03 9 月
判決書遮蔽後仍被內部人查詢，法院紀錄二次保密防護的實務與挑戰
走進任何一間地方法院的閱卷室，常會看到民眾或律師坐在電腦前，透過司法院法學資料檢索系統查詢判決書。螢幕上的判決字號、案由、主文都清清楚楚，但當事人的姓名變成了「甲○○」、「乙○○」或「A01」，身分證字號只留下前幾碼，地址也隱去大半。這是法院為了兼顧司法透明與個人資料保護，所進行的「判決書遮蔽」作業。然而，很多人不知道的是，這些遮蔽過的判決書，在法院內部的案件管理系統裡，仍然是完整、未遮蔽的原始版本。任何具有內部系統權限的書記官、法官助理、甚至外包資訊人員，只要動動手指，就能看到當事人的全名、住址、身分證字號、車牌號碼、銀行帳戶，乃至於犯罪細節或家庭糾紛的完整脈絡。
這篇文章要探討的，正是這個長期被忽略的資安與隱私漏洞：判決書對外遮蔽了，但對內卻形同透明。法院紀錄的「二次保密防護」，也就是在內部系統端如何防止不當查詢、如何留下稽核軌跡、如何在職務需要與隱私保護之間取得平衡，已經成為司法數位化過程中不得不面對的嚴肅課題。
一、判決書遮蔽的法律基礎與實務運作
在深入討論內部查詢問題之前，必須先弄清楚一件事：為什麼判決書需要遮蔽？遮蔽的依據是什麼？遮蔽到什麼程度才算合理？這些問題的答案，直接影響到後續內部防護的設計邏輯。
1.1 判決書公開原則與其限制
台灣的司法實務向來強調「審判公開」原則。憲法第16條保障人民訴訟權，而法院組織法第86條規定訴訟之辯論及裁判之宣示，應公開法庭行之。這項原則延伸的結果，就是判決書原則上應對外公開，讓人民可以檢視法官的心證形成過程，避免黑箱作業，也促進法律見解的累積與統一。
民國99年修正通過的《法院組織法》第83條，更進一步將裁判書公開制度化。條文規定：「各級法院及分院應定期出版公報或以其他適當方式，公開裁判書。但其他法律另有規定者，依其規定。前項公開，除自然人之姓名外，得不含自然人之身分證統一編號及其他足資識別該個人之資料。」這條但書，就是判決書遮蔽的直接法源。
換句話說，立法者已經意識到：判決書公開雖然重要，但個人資料保護同樣不可偏廢。如果判決書完整揭露當事人的身分證字號、地址、電話、車牌、帳戶等資訊，等於把一個人的所有隱私攤在陽光下，任何人都能透過判決書拼湊出一個人的完整生活圖像，甚至用於騷擾、詐欺、跟蹤或報復。這對當事人，尤其是性侵害被害人、家暴受害者、未成年人或無辜被牽連的第三人，傷害尤其嚴重。
1.2 遮蔽作業的實際流程與困境
目前台灣各級法院的判決書遮蔽作業，大致上可以分為兩個階段：
第一階段是法官或書記官在製作判決書正本時，就會依照司法院頒布的《裁判書公開作業要點》進行初步遮蔽。常見的遮蔽項目包括：
| 遮蔽項目 | 遮蔽方式 | 舉例 |
|---|---|---|
| 當事人姓名 | 以「甲○○」、「乙○○」或代號代替 | 原告王小明 → 原告甲○○ |
| 身分證字號 | 保留前2碼，其餘以○○代替 | A123456789 → A1○○○○○○○ |
| 地址 | 只保留縣市區域，其餘刪除 | 台北市大安區○○路○段○號○樓 |
| 車牌號碼 | 保留前2碼或全遮蔽 | ABC-1234 → AB○-○○○○ |
| 銀行帳戶 | 保留末4碼，其餘遮蔽 | 1234567890 → ○○○○○○7890 |
| 未成年子女姓名 | 全部遮蔽 | 王小華 → 王○○ |
| 證人姓名（特殊案件） | 視情況遮蔽 | 證人A |
第二階段則是在判決書上傳至對外公開的法學資料檢索系統之前，由各法院的資訊室或專責人員進行二次檢核，確保遮蔽完整，沒有漏網之魚。這個流程看似嚴謹，但實務上問題不少：
遮蔽標準不一致：不同法院、不同法官、甚至不同書記官對遮蔽範圍的拿捏差異很大。有些判決書遮蔽得極端徹底，連「台北地方法院」的「台北」都改為「○○」，讓閱讀者完全無法判斷管轄法院；有些則只遮蔽姓名，其他個資照登，形同虛設。這種不一致性造成兩個問題：一是遮蔽過度時，判決書的可讀性與參考價值大幅降低，律師或學者難以引用分析；二是遮蔽不足時，當事人隱私仍然暴露。
遮蔽疏漏難以完全避免：判決書動輒數千字甚至數萬字，涉及多數當事人、證人、關係人，每個人可能有多筆個資散落在不同段落。書記官人工遮蔽時，漏掉一兩個身分證字號或地址是常有的事。更麻煩的是，有些個資是以非結構化的方式出現，例如判決書內文引用當事人書狀內容，裡面可能寫著「我住在台北市忠孝東路四段553巷22弄5號3樓，電話是0912-345-678」，這種口語化的個資，遮蔽程式很難自動辨識，人工也容易忽略。
