護措施

企業是大量持有個人資料的單位，其資安責任更加重大。以下為企業應採取的關鍵措施：

• 建立完善的資安政策與管理制度： 制定明確的個人資料蒐集、處理、利用、儲存、銷毀等規範，並定期審查更新。
• 導入先進的資安技術： 包括防火牆、入侵偵測系統 (IDS)、入侵防禦系統 (IPS)、資料加密技術、端點偵測與回應 (EDR) 等。
• 定期進行資安風險評估與漏洞掃描： 及早發現系統潛在的安全漏洞，並及時修補。
• 加強員工資安意識培訓： 定期對員工進行資安教育，使其了解個資保護的重要性、常見的詐騙手法，以及應遵循的安全操作規範。
• 實施最小權限原則： 員工僅能存取其職務所需的最少資料，避免權限過度擴張。
• 建立嚴格的存取權限管理與監控機制： 記錄所有對個人資料的存取行為，並對異常存取進行告警。
• 妥善管理第三方合作夥伴： 在選擇合作夥伴時，應審慎評估其資安能力，並在合約中明確規範個資保護條款。
• 制定完善的應變計畫： 當不幸發生個資外洩事件時，應有明確的應變流程，包括通報機制、危機處理、損害賠償等，以將損害降到最低。
• 定期備份重要資料： 並確保備份資料的安全，以防資料被駭客勒索或系統損毀。

常見問題與專業解答

關於「怎麼樣算洩漏個資」以及相關的議題，我整理了一些大家常遇到的疑問，並提供較為詳盡的解答：

Q1：我的手機號碼在網路上被公開了，算不算個資外洩？

這需要視情況而定。如果您的手機號碼是以「公開」性質被張貼，例如您在網拍上架商品時，為了方便買家聯繫而主動留下；或是您在論壇上參與公開討論時，主動留下。在這種情況下，由於是您「主動」且「公開」的行為，並且非特定第三人透過非法手段取得，可能不直接構成個資法定義下的「外洩」。

但是，如果您的手機號碼是被他人透過非法手段（例如駭客入侵、員工竊取）從資料庫中取得，然後再公開到網路上，那麼這就屬於嚴重的個資外洩。此外，即使是您主動公開的資訊，如果事後您要求刪除，但相關平台或網站卻未能及時處理，這也可能涉及違反「個人資料保護法」中的「告知」與「當事人權利」相關規定。

Q2：公司要求員工簽署「同意蒐集、處理、利用個人資料」的聲明，這是否代表公司可以隨意使用我的資料？

並不是。即使您簽署了同意聲明，公司的資料使用仍然必須符合「特定目的」且「在必要範圍內」進行。簡單來說，公司必須清楚告知您，蒐集這些資料的目的是什麼（例如：為了提供商品服務、辦理薪資發放、安排員工訓練等），並且只能在達成這些目的所需的範圍內使用您的資料，不能任意挪作他用。

此外，您仍然保有查詢、閱覽、複製、補充、更正、停止蒐集/處理/利用、刪除個人資料的權利。公司不能因為您簽署了同意書，就剝奪您的這些權利。

Q3：我的照片被放到網路上，我沒有同意，這算個資外洩嗎？

是的，這很大程度上可能構成個資外洩。在台灣的法律實務上，照片，特別是可辨識個人臉孔的照片，通常被視為「個人資料」。如果這些照片未經您的同意，就被他人拍攝、取得並公開在網路上，這就屬於對您個人資料的不當處理和公開，可能違反《個人資料保護法》。

您有權要求該公開照片的平台或個人移除您的照片，並在情況嚴重時，尋求法律上的救濟。許多臉書、IG等社群平台的照片，如果是在公開場合被拍攝，且拍攝者並無意圖特定識別您的身份，可能情況較為單純；但若是有特定目的拍攝、或是在您明確表示不同意後仍被公開，則個資外洩的疑慮就比較高。

Q4：我只是電腦中毒，被勒索軟體加密了資料，但對方沒有把資料賣掉，這也算洩漏個資嗎？

這個情況的定義會比較微妙，但從廣義的角度來看，確實有「個資外洩」的疑慮，或者說是「個資受損」。勒索軟體最直接的行為是「加密」您的資料，使其無法存取，這本身就已經是一種對您個人資料的「不當處理」。

更重要的是，許多勒索軟體在加密資料之前，會先掃描並竊取電腦中的敏感資料，這就包含了「非法取得」個人資料的成分。即便勒索者聲稱沒有將資料販售，但資料已經被駭客「接觸」過，並且其「接觸」行為本身就是一種違法行為。如果被駭客接觸到的資料中，包含足以識別您身份的個人資訊（例如帳號密碼、聯絡方式、財務資訊等），那麼就已經有「洩漏」的風險，即使該勒索者沒有進一步的販售行為。

因此，即使是被勒索軟體加密，也應該嚴肅看待，並啟動相關的安全應變機制，同時考慮通報主管機關。

Q5：我有個朋友在公司上班，他說公司內部有個資料庫，裡面有所有員工的個資，公司有義務保護好嗎？

當然有！根據台灣《個人資料保護法》，公司作為「公務機關」或「非公務機關」，對於其蒐集、處理、利用的個人資料，負有嚴格的保護義務。這包含了所有員工的個人資料。公司必須採取適當的技術和組織措施，確保員工的個資不被非法存取、揭露、修改或毀損。

具體來說，公司應該：

• 限制存取權限： 只有特定職務、必要人員才能存取員工的個資。
• 加密儲存： 重要的員工個資（如薪資、身分證字號等）應加密儲存。
• 定期稽核： 監控對員工個資的存取紀錄，並定期進行稽核。
• 安全銷毀： 員工離職後，其個資應按照公司規定妥善銷毀。
• 教育訓練： 對負責處理員工個資的人員進行相關法律和資安訓練。

如果公司未能善盡保護義務，導致員工個資外洩，員工是有權向公司尋求損害賠償的。