流出したのは「体重」戻ってきたのは「クーポン」…公共自転車タルンイ情報流出事態の争点

ソウルの公共自転車タルンイのシステムがハッキングされ、約462万人にのぼる会員情報が流出した。実際の流出項目は会員ごとに異なるが、IDや携帯電話番号はもちろん、生年月日、性別、住所、さらには「体重」まで含まれていたことが確認された。これを受けてソウル施設公団は30日、定期券(約5千ウォン相当)を補償として提示した。市民の憤りが高まる中、今回の事案が 感情的な論争を超えて、個人情報の価値と損害賠償の法理を問う重要な試金石となっている。

今回の事案が既存のデータ流出事件とまた違った様相を見せているのは、顧客の体重の流出である。体重は個人情報保護法上「機微情報」に該当し、一般の個人情報よりも厳格に保護される。特にこの事件の核心は「情報の結合」にあり、例えば氏名やID、携帯電話番号、住所などと体重が結合して流出した場合、単なる数字一つではなく特定個人のプロファイリングが可能になるため、情報の機微性は幾何級数的に大きくなる。

それでは、公団が提示した「5千ウォン相当の利用券」で被害の補償は終わるのだろうか。公団が条例などに基づいて支給する利用券は、独自の「被害救済措置」にすぎず、個人情報保護法に基づく民事上の損害賠償と同一視してはならない。つまり、公団の独自補償を受けたからといって、直ちに法的な損害賠償請求権が放棄されるわけではない。

また、被害者が具体的な二次被害(名義盗用、金融詐欺など)がなくても賠償を受けられるのだろうか。具体的な二次被害が確認されていないという事情は、損害の発生および範囲を判断するうえで重要な要素になり得るが、これを損害賠償の絶対的な要件とみるのは難しい。個人情報の流出自体による精神的損害と、二次被害によって生じた「財産上・追加的なプライバシー損害」は厳然と区別されなければならないからである。

このため、個人情報保護法第39条の2は「法定損害賠償」制度を設けている。これは具体的な損害額の立証の負担を緩和し、300万ウォン以下の範囲で相当な損害額を請求できるようにした制度だ。ただし、流出の事実だけで300万ウォンを自動的に支給される概念というよりは、単純な流出の有無、情報の性質上のプライバシー侵害の可能性、事業者の管理上の過失がどれほど重大かを細分化して賠償額を算定する。

法務法人テリュンのキム・ヒョンジン弁護士は「この点で今回のタルンイ事件の最も重大な法律的争点が登場する。まさに『事故認知後の対応』の問題だ。公共機関が運営するサービスであるという理由だけで民事上の責任が免除されるわけではなく、個人情報取扱者として事故後の対応責任を放棄した行為は、今後の損害賠償訴訟で事業者の重大な管理上の過失として重く評価されざるを得ない」とし、「ただし、公共機関を相手にした訴訟は一般の私企業訴訟よりも手続きが複雑で、裁判所の損害認定範囲が制限され得るため、こうした点を十分に考慮したうえで判断しても遅くはない」と伝えた。

[記事全文はこちら]
流出したのは「体重」戻ってきたのは「クーポン」…公共自転車タルンイ情報流出事態の争点 (リンク)