서울대학교法學 제 55 권제 4 호 2014 년 12 월 365 420 면 Seoul Law Journal Vol. 55 No. 4 December 2014. pp. 365 420 < 논문 > 1) 개정정보통신망법제 32 조의 2 의법정손해배상 : 해석론과입법론 * ** 李東珍 요약 2014. 5. 28. 개정정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 이라한다 ) 은제32조의2로개인정보누출에관하여이른바법정손해배상 (statutory damages) 이라는새로운책임형식을도입하였다. 이는 2011년개정저작권법 상표법에이어우리법에법정손해배상이들어온세번째예이자한미 FTA 라는외부의영향과무관하게우리가자발적으로, 특히지적재산권법밖에서법정손해배상을도입한첫번째예이기도하다. 이글에서는이를계기로법정손해배상이라는미국법특유의민사책임형식이우리민사책임법과조화될수있는지, 그리고이러한이질적인제도를도입할때의의도, 즉개인정보누출사고로인한피해구제에얼마나도움이될지를구체적해석론에기초하여검토하였다. 검토결과는다음과같이요약된다. 개정정보통신망법제32조의2의법정손해배상은증거법적으로는손해와손해액에관한증명도를경감시켜주는제도이지만, 실체법적으로는실손해전보를넘어독자적으로제재목적내지기능을갖고있지는아니하고, 그와같이해석하는한우리민사책임법에별문제없이수용될수있다. 다만, 독자적인행사기간, 즉시효기간을규정한이상그효과로실체법상별도의손해배상청구권을성립시키는특수한불법행위규정이라고보아야한다. 그리고그렇게보는한소송법상별도의소송물로취급할수밖에없다. 이제도는크게해가있는것은아닐지는몰라도, 개인정보누출로인한피해구제를크게개선할것으로보이지도아니한다. 무엇보다도증명하기어렵지아니한손해와손해액에관하여는증명도를경감시켜주면서증명하기매우어려운, 그리고가해자, 즉정보통신망서비스제공자에게증명하게할만한이론적 실제적근거도있는고의 과실은피해자에게증명하도록하고있기때문이다. 독자적행사기간을정한것도여러면에서적 * 이글은 2014. 10. 24. 세종문화회관에서열린고려대학교 ICR 센터개인정보법세미나발표문을수정 보완한것이다. 이글의초고에대하여유익한논평을해주신고학수교수, 박현정교수, 김 장법률사무소김성욱변호사및익명의심사위원들에게감사드린다. 이논문은서울대학교법학발전재단출연법학연구소기금의 2014 학년도학술연구비지원을받았다. ** 서울대학교법과대학 / 법학대학원부교수.
366 서울대학교法學 제 55 권제 4 호 (2014. 12.) 절하지아니하다. 이는 - 정보통신망법제 32 조의 2 의상당히거친조문구조와함께 - 이제도가정말필요한곳에서신중한심사끝에도입된것인지를의심하게하는사정이다. 어떻든입법적개선이필요하다. 주제어 : 정보통신망법, 개인정보, 누출, 법정손해배상, 민사책임 Ⅰ. 서론 2014. 5. 28. 개정된정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 이라한다 ) 은그제32조의2로이용자가정보통신서비스제공자등에게같은법제32조에따른손해배상을청구하는대신 300만원이하의범위에서상당한금액을손해액으로하여배상을청구할수있다는취지의규정을신설하였다. 이규정에는 법정손해배상의청구 라는표제가붙어있고, 또일반적으로법정손해배상이라고부르고있다. 같은규정은공포일로부터 6개월이경과하는 2014. 11. 29. 부터시행된다 ( 같은법부칙제1조 ). 개정정보통신망법상의법정손해배상은 2011. 12. 2. 개정저작권법제125조의2 와같은날개정상표법제67조의2의법정손해배상에이어이른바법정손해배상이우리법질서에도입된세번째사례에해당한다. 저작권법과상표법상의법정손해배상이어느정도한미 FTA라는외부의압력하에지적재산권법안에서도입된것과달리, 1) 개정정보통신망법상의법정손해배상은우리입법자가내적요구에응하여자발적으로, 그리고지적재산권법밖영역에서이를도입한최초의예라는데그의의가있다. 