개인정보 보호의무 위반에 따른 배상 가능한 “손해”에 대한 고찰 (A Study on the Compensated “Damages” arising from Breach of Duty to Protect Personal Information)

서지정보

· 발행기관 : 이화여자대학교 법학연구소
· 수록지 정보 : 법학논집 / 19권 / 3호 / 1 ~ 31페이지
· 저자명 : 오일석

초록

개인정보는 정보주체의 인격권인 동시에 재산적 이익도 부수적으로 보호되는 특수한 인격권이라고 할 수 있다. 인격권의 일종인 개인정보가 침해되었다고 하여 바로 정신적 손해가 발생하였다고 보기 어렵다. 왜냐하면 정신적 손해는 무정형하고 객관화하기 곤란하여 끝없이 확대될 수 있기 때문이다. 그러므로 개인정보 침해로 인한 정신적 손해에 대한 진정성, 신뢰성을 담보하고 사소한 피해에 대한 책임의 무한한 확대를 제한할 수 있는 법리가 필요하다.
이와 관련하여 신체적 손해와 결부되어 발생한 정신적 손해에 대한 배상을 원칙적으로 인정하고 있지 않은 미국 법원의 판례에 주목할 필요가 있다. 개인정보의 침해로 인하여 불안감, 우려 또는 근심 등과 같은 단순한 정신적 피해 또는 고통의 결과, 정신과 치료를 받거나, 정신질환 등으로 치료를 받거나, 근육통증, 손떨림 등과 같은 신체적 증상으로 이어지는 경우, 배상가능한 손해로 인정하여야 할 것이다.
한편 개인정보 유출 또는 침해로 인한 2차적 피해에의 노출 가능성에 대한 정신적 고통은 장래 손해로서, 피해자가 이러한 위험에 노출되어 장래의 손해 발생의 개연성이 매우 큰 경우 배상될 수도 있다. 그러나 배상가능 한 장래손해에 대한 정신적 고통은, 원래 방사능, 오염물질, 특정 병원체나 질병에 노출되어 질병 발생 가능성에 대한 정신적 고통에서 비롯되었다. 즉 신체가 위험에 직접 노출된 상황 하에 있었으며 그로 인한 심각한 신체적 결과의 발생이 진행 중에 있거나, 장래의 일정한 시점에 결과가 발생할 수 있는 개연성이 상당한 경우 정신적 고통에 대한 배상이다. 그러나 개인정보 유출의 경우 신체의 일부가 위험원에 노출된 것이 아니므로 신체에 대한 침해 또는 그 가능성은 거의 없다.
또한 개인정보 침해로 인한 장래의 손해발생이나 피해 위험의 증가는 실제 또는 급박하다고 할 수 없다. 즉, 기업이 보관 또는 관리하고 있는 개인정보가 유출된 경우 원고의 신분도용의 위험성 증가, 신용카드 분실신고 및 철회, 예금계좌 폐쇄 등은 현재의 손해가 아니라 미래의 기대 손해로서 배상가능한 손해라고 하기 곤란하다. 이러한 손해는 추정 또는 가정적 손해로서 실제 또는 급박한 손해가 아니므로 손해배상에서 제외되어야 한다. 또한 개인정보 침해로 인한 정신적 손해는 물론 개인정보 침해로 인한 피싱, 파밍 등에 따른 2차적 손해는 개인정보처리자 등이 알았거나 알 수 있었던 특별한 손해로서 배상되는 것도 곤란하다.
개인정보 보호의무 위반으로 개인정보가 유출된 정보주체는 위험물질에 노출된 피해자와 마찬가지로 장래손해의 위험에 처해 있는바, 이러한 장래 손해의 진행 여부를 합리적이고 신중하게 감시하여 자신의 신용을 유지하는데 소요되는 비용을 신용관리비용이라 한다. 이와 같은 신용관리비용은 피해자의 일정한 시간과 금전이 투입되기 때문에 손해의 확실성을 가지고 있으므로, 완전히 추상적인 비용이라고 보기도 곤란하다. 신용관리비용은, 비록 손해의 현재성이나 신체적 손해와 결부되지 아니하였다 하더라도, 손해를 최소화하기 위하여 구체적으로 투입된 비용으로서 확정 가능하다는 점에서 배상되어야 할 손해로 인정되어야 한다.