遮蔽後的「再識別」風險：即使遮蔽了姓名、身分證字號等直接識別資料，判決書中仍可能殘留大量的間接識別資訊。例如某件性侵案的判決書，雖然被害人姓名改為甲○○，但文中提到「被害人為被告之表妹，就讀○○高中二年級，家住○○鄉○○村」，搭配案發時間、地點等細節，有心人仍然可能比對出被害人身分。這就是個資法上所謂的「去識別化不完全」或「再識別風險」。
1.3 遮蔽的極限：公開與隱私的拉扯
更深一層的問題在於，判決書遮蔽這件事本身，存在一個根本性的矛盾：判決書的核心價值在於「完整的說理」，而說理往往需要具體事實的支撐。如果把所有可能識別個人的資訊全部遮蔽，判決書就會變成一篇空洞的文言文，失去司法審查、學術研究與公眾監督的功能。
例如，一件關於「職場性騷擾」的民事判決，原告主張被告在公司尾牙場合對其性騷擾，關鍵證據包括當天的錄影、Line對話紀錄、其他同事的證詞。判決書若要完整交代法官的心證，勢必會提到公司名稱、部門、職稱、時間、地點、對話內容等細節。這些細節一旦公開，即使在姓名上打了馬賽克，公司內部的人一看就知道是誰。這就是為什麼很多職場性騷擾或職場霸凌的當事人，寧願選擇和解或保密協議，也不願意讓判決書公開，因為「判決書遮蔽」對他們來說，只是形式上的保護，實質上的隱私早就蕩然無存。
因此，判決書遮蔽從來就不是一個「有做就好」的技術問題，而是一個必須在「司法透明」與「個人隱私」之間動態權衡的政策問題。而這個權衡的結果，直接決定了內部系統應該施加什麼等級的防護。
二、法院內部系統的查詢權限與風險樣態
如果說對外公開的判決書遮蔽，是為了防止「一般民眾」的不當取得與濫用，那麼法院內部系統的防護，目標則是防止「有權限的人」濫用權限。這兩者的威脅模型完全不同。
2.1 誰能看到未遮蔽的判決書？
在台灣的法院體系中，未遮蔽的判決書（或稱「完整版裁判書」）主要存在於以下幾個系統：
- 法院內部案件管理系統（如「審判資訊系統」）：這是法官、書記官、法官助理、錄事、庭長等日常作業的核心系統。所有案件的卷證資料、筆錄、裁判書草稿與正本，都儲存在這個系統中。具備該案件權限的人員，可以看到該案件的所有未遮蔽資料。
- 司法院及所屬法院的資料倉儲或備援系統：為了統計分析、政策研究、法官評鑑等目的，司法院會將各法院的裁判書資料彙整到中央端的資料庫。這些資料庫通常也保留未遮蔽版本，但存取權限更嚴格，僅限於特定人員，例如司法行政部門的統計分析人員、資訊工程師、以及負責維護系統的廠商。
- 電子卷證系統：近年來司法院大力推動卷證電子化，律師可以透過「電子卷證系統」閱覽卷證，但閱覽範圍僅限於其受委任的案件，且需經過法院審核。然而，這個系統的後端同樣儲存著未遮蔽的完整卷證，法院資訊人員與系統維護廠商具有技術上的存取能力。
- 法學資料檢索系統的後台資料庫：雖然對外公開的版本已經過遮蔽，但後台資料庫中可能同時存在原始版與遮蔽版，或者原始版並未被刪除，只是透過程式邏輯在輸出時遮蔽。這意味著，具有資料庫權限的人員，可以直接繞過遮蔽程式，取得原始資料。
2.2 內部查詢的風險樣態與實例
有了上述權限，內部人員可能基於各種動機進行不當查詢。這些動機大致可以歸納為以下幾類：
第一類：職務上便利但超出必要範圍的「順手查」
這是最常見也最難防範的類型。舉例來說，某位書記官在處理一件離婚訴訟案件時，發現當事人之一是自己的鄰居或孩子的同學家長。基於好奇，他順手查了一下這個人的其他案件，看看有沒有什麼八卦。或者，某位法官助理在整理卷證時，看到當事人的住址與自己前男/女友的住址相同，忍不住多看了幾眼。這些行為未必有惡意，但已經違反了「職務上知悉的個人資料，不得為職務外目的使用」的基本原則。
第二類：基於私人利害關係的「刻意查」
這種類型就嚴重得多。例如，某位法院職員與他人有債務糾紛或感情糾紛，於是利用內部系統查詢對方的住址、車籍、財產資料（透過相關聯的執行案件），甚至查詢對方是否曾涉入刑事案件，作為威脅或報復的工具。更極端的例子是，有法院職員將查到的個資提供給討債集團、徵信社或詐騙集團，從中牟利。這已經構成刑法上的「洩漏國防以外秘密罪」或《個人資料保護法》的刑事責任。
第三類：系統性的資料外流
這種類型通常涉及資訊人員或外包廠商。由於法院系統的開發與維護大量仰賴外部資訊公司，這些公司的工程師在測試、維運或資料移轉的過程中，可能接觸到大批未遮蔽的裁判書資料。如果這些工程師將資料複製帶出，或者在系統中植入後門程式，就可能造成大規模的個資外洩。民國105年，某地方法院曾爆發書記官涉嫌將數百筆離婚判決書的當事人個資外洩給徵信業者，震驚社會。該案雖然是個人行為，但也凸顯出法院內部資料管控的鬆散。
第四類：基於「司法監督」名義的過度查詢
在台灣，法官評鑑、職務監督、政風調查等機制，有時需要調閱法官承辦案件的裁判書與卷證。但這些查詢行為如果沒有明確的法律授權與程序規範，也可能變成打壓異己或窺探隱私的工具。例如，某位法官因為審理案件得罪了上級或特定政治勢力，就可能被以「評鑑」為名，大規模調取其承辦案件的內部資料，逐一檢視是否有瑕疵，藉此施壓。這種查詢雖然打著「監督」的旗號，但實際上是對審判獨立的侵害，也是對當事人隱私的二次傷害。
