개인정보 보호를 위한 공법적 규제와 손해배상책임 = 개인정보 누출을 중심으로

국문 초록 (Abstract)

정보화사회가 진전함에 따라 사회ㆍ경제ㆍ문화 등 모든 영역에서 정보통신망을 통한 활동이 증대하고 있으며, 정보통신서비스도 다양하게 제공되고 있다. 그런데 이러한 정보통신서비스를 이용하기 위해서 이용자는 정보통신서비스 제공자에게 자신의 개인정보를 제공하여야 한다. 정보통신망 내에서 개인을 특정하기 위해서는 개인정보의 제공이 불가피하기 때문이다. 그러나 이에 따라 정보통신서비스 제공자는 방대한 개인정보를 수집ㆍ관리하게 되었고, 그 과정에서 개인정보가 침해될 위험이 증대되고 있다. 이러한 개인정보 침해에 대응하기 위해 일차적으로는 불법적으로 정보통신망을 침해하는 행위를 규제할 필요가 있지만, 방대한 개인정보를 관리하는 자에게 개인정보 보호를 위한 특별한 책임을 부과함으로써 이러한 침해행위를 예방할 수 있을 것이다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」도 제48조에서 정보통신망 침해행위를 금지하는 한편, 제28조에서는 정보통신서비스 제공사업자에 대하여 개인정보보호를 위한 안전성 보호조치 의무를 부과하고 있다.
그런데 보호조치 위반으로 인하여 개인정보가 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손되는 경우 언제나 손해배상 책임이 인정되는지에 대해서는 의문의 여지가 있다. 특히 문제가 되는 것이 개인정보의 누출이다. 보호조치의무 위반으로 개인정보가 누출되더라도 그것으로 인하여 반드시 손해가 발생하는 것은 아니며, 근본적으로 과연 어떠한 상태를 “누출”이라고 규정할 것인지에 대해 논란이 있기 때문이다.
법익에 대한 위해상태는 그 정도에 따라 「리스크→위험→손해」의 단계로 구성되며, 법익에 위해를 가하는 행위도 이에 상응하여 「의무위반행위→침해행위→손해」의 단계로 구성된다. 어느 개념범주에 해당하느냐에 따라 법적 효과가 달라지며, 따라서 이들 개념은 도그마틱상 준별되어야 한다. 손해배상은 손해의 발생을 요건으로 하며, 위험은 예방과 제거의 대상으로서 규제의 대상에 머무는 것이 일반적인 법리이다. 개인정보의 ‘누출’은 손해발생의 위험을 야기하거나 증대시키기 때문에 규제의 대상이 되어야 하지만, 그 자체로서 인격권의 침해라는 손해와 동일시되어서는 안 될 것이다.
개인정보보호의 선진국인 미국, 영국, 독일 등의 법제와 판례도 이러한 법리에 입각하여 발전되어 오고 있다. 이는 정보사회에서 정보산업의 발전이라는 정책적 목표에도 부합하는 것이며, 개인정보 리스크를 이해관계자 사이에 적절히 배분한다는 점에서 정의의 원리에도 부합하는 것이다.

목차 (Table of Contents)

• 국문초록
• Ⅰ. 문제제기
• Ⅱ. 비교법적 검토
• Ⅲ. 정보통신망법상 개인정보 보호조치의무와 손해배상책임의 법리
• Ⅳ. 기존 판결례에 나타난 손해배상책임의 요건
• Ⅴ. 결론
• 참고문헌
• 〈Zusammenfassung〉

참고문헌 (Reference)

1 국회 과학기술정보통신위원회 수석전문위원, "정보통신망이용촉진등에관한법률개정안 검토보고서" 2000

2 조홍식, "리스크 법 : 리스크관리체계로서의 환경법" 43 (43): 2002

3 윤혜선, "리스크 규제에 관한 공법적 연구" 서울대학교 2009

4 정상조, "개인정보의 보호와 민사적 구제수단" 법조협회 58 (58): 5-73, 2009

5 허성욱, "개인정보유출소송의 현황과 법적 과제 - 법관의 법발견 방법론을 중심으로" 한국법학원 (110) : 302-331, 2009

6 Rice, Denis T, "Trends in security and privacy breach litigation: is the liability expanding" (May 24-25,June 21-22, July 19-20) : 2010

7 Epstein, Richard A, "Too Pragmatic by Half" 109 : 1639-, 2002

8 Tugendhat QC, Michael, "The Law of Privacy and the Media" Oxford University Press 2002

9 Koenig, "Telekommunikationsrecht"

10 Koenig, "Telekommunikationsrecht"

11 Die Fabio, "Risikoentscheidungen im Rechtsstaat"

12 Roßnagel, "Recht der Multimedia-Dienste (RMD)"

13 Krishnamurthy, Balachander, "On the Leakage of Personally Identifiable Information Via Online Social Networks" 17 : 2009

14 Dörr, "Neues Bundesdatenschutzgesetz, Handkommentar, 2" Köln 1992

15 Zitter,Jay M, "Liability for Risk of Future Identity Theft" 50 : 33-, 2009

16 Ellger, "Konvergenz oder Konflikt bei der Harmonisierung des Datenschutzes in Europa"

17 Kloepfer, "Informationsrecht"

18 Ehmann, "EG-Datenschutzrichtlinie" 1999

19 Murswiek, "Die staatliche Verantwortung für die Risiken der Technik"

20 Geis, "Die digitale Signatur" 3000-, 1997

21 Dörr, "Die Folgen einer Nichtbeachtung der Pflichten aus" 4 (4): 1992

22 Bergmann, "Datenschutzrecht: Handkommentar" 9 : 1998

23 Grimm, "Datenschutz in Telediensten (DASIT) am Beispiel von Einkaufen und Bezahlen im Internet" 272-, 1999

24 Johnson, Vincent R, "Cybersecurity, Identity Theft, and the Limits of Tort Liability" 57 (57): 305-311, 2005

25 Schaffland, "Bundesdatenschutzgesetz: Kommentar" 1999

26 Auernhammer, "Bundesdatenschutzgesetz: Kommentar" 1993

27 Gola, "Bundesdatenschutzgesetz mit Erläuterungen, 7" 2002

28 Säcker, "Berliner Kommentar zum Telekommunikationsgesetz"

29 Stober, Rolf, "Allgemeines Wirtschaftsverwaltungsrecht, 13" 242-, 2002