[논문]제3자의 행위에 의한 개인정보침해사고로 발생한 손해배상책임의 합리적 배분

유비용; 권헌영

doi:10.13089/jkiisc.2020.30.2.231

제3자의 행위에 의한 개인정보침해사고로 발생한 손해배상책임의 합리적 배분
Rational Allocation of Liability for Damages in Personal Information Infringement by Third Party 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.2, 2020년, pp.231 - 242

유비용 (SK인포섹) , 권헌영 (고려대학교 정보보호대학원)

초록
AI-Helper

해커와 같은 정보침해행위자에 의한 개인정보침해사고가 발생하여 손해가 생긴 경우, 정보주체는 통상적으로 가해자인 정보침해행위자보다는 정보처리자에게 손해배상을 청구할 것이고 정보처리자는 다시 자신이 정보보호업무를 위탁한 정보보호기업에게 구상청구를 할 것이다. 본 연구는 정보주체, 정보처리자, 정보보호기업간에 진행될 것으로 예상되는 손해배상청구의 연쇄가 결국 침해행위로 인한 피해자들 간에 책임의 전가를 위한 다툼에 불과하다는 점에서 정보주체의 손해에 대한 전보라는 일면적인 접근보다 정보보호산업 생태계를 구성하는 주체들간에 손해를 합리적으로 분배하기 위하여 손해배상문제를 다면적 관점에서 고찰해 본다. 또한 개인정보침해사고의 특성상 대량의 개인정보 침해가 발생한 경우 배상금액이 기업의 존폐에까지 영향을 미칠 정도로 커질 수 있기 때문에 손해에 대한 배상책임을 전적으로 피해자들에게만 부담시키는 것보다 사회도 일정부분 손해를 분담하기 위한 구체적이고 현실적인 방안이 필요함을 주장한다. 향후 본 연구에서 제기한 손해배상책임의 합리적 배분 방안에 대하여 충분한 사회적인 합의를 거쳐 구체적이고 객관적인 책임배분기준을 마련하고 이를 제도적 또는 법적으로 반영함으로써 손해배상책임의 예측가능성과 법적안정성을 확보하여야 한다.

Abstract ▼ AI-Helper

In the case of damages caused by personal information infringement accidents caused by information infringer such as hackers, the information subject will usually claim damages to the information controller rather than the information infringer who is the perpetrator, and the information controller who has been claimed will claim damages again to the information security enterprise that has entrusted the information protection business. These series of claims for damages, which are expected to be carried out between the information subject, the information controller and the information security enterprise, are nothing but quarrels for transferring of liability among themselves who are also victims of infringement. So the problem of damage compensation should be discussed from the perspective of multi-faceted rational distribution of the damages among the subjects who make up the information security industry ecosystem rather than the conventional approach. In addition, due to the nature of personal information infringement accidents, if a large amount of personal information infringement occurs, the amount of compensation can be large enough to affect the survival of the company and so this study insist that a concrete and realistic alternatives for society to share damages is needed.

주제어

표/그림 (1)

