被盗走的是"体重",返还的却是"优惠券"……首尔公共自行车信息泄露事件的争点

首尔公共自行车"Ttareungyi"系统遭黑客攻击,约462万名会员信息被泄露。实际泄露项目因会员而异,但经确认不仅包括账号和手机号码,还包括出生年月日、性别、住址,甚至"体重"。对此,首尔设施公团于30日提出以定期券(约合5千韩元)作为补偿。在市民公愤日益高涨之际,本事件正超越情绪化争论,成为衡量个人信息价值和损害赔偿法理的重要试金石。

本事件与既有数据泄露事件呈现出另一番样态之处,在于客户体重的泄露。体重属于《个人信息保护法》上的"敏感信息",比一般个人信息受到更严格的保护。尤其本案的核心在于"信息的结合",例如姓名或账号、手机号码、住址等与体重结合泄露时,便不再只是单纯的一个数字,而使得对特定个人的画像成为可能,因此信息的敏感性会呈几何级数增大。

那么,公团提出的"约5千韩元的使用券"就能了结损害赔偿了吗?公团依据条例等支付的使用券,只是其自身的"损害救济措施",不应等同于《个人信息保护法》规定的民事损害赔偿。也就是说,接受了公团的自身补偿,并不意味着立即放弃了法律上的损害赔偿请求权。

此外,即使受害者没有具体的二次损害(冒名盗用、金融诈骗等),也能获得赔偿吗?未确认存在具体二次损害这一情形,可能成为判断损害发生及范围的重要因素,但很难将其视为损害赔偿的绝对要件。因为个人信息泄露本身所致的精神损害,与二次损害所产生的"财产上、额外隐私损害"必须严格区分。

为此,《个人信息保护法》第39条之2设有"法定损害赔偿"制度。这是一项减轻具体损害额举证负担、可在300万韩元以下范围内请求相当损害额的制度。不过,与其说是仅凭泄露事实即自动获赔300万韩元的概念,不如说是将是否单纯泄露、信息性质上的隐私侵害可能性、经营者管理上过失的严重程度分别拆解后核定赔偿额。

大轮法务法人金亨振律师表示:"在这一环节,本次Ttareungyi事件最重大的法律争点便浮现出来。那就是'事故认知后的应对'问题。并非仅因是公共机关运营的服务就免除民事责任,作为个人信息处理者疏于事故后应对责任的行为,在今后的损害赔偿诉讼中势必被作为经营者管理上的重大过失予以从重评价。"他还表示:"不过,针对公共机关的诉讼比一般私营企业诉讼程序更为复杂,且法院认定损害的范围可能受到限制,因此在充分考虑这些因素后再作判断也为时不晚。"

[查看新闻全文]
被盗走的是"体重",返还的却是"优惠券"……首尔公共自行车信息泄露事件的争点 (前往查看)