2.3 現行規範的不足
面對上述風險，台灣現行的法律與行政規則是否足以應對？答案是：遠遠不夠。
《個人資料保護法》：個資法第15條規定，公務機關對個人資料的蒐集或處理，應有特定目的，並符合執行法定職務必要範圍內等要件。第16條則規定，公務機關對個人資料的利用，應於蒐集之特定目的必要範圍內為之。法院內部人員查詢未遮蔽裁判書，如果超出其職務必要範圍，確實違反個資法。但問題是，個資法的處罰主要是事後追懲，對於事前預防、事中監控的效果有限。而且，個資法對於「職務必要範圍」的認定，在實務上往往過於寬鬆，給了內部人員很大的解釋空間。
《刑法》第132條洩漏國防以外秘密罪：本條規定公務員洩漏或交付關於中華民國國防以外應秘密之文書、圖畫、消息或物品者，處三年以下有期徒刑。未遮蔽的裁判書是否屬於「應秘密之文書」？這個問題在學說與實務上有爭議。有認為判決書既已公開，只是部分遮蔽，則未遮蔽版本本身並非絕對秘密，只是「限制公開」。但也有認為，法院基於個資保護而遮蔽的行為，已經賦予未遮蔽版本「應秘密」的性質。無論如何，這條罪的構成要件較為模糊，實際定罪案例不多。
司法院內部行政規則：司法院訂有《法院人員使用資訊系統應行注意事項》、《資訊安全管理制度》等內部規範，要求法院人員妥善保管帳號密碼、不得將權限借予他人、不得查詢與職務無關的資料。但這些規範的罰則多半是行政懲處（申誡、記過），嚇阻力有限。更重要的是，這些規範的執行幾乎完全依賴「事後稽核」，也就是等事情爆發了再去追查，缺乏即時的異常行為偵測與阻斷機制。
三、二次保密防護的技術架構與實務設計
既然法律面與行政規則面都有不足，那麼技術面能做些什麼？這裡所說的「二次保密防護」，是指在判決書對外遮蔽之後，針對法院內部系統的另一層防護機制。這層防護的目標，不是阻止所有查詢（因為職務上確實需要查詢完整資料），而是確保「每一次查詢都是必要的、可追蹤的、異常行為能被即時發現」。
3.1 最小權限原則（Principle of Least Privilege）
這是最基本也最重要的原則：每個使用者在法院內部系統中的權限，應該以「完成其職務所必需」為限，不能多給。
實務上，目前法院內部的權限控管相當粗糙。舉例來說，書記官通常可以查詢自己承辦股別的所有案件，但如果他臨時支援其他股別，權限可能就會被放寬到整個科室。法官助理的權限往往跟法官綁在一起，法官能看什麼，助理就能看什麼。資訊室的系統管理員，因為要維護系統，往往具有「超級使用者」權限，可以存取所有資料。這些過度授權的現象，使得「最小權限原則」形同虛設。
理想的設計應該是：
- 角色基礎存取控制（Role-Based Access Control, RBAC）：明確區分法官、書記官、法官助理、錄事、庭長、院長、資訊人員、政風人員、統計人員等不同角色，每個角色只能存取其職務所需的資料範圍。例如，統計人員只需要看到結構化的案件統計數據（案由、件數、結案情形），而不需要看到當事人個資或判決書全文。資訊人員在進行系統維運時，應使用「去識別化」的測試資料庫，只有在極端必要且經過授權的情況下，才能接觸正式資料庫。
- 案件關聯性檢查：系統在允許使用者查詢某件案件的完整資料之前，應該自動檢查該使用者是否與此案件有關聯。關聯性的判斷標準可以包括：使用者是否為該案件的承辦股別、是否為該案件的合議庭成員、是否具有上級審的調卷權限、是否經由正式程序取得調閱授權。如果沒有關聯性，系統應拒絕提供完整資料，或僅提供遮蔽版本。
- 動態授權與臨時授權：在某些特殊情況下，使用者可能需要臨時查詢非自己承辦案件的資料，例如法官調閱他院判決作為參考、政風人員調查特定案件。這時應該設計一套「臨時授權」流程，由使用者提出申請，載明查詢目的與範圍，經主管或系統管理者核准後，在限定時間內開放權限，期滿自動失效。所有申請與核准紀錄都應留存。
3.2 完整且不可竄改的稽核日誌（Audit Trail）
即使權限控管做得再好，也無法完全排除內賊或誤用的可能。因此，一套完整的稽核日誌系統是二次保密防護的第二道防線。
稽核日誌應該記錄的內容包括：
| 稽核項目 | 說明 | 舉例 |
|---|---|---|
| 使用者識別 | 誰查詢？ | 使用者帳號、姓名、所屬單位、IP位址 |
| 查詢時間 | 何時查詢？ | 精確到秒的timestamp |
| 查詢標的 | 查了什麼？ | 案件字號、當事人姓名（或遮蔽後代號）、查詢的資料欄位 |
| 查詢動作 | 做了什麼？ | 瀏覽、列印、下載、複製、修改、刪除 |