그림 Fig. 1. Related Subjects and Responsibility of compensation

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

또한 전술한 LG칼텍스 사건에서 보듯이 개인정보의 위자료 인정 범위를 제한적으로 해석하고 있는 대법원의 판결도 위와 같은 점을 고려하여 정보처리자의 손해배상책임을 완화하기 위한 것으로 해석된다.
또한, 정보보호 관련 손해배상책임의 배분에 관한 합리적인 대안을 찾으려는 본 연구의 목적상, 연구 대상 법률관계를 단순화할 필요가 있기 때문에 현실의 다양한 정보침해사고의 유형 중에서 관련 주체 간의 독립성이 뚜렷하고 침해대상 정보 및 손해배상에 관한 실정법적 규정이 있는 개인정보에 대한 침해 사고를 모델로 상정하여 개인정보보호법을 중심으로 손해배책상임의 배분문제를 고찰해 보고자 한다.
정보침해사고의 대상정보, 침해주체, 침해행위태 양의 다양성으로 인하여 명확한 유형화와 통일된 정의가 곤란하기 때문에, 정보침해사고의 유형에 대해학계에서는 아직 그 용어나 개념을 확정하지 못하고 있고, 정보침해사고를 말할 때도 사이버테러, 사이버침해행위, 정보통신범죄, 전산망범죄, 컴퓨터범죄, 정보침해 등 다양한 표현이 사용되고 있다[2]. 본 연구는 개인정보 침해사고의 분류 및 유형화에 대한기존 연구를 참고하여 연구목적에 적합한 전형적인 개인정보침해행위를 상정하여 손해배상책임의 배분문제를 논의하고자 하며, 이에 따라 개인정보침해사고를 유형화한 기존 연구를 먼저 살펴보기로 한다.
본 연구는 정보침해사고를 규율하고 있는 여러 유형의 법률관계 중 형사책임이나 행정법적 책임에 관한 논의는 뒤로 미루고, 침해사고에서 발생하는 재산적 또는 정신적 손해에 대한 민사상 배상책임의 분배문제에 대한 고찰을 연구 범위로 한다.
본 연구에서 정보보호기업은 개인정보처리 자체를 위탁 받은 것이 아니라 보안관제, 보안성지속, 보안컨설팅 등 전문적인 정보보호서비스를 공급하는 업체 등을 의미하는 것으로 개인정보보호법 제26조에서 규정하고 있는 정보처리업무 자체를 위탁한 경우의 “수탁자”와 개념상 구별하여 사용하고자 한다.
그럼에도 불구하고 지금까지 개인정보침해사고를 비롯한 정보침해사고에 있어 손해배상 문제를 다룬 많은 연구들은 주로 개인정보주체에 의한 개인정보처리자에 대한 손해배상청구의 관점에서 논의를 진행하고, 정보처리자와 정보보호기업들 사이의 배상책임문제는 정보처리자와 정보보호기업 양자 간의 계약에 따라 사적자치의 문제로 보고 크게 관심을 갖지 않은 것 같다. 본 연구에서는 개인정보침해사고에 있어서 정보보호기업을 손해배상책임의 주체로 포함시켜 책임배분 문제를 논하고자 한다.
이 유형은 정보처리자를 기준으로 내부적인 원인이 아닌 외부의 제3자로부터 해킹과 같은 공격을 당하여 정보처리자가 보관중인 개인정보에 침해가 발생한 경우로서 손해의 직접적인 원인제공자가 따로 있는 점에서 다른 유형과 구별된다. 본 연구에서는 이유형의 침해사고와 관련된 주체를 현행 관계법령의정의 조항을 참조하여 다음과 같이 정의하고 논의를 진행하고자 한다. 이 아닌 외부의 제3자로부터 해킹과 같은 공격을 당하여 정보처리자가 보관중인 개인정보에 침해가 발생한 경우로서 손해의 직접적인 원인제공자가 따로 있는 점에서 다른 유형과 구별된다.
이러한 문제의식에 따라 본 연구는 개인정보침해행위로 인한 손해에 대한 배상책임을 단순히 정보주체와 정보처리자 간의 손해전보의 관점에서만 보지 않고, 정보주체, 정보처리자, 정보보호기업간에 어떻게 배분하는 것이 시대적인 법감정이나 형평성을 충족시킬 수 있는지에 대하여 고찰하고, 더 나아가 이들과 같이 피해자로서 실질을 가진 당사자들에게만 손해에 대한 모든 책임을 지울 것이 아니라 사회 또는 국가 어떤 형태로 손해를 분담하는 것이 합리적인가에 대하여 고찰해 보고자 한다.
이에 대하여 본 연구는 정보침해행위자의 침해행위로 인한 침해사고에 있어서 손해를 부담해야하는 각 주체들이 실질적으로 보면 정보침해행위자의 불법행위로 인한 피해자들이라는 점, 정보주체도 개인정보를 제공함으로써 일정한 이익을 향유한다는 점에서 정보처리자의 손해배상책임에 일정한 제한을 인정함으로써 정보주체도 일정한 범위에서 손해를 분담하여야 할 당위성을 제시하였다. 또한 정보처리자 외에 또 다른 손해배상책임의 주체인 정보보호기업에 대하여도 공급계약의 불이행으로 발생하는 손해배상책임에 대하여 계약금액을 한도로 하는 책임 제한을 설정할 필요성을 제기하였다.
이와 같은 관점에서 정보침해사고에 있어 정보보호기업의 손해배상책임을 제한할 필요성에 대하여 주목하고자 한다. 정보처리자와 정보보호기업간 합리적인 책임을 분배하기 위해서는 양자 간에 체결되는 정보보호위탁계약서에 면책사유나 책임제한 특히 계약금액을 배상총액의 한도로 하는 손해배상한도 조항을 명시함으로써 정보보호기업에게 위험의 규모에 대한사전 예측가능성을 부여하고 과도한 손해배상책임 부담을 지지 않도록 하는 것이 필요하다.

제안 방법

또한 본 논문에서 손해배상책임의 합리적 배분의 필요성에 대한 근거로 형평성, 법감정, 위험책임의 법리, 기업의 보호라는 산업정책적 필요성 등을 제시하였다. 물론 이러한 추상적 근거는 개별적인 사건이 발생할 경우 손해배상청구소송이라는 절차속에서 법관의 사법재량적 판단을 통하여 판결로서 현실화될 것이다.

