個人資料保護法等

臺灣臺北地方法院刑事判決 113年度訴字第1013號 公 訴 人 臺灣臺北地方檢察署檢察官 被 告 林逸松 虞修志 陳韋志 上 一 人 選任辯護人 王維立律師 蔡柏毅律師 上列被告等因違反個人資料保護法等案件，經檢察官提起公訴（ 113年度偵字第23128號、113年度偵字第28832號），被告等於本 院審理程序中就被訴事實均為有罪之陳述，經本院告以簡式審判 程序之旨，並聽取當事人之意見後，裁定改行簡式審判程序，並 判決如下： 　　主　文 林逸松犯個人資料保護法第四十一條之非公務機關非法蒐集處理 及利用個人資料罪，處有期徒刑陸月，併科罰金新臺幣捌萬元， 有期徒刑如易科罰金，罰金如易服勞役，均以新臺幣壹仟元折算 壹日。 陳韋志犯個人資料保護法第四十一條之非公務機關非法蒐集處理 及利用個人資料罪，處有期徒刑伍月，併科罰金新臺幣伍萬元， 有期徒刑如易科罰金，罰金如易服勞役，均以新臺幣壹仟元折算 壹日。 虞修志犯個人資料保護法第四十一條之非公務機關非法蒐集處理 及利用個人資料罪，處有期徒刑陸月，併科罰金新臺幣伍萬元， 有期徒刑如易科罰金，罰金如易服勞役，均以新臺幣壹仟元折算 壹日；又犯個人資料保護法第四十一條之非公務機關非法利用個 人資料罪，處有期徒刑參月，如易科罰金，以新臺幣壹仟元折算 壹日。有期徒刑部分應執行有期徒刑捌月，如易科罰金，以新臺 幣壹仟元折算壹日。如附表所示之物均沒收。 　　事　實 一、林逸松、虞修志、陳韋志明知「創世紀市集（Genesis Mark et）」係非法販賣網站帳號權限之網站市集，於註冊成為該網站之用戶後，得以虛擬資產交易所錢包或非託管錢包轉出比特幣(Bitcoin, BTC)或萊特幣（Litecoin, LTC）等虛擬資產支付對價，以購買機器人（BOT，係指得自動化執行大量工作的程式），此等機器人存有遭駭客竊取之網路使用者外洩之登錄資訊，包括密碼及網路「數位指紋」（DigitalFingerprinting），如瀏覽器歷史紀錄、cookie、自動填充表單數據、IP位址和位置等資訊。購買上開機器人後，搭配特定網路瀏覽器，即可使用上開外洩數據模仿受害者的電腦以冒充合法用戶，使伺服器接受之資訊與合法用戶之帳號、密碼、常用設備、位置等登錄資訊無異，而可登錄受害者之網路銀行、電子郵件、購物平台、社群媒體等帳戶個人資訊，甚至得以更改合法用戶之密碼。機器人中除存有社群平台或商用平台（如Amazon、Microsoft、Facebook、Twitter、Netflix、Paypal等）等合法用戶之相關登錄資訊外，更包含我國國人之國民身分證統一編號、手機號碼及各大網站登入帳號密碼等個人資訊，及591租賃、8591、蝦皮、露天等各大購物網站之後台管理員帳號及密碼。該等機器人內所含權限可供買家直接使用，也可以透過創世紀市集提供之Chrome瀏覽器擴充功能將購買的機器人匯入，即可創造數位指紋，直接以受害者身分登入相關網站使用。渠等明知非公務機關不應於蒐集特定目的必要範圍外，對特定人資料進行蒐集，竟分別意圖為自己不法之利益及損害他人之利益，基於非法蒐集、處理、利用個人資料、無故取得、輸入他人帳號密碼、入侵他人電腦設備等接續犯意，而接續為下列行為： (一)林逸松於民國109年3月24日23時6分（起訴書誤載同月24日7 時6分）許，透過網際網路連接至網站「創世紀市集」，以來源不明之邀請碼申請帳號並登入（帳號名稱：s868***，詳卷），陸續於109年3月24日至7月17日間，轉入比特幣至「創世紀市集」之一次性儲值地址。復於同年3月24日至8月5日陸續購買計11個權限蒐集資料庫機器人，並擅以前揭帳號、密碼登入相對應網站瀏覽資訊。