| 查詢結果 | 系統回應了什麼？ | 顯示完整資料或遮蔽資料、拒絕存取 |
| 查詢目的 | 為何查詢？（若有填寫） | 職務需要、調卷、評鑑、統計 |
日誌系統的設計必須符合以下要求：
- 不可竄改性：日誌一旦寫入，就不能被修改或刪除。實務上可以採用「只寫一次、多次讀取」（Write Once Read Many, WORM）的儲存媒體，或將日誌即時同步到獨立的稽核伺服器，由不同單位（如政風室或資訊安全委員會）保管。任何對日誌的存取行為，本身也應該被記錄。
- 完整性：日誌應該涵蓋所有存取未遮蔽資料的行為，不能有例外。特別要注意的是，系統管理員或資料庫管理員（DBA）的活動常常被忽略，他們可能直接從資料庫底層撈資料，繞過應用程式的稽核機制。因此，資料庫層級的稽核（Database Audit）也很重要。
- 可分析性：日誌資料量龐大，必須搭配自動化的分析工具，才能從中找出異常行為。例如，某位使用者在非上班時間查詢、短時間內大量查詢不同案件、查詢與自己承辦業務無關的案件類型、或頻繁查詢特定當事人的資料，這些都應該觸發警示。
3.3 異常行為偵測與即時警示
傳統的稽核日誌是「事後追查」，但理想的二次保密防護應該能做到「事中攔阻」或「即時警示」。這就需要導入異常行為偵測機制。
常見的異常行為模式包括：
- 時間異常：在非上班時間（例如深夜、假日）登入系統查詢。
- 頻率異常：短時間內查詢大量案件，或對同一案件重複查詢多次。
- 範圍異常：查詢的案件類型或當事人，與該使用者平時的業務範圍明顯不符。
- 組合異常：同時查詢當事人的住址、車籍、財產、前科等多種敏感資料，這通常是徵信或討債的典型行為。
- 權限異常：嘗試存取超出自己權限範圍的資料，或試圖繞過應用程式直接存取資料庫。
偵測到異常行為後，系統可以採取以下措施：
- 即時警示：發送訊息給使用者本人、直屬主管、政風室或資訊安全單位，要求說明原因。
- 暫時凍結權限：在情況明朗之前，暫時停止該使用者的查詢權限，防止損害擴大。
- 強制二次驗證：要求使用者再次輸入密碼或進行多因子驗證，確認是本人在操作。
- 自動記錄並通報：將異常事件詳細記錄，並依規定通報上級機關。
實務上，異常偵測的難度在於如何設定合理的門檻值，避免過多的「誤報」（false positive）造成使用者困擾，也避免「漏報」（false negative）讓真正的惡意行為逍遙法外。這需要結合統計分析、機器學習等技術，並根據各法院的實際業務特性持續調整。
3.4 資料遮蔽與動態去識別化
一個更根本的技術手段，是讓法院內部系統的使用者，在預設情況下也只能看到「遮蔽後」的判決書，只有在符合特定條件並通過授權後，才能看到完整版本。這就是所謂的「動態遮蔽」或「動態去識別化」。
具體做法是：系統在輸出判決書給使用者時，先經過一道「遮蔽引擎」，根據使用者的角色、權限與查詢目的，決定遮蔽的程度。例如：
- 一般書記官查詢自己承辦案件時，可以看到完整資料，因為這是職務所需。
- 書記官查詢其他股別案件時，預設只能看到遮蔽版本，若要看到完整版本，必須提出申請。
- 法官調閱他院判決作為參考時，原則上只需要看到遮蔽版本即可，因為他不需要知道當事人的真實身分。
- 統計人員查詢時，只能看到去識別化後的彙整數據，完全看不到個別案件細節。
這種動態遮蔽的好處是，即使某個使用者的帳號被盜用，或某個內賊想要偷看資料，他第一時間看到的也是遮蔽後的版本，增加了犯罪成本與難度。同時，這也符合「預設隱私」（Privacy by Default）的原則，將隱私保護內建在系統設計中，而不是依靠使用者的自律。
動態遮蔽的技術挑戰在於，遮蔽引擎必須能夠精準識別判決書中的各種個資類型，包括姓名、身分證字號、地址、電話、車牌、帳戶、未成年人資料、證人資料等，並根據不同的權限等級進行不同程度的遮蔽。這需要自然語言處理（NLP）、規則引擎、甚至深度學習模型的輔助。目前台灣法院的遮蔽作業大多還是半人工，要做到全自動且精準的動態遮蔽，還有很長的路要走。
3.5 資料庫加密與金鑰管理
即使權限控管、稽核日誌、動態遮蔽都做到了，如果資料庫本身沒有加密，那麼任何能夠實體接觸伺服器或備份磁帶的人，仍然可以輕易讀取所有資料。因此，資料庫加密也是二次保密防護的重要一環。
常見的資料庫加密方式包括：
- 透明資料加密（Transparent Data Encryption, TDE）：在資料庫儲存層對資料檔案進行加密，應用程式不需要修改，但對具有資料庫檔案存取權的人來說，看到的只是密文。TDE可以防止備份磁帶遺失或伺服器被偷竊時的資料外洩，但對具有資料庫合法存取權的應用程式使用者來說，並無防護效果。