법정손해배상은미국민사법상책임형식중하나인 statutory damages 에서유래한다. 이점은개정저작권법과상표법은물론, 개정정보통신망법도같다. 그리하여종래이제도에대한논의는주로영미법에서유래한이제도가대륙법계에속하는우리사법 ( 私法 ) 과조화될수있는가에초점이맞추어져왔다. 2) 이제도와 1) 그경위에관하여는박성수, 저작권침해와법정손해배상제도, 계간저작권, 제 78 호 (2007. 7), 38 면이하 ; 최경진, 법정손해배상제도의도입에관한연구 - 한미자유무역협정에따른민법과의조화를중심으로 -, 중앙법학, 제 13 집제 3 호 (2011. 9), 205 면이하참조. 2) 가령최경진 ( 주 1), 225 면이하.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 367 관련하여서는이를도입하면권리구제가크게개선될것이라는, 공중 ( 公衆 ) 이미국제도에대하여보이곤했던기대또한어김없이재현되었다. 3) 그러나이제도가우리법질서에도입된이상이를구체적으로어떻게운용할지에눈을돌릴필요가있다. 이제도가우리법질서와조화될수있는지, 그리고기대한성과를거둘수있을지여부도이제는이러한구체적논의에바탕을두어야한다. 이글에서는이러한관점에서개정정보통신망법상제32조의2의법정손해배상에관하여살펴보고자한다. 먼저, 개정정보통신망법제32조의2의해석론을요건과적용범위, 내용과행사기간, 법적성질로나누어구성한다. 미국에서나우리나라에서나법정손해배상에대한이론적 실천적관심은압도적으로저작권법상의법정손해배상에집중되어있어, 우리민사법체계와의조화가필요하다고하면서도정작논의는저작권법적관점이주도하는경향을보인다. 4) 이러한점에서지적재산권법밖에놓여있는개정정보통신망법상법정손해배상을소재로그해석론적구성을시도하는것은개인정보법은물론법정손해배상일반의이해에도기여할바가있다 ( 아래 II, III). 이어이러한검토결과를바탕으로이제도에대한입법적평가와전망을시도하기로한다 ( 아래 IV). 3) 이러한관점에서이제도의확대도입을주장하는것으로, 김태선, 미국배액배상제도및법정손해배상제도의도입에관한소고, 민사법학, 제 66 호 (2014. 3), 239 면이하, 267 면이하 ( 불법채권추심에관하여 ); 이종구, 소비자피해구제의실효성보장을위한법정손해배상제도의도입에관한연구 - 미국주소비자보호법을중심으로 -, 소비자문제연구, 제 44 권제 2 호 (2013. 8), 140 면이하 ( 소비자보호에관하여 ). 4) 우리나라및미국저작권법상법정손해배상에관한논의는일일이셀수없을정도로많다. 대표적인연구몇몇만들면, 박성수 ( 주 1), 37 면이하 ; 이규호, 미국연방저작권법상법정손해배상제도에대한연구, 정보법학, 제 11 권제 1 호 (2007. 7), 87 면이하 ; 조영선, 저작권침해로인한법정손해배상 - 개정저작권법제 125 조의 2 에대한검토 -, 법조, 통권제 667 호 (2012. 4), 122 면이하 ; Berg, Remedying the Statutory Damages Remedy for Secondary Copyright Infringement Liability: Balancing Copyright and Innovation in the Digital Age, 56 J. Copyright Soc y 265 (2009); Barker, Note. Grossly Excessive Penalties in the Battle Against Illegal File-Sharing: The Troubling Effects of Aggregating Statutory Damages for Copyright Infringement, 83 Tex. L. Rev. 525 (2004).