足生損害於各該購物平台、網站平台用戶等。 (二)陳韋志於109年6月21日18時16分許，透過網際網路連接至網 站「創世紀市集」，申請帳號並登入（帳號名稱：linda85***，詳卷），接續於109年6月21日至7月11日轉入比特幣至「創世紀市集」一次性存幣地址，復於同年6月21日至10月29日陸續購買計18個權限蒐集資料庫機器人，並擅以前揭帳號密碼登入相對應網站瀏覽資訊。足生損害於各該購物平台、網站平台用戶等。 (三)虞修志於110年6月6日23時47分許，透過網際網路連接至網 站「創世紀市集」，以林逸松提供之邀請碼申請帳號並登入（帳號名稱：yuhui***，詳卷），陸續於同年10月30日至111年5月1日透過幣託交易所、幣安交易所及Safepal Wallet等方式轉入比特幣（BTC）及萊特幣（Litecoin）至「創世紀市集」一次性存幣地址，復於同年10月30日至111年5月5日（UTC+0）陸續購買計29個權限蒐集資料庫機器人，並擅以前揭帳號密碼登入相對應網站瀏覽資訊。足生損害於各該購物平台、網站平台用戶等。 二、虞修志另與某真實姓名不詳、TELEGRAM暱稱「PS做圖找我」 之中國籍人士，基於行使意圖供冒用身分使用所變造國民身分證，及非法利用個人資料之犯意聯絡，於112年2月2日22時許，不詳方式取得陳子涵、陳輝勲（起訴書誤載勳）、吳善鈞等三人之國民身分證電子檔後，以60 USDT之代價，委由「PS做圖找我」，以修圖軟體修改、變更陳子涵等三人之姓名、出生年月日等資料，變造陳子涵等三人之國民身分證電子檔，於收到「PS做圖找我」變造完成之國民身分證電子檔後，並傳送予他人而行使之。足以生損害於陳子涵等三人及戶政機關對於國民身分證管理之正確性。 三、嗣因「創世紀市集」於112年4月間由美國聯邦調查局（FBI ）和其他歐美執法機關共同查獲其伺服器，查封其網域名稱，並透過國際合作之機制提供相關情資予我國，經法務部調查局資安站進而蒐集、比對相關資訊後，始查悉上情。 　　理　由 壹、程序方面 　　本案被告林逸松、虞修志、陳韋志（下統稱被告等）所犯係 死刑、無期徒刑、最輕本刑為3年以上有期徒刑以外之罪，被告等於準備程序就前揭被訴事實為有罪之陳述，經告知簡式審判程序之旨，並聽取檢察官、被告等及被告陳韋志辯護人之意見後，認無不得或不宜改依簡式審判程序進行之情形，爰依刑事訴訟法第273條之1第1項，裁定進行簡式審判程序。是本案之證據調查，依刑事訴訟法第273條之2規定，不受同法第159條第1項、第161條之2、第161條之3、第163條之1及第164條至第170條規定之限制。 貳、認定事實所憑之證據及理由 一、上揭事實欄一所示部分，業據被告等均坦承不諱，並有美國 司法部聯邦調查局信函及附件、被告等於創世紀市場（用戶ID：41355、23370、17372）之註冊資訊、邀請鏈紀錄、存幣資訊、購買bot列表、購買之遭竊權限清單及購買之公務機關遭竊帳號密碼、登入IP資訊、被告陳韋志於幣託交易所（BitoEX.Com）開戶資料及虛擬通貨及現金提存交易資料、被告虞修志於幣託交易所（BitoPro.com）開戶資料及虛擬通貨及現金提存交易資料及於Safepal Wallet虛擬通貨存提交易紀錄、高華鴻（被告林逸松之妻）於幣託交易所登入IP紀錄比對表及交易紀錄、被告等登入IP紀錄及比對一覽表、被告虞修志筆記型電腦網站登入鑑識紀錄，及調查局資安工作站搜索扣押筆錄、扣押物品目錄表、現場照片及113年7月2日搜索被告林逸松住居所之電子檔案、網頁畫面、扣押物品翻拍照片等在卷（見偵28832卷第35至225、261至265、369至386頁、他2322卷第13至20、55至60、83、87至169、199至231、273至341、347至506頁、偵23128卷第141至163、169至179、207頁、本院卷第91至159頁）可佐；就事實欄二所示部分，業據被告虞修志坦承不諱，並有被告虞修志筆記型電腦網站登入鑑識紀錄，及被告虞修志與Telegram暱稱「PS做圖找我」之對話紀錄翻拍照片（見他2322卷第393至398頁、偵28832卷第457至467頁）。