영어초록

Under the negligence tort cases, a plaintiff shall prove the duty, a breach of duty, damages and causations. When personal information was negligently lost, stolen, hacked or disposed, a plaintiff shall demonstrate these elements to recover the damages against companies or organizations which collect, retain, maintain and control personal information.
The Supreme Court of Korea in the big issued personal information breaching case, called “Auction Case”, decided that the internet service provider(ISP), Auction, had not breached the duty to protect personal information which it had collected and stored but been hacked and leaked. It is because the company has followed and complied the regulations and guidelines described by governmental authorities. However, the regulations and guidelines were minium standards that ISPs shall comply. The company, Auction, had not set up the firewall and made an encryption on the personal information under its control. Therefore, I think Auction has breached its duty to guard personal information.
However, many district courts have decided and resolved, in the damage claim cases related to breach of personal information, a monetary compensation on pain and sufferings or emotional distress of people based on the fact that their personal information under ISPs or personal information holders's control be discharged. The courts have said that it should be commonly acknowledged with practical social experience when a person's personal information is discharged. It would cause sufferings or emotional distresses to the person. Therefore, courts have concluded that ISPs or personal information holders shall have to make monetary compensations on the pain and sufferings or emotional distresses.
However, pain and sufferings or emotional distresses are unclear, imprecise and vague. Consequently, they shall be enormously expended. A scholar said a person's pain and sufferings or emotional distresses arising from tort cases shall not be compensated with one year's of total national budgets. I have really wondered what the damages are the victims whose personal information was discharged really suffered. They have just worried or been in pain with anxieties that there personal information might be abused by unlawful behaviors or criminal conducts. This kind of worries or anxieties shall not be the damages which shall be recovered since there were no actual or immediate damages. These pains and sufferings or emotional distresses shall be the compensated damage when they caused and linked to physical harm of the person whose personal information was discharged.
These pains and sufferings or emotional distresses such as anxiety and worry are likely to be potential harms in the near future which are very similar to the future harms when a person is exposed to destructive gases, acids or radioactive materials. These kinds of future harms shall be compensated since they shall be made assured. However, the victim who suffered from discharged personal information has not indeed been exposed his body under harmful materials or situations. Hence, the pains and sufferings or emotional distresses that personal information victim suffered shall not be compensated as a recoverable future harm damage.
Moreover, the pains and sufferings or emotional distresses shall be considered as an economic loss which can not be compensated because they are consequential losses. When a tortfeasor or a contract breaching party has foreseen or should have foreseen the secondary harmful commits such as Phishing and Pharming that it could be compensated. However, it is almost impossible for the victim to prove a foreseeability and a causation.
To protect secondary harmful incidents and to maintain a secured credit, the victim shall have a mind to expense a necessary cost to monitor the risk of degrading from the incidents which may be developed by discharged personal information. In some parts, credit monitoring costs would be regarded as consequential losses. Yet, credit monitoring damages of the victim would be similar to the damage which is compensated to the victim of toxic exposure to monitor his/her health and to be provided with secured medical care. Furthermore, credit monitoring damages can be calculated as the out of pocket expenses in order to restore his/her credit regarding their personal time consuming on that task. Although credit monitoring damages are not directly arising from personal information discharged, it shall be the compensated damage with a high degree of certainty.
In conclusion, pains and sufferings or emotional distresses resulting from breaching protection of personal information shall not be compensated damages under tort or contract claims because they are too speculative, unclear, imprecise and there were no actual or immediate damage. Expecting for ISPs and personal information holders to make proper activities to protect personal information Korean governmental authorities shall look for another way. They shall conceive that the personal information protection should be the one of the consumer protection activities. Then the Korean Fair Trade Commission would bolster their role in this field based on the clause of “unfair trade” of the Monopoly Regulation and Fair Trade Act.

참고자료

· 없음