管得到。個人資料保護法第51條第2項寫得很直接：公務機關及非公務機關在中華民國領域外，對中華民國人民的個人資料蒐集、處理或利用，也適用本法。總公司在新加坡、伺服器在日本，都不影響這一點。
難的在後面。法律管得到，不代表賠償拿得到；要去哪裡告、自己告還是跟大家一起告、損害怎麼算、什麼時候以前要起訴，條文各有答案。
要告，只能在一個地方
個資法的損害賠償訴訟有專屬管轄。第33條規定，依本法對非公務機關起訴，專屬其主事務所、主營業所或住所地的地方法院；法人或團體在中華民國沒有主事務所、主營業所，或所在不明時，專屬中央政府所在地的地方法院。海外訂房網站在台灣沒有據點，案件就會落在臺北。
有台灣分公司的外商呢？要先看分公司是不是它在台灣的主營業所，這會影響由哪個地院審理。判決下來以後，公司在台灣沒有財產的話，執行還得到公司所在的國家另外處理。
準據法是另一層問題。涉外民事法律適用法第25條規定侵權行為之債依侵權行為地法，另有關係最切的法律時依該法律；經由電腦網路等傳播方法所為的侵權行為，另有第28條。駭客入侵造成的外洩算不算「經由電腦網路為之」，可能會有爭執。
一個人告，還是交給團體
已經有團體起訴，還沒授權的人也不一定錯過。第34條讓法院依聲請或依職權公告曉示，其他因同一原因事實受害的人，可以在一定期間內向起訴的團體授與訴訟實施權，也可以在這段期間內自行起訴，由法院併案審理。
團體起訴的門檻寫在同一條第1項：財團法人或公益社團法人，取得20人以上受害當事人以書面授與的訴訟實施權，就能以自己的名義提起損害賠償訴訟。授與可以在言詞辯論終結前以書面撤回。標的價額超過新臺幣60萬元的部分，暫免徵裁判費。
誰能當這個團體，由第32條限定：財團法人登記財產總額達新臺幣1,000萬元，或社團法人社員達100人；章程目的要包含個資保護；許可設立滿三年。
另一條路在消費者保護法。第50條讓消費者保護團體受讓20人以上消費者的損害賠償請求權後，以自己的名義起訴，範圍包括民法第194條、第195條第1項的非財產上損害；團體不得向消費者請求報酬，勝訴所得扣除訴訟及律師必要費用後要交給消費者。不過，個資法第28條第6項（依第29條第2項適用於非公務機關）規定，非財產上損害的請求權除已依契約承諾或已起訴外不得讓與；依個資法請求的部分能不能這樣讓與，要另外判斷。可以提起這種訴訟的團體，要許可設立二年以上、置有消費者保護專門人員，並經行政院評定優良，而且要委任律師（第49條）。
有共同利益的多數人同為一個公益社團法人的社員時，也可以依民事訴訟法第44條之1，在章程目的範圍內選定該法人起訴。三條路的做法不同：個資法是書面授與訴訟實施權，消保法是讓與請求權，民訴法是選定法人。共通點只有一個，本人要主動加入。
舉不出實際損失時怎麼算
卡沒被盜刷、帳戶沒少錢，也不是就沒有請求的空間。第29條第2項規定，依前項請求賠償者，適用第28條第2項至第6項。非財產上的損害，也可以請求相當的金額。
被害人不易或不能證明實際損害額時，可以請法院依侵害情節，以每人每一事件新臺幣500元以上2萬元以下計算。同一原因事實造成多數人受害，合計最高總額是新臺幣2億元，但所涉利益超過2億元時以所涉利益為限；總額超過上限時，每人500元的最低額就不再適用。
還有一點對受害人有利：舉證責任在公司。第29條第1項規定，非公務機關違反個資法，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利，要負損害賠償責任；能證明自己沒有故意或過失的，才不用賠。
兩年，從知道的時候算
第30條：請求權人知有損害及賠償義務人時起，二年間不行使而消滅；自損害發生時起逾五年，也一樣。外洩通知寄到的那一天，很可能被公司拿來主張是「知道」的起點。