368 서울대학교法學 제 55 권제 4 호 (2014. 12.) Ⅱ. 책임요건과그적용범위 1. 개인정보의누출 개정정보통신망법제 32 조의 2 의법정손해배상의첫째요건은개인정보의분실 도난 누출이다 ( 개정정보통신망법제 32 조의 2 제 1 항제 2 호 ). 이부분부터본다. (1) 개인정보정보통신망법제2조제1항제6호는 개인정보 를, 생존하는개인에관한정보로서성명 주민등록번호등에의하여특정한개인을알아볼수있는부호 문자 음성 음향및영상등의정보 ( 해당정보만으로는특정개인을알아볼수없어도다른정보와쉽게결합하여알아볼수있는경우에는그정보를포함한다 ) 로규정한다. 이러한정의는표현에사소한차이가있을뿐개인정보보호법제2조제1 호의그것과같고, 헌법재판소가헌법제17조, 제10조등에터잡아인정하는개인정보자기결정권의보호대상으로서개인정보보다다소넓다. 5) 이들규정에의하면개인정보는 1 살아있는 ( 따라서오직자연인만대상이될수있다 ) 6) 특정한개인에대한정보로서, 2 그정보자체로또는다른정보와쉽게결합하여특정인에게귀속시킬수있는것이어야한다. 7) 5) 헌법재판소 2005. 5. 26. 선고 99 헌마 513, 2004 헌마 190 결정 ( 이른바십지지문날인사건 ) 은개인정보자기결정권의보호대상으로서개인정보를, 개인의신체, 신념, 사회적지위, 신분등과같이개인의인격주체성을특징짓는사항으로서그개인의동일성을식별할수있게하는일체의정보 라고규정한다. 여기에서는개인의인격주체성을특징짓는다는표지가그의동일성식별을한정하고있으므로, 개인정보를좁게파악할가능성이있다. 그밖에헌법상기본권으로서개인정보자기결정권과그인정근거에관하여는헌법재판소 2005. 7. 21. 선고 2003 헌마 282, 425 결정 ( 이른바 NEIS 사건 ) 참조. 사법 ( 私法 ) 적기초에관하여는권태상, 개인정보보호와인격권 - 사법 ( 私法 ) 측면에서의검토 -, 이화여대법학논집, 제 17 권제 4 호 (2013. 6), 89 면이하 ; 대법원 2011. 5. 24. 자 2011 마 319 결정 ( 이른바전교조명단공개사건 ) 참조 ( 각인격권 ). 그러나 정보권 이라는견해로, 정진명, 사법에있어서개인정보보호, 비교사법, 제 8 권제 2 호 (2001. 12), 591 면이하. 6) 사자 ( 死者 ) 의개인정보가보호대상인가내지보호대상이되어야하는가하는점은별도의고찰이필요하다. 그러나정보통신망법과개인정보보호법은사자의개인정보를그적용범위에서제외하고있으므로 [ 장주봉, 개인정보의의미와규제범위, 고학수편, 개인정보보호의법과정책 (2014), 71 면 ], 어떻든개정정보통신망법제 32 조의 2 의법정손해배상도이에는적용되지아니한다. 7) 미국 Fair Trade Commission(FTC) 과 EU 및그개별가입국국내법도개인정보를대
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 369 먼저, 특정된개인에대한정보여야한다. 어느개인에게귀속되기는하나그가특정되지아니하는정보는개인정보가아니다. 8) 따라서익명화된정보는, 그것이아무리특정인에대한것이라하더라도, 그것만으로곧바로개인정보라고할수없다. 9) 다른정보와결합하여손쉽게특정인에게귀속시킬수있는경우그에의하여개인정보가될수있을뿐이다. 다음, 당해정보만으로그특정인, 즉정보주체를식별할수있거나, 적어도 다른정보와쉽게결합하여그를식별할수있 어야한다 ( 이른바식별가능성, identifiability). 개인정보개념은보호대상을한정하는기능을한다. 그러므로이를넓게잡을지좁게잡을지에따라개인정보에관한규제의적용범위가달라진다. 처음부터그자체개인을식별하는정보만을규제대상으로할수는없다. 오늘날정보통신및데이터처리기술의발전에비출때보호의공백이너무커질것이기때문이다. 