基前，足認被告等之任意性自白與證據相符，可以採信。 二、綜據上情，本案事證明確，被告等前揭犯行足可認定，應依 據法律論罪科刑。 參、論罪科刑 一、事實欄一部分 (一)核被告等所為，均係犯刑法第358條之無故輸入他人帳號密 碼、入侵他人電腦相關設備罪、同法第359條之無故取得他人電腦之電磁紀錄罪、個人資料保護法第19條第1項、第20條第1項、第41條之非公務機關非法蒐集、處理、利用個人資料罪。公訴意旨雖漏未敘及被告等涉犯個人資料保護法第20條第1項，惟起訴書犯罪事實欄業已載明此部分之犯罪事實，且經本院另諭知此部分論罪法條如上（見本院卷第174至175頁），對於被告等防禦權之行使並無任何妨礙，又此部分與前開論罪科刑之部分，有想像競合犯之裁判上一罪關係，為起訴效力所及，本院自得併予審理，爰依法變更起訴法條。 (二)被告等上開行為，係基於同一入侵目的或意圖營利而多次無 故蒐集、處理、利用個人資料，而在密集期間內以相同方式持續進行輸入、登入之行為，為達成單一不法目的所為之各個舉動，應予綜合為單一評價，而認屬一行為觸犯數罪名之想像競合犯，應依刑法第55條規定，從一重之個人資料保護法第41條之非公務機關非法蒐集、處理、利用個人資料罪處斷。 二、事實欄二部分 (一)按個人資料保護法所稱「個人資料」，係指自然人之姓名、 出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料；所稱「利用」，指將蒐集之個人資料為處理以外之使用，個人資料保護法第2條第1款、第5款定有明文（最高法院刑事大法庭109年度台上大字第1869號裁定意旨參照）。另按以電磁紀錄藉機器或電腦處理所顯示之影像或符號，足以表示其用意之證明者，依刑法第220條第2項規定，以文書論。又國民身分證係表彰持有人同一性之證明，原屬刑法第212條之特種文書，然戶籍法第75條關於意圖供冒用身分使用，而變造或行使變造國民身分證者，已有特別之處罰規定，應屬刑法第212條之特別規定（最高法院100年度台上字第6661號判決意旨參照），依法條競合之特別法優於普通法、重法優於輕法之原則，若有違反此等規定之情形，自應論以戶籍法第75條第2項之行使偽（變）造國民身分證罪，無庸再論以刑法第216條、第212條之行使偽（變）造特種文書罪。被告所行使本案變造身分證雖然是電子影像檔截圖，然其用途、證明之公信力與紙本實體無異，故仍屬構成戶籍法第75條之罪。經查，被告虞修志將先前取得內含陳子涵、陳輝勲、吳善鈞等3人之姓名、出生年月日、身分證統一編號、婚姻、家庭、住址等個人資料之身分證檔案照片傳送予暱稱「PS做圖找我」之人變造後，另將變造完成之國民身分證電子檔傳送予他人，該等行為構成非法利用個人資料及行使變造國民身分證等行為無訛。 (二)核被告虞修志所為，係犯戶籍法第75條第2項、第1項之冒用 身分而行使變造國民身分證罪、個人資料保護法第20條第1項、第41條之非公務機關非法利用個人資料罪。又公訴意旨雖漏未敘及被告涉犯戶籍法第75條第2項之行使變造國民身分證罪、個人資料保護法第20條第1項、第41條之非公務機關非法利用個人資料罪，惟起訴書犯罪事實欄業已載明此部分之犯罪事實，且經本院另諭知此部分論罪法條如上（見本院卷第174至175頁），對於被告虞修志防禦權之行使並無任何妨礙，又此部分與前開論罪科刑之部分，有想像競合犯之裁判上一罪關係，為起訴效力所及，本院自得併予審理，爰依法變更起訴法條。 (三)被告虞修志與暱稱「PS做圖找我」之人間，就上揭犯行，有 犯意聯絡及行為分擔，應論以共同正犯。 (四)被告虞修志上開行為係於密切接近之時間、地點，各行為之 獨立性極為薄弱，侵害之法益均屬相同，主觀上亦均係出於單一之犯意，依一般社會健全觀念，應分別視為數個舉動之接續施行，合為包括之一行為予以評價為當，應予綜合為單一評價，而認屬一行為觸犯數罪名之想像競合犯，應依刑法第55條規定，從一重之個人資料保護法第41條之非公務機關非法利用個人資料罪處斷。 三、被告虞修志所犯上開2罪間，犯意各別、行為互殊，應予分 論併罰。 四、爰以行為人之責任為基礎，審酌被告等明知不得非法蒐集、 處理、利用他人身分資料，卻以如事實欄一所示之手法為之，被告虞修志另以如事實欄二所示之手法為之，影響社會治安及交易秩序，並足生損害生損害於各該購物平台、網站平台用戶，所為應予非難；兼衡被告等終能坦承犯行之犯後態度；暨被告等犯罪動機、手段、前科素行，及自陳之智識程度、家庭經濟生活狀況等一切情狀，分別量處如主文所示之刑，並諭知易科罰金、易服勞役之折算標準，以資儆懲。末就被告虞修志所犯部分，參酌其本案犯罪對法益侵害之加重效應、各罪宣告刑總合上限、各刑中最長期者等，就有期徒刑部分定其應執行之刑，及諭知易科罰金之折算標準。 肆、沒收 一、按供犯罪所用、犯罪預備之物或犯罪所生之物，屬於犯罪行 為人者，得沒收之，但有特別規定者，依其規定，刑法第38條第2項定有明文。 二、經查，扣案如附表編號1、2所示之物，為被告虞修志所有， 分別用以登入創世紀市集、與「PS做圖找我」為本案聯絡之物，有上揭鑑識審查報告、手機檢視證物擷圖在卷（見他2322卷第393至398頁、偵28832卷第457至467頁）可查，可認該等物品係供被告虞修志分別犯如事實欄一、二之罪所用之物，爰依前揭規定，宣告沒收。 三、至其餘扣押物無足認係被告等犯罪行為所用，或為犯罪預備 或犯罪所生之物或犯罪所得，亦非屬違禁物，爰不宣告沒收。 伍、不另為無罪諭知 一、公訴意旨另以：被告等另取得我國政府機關系統存取權限， 而以之無故入侵公務機關電腦設備，因認被告等該部分所為，亦涉犯刑法第358條、第361條之無故入侵公務機關電腦罪嫌，及同法第359條、第361條之無故取得公務機關電腦之電磁紀錄罪嫌等語。 二、被告等就有無取得公務機關系統存取權限並使用登入一節， 於偵查、本院審理時供述反覆，已非無瑕疵可指。又遍查全卷，並無其他補強證據足以佐證被告等所為其一不利於己之自白與事實相符，自難僅以被告等上開有瑕疵之唯一供述，即認被告等有公訴意旨所指上開犯行。 三、綜上，檢察官所舉被告等於偵查或本院審理中所為自白之供 述，本院認仍存有合理之懷疑，猶未達到確信為真實之程度，不足以使本院形成被告等另涉有上開公訴意旨所指犯行之心證，此外，本院經積極查證，仍未能發現被告等有檢察官所指此部分之犯行，既不能證明被告等此部分犯罪，原應為被告等此部分無罪之諭知，惟公訴意旨認此部分與前開被告等所犯如事實欄一所示有罪之部分，為想像競合之裁判上一罪關係，爰不另為無罪之諭知。 據上論斷，應依刑事訴訟法第273條之1第1項、第299條第1項前 段，判決如主文。 本案經檢察官羅韋淵提起公訴，檢察官許佩霖到庭執行職務。 中　　華　　民　　國　　113 　年　　11　　月　　27　　日 　　　　　　　　　刑事第三庭　　法　官　黃文昭 以上正本證明與原本無異。 