過失訴因

Negligence Cause of Action（過失訴因）是民事侵權法中的核心概念，指原告能因被告的過失行為（Breach of Duty）成功獲得救濟的法律基礎。在資訊安全領域，這意味著當企業未能採取「合理之安全措施」導致資料外洩時，受害人可依此訴因要求損害賠償。此概念與ISO/IEC 27701的控制措施要求及GDPR第5條「處理原則」高度相關。台灣《個人資料保護法》第22條亦規定，因處理個人資料時之過失，致損害者受損害者，處理者應負賠償責任。此訴因的成立需滿足四個要素：存在注意義務、違反該義務、因違反義務造成損害、因違反義務與損害間存在因果關係。對於企業而言，這不只是法律風險，更是資訊安全管理系統（ISMS）設計的根本驅動力。

企業應將過失訴因風險納入資訊安全風險評鑑（Information Security Risk Assessment）的量化框架。實務應用分為三個階段：第一步，建立「合理注意義務」的技術基準，參考NIST CSF（網路安全框架）或ISO/IEC 27701的控制措施清單，確保技術防護（如加密、存取控制）符合當前業界標準；第二步，建立文件化證據鏈，記錄每次風險評鑑、資安訓練及事件應變演練的執行紀錄，以在訴訟中證明企業已盡「合理注意」；第三步，建立監控與回應機制，確保在事件發生後能在法定期限（如GDPR 72小時）內完成通報與補救。根據2022年國際數據洩漏報告，未建立文件化防護紀錄的企業，在訴訟中的敗訴率比有完整紀錄者高出約65%。

台灣企業在應對過失訴因時面臨三大挑戰：首先是「合理注意」的認定標準模糊，企業難以量化何謂「合理」的技術防護程度，建議採用ISO/IEC 27701作為國際公認的合規基準；其次是台灣個資法第22條的賠償額度上限問題，部分企業因賠償上限低而輕視防護投資，但隨著判決趨嚴，建議採用風險成本效益分析（Cost-Benefit Analysis）重新評估防護投資優先順序；第三是內部資安文化不足，特別是中小企業對「過失」的法律風險意識薄弱。建議採取分階段導入策略：第一階段（0-30天）完成資產盤點與風險識別；第二階段（31-90天）導入ISO 27701控制措施；第三階段（持續）建立定期稽核與演練機制，並將資安績效納入董事會報告項目，以降低訴訟風險。