- 欄位層級加密（Column-Level Encryption）：針對特別敏感的欄位（如身分證字號、地址、銀行帳戶）進行加密，只有具備解密金鑰的應用程式模組才能讀取明文。這樣即使某個使用者繞過應用程式直接查詢資料庫，看到的也是密文。缺點是加密與解密會消耗運算資源，且需要妥善管理金鑰。
- 應用程式層級加密（Application-Level Encryption）：在應用程式寫入資料庫之前就先加密，資料庫完全看不到明文。這種方式最安全，但修改應用程式的成本也最高。
金鑰管理是資料庫加密的核心問題。如果金鑰跟資料庫放在同一個伺服器上，那加密就形同虛設。理想的做法是採用硬體安全模組（Hardware Security Module, HSM）或獨立的金鑰管理伺服器，並建立嚴格的存取控制與稽核機制。金鑰的產生、儲存、輪替、銷毀都應該有標準作業程序。
四、制度面的二次防護：法律、倫理與監督
技術再先進，如果沒有制度面的配合，仍然會有漏洞。二次保密防護不能只靠防火牆、稽核系統或加密技術，更需要一套完整的法律規範、倫理教育與獨立監督機制。
4.1 明確的法律授權與罰則
如前所述，現行法律對於法院內部人員查詢未遮蔽裁判書的規範不夠明確。要建立有效的二次保密防護，首先需要在法律層面釐清以下問題：
- 未遮蔽裁判書的法律性質：它究竟是「應秘密文書」還是「限制公開資訊」？這決定了洩漏行為適用刑法第132條、個資法還是其他特別法。建議在《法院組織法》或《個人資料保護法》中明確定性，並提高罰則。
- 查詢權限的法定範圍：哪些人、在什麼條件下、可以查詢哪些範圍的未遮蔽資料？應該以法律或至少法規命令明確規定，而不是僅靠司法院的內部行政規則。例如，法官助理是否可以查詢非承辦案件的完整判決書？政風人員調閱資料需要經過什麼程序？這些都應該有明確的法律依據。
- 違法查詢的刑事與行政責任：目前實務上，法院人員不當查詢個資，多半只受到行政懲處，刑事追訴的案例極少。這使得違法成本過低。建議修法，將「公務員無故查詢個人資料」明定為犯罪行為，並加重刑責。同時，在個資法中增訂「公務機關違反安全維護義務」的罰則，讓機關本身也負起責任，而不只是追究個人。
4.2 建立獨立的稽核與監督機制
目前法院內部的稽核工作，主要由各法院的政風室負責，但政風室本身也是法院體系的一員，其獨立性與專業性備受質疑。一個更有效的做法，是建立一個獨立於法院之外的監督機關，或至少是一個由外部委員參與的委員會。
- 獨立監督機關：可以考慮在司法院之下設立「司法資料保護委員會」，成員包括法官、檢察官、律師、資安專家、人權團體代表、學者等，負責制定法院資料保護政策、審核高風險查詢申請、調查重大個資外洩事件、並定期公布稽核報告。這個委員會的運作應透明公開，接受立法院與社會大眾的監督。
- 外部稽核：每年定期聘請獨立的資安公司或會計師事務所，對法院的資訊系統進行滲透測試、弱點掃描與稽核，確認權限控管、日誌紀錄、加密措施等是否符合標準。稽核結果應向立法院報告，並適度對外公開。
- 吹哨者保護：許多內部不當行為，是靠內部人舉發才得以曝光。因此，應該建立完善的吹哨者保護機制，讓法院人員在發現同事或上級有不當查詢行為時，可以安心舉發，不用擔心遭到報復。吹哨者保護的範圍應包括匿名舉發、身分保密、免受不利人事處分等。
4.3 持續的倫理教育與宣導
技術與制度再完善，如果使用者的心態不正，仍然會想辦法鑽漏洞。因此，持續的倫理教育是二次保密防護不可或缺的一環。
教育內容應該包括：
- 個資保護的基本概念：讓法院人員了解《個人資料保護法》的核心原則，以及違反個資法的法律責任。
- 實際案例研討：用真實發生過的法院人員洩漏個資案例，讓同仁了解不當查詢的後果，以及對當事人造成的傷害。
- 系統操作規範：教導同仁如何正確使用法院內部系統，包括權限申請、臨時授權、異常行為通報等程序。
- 倫理兩難的討論：透過情境模擬，讓同仁思考在遇到「順手查一下應該沒關係吧」的誘惑時，應該如何自我約束。
倫理教育不應該只是每年一次的線上課程或講習，而應該融入日常的業務運作中。例如，在系統登入畫面顯示提醒文字、在查詢敏感資料前跳出確認視窗、定期發送資安宣導電子報等，都是可行的做法。
五、案例分析：從實際事件看二次防護的缺口
為了更具體地說明二次保密防護的重要性，以下分析幾個國內外與法院內部資料查詢有關的案例，並探討其制度意涵。
5.1 案例一：書記官勾結徵信社洩漏離婚判決個資（台灣，民國105年）
案情概述：某地方法院一名書記官，利用職務之便，在法院內部系統查詢多筆離婚訴訟案件的當事人個資，包括姓名、住址、身分證字號、配偶資料等，再將這些資料提供給外面的徵信業者，作為徵信社追蹤配偶外遇或債務人財產的線索。徵信業者則以每筆數千元至數萬元不等的代價，支付該書記官報酬。全案經檢調偵辦後，該書記官被依貪污治罪條例、刑法洩漏國防以外秘密罪、違反個資法等起訴，最終判處有期徒刑。