10) 문제는정보통신및데이터처리기술의발전이동시에특정한개인에게속하는정보에다른정보를결합시켜정보주체를식별하는것을점점더쉽게하고 체로비슷하게정의하는데, 근래들어특정단말기등에귀속시킬수있는정보도개인정보임을명시하려는움직임이있다. FTC, Protecting Consumer Privacy in an Era of Rapid Change - Recommendations for Business and Policymaker (2012), pp. 18 ff. ( 미국 ); Proposal for Regulation on the protection of individuals with regard to the processing of personal data and on the free movement of such data (GDPR) (2012) Article 4(1),(2) [EU, Data Protection Directive (95/46/EC) Article 2(a) 와비교. 이규정은 EU 가입국국내입법에도대체로수용되어있다. 가령 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) ( 독일 ); Loi n 78-17 du 6 janv. 1978 (Informatique et Libertés) article 2(2) ( 프랑스 ); Data Protection Act 1998 (DPA) Article 1(1) ( 영국 )]. 우리법의경우이러한정보를직접규율하는것은위치정보에그치지만 ( 위치정보의보호및이용등에관한법률제2조제1호, 제2호는개인위치정보이외의물건등의위치정보도보호대상으로포섭한다 ), 식별가능성을넓게이해하는방법으로해석상같은결론에이를가능성이있다. 8) 서울중앙지방법원 2011. 2. 23. 선고 2010고단5343 판결 ( 이른바증권통사건 ). 장주봉 ( 주 6), 74면. 9) 미국 FTC는정보의식별성을제거하는합리적조치를취하고그상태로유지하여다시식별하려는시도를하지아니하며제3자에게제공하는경우에도그의식별시도를금지한다면정보주체에의연계가능성 (linkability) 이없는것으로본다. 장주봉 ( 주 6), 66면. 이점에서개정공공기관의정보공개에관한법률제9조제1항제6호본문의비공개대상정보로서 개인에관한사항 과다르다. 뒤의것에관하여는대법원 2012. 6. 18. 선고 2011두2361 전원합의체판결 ; 최계영, 공공기관이보유한개인정보의이용과제한, 고학수편 ( 주 6), 315면이하참조. 10) 그러나식별성에서식별가능성으로확장하는것은예측가능성과법적안정성을해하고빅데이터산업의발전을저해하므로괄호부분을삭제하여야한다는견해도유력하다. 최경진, 빅데이터와개인정보, 성균관법학, 제25권제2호 (2013. 6), 213면.
370 서울대학교法學 제 55 권제 4 호 (2014. 12.) 있다는점이다. 이는적지아니한사전규제를포함하고있는정보통신망법과개인정보보호법의적용범위를엄청나게확장시킬수있다. 그로인한비용증가가늘감수할만한것은아니다. 11) 다른정보와쉽게결합하여그를식별할수있는 이라는표지는이러한두이익사이의균형을꾀하는기능을한다. 이점에서어떤경우다른정보와쉽게결합하여식별할수있다고보아야하는지는, 그다른정보의입수의난이 ( 難易 ) 와결합의난이모두를고려하여판단함이옳다. 그정보가입수하기어려운것이라면그것을입수하는한결합하여식별하기쉽다하더라도식별가능성을부정하여야할수있다. 12) 그러나 3 이러한정보에해당하는한정보의형태는문제되지아니하고, 4 사생활에속하거나비공개정보일필요도없다. 13) 성명, 성별, 음성, 지문, 안면, 필적, 성적취향, 노조및정당가입여부, 혼인이나이혼경력, 가족관계, 건강상태, 학력, 경력, 전과 ( 前科 ), 직업, 출신지역, 인종, 국적은물론, 아이디, 비밀번호, 이메일주소, 전화번호, 휴대전화단말기의고유번호등가치중립적이고인격주체성과무관한정보도이에해당할수있다. 14) 주민등록번호가이에해당함은물론이다 ( 정 11) 특히이로인한서비스이용자의비용 (usability costs) 의증가에관하여는박상철, 정보보안의법적규율 : 기술적 관리적보호조치를중심으로, 고학수편 ( 주 6), 250 면참조. 12) 장주봉 ( 주 6), 74 면이하. 