易遊網近日爆出逾69萬名消費者個資外洩，雖然業者強調信用卡卡號、登入密碼及護照資料未受影響，但姓名、電話及歷史訂單資訊遭不當取得，仍讓不少消費者擔心成為詐騙目標。收到個資外洩通知後，究竟該更換密碼、停用信用卡，還是直接向業者求償？消基會董事許宏宇律師接受本報採訪時提醒，即使沒有實際金錢損失，消費者仍可能依法請求賠償，但第一步應先確認通知真偽、保存相關證據，避免個資外洩後再次落入詐騙陷阱。
訂單細節成詐騙工具 收到通知先做6件事
易遊網11月9日公告，會員中心遭外部網路攻擊，部分歷史訂單聯絡資料遭不當取得，涉及姓名、電子郵件、聯絡電話及商品訂購資訊等。公司表示，已透過簡訊及電子郵件通知受影響消費者，並提醒留意假冒客服、重複扣款及退款等詐騙手法。
許宏宇指出，相較於單純的姓名、電話，旅遊訂單資料可能讓詐騙更具說服力，詐騙集團若掌握消費者的訂購內容、出發日期及目的地，就可能假冒旅行社、航空公司或飯店人員，聲稱訂單設定錯誤、航班異動或需要退款，誘導消費者提供驗證碼、信用卡資訊，甚至要求重新付款。
他提醒，消費者收到個資外洩通知後，可以先採取六項措施。第一，確認通知來源，不要直接點擊訊息中的連結，也不要回撥陌生電話，應自行透過官方網站或客服查證；第二，即使業者表示登入密碼未外洩，仍建議更換密碼，若其他網站使用相同密碼，也應同步調整。
第三，主動向業者查詢受影響的資料範圍，包括是否涉及自己的訂單、哪些資料欄位遭取得；第四，提高對假客服、假退款及行程變更通知的警覺，凡是要求操作ATM、提供簡訊驗證碼或匯款至不明帳戶，都應先停止操作並向官方確認。
第五，保存外洩通知、可疑電話、簡訊及電子郵件等紀錄，若有後續詐騙，也應記下對方提及的訂單細節；第六，若已發生金錢損失，應立即聯繫銀行、撥打165反詐騙專線或向警方報案，並保存報案及交易紀錄，作為後續申訴與求償依據。
許宏宇表示，易遊網此次寄送的正式通知並未附帶網址連結，消費者如果收到要求重新登入、填寫信用卡資料或提供驗證碼的通知，反而更應提高警覺；此外，若曾替家人、朋友代訂旅遊商品，也應提醒同行者注意可疑聯繫，避免其他人的資料同樣被利用。
沒有金錢損失也能求償？ 個資法設賠償規定
除了防範詐騙，個資外洩後能否要求業者賠償，也是消費者關心的問題。許宏宇指出，依《個人資料保護法》第29條規定，民間企業若違反個資法，造成當事人權利受到侵害，原則上須負損害賠償責任，但業者若能證明自己沒有故意或過失，則不在此限；即使消費者尚未遭到詐騙、沒有實際財務損失，只要符合相關責任要件，仍可能就非財產上損害請求賠償。
依現行規定，當受害者不易或不能證明實際損害金額時，得請求法院依侵害情節，以每人每一事件500元至2萬元計算損害額。不過，這不代表每名收到外洩通知的消費者都能直接取得賠償，是否成立賠償責任、實際金額多少，仍須由法院依個案事證認定。
許宏宇進一步說明，個資法對同一原因事實造成多數當事人權利受侵害的事件，也設有損害賠償總額限制，原則上合計最高為2億元，若事件所涉利益超過2億元，則以該利益為限；當同一事件的損害總額超過法定上限時，個別受害者的賠償金額也可能低於500元。易遊網此次涉及逾69萬名消費者，若未來出現大規模集體求償，相關規定也可能影響實際賠償金額的認定。
至於個資外洩後若真的遭到詐騙，能否要求旅行社賠償全部財務損失，許宏宇表示，法院實務見解並不一致，關鍵在於能否證明個資外洩與後續詐騙之間存在因果關係。例如詐騙者是否掌握只有特定業者才知道的交易細節，或同一時期是否有其他消費者遭遇相同手法，都可能成為判斷依據。
因此，他建議消費者除了保存外洩通知，也應主動向業者書面確認受影響資料範圍，並保留對方的回覆。依個資法規定，當事人有權查詢、請求閱覽業者保有的個人資料，業者原則上應於15日內決定是否准許，必要時得延長最多15日，並應以書面告知延長原因，若日後發生爭議，相關申請及回覆紀錄都有助於釐清責任。
消基會籲業者主動補償 個資保存期限也該檢討
面對大規模個資外洩事件，許宏宇認為，業者不應只是發送通知及提醒消費者防詐，更應提供具體協助，包括設置專人諮詢管道、協助確認資料外洩範圍，以及持續監控冒用公司名義的假網站、假帳號，避免消費者在事件發生數週甚至數月後才遭到詐騙。
他指出，當消費者因個資外洩受到損害，業者應主動協助提供交易紀錄、資料外洩範圍證明及申訴所需文件，而非將蒐證責任全部留給消費者。針對易遊網此次事件，消基會也呼籲業者提出具體補償方案，並在數位鑑識完成後，公開說明事件原因及改善措施。
他也提醒，個資損害賠償請求權有時效限制，原則上自知道有損害及賠償義務人時起兩年內行使，自損害發生時起超過五年也不得再請求。消費者若認為自身權益受到侵害，應及早保存證據、提出申訴，避免因時間拖延影響求償權利。
許宏宇強調，旅遊業者掌握的不只是一般會員聯絡資料，還可能包括護照影像、出入境時間、住宿地點及同行者資訊，一旦外洩，影響可能持續相當長的時間。因此，業者除了強化資安防護，也應重新檢視資料保存年限，落實最少蒐集、最短保存原則，避免已完成多年的旅遊訂單仍長期存放大量可識別個資。
對消費者而言，收到個資外洩通知不代表一定已經遭到詐騙，但也不能因為信用卡資料未外洩就掉以輕心。許宏宇提醒，凡是接獲要求提供驗證碼、點擊退款連結或操作ATM的通知，都應先透過官方管道查證，才能降低資料外洩後遭到二次利用的風險。