二次防護缺口分析：
- 權限過大：該書記官雖然只承辦特定股別的案件，但系統權限可能允許他查詢全院其他股別的案件，缺乏案件關聯性檢查。
- 稽核不足：在案發之前，該書記官多次在非承辦案件中查詢特定當事人資料，但法院的稽核機制未能即時發現異常。即使事後追查，也因為日誌紀錄不完整或未定期分析，而延誤了偵辦時機。
- 缺乏行為偵測：短時間內大量查詢不同案件的當事人個資，是典型的徵信行為模式，但系統沒有內建這類異常行為的偵測規則。
- 倫理教育失效：該書記官明知行為違法，但仍鋌而走險，顯示僅靠倫理宣導不足以嚇阻，必須有嚴格的技術管控與法律制裁。
5.2 案例二：法院資訊外包廠商工程師下載裁判書資料庫（虛構情境，但高度可能）
案情概述：某法院將裁判書電子化作業外包給一家資訊公司。該公司的資料庫工程師在進行系統維護時，利用其具有的資料庫管理權限，將法院內部未遮蔽的裁判書資料庫完整備份到個人隨身硬碟，總計數十萬筆判決書，內容涵蓋大量當事人個資。該工程師離職後，將其中一部分資料轉賣給詐騙集團，詐騙集團利用這些個資進行精準詐騙，例如假冒法院名義通知當事人「你涉入某案件，需繳交保證金」，成功騙取多名被害人金錢。
二次防護缺口分析：
- 外包人員權限管控鬆散：資訊外包廠商的工程師，往往因為需要進行系統開發、測試、維護，而獲得遠高於一般法院人員的資料庫權限。這些權限的授予、使用、撤銷流程，常常缺乏嚴格管制。
- 缺乏資料外洩防護（Data Loss Prevention, DLP）：法院的資訊系統沒有部署DLP機制，無法偵測或阻止大量資料被下載、複製到外接儲存裝置或透過網路傳輸出去。
- 測試環境使用正式資料：廠商在進行系統測試時，常常直接使用正式資料庫的副本，導致測試環境成為另一個資料外洩的漏洞。
- 合約與保密條款執行不力：雖然合約中通常有保密條款，但對於違反保密義務的罰則往往過輕，且法院缺乏有效的稽核手段，無法確保廠商確實遵守。
5.3 案例三：法官助理因感情糾紛查詢前男友新歡個資（虛構情境，但具有代表性）
案情概述：某法院法官助理小美，因懷疑前男友另結新歡，利用其職務上可以使用法院內部系統的權限，輸入前男友的姓名，查詢他是否有涉及任何訴訟案件。系統顯示前男友曾因車禍糾紛成為民事被告，判決書中記載了他的現居地址與聯絡電話。小美將這些資料提供給徵信社，請徵信社跟蹤前男友，確認他是否有新的交往對象。前男友發現被跟蹤後報警，警方追查來源，發現個資來自法院內部系統，進而查獲小美。
二次防護缺口分析：
- 最小權限原則未落實：法官助理的查詢權限，通常與其協助的法官綁定，但法官助理的職務內容未必需要查詢所有案件類型的完整個資。如果系統能根據職務內容細分權限，小美可能就無法查詢到前男友的民事案件地址。
- 查詢目的未驗證：系統在提供資料前，沒有要求使用者輸入查詢目的，也沒有進行合理性檢查。如果小美查詢時需要填寫「查詢目的：因承辦案件○○○需要」，她可能就會有所顧忌。
- 異常行為未警示：小美查詢的對象是她前男友，與她的職務無關，如果系統有建立「個人關係迴避」或「查詢對象與承辦案件比對」機制，應該能發現異常。
這三個案例雖然情節不同，但都指向同一個核心問題：法院內部的資料查詢，長期以來依賴「人性本善」的假設，缺乏系統性的防護機制。二次保密防護的目的，正是要打破這種假設，建立「預設不信任」的安全架構。
六、完整建議方案：建構法院紀錄二次保密防護的藍圖
綜合上述分析，以下提出一套完整的建議方案，涵蓋法規、制度、技術、教育四個面向，作為法院建構二次保密防護的藍圖。
6.1 法規面：修法與授權明確化
| 建議項目 | 具體內容 | 負責單位 |
|---|---|---|
| 明定未遮蔽裁判書之法律性質 | 修改《法院組織法》第83條或增訂專條，明定未經遮蔽之裁判書及卷證資料為「公務上應秘密之文書」，除依法令或經法定程序核准外，不得提供或查詢。 | 司法院、法務部 |
| 提高違法查詢之罰則 | 修正《個人資料保護法》第41條，將公務員無故查詢或洩漏個人資料之行為，列為非告訴乃論之罪，並提高刑度至三年以上七年以下有期徒刑，得併科罰金。 | 法務部、立法院 |
| 訂定法院資料查詢授權辦法 | 由司法院訂定法規命令，明確規範各類人員（法官、書記官、法官助理、資訊人員、政風人員、外包廠商）查詢未遮蔽資料之權限範圍、申請程序、核准層級、使用限制與稽核要求。 | 司法院 |
| 建立吹哨者保護條款 | 在《法院組織法》或《公務人員保障法》中增訂吹哨者保護條款，保障舉發法院內部不法查詢行為之人員，免受報復。 | 考試院、司法院、立法院 |
6.2 制度面：獨立監督與分層負責
| 建議項目 | 具體內容 | 負責單位 |
|---|---|---|