後20日內向本院提出上訴書狀，並應敘述具體理由；其未敘述上 訴理由者，應於上訴期間屆滿後20日內向本院補提理由書（均須 按他造當事人之人數附繕本）「切勿逕送上級法院」。告訴人或 被害人如對於本判決不服者，應具備理由請求檢察官上訴，其上 訴期間之計算係以檢察官收受判決正本之日期為準。 　　　　　　　　　　　　　　　　書記官　周豫杰 中　　華　　民　　國　　113 　年　　11　　月　　29　　日 附錄本案論罪科刑法條： 中華民國刑法第358條 無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系 統之漏洞，而入侵他人之電腦或其相關設備者，處3年以下有期 徒刑、拘役或科或併科30萬元以下罰金。 中華民國刑法第359條 無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄，致生 損害於公眾或他人者，處5年以下有期徒刑、拘役或科或併科60 萬元以下罰金。 個人資料保護法第19條 非公務機關對個人資料之蒐集或處理，除第6條第1項所規定資料 外，應有特定目的，並符合下列情形之一者： 一、法律明文規定。 二、與當事人有契約或類似契約之關係，且已採取適當之安全措 施。 三、當事人自行公開或其他已合法公開之個人資料。 四、學術研究機構基於公共利益為統計或學術研究而有必要，且 資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。 五、經當事人同意。 六、為增進公共利益所必要。 七、個人資料取自於一般可得之來源。但當事人對該資料之禁止 處理或利用，顯有更值得保護之重大利益者，不在此限。 八、對當事人權益無侵害。 蒐集或處理者知悉或經當事人通知依前項第7款但書規定禁止對 該資料之處理或利用時，應主動或依當事人之請求，刪除、停止 處理或利用該個人資料。 個人資料保護法第20條 非公務機關對個人資料之利用，除第6條第1項所規定資料外，應 於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為 特定目的外之利用： 一、法律明文規定。 二、為增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而 有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。 六、經當事人同意。 七、有利於當事人權益。 非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接 受行銷時，應即停止利用其個人資料行銷。 非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方 式，並支付所需費用。 個人資料保護法第41條 意圖為自己或第三人不法之利益或損害他人之利益，而違反第6 條第1項、第15條、第16條、第19條、第20條第1項規定，或中央 目的事業主管機關依第21條限制國際傳輸之命令或處分，足生損 害於他人者，處5年以下有期徒刑，得併科新臺幣1百萬元以下罰 金。 戶籍法第75條 意圖供冒用身分使用，而偽造、變造國民身分證，足以生損害於 公眾或他人者，處5年以下有期徒刑、拘役或科或併科新臺幣50 萬元以下罰金。 行使前項偽造、變造之國民身分證者，亦同。 將國民身分證交付他人，以供冒名使用，或冒用身分而使用他人 交付或遺失之國民身分證，足以生損害於公眾或他人者，處3年 以下有期徒刑、拘役或科或併科新臺幣30萬元以下罰金。 附表： 編號 物品名稱及數量 1 ROG Z690硬碟1顆 2 iPhone 14 Pro Max紫色手機1支