[寄稿] 企業免罪部となった国家認証、「本当の責任」のための法が必要だ
SKテレコムに続き、YES24でも個人情報流出疑惑が提起された。 YES24は去る9日ランサムウェア攻撃を認知した直後「個人情報流出はない」という立場を明らかにしたが、個人情報保護委員会が異常な会員情報照会情況を捉えて調査に着手し、事案の重大性が明らかになった。繰り返される個人情報の漏洩は、国内の主要企業が個人情報保護に対する実質的な責任と制度的対応体制が正しく機能しているかどうかについて根本的な疑問を提起する。特にSKテレコムとYES24は共に政府が運営するISMS(情報保護管理体系)またはISMS-P(個人情報保護統合認証)認証を受けた状態だった。ISMS-Pは企業が一定の管理的・技術的保護措置を備えていることを審査・認証する制度だ。しかし、この制度は、ハッキング事故発生の有無や事故後の企業の実質的な責任履行の有無は評価しない。被害救済システムと再発防止のための実質的な措置と認証の有効性は独立しています。その結果、要件を満たせば認証はそのまま維持されます。予防と責任強化のための認証が実際には事故発生時に「形式的責任履行」の道具として活用されるわけだ。認証制度が本来意図と違って機能しているのだ。 このように事故予防も責任強化も担保できない制度に期待する状況なら、国民立場では「国家認証が私を保護できない」という考えに至るしかない。制度は存在するが実効性は弱く、事故発生後も企業が責任を回避できる仕組みだという点で問題はさらに深刻である。海外は異なる。米国連邦裁判所は、イスラエルのNSOグループがWhatsAppユーザーの機器を不正侵害した事件で約1億6,700万ドルの懲罰的損害賠償を命じた。米国通信会社T-Mobileも大規模な個人情報流出事故後数百万ドル規模の集団訴訟合意金を支給した。法と制度が企業の責任を実質的に問う仕組みなのだ。行政上課徴金と是正命令、形式的監督がすべてだからだ。民事訴訟は立証責任が被害者に過度に集められ、賠償レベルも現実と乖離が大きい。より深刻な問題は、一部のマスコミと大規模な法律事務所が「個人情報流出に対する損害賠償請求は実益がない」という式の論理を広げながら、国民が自ら権利行事を放棄させる雰囲気さえ形成されているという点だ。これらの決定は、法律市場の収益ロジックとしてのみ見た場合、決して有利な選択ではありません。しかし大輪は設立以来、法律サービスの存在理由を「利益」ではなく「国民権利の実質実現」に置いてきた。今回の集団訴訟もその延長線上にある。米国・日本の大型ローファームと提携を結んで先進法律システムを国内に移植し、顧客満足度調査と弁護士の交換及び払い戻しまで可能な顧客サービス制度(AS制度)を導入した。今回のSKテレコム集団訴訟もこのような構造的実験が現実で実現可能であることを立証するための実践だ。今必要なのは懲罰的損害賠償制度の導入、集団訴訟制の実効性強化、そして企業の実質的な責任を引き出すことができる法的基盤の用意だ。裁判所も今は企業が個人情報保護を「オプション」ではなく「経営の本質」として受け入れるように明確な基準と強力なメッセージを提示しなければならない。個人情報が技術的管理対象ではなく憲法上基本権であることを法と制度が公式に宣言する出発点にならなければならない。個人情報は大切な資産だ。国民の権利は決して安値に渡されてはならない。 [記事の表示]
ロリーダ
韓国法律日報 - [寄稿] 企業免罪部となった国家認証、「本当の責任」のため