| 設立司法資料保護委員會 | 在司法院之下設立獨立委員會，成員包括外部專家，負責監督法院資料保護政策之執行，審核高風險查詢申請，調查重大個資事件，並定期公布報告。 | 司法院 |
| 實施分層負責與職務輪調 | 將高權限之系統管理、資料庫管理、稽核日誌管理等職務，由不同人員擔任，避免權力集中。定期輪調相關人員，降低長期舞弊風險。 | 各級法院 |
| 建立臨時授權之電子化流程 | 所有非例行性之未遮蔽資料查詢，均須透過電子化系統提出申請，載明目的、範圍、期間，經權責主管核准後始得執行，並自動留存完整紀錄。 | 司法院資訊處 |
| 定期外部稽核與滲透測試 | 每年至少一次，委由獨立資安公司對法院資訊系統進行弱點掃描、滲透測試與稽核，範圍包括權限控管、日誌完整性、加密機制、外包廠商管理等。稽核報告摘要應對外公開。 | 司法院 |
6.3 技術面：縱深防禦與持續監控
| 建議項目 | 具體內容 | 負責單位 |
|---|---|---|
| 導入角色基礎存取控制（RBAC） | 重新盤點法院各類職務之系統權限，建立詳細的角色權限矩陣，嚴格執行最小權限原則。取消不必要的超級使用者權限。 | 司法院資訊處、各法院資訊室 |
| 部署動態資料遮蔽引擎 | 開發或採購動態遮蔽模組，根據使用者角色與查詢目的，即時決定遮蔽程度。預設提供遮蔽版本，完整版本需經額外授權。 | 司法院資訊處 |
| 建置集中式稽核日誌平台 | 將所有法院系統之存取日誌集中收集、儲存於獨立且不可竄改之平台，並導入自動化分析工具，偵測異常行為模式（時間異常、頻率異常、範圍異常、組合異常）。 | 司法院資訊處 |
| 導入使用者與實體行為分析（UEBA） | 運用機器學習技術，建立每位使用者的正常行為基準線（baseline），當行為偏離基準線時觸發警示，可有效發現帳號盜用、內部威脅等傳統規則難以偵測的風險。 | 司法院資訊處 |
| 實施資料庫加密與金鑰管理 | 針對儲存未遮蔽裁判書之資料庫，至少採用透明資料加密（TDE），並對身分證字號、地址等極敏感欄位進行欄位層級加密。金鑰交由獨立之金鑰管理系統或硬體安全模組保管。 | 司法院資訊處 |
| 部署資料外洩防護（DLP） | 在法院內部網路與端點裝置部署DLP機制，監控並阻擋大量資料下載、複製至外接裝置、透過電子郵件或雲端硬碟外傳等行為。 | 司法院資訊處 |
| 建立隔離之測試環境 | 嚴格禁止使用正式資料進行系統測試。測試環境應使用去識別化或合成資料，並與正式網路實體隔離。 | 司法院資訊處、各法院資訊室 |
6.4 教育面：提升認知與形塑文化
| 建議項目 | 具體內容 | 負責單位 |
|---|---|---|
| 定期舉辦個資保護與資安教育訓練 | 所有法院人員（含法官、書記官、助理、約聘僱人員、外包駐點人員）每年至少接受四小時之個資保護與資訊安全教育訓練，內容包括法律規範、案例研討、系統操作、異常通報等。 | 各級法院人事室、政風室 |
| 建立資安意識測驗與情境模擬 | 定期進行資安意識測驗，並以釣魚郵件演練、內部滲透測試等方式，檢驗同仁的警覺性。對於未能通過測驗者，應安排補訓。 | 司法院資訊處 |
| 將資料保護納入績效考核 | 將遵守資料保護規範之情形，納入法院人員年度績效考核指標，對於違規行為予以扣分或不利處分，對於主動舉發異常行為者予以獎勵。 | 各級法院人事室 |
| 建立內部通報與事件回應程序 | 制定明確的資安事件通報與回應標準作業程序，當發生疑似不當查詢或個資外洩事件時，同仁知道該向誰通報、如何保全證據、如何啟動調查。 | 司法院資訊處、政風處 |
常見問答（FAQ）
Q1：法院判決書不是已經公開了嗎？為什麼內部查詢還需要防護？
A1：對外公開的判決書是經過「遮蔽」處理的版本，當事人的姓名、身分證字號、地址等個資都被隱藏或部分隱藏。但法院內部的案件管理系統中，保存的是未遮蔽的完整版本，包含所有個資。這些完整版本的資料，如果被內部人員不當查詢或外洩，對當事人隱私的傷害遠大於公開版本。因此，內部查詢需要更嚴格的防護。
Q2：誰有權限查詢法院內部的未遮蔽裁判書？
A2：理論上，只有因職務需要而必須接觸完整資料的人員，才有權限查詢。例如，承辦該案件的法官、書記官、法官助理，在處理案件過程中需要看到完整個資。其他人員，如統計人員、資訊維護人員、甚至其他庭的法官，只有在符合特定條件並經過授權後，才能查詢完整資料。實務上，權限控管還不夠細緻，這是未來需要改進的重點。
Q3：法院內部查詢會留下紀錄嗎？
A3：目前各法院的資訊系統，多多少少都有記錄使用者登入與查詢的動作，但紀錄的完整性、保存期限、以及是否定期分析，各法院情況不一。有些系統只記錄登入登出，不記錄查詢了哪些案件；有些系統的日誌可以被有權限的人修改或刪除。要達到有效的二次保密防護，必須建立完整、不可竄改、且定期分析的稽核日誌系統。