결합하여식별하기쉬운이상그다른정보의입수가어려워도좋다고본서울중앙지방법원 2011. 2. 23. 선고 2010 고단 5343 판결 ( 주 8) 은법문언에는부합할지모르나식별가능성의범위를지나치게확장하여그기능내지목적에는반한다고할수있다. 그다른정보의입수가용이한지여부를정보보관자의관점에서판단할것인지제 3 자의관점에서판단할것인지도다투어지고있다. 김진환, 개인정보보호의규범적의의와한계 - 사법 ( 私法 ) 영역에서의두가지주요쟁점을중심으로 -, 저스티스, 통권제 144 호 (2014. 10), 63-66 면참조. 13) 헌법재판소 2005. 5. 26. 선고 99 헌마 513, 2004 헌마 190 결정 ( 주 5): 개인의내밀한영역이나사사 ( 私事 ) 의영역에속하는정보에국한되지않고공적생활에서형성되었거나이미공개된개인정보까지포함한다. 또한권태상 ( 주 5), 95-96 면. 물론개인정보보호와사생활보호의관련성을부정할수는없으나 [ 가령박경신, 사생활의비밀의절차적보호규범으로서의개인정보보호법리, 공법연구, 제 40 집제 1 호 (2011. 10), 198 면 ], 모든개인정보가사생활에직결되는것은아니다. 14) 대법원 2008. 8. 21. 선고 2007 다 17888 판결 ( 이른바리니지 II 사건. 인터넷게임포탈의아이디와비밀번호 ); 서울고등법원 2007. 11. 27. 선고 2007 나 33059, 33066 판결 ( 이른바국민은행사건. 고객의성명, 주민등록번호, 이메일주소 ); 서울중앙지방법원 2011. 2. 23. 선고 2010 고단 5343 판결 ( 주 8, 휴대전화의 IMEI 와 USIM 의일련번호 ); 대전지방법원논산지원 2013. 8. 9. 선고 2013 고단 17 판결 ( 전화번호 ). 그러나음성, 안면등다른권리 ( 음성권 초상권 ) 의대상이되는정보는개인정보가아니라는것으로정진명 ( 주 5), 588 면. 그밖에개인정보의분류에관하여는임종인 이숙연, 개인정보관련
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 371 보통신망법제 2 조제 1 항제 6 호, 제 23 조의 2 참조 ). (2) 누출이러한정보가분실 도난 누출되어야한다. 정보통신망법은분실 노난 누출을따로정의하고있지아니하다. 제27조의3에서개인정보의분실 도난 누출을 누출등 으로통칭하기로하면서, 정보통신서비스제공자등이이러한사실을안때에는즉시그이용자에게통지하고방송통신위원회나한국인터넷진흥원에신고할책무를지우고 ( 개인정보누출등의통지 신고 ), 제73조로같은법제28조의의무 ( 뒤에볼기술적 관리적조치의무 ) 를위반하여 이용자의개인정보를분실 도난 누출 변조또는훼손한자 를 2년이하의징역또는 2천만원이하의벌금에처하고있을뿐이다. 15) 분실 은개인정보의보유자 ( 정보통신망법에서는정보통신서비스제공자등 ) 가고의없이그정보를권한없는제3자가접근할수있는상태로두는것을뜻한다. 개인정보가담긴파일을서버에보관하면서적절한보안조치를취하지아니하거나로그 (log) 기록이단말기에기록되게하여제3자가쉽게접근할수있는상태에두는경우를생각할수있다. 16) 어느경우든제3자가고의로탈취한경우는제외된다. 반면 도난 은제3자가보유자의동의를받지아니한채권한없이보유자로부터개인정보를탈취하는것을말한다. 제3자가해킹 (hacking) 을하여보유자로부터그정보를탈취하는경우가전형적인예이다. 17) 피용자가고의로개인정보를 분쟁의사례분석과대안의모색, 정보법학, 제 12 권제 2 호 (2008. 12), 216-217 면. 15) 안전행정부의표준개인정보보호지침제 26 조가개인정보의유출을, 법령이나개인정보처리자의자유로운의사에의하지아니한채정보주체의개인정보에대하여개인정보처리자가통제를상실하거나또는권한없는자의접근을허용하는것으로, 개인정보가포함된서면, 이동식저장장치, 휴대용컴퓨터등을분실하거나도난당하였거나 ( 제 1 호 ), 개인정보가저장된데이터베이스등개인정보처리시스템에정상적인권한이없는자가접근하였거나 ( 제 2 호 ), 개인정보처리자의고의또는과실로인하여개인정보가포함된파일또는종이문서, 기타저장매체가권한이없는자에게잘못전달되었거나 ( 제 3 호 ), 기타권한이없는자에게개인정보가전달되거나개인정보처리시스템등에접근가능하게된경우 ( 제 4 호 ) 로규정하고있으나, 이는규범적구속력을가지지아니한다. 