대상 데이터

본 연구는 이 견해에 따른 분류 중 “절취형” 사고를 대상으로 한다.
개인정보에 관하여 법적 분쟁이 본격화 된 것은2000년대 초반부터의 일이고, 그 동안 몇 건의 판결이 선고되긴 하였으나 판례 수준의 통일된 법리가 형성된 것이라고 보기는 어렵다. 본 연구에 참조가 될 수 있는 대법원 판결은 2015년도 옥션 판결부터 나오기 시작했고 주목할 만한 판결인 SK컴즈 판결도2018년에 선고되었다. 따라서 아직까지는 손해배상책임의 배분에 관한 판례가 확고히 형성된 것으로 볼 수 없고 사건의 수도 많지 않은 것이 현실이므로 결국 실제 사례보다는 학술적 법이론을 근거로 연구를 진행할 수 밖에 없다는 한계가 있다.

후속연구

다른 한편으로 본 연구의 범위인 민사상 손해배상책임에 대한 논의를 넘어 형사적 제재나 행정적 규제 또는 나아가 사업자의 자율규제 등 제도의 통합을 통하여 개인정보보호와 손해에 대한 합리적인 배분의 요구를 충족할 수 있는 방안을 찾는 노력 역시 필요할 것이다.[16].
따라서, 향후 추진하여야 할 연구방향과 시급한 법적 또는 정책적 과제는 본 연구에서 제기한 개인정보 침해사고와 관련된 주체 간 및 사회 또는 국가가 손해배상책임을 합리적으로 배분 및 분담하여야 할 필요성과 그 실행방안에 대하여 사회적인 합의를 도출하고, 이러한 합의를 사법적 판단에 있어 손해배상책임 규정의 해석에 적용할 수 있도록 해야 하고, 더 나아가 구체적이고 객관적인 책임배분이 가능하고 책임의 규모에 대한 사전 예측이 가능할 수 있도록 입법을 통해서 실정법적 근거를 마련해 나가는 것이다.
향후 정보보호기업의 손해배상책임에 한도를 두어야 할 필요성에 대하여 정보보호기업 및 관련 주체들 간의 논의를 통해 사회적 합의를 도출하여야 하고, 이러한 합의를 바탕으로 관련 표준계약서를 과기정통부장관이 제정하여 업계에 사용을 권고한다면 정보보호기업의 손해배상에 관한 공평하고 합리적인 책임분배가 정착될 수 있는 실질적 방안이 될 수 있다. 현행 정보보호산업진흥법 제10조 제3항은 “과학기술정보통신부장관은 정보보호산업의 합리적 유통 및 공정한 거래를 위하여 공정거래위원회와 협의를 거쳐 표준계약서를 마련하고, 공공기관 등에 이를 사용하도록 권고할 수 있다”고 규정하고 있다.

참고문헌 (14)

Youngjoon Kwon, "Negligence Standard in Determining the Liability of the Personal Data Controller in Case of Hacking," The Justice, 132, pp.34-72, Oct.2012.
Ilhwan Kim, "A Study on Standards and Contents of Legislative Maintenance on Information Security," Public Land Law Review, 26, pp.231-251, Jun.2005.
Jongin Lim and Sookyeon Lee, "Case Study regarding Personal Information & Search for Solution to that Problem," Journal of Korea Infomation Law, 12(2), pp. 214-251, Dec. 2008.
Daehwa Jin, "Basis for damage compensation and damage relief system for personal information infringement," INTERNET & SECURITY FOCUS, pp 5-20, Jul. 2014.
Seungjae Jeon and Hunyeong Kwon, "A Study on Compensation System for Personal Information Leakage," Journal of Law & Economic Regulation, 11(1), pp.28-51, May. 2018.
Juhee Yun, "The Current Status of Personal Information Infringement and Consumer Protection," The Research of Law, 33(1), pp. 327-359, Apr. 2013
Bongrim Lee, "Study on the personal rights," doctoral dissertation, Sungkyunkwan University, Oct. 2007.
Moongi Choi, "Study on the Liability of Damages for the Violation of Personality Rights," The Association of Theory and Practice of Private Law, 6, pp.161-206, May. 2003.
Yunjig Gwag, Civil Code Annotation(IX): the Law of Obligations(2), Pakyoungsa, pp.481-488, Jan. 2006.
Eunyoung Lee, "Main Factors impacting on the so-called Limitation of Liability in Precedents," The Jounal of Comparative Private Law 22(1), pp.395-430, Feb. 2015.
Hojin Choi, "Legal Practice Study : A study on Civil liability for damages of the keeper caused by personal information that leaks or being exposed by hacking," BUP JO, 63(2), pp.123-159, Feb. 2014.
Seungjae Jeon and Hunyeong Kwon, "Problems of Judging the Liability of Personal Information Manager Who Could Not Prevent Hacking," Journal of Korea Infomation Law, 21(2), pp. 111-157, Feb. 2017.
Seungjae Jeon, Hacking Judgement, Dissected by a Hacker-turned-lawyer, Samilinfomine, pp.52-53, Feb. 2020.
Seungsoo Han, "On the Criteria of Liability for Damages in Civil Cases Related to Personal Data," Culture, Meida, and Entertainment Laws, 13(1), pp.3-37, Jun. 2019.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증