論資料保護之責任保險

liability insurance of privacy protection

林怡君(Yi-Chun Lin)

指導教授 ： 劉宗榮

共同指導教授 ： 汪信君(Hsin-Chun Wang)

國立臺灣大學/法律學院/科際整合法律學研究所/碩士(2014年)

https://doi.org/10.6342/NTU.2014.01237

摘要

中文摘要
新個人資料保護法自2012年10月開始施行，由於擴大受規範之客體至所有非公務機關，擴大保護之客體及於所有的個人資料，減輕受害人對於非財產上損害金額之舉證責任，引入團體訴訟制度，並且提高機關（包括公務機關和非公務機關）所負擔的賠償責任上限至2億元，引起機關之高度恐慌。機關過去將個人資料當作一種財富或是便利，盡其所能的搜集並保管個人資料，新法施行後，由於機關無法輕易的將資料外洩的責任推諉給「駭客入侵」，因此引起機關的高度恐慌，資料保護之責任保險的需要應運而生。

由於個人資料保護法並非全新的法律，因此本文先就個人資料保護相關法律的沿革及新法做簡單的介紹，並分析為何新法施行後會增加機關之風險。此外，本文亦就責任保險的特性為簡單的介紹，並分析其條款應該具有如何之特性。因 為，資料外洩所導致之損害（以下簡稱資安事件），對於企業來說並不容易發現，且即便為同一批個人資料外洩，亦未必所有個人資料之所有者皆同時受有損害，其保險事故與一般的汽車第三人意外責任險所承保的保險事故有顯著的不同。因此，本文先就此特性提出問題，並於後續章節回答問題。

首先，此為一責任保險，而其所承保之保險事故具有反覆性、持續性和潛在性，對保險人而言，此類保險事故容易有長尾責任的問題。針對此一問題，應由承保範圍的設計方式著手？因此本文於第一章中就美國和德國的責任保險承保範圍之學說做簡單的介紹，並且介紹我國法上目前的責任保險承保範圍之實務。此外，由於我國保險法第65條第3款之規定對於損害賠償額須經法院認定的責任保險人不利，特別在資料保護之責任保險，由於被保險人最容易遭索賠者為須經法院認定之非財產上損害，故等到損害賠償額確定時，很可能早已超過消滅時效，本文稱為責任保險之消滅時效困境，本文再章節內提出可能的解決方式和修法之倡議。

再者，資料保護之責任保險應填補被保險人哪些損害？本文將之區分為填補損失性賠償金額和其他相關法律費用兩大部份。前者，由個人資料保護法之特性，推測出主要填補之損害應為因隱私權和個人資料自主權受損所導致的非財產上損害，由於非財產上損害較難推估，故應有限額條款之設計。後者，則主要包含抗辯費用及其他必要費用。

第四章則主要在處理被保險人內部管理階層、僱員和委外廠商因為故意或疏失行為所導致的資料外洩事件，保險人是否需要給付保險金之問題，即給付保險金後，得否行使代位權之問題。第五章則著重在處理資料保護保險可能和其他保險發生保險競合的問題，以及應該如何處理。

希望藉由這樣的一篇論文能給予公務機關或私人企業在承保資料保護之責任保險時，一些思考的方向。更進一步，希望成為本土保險公司在設計本土保單時的參考資料之一。

關鍵字

個人資料保護法 ； 長尾責任 ； 保險競合

並列摘要

Abstract

Since the enactment of the Personal information Protection Act, enterprises have been facing potential risks of civil claims for damages. In addition to the authentication approach to examine conformity to the requirements by the Act, enterprises are also taking insurance measures to transfer the risks. As a result, demands on liability insurance of privacy protection come into being. This paper attempts to analyze the issues brought about by this new type of insurance, and tries to use the substantive law, procedural law, and pro forma contract approach to find solutions and build proposals.
Firstly, this is a liability insurance, and therefore its insurance coverage is with the nature of recurrence, continuity, and potentiality. To insurer, this type of insurance incidences is prone to long-tail responsibilities. This problem should be handled with the insurance coverage design. Furthermore, the indemnification liability needs to go through litigation proceedings for verdict, and due to the domestic Insurance Law, Article 65, Item 3,this requirement can easily get the insured trapped in the statute of time limitations. Therefore, this problem needs to be solved by way of the procedural law and contract approach as well as law amendment.
Secondly, what damages should be covered by the liability insurance of privacy protection responsibility? This paper divides the coverage into two parts: indemnification coverage amount and other relevant legal fees. Chapter 4 deals with the insured’s internal management staff, employees, and outsource contractors for their deliberate or negligent behaviors that cause data leakage incidences, and discusses whether these affiliates need to pay for the insurance and whether they are entitled for subrogation. Chapter 5 discusses the Double Insurance between the coexistent liability insurance of privacy protection and other insurances, and how they should be handled.
Hopefully, the discourse presented in this paper can offer the public institutions and private enterprises some references in underwriting or insuring the liability insurance of privacy protection. Moreover, the author hopes that this paper can be a useful reference for the domestic insurance companies in their insurance design.

並列關鍵字

personal information Protection Act ； insurance coverage ； long-tail responsibilities ； Double Insurance Double Insurance

參考文獻

姜世明，「階段訴訟-評最高法院100年度台上字第391號判決」，台灣法學第211期，2012年11月。

劉佐國，「我國個人資料隱私權益之保護-論『電腦處理個人資料保護法』之立法與修法過程」，律師雜誌第307期，2005年4月。

施文森，「現行火災保險缺失之分析」，法令月刊第47卷第1期，1996年1月。

黎家興,「論責任保險之事故發生與通知義務」，保險專刊第27卷第2期，2011年。

鍾文岳、汪家倩，「個人資料保護法，這樣讀就對了-企業篇」，萬國法律雜誌第181期，2012年2月。