16) 서울고등법원 2008. 11. 25. 선고 2008 나 25888, 25895, 25901 판결 ( 이른바 LG 전자입사지원서사건, 대법원 2009. 3. 26. 선고 2008 다 96826 판결로상고기각확정 ); 대법원 2008. 8. 21. 선고 2007 다 17888 판결 ( 주 14). 17) 서울고등법원 2013. 5. 2. 선고 2010 나 31510 판결 ( 이른바옥션사건. 2013 다 43994 호로상고심계속중 ); 2014. 5. 28. 선고 2012 나 104177 판결 [ 이른바네이트사건 ( 기
372 서울대학교法學 제 55 권제 4 호 (2014. 12.) 제3자에게넘긴경우도 18) 보유자로서는도난으로볼여지가있다. 이제보관자가고의로이를제3자에게넘긴경우만이남는데, 이는 누출 에포섭된다. 그러나누출이이경우에한하는것은아니고, 분실이든도난이든고의에의한제공내지공개든 19) 누출 구성요건의초점은그결과 개인정보가관리통제권의범위를벗어나제3자가현실적으로알수있는상태에이르 렀다는점에있다. 20) 제 3 자침해있음 제 3 자침해없음 보관자고의있음 누출 보관자고의없음 도난 분실 개인정보가도난되거나분실되었다하더라도권한없는제3자가쉽게접근할수없는때에는민사책임은생각할수없다. 그러므로도난 분실도그결과누출에이르러야한다. 21) 결국어느경우든관건은누출에이르렀는지여부이고, 책임성 각 ). 2014 다 214168 호로상고심계속중 ]; 서울서부지방법원 2013. 2. 15. 선고 2011 가합 11733, 13234, 14138, 2012 가합 1122 판결 [ 이른바네이트사건 ( 인용 ). 서울고등법원 2013 나 20047 호로항소심계속중 ]. 일반적으로정해상, 개인정보도용의민사책임, 인권과정의, 제 361 호 (2006. 9), 130 면이하. 18) 대법원 2012. 12. 26. 선고 2011 다 59834, 59858, 59841 판결 ( 이른바 GS 칼텍스사건 ). 19) 공개는개인정보를누구든지접근할수있는상태에두는것을말한다. 이창범 이성엽, 개인정보제 3 자제공및처리위탁규제의법적과제, 고학수편 ( 주 6), 214-215 면. 20) 대법원 2008. 8. 21. 선고 2007 다 17888 판결 ( 주 14); 2014. 5. 16. 선고 2011 다 24555, 24562 판결 ( 이른바 LGUPlus 사건 ). 이원우, 개인정보보호를위한공법적규제와손해배상책임 : 개인정보누출을중심으로, 행정법연구, 제 30 호 (2011. 8), 244 면이하 (Risiko 와 Schaden 사이의 Gefahr 단계에이른경우를뜻한다고한다 ). 미국판례는누출 (leakage) 보다는노출 (expose) 이나위태 (compromised) 라는표현을선호하나, 이또한대체로비슷한의미이다. 특히노출이라는표현을쓴것은유해물질노출로인한불안, 위험에대한불법행위책임에관한법리를여기에끌어들이려는시도에서비롯한다. Allied Signal, Inc. v. Ott, 785 N.E.2d 1068 (Ind. 2003). Johnson, Cybersecurity, Identity Theft, and the Limits of Torts Liability, 57 S.C. L. Rev. 255, 305 ff. (2005). 한편, 제 3 자가개인정보를조회한것만으로는누출이있었다고볼수없고피고인의지배영역밖에저장된사실까지인정되어야한다는것으로, 서울중앙지방법원 2013. 6. 13. 선고 2012 고단 6164 판결 ( 서울중앙지방법원 2014. 5. 2. 선고 2013 노 2144 판결로항소기각확정 ). 