通知該寫什麼，新法還沒上路。2025年11月11日修正公布的第12條，把通知當事人和向主管機關通報分開規定，同次修正也刪除第27條；不過沿革記載施行日期由行政院定之，到確認日為止還沒有訂出來。
所以拿到手上的通知，現在要對照舊條文。現行第12條要求違反本法規定致個資被竊取、洩漏、竄改或其他侵害時，查明後以適當方式通知當事人（現行條文）。施行細則第22條說明，通知內容應包括個資被侵害的事實及已採取的因應措施，需費過鉅時可以用網際網路、新聞媒體等公開方式代替。
外洩之後最先碰到的冒用問題
帳單上出現不認得的刷卡，先向發卡銀行申訴。金融消費者保護法第13條規定，銀行要在收受申訴之日起30日內處理並回覆；不接受處理結果，或銀行逾期不處理，可以在收受結果或期限屆滿之日起60日內，向爭議處理機構申請評議。
被冒名申辦信用卡或貸款，則要從財團法人金融聯合徵信中心著手。可以申請個人信用報告，看看有沒有自己不知道的查詢或往來，中文信用報告每年度可免費申請一次（聯徵中心郵局代收辦理說明）；也可以申請「當事人註記」。聯徵中心列出的註記類別，有基於自身約束註記不再申請貸款、信用卡，以及認為金融機構報送的資料有爭議時補充說明；金融機構在核貸、核卡或審核開戶時查詢得到。聯徵中心自己說明，這項註記僅具提示作用（信用資料註記）。
接到自稱銀行、訂房網站客服的電話或簡訊，要求轉帳或提供驗證碼，可以撥165或上165全民防騙網查證、報案。
律師可以協助的事
昊鼎國際法律事務所可以協助向業者發函求償或協商；談不攏時，判斷管轄法院（臺北地方法院，或主營業所所在地的地方法院）並代理訴訟。已有團體起訴的，可以審閱授與文件，確認法院公告的期間；需要時，把外洩通知、訂單與付款紀錄、後續詐騙或冒用的紀錄整理成證據，並確認業者是否屬於個資法的非公務機關、境外行為是否落在第51條第2項。公司端的通報義務另見〈外商台灣據點被駭〉與〈會員資料外洩，廠商還沒認責〉；更多民事爭議服務見〈民事訴訟〉。諮詢信箱：wei@hoveringlaw.com.tw；事務所地址：103 臺北市大同區承德路一段35號7樓之2。
法院一旦公告曉示，向起訴團體授與訴訟實施權，或自行起訴請求併案審理，都要在公告的期間之內。
參考資料
確認日期：2026年10月27日。
常見問題
- 外國公司在台灣沒有分公司或營業所，要去哪個法院告？
- 依個資法請求損害賠償，對非公務機關起訴時，專屬其主事務所、主營業所或住所地的地方法院管轄（第33條第1項）。法人或團體在中華民國沒有主事務所、主營業所，或所在不明時，專屬中央政府所在地的地方法院管轄（同條第3項）。判決之後，如果公司在台灣沒有財產，執行還要看公司所在國的程序。
- 擔心被冒名申辦信用卡或貸款，聯徵中心能做什麼？
- 可以向財團法人金融聯合徵信中心申請個人信用報告，看看有沒有自己不知道的查詢或往來；中文信用報告每年度可免費申請一次一份。也可以申請「當事人註記」，在個人資料檔註記與金融機構往來的相關聲明，例如不再申請貸款、信用卡，或對金融機構報送資料的爭議補充說明；金融機構在核貸、核卡或審核開戶時查詢得到並參考辦理。聯徵中心說明，這項註記僅具提示作用。
- 想參加團體訴訟，要做什麼？
- 要自己主動加入，不會自動列入。個資法第34條的團體訴訟，由符合第32條要件的財團法人或公益社團法人，取得20人以上受害當事人以書面授與的訴訟實施權後起訴，當事人可以在言詞辯論終結前以書面撤回授與。消費者保護法第50條則是把損害賠償請求權讓與給消費者保護團體，消費者也可以在言詞辯論終結前終止讓與並通知法院。
本文僅供一般資訊參考，並非針對個別案件的法律意見。