Q4：如果法院內部人員不當查詢我的個資，我可以怎麼辦？
A4：如果你懷疑自己的個資被法院內部人員不當查詢或外洩，你可以向該法院的政風室或司法院的政風處提出檢舉，也可以向檢察署提出告訴。建議你盡量保存相關證據，例如你收到的騷擾電話、簡訊、或任何可以證明個資外洩的資料。此外，你也可以向監察院陳情，請求調查。
Q5：動態遮蔽是什麼？它跟一般的遮蔽有什麼不同？
A5：一般的遮蔽是在判決書對外公開前，進行一次性的遮蔽處理。動態遮蔽則是在內部系統中，根據查詢者的身分、權限與目的，即時決定遮蔽的程度。例如，承辦案件的書記官查詢時，可以看到完整資料；其他不相干的人查詢時，預設只能看到遮蔽版本，若要看完整版本必須另外申請。動態遮蔽的好處是，在資料被讀取的那一刻就進行保護，而不是等到資料外洩後才想辦法補救。
Q6：法院的資訊外包廠商可以看到未遮蔽的裁判書嗎？
A6：在系統開發、維護、測試的過程中，資訊外包廠商的工程師確實有可能接觸到未遮蔽的裁判書資料。為了降低風險，法院應該要求廠商簽訂嚴格的保密合約，限制工程師的存取權限，使用去識別化的測試資料，並部署資料外洩防護機制，監控大量資料的下載與外傳。
Q7：二次保密防護會不會影響司法透明或審判效率？
A7：不會。二次保密防護的目標是防止「不當」查詢，而不是限制「正當」查詢。承辦案件的法官、書記官、律師（透過合法閱卷程序）仍然可以快速取得所需的完整資料。透過自動化的權限控管與稽核，反而可以減少人工審核的負擔，提升整體效率。真正受到影響的，是那些企圖利用職務之便窺探他人隱私或牟取不法利益的人。
Q8：台灣目前有沒有一個統一的法院資料保護標準？
A8：目前司法院訂有《資訊安全管理制度》及相關行政規則，但針對法院內部未遮蔽裁判書的查詢、使用、稽核，還沒有一部完整的、具有法律位階的規範。這也是為什麼本文建議修法，並訂定專屬的授權辦法，讓法院資料保護有更明確的法律依據。
Q9：未來導入人工智慧（AI）可以幫助二次保密防護嗎？
A9：可以。AI與機器學習技術可以用於異常行為偵測，透過分析大量的稽核日誌，建立每位使用者的正常行為模式，當行為偏離常態時自動示警。此外，自然語言處理技術可以協助更精準地辨識判決書中的個資，提升動態遮蔽的準確率。但AI不是萬靈丹，仍然需要搭配完善的制度與法規。
Q10：一般民眾如何查詢判決書？查到的會是遮蔽版還是完整版？
A10：一般民眾可以透過司法院的「法學資料檢索系統」查詢判決書，查到的都是經過遮蔽的版本，不會看到當事人的完整個資。如果你是案件當事人，或受當事人委任的律師，可以透過閱卷程序，向法院申請閱覽完整的卷證資料，但必須符合法律規定並經過法院核准。
結論：從形式遮蔽到實質防護的典範轉移
判決書遮蔽，長期以來被視為一種「對外的公關動作」——只要在公開版本上打了馬賽克，就算對個資保護有了交代。然而，這種形式主義的遮蔽，掩蓋了一個更嚴重的問題：法院內部的資料庫，對於有權限的人來說，仍然是完全不設防的寶庫。書記官順手查一下鄰居的離婚判決、法官助理查前男友的新歡、資訊廠商整批下載裁判書資料庫……這些情節不是電影，而是每天都在發生的風險。
二次保密防護的核心精神，在於承認一個現實：信任不能取代管控，善意不能取代技術。法院人員當然大部分都是正直守法的，但只要制度上存在漏洞，就一定會有人利用。因此，我們必須從「相信每個人都不會亂查」，轉變為「預設每個查詢都可能是亂查，除非被證明是正當的」。這不是對法院人員的不信任，而是對當事人隱私權的基本尊重。
要實現這個典範轉移，需要法規、制度、技術、教育四個面向的同步推進。修法明定未遮蔽裁判書的法律性質與罰則，建立獨立的監督機制，導入角色基礎存取控制、動態遮蔽、稽核日誌、異常偵測、資料加密等技術，並持續進行倫理教育。這是一條漫長的路，但每一步都值得。
司法透明與個人隱私，從來就不是零和遊戲。當法院既能讓人民監督審判，又能確保當事人的個資不被濫用，司法的公信力才能真正扎根。判決書遮蔽只是第一步，二次保密防護才是讓這一步走得穩、走得遠的關鍵。
作者簡介
陳律安，國立政治大學法律學系學士、國立台灣大學資訊管理學系碩士，曾任地方法院書記官、司法院資訊處專員，現為執業律師，專長領域為個人資料保護法、資訊安全法規遵循、數位證據與司法科技。長期關注司法數位化過程中的隱私權議題，曾參與多項法院資訊系統改善計畫，並在《月旦法學雜誌》、《科技法律透析》等期刊發表相關論文。致力於推動法院資料治理的透明化與標準化，主張以「隱私工程」（Privacy Engineering）的思維，重新設計法院的資訊架構，讓技術成為保障人權的工具，而非侵害隱私的幫兇。