21) 대법원 2012. 12. 26. 선고 2011 다 59834, 59858, 59841 판결 ( 주 18). 또한배대헌, 잰걸음으로나선 개인정보보호법을보완하는논의 - 개인정보보호법개정논의및관련법률검토, IT 와법연구, 제 6 집 (2012. 2), 18 면이하.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 373 립요건과관련하여분실 도난 누출을구별할실익은없다. 정보통신망법제27조의3은이들셋을통틀어 누출등 이라고통칭하고있고, 이에대응하는개인정보보호법제34조는통지 신고와관련하여개인정보의 유출 이라는단하나의개념만을사용하고있으며, 벌칙을정하는개인정보보호법제73조제1호는개인정보의 분실 도난 유출 변조또는훼손 이라는표지를사용한다. 이상에비출때누출과유출은같은의미이고, 분실 도난을그안에포함한다고봄이상당하다. 2. 고의 과실에의한제 3 자제공금지내지기술적 관리적조치의무위반 나아가 정보통신서비스제공자등이고의또는과실로이장의규정을위반 하여야한다 ( 개정정보통신망법제32조의2 제1항제1호 ). (1) 목적외이용으로서공개, 제3자제공금지및기술적 관리적조치의무위반정보통신망법제4장은 개인정보의보호 라는표제아래에정보통신서비스제공자등이이용자의개인정보에관하여부담하는의무를정한다. 그규정체계는대체로다음과같다. 규율대상규율내용정보통신망법규정 개인정보수집 설명및동의, 그면제, 일정한개인정보의수집제한 제 22 조, 제 23 조, 제 23 조의 2 내지 4, 제 26 조의 2 개인정보이용목적외이용금지제 24 조 개인정보의제 3 자제공 설명및동의, 법령상예외제 24 조의 2, 제 26 조의 2 사전통지및동의철회 ( 영업양도에서 ) 제 26 조, 제 26 조의 2 개인정보의취급위탁설명및동의제 25 조, 제 26 조의 2 개인정보의관리 취급방침의공개, 누출등의통지 신고, 기술적 관리적보호조치, 누설금지 제 27 조, 제 27 조의 2, 제 27 조의 3, 제 28 조, 제 28 조의 2 개인정보의파기 목적달성, 보유 이용기간종료, 폐업, 동의철회시파기 제29조, 제30조제3 항 정보주체의권리 동의철회, 열람및정정청구권 제30조, 제31조 개인정보이용내역의통지제 30 조의 2
374 서울대학교法學 제 55 권제 4 호 (2014. 12.) 이들의무중어느하나에위반하여도위법하고, 그로인하여손해가발생하면손해배상책임을질수있다 ( 민법제750조등 ). 가령개인정보를불법적으로수집하면그자체불법행위로손해배상책임을진다. 22) 그러나개정정보통신망법제32조의2의법정손해배상의요건으로서 이장의규정 위반은보다좁게이해함이옳다. 의무위반과개인정보의누출사이에사실적인과관계와규범의보호목적관련성이있어야하는데, 23) 개인정보누출등과무관한다수의규정은이러한관련성을갖고있지아니하기때문이다. 개인정보수집 이용에대한규정위반과개인정보누출사이에는이러한관련성이없다. 개인정보취급방침의공개도미국법상개인정보보호에관하여취하는기본적인접근인시장에의한통제의 24) 기초가되는것으로서정보제공단계에관계할뿐이다. 누출의통지 신고는개인정보가누출된이후의책무로, 확대손해와관련한과실상계는별론책임성립과사이의관련성은인정할수없다. 파기의무도개인정보누출위험을통제하는것이주된목적이라고할수는없다. 정보주체의동의철회권, 열람 정정청구권및그행사에따른정보통신서비스제공자등의조치의무위반은물론이를용이하게하기위한개인정보이용내역의통지도기본적으로마찬가지이다. 25) 그리하여주로문제되는것은개인정보의관리중기술적 관리적조치 (technical and organizational measures, TOM) 의무 ( 정보통신망법제28조 ) 이다. 정보통신망법제73조제1호가 제28조제1항제2호부터제5호까지 ( 제67조에따라준용되는경우를포함한다 ) 의규정에따른기술적 관리적조치를하지아니하여 개인정보를분실 도난 누출 변조또는훼손한자를처벌대상으로삼는것도참조할만하다. 다른사람의개인정보를보유하는한 - 명시적인약정, 개인정보취급방침의대외적표시 (representation), 특별한신인관계 ( 信認關係 ) 기타개별법령에의하지아니하고 - 일반적으로정보보안 (data security) 에관한의무를지우고 22) 대법원 1998. 7. 24. 선고 96 다 42789 판결 ( 이른바국군보안사령부민간인사찰사건 ). 23) 특히후자에관하여대법원 1998. 2. 10. 선고 97 다 49534 판결 ; 1998. 5. 8. 선고 97 다 36613 판결 ; 2001. 10. 23. 선고 99 다 36280 판결이하참조. 24) 자율규제, 개인정보처리지침의개시및부실개시 (misrepresentation) 에대한책임에기초한미국의개인정보에관하여는문성제, 온라인상에서의개인정보보호에관한국제동향 - 미국의제도를중심으로 -, 비교법학연구, 제 3 집 (2004. 2), 57 면이하 ; 손태우, 개인정보보호법제에대한최근미국의동향, 부산대법학연구, 제 42 권제 1 호 (2001. 12), 41 면이하 ; 이원우 ( 주 20), 241 면이하. 25) 이들규정의규범목적에관하여는김진환 ( 주 12), 52-59 면도참조.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 375 있다는점에서 EU 및독일 프랑스 영국등그가입국과같고, 26) 미국과다르다. 27) 다만, 이러한의무의구체적인내용은그때그때법관이정하는수밖에없다. 정보통신망법제28조제1항은정보통신서비스제공자등에게개인정보의분실 도난 누출 변조또는훼손을방지하기위하여기술적 관리적조치를할의무를지우면서, 이를 (i) 내부관리계획의수립 시행 ( 제1호 ), (ii) 접근통제장치의설치 운영 ( 제2호 ), (iii) 접속기록의위 변조방지조치 ( 제3호 ), (iv) 개인정보를안전하게저장 전송할수있는암호화기술등을이용한보안조치 ( 제4호 ), (v) 백신소프트웨어의설치 운영등컴퓨터바이러스에의한침해방지조치 ( 제5호 ), (vi) 그밖에개인정보의안전성확보를위하여필요한보호조치 ( 제6호 ) 로나누고, 대통령령으로그기준을정할수있게한다. 또한정보통신망법제27조및제28조제2항도일정한경우에는일정한요건을갖춘개인정보관리책임자를두어야하며, 개인정 26) 기술적 관리적조치자체가이미 EU법의개념이다. Data Protection Directive (95/46/EC) Article 17(1); GDPR( 주 7) Article 30(1). 가입국법으로는 9 BDSG ( 독일 ), Loi informatique et libertés article 34 ( 프랑스 ), DPA Schedule 1 Part 1 7 th principle ( 영국 ). 다만, 미국에서도개별법령상정보보안의무가인정되는한그의무는비슷한방식으로규정된다. 예를들어 Gramm-Leach-Bliley Act에의하여 FTC가제정한은행등의 Safeguard Rule[6 C.F.R. 314.2(b), 314.3(a)] 은 reasonable administrative, technical, and physical safeguard 라는표현을쓴다. 그밖의예에관하여는 Serwin, McLaughlin, and Tornaszewski, Privacy, Security and Information Management: An Overview (2011), pp. 257 ff. 참조. 27) 미국에서는전통적으로개별법령상별도의근거가없는한개인정보를보호할의무가인정되지아니한다고보아왔다. Pisciotta v. Old National Bancorp, 499 F.3d 629 (7th Cir. 2007); Meal, Private Data Security Breach Litigation in the United States (2014), pp. 11 ff.; Solove and Schwarz, Information Privacy Law, 3 rd ed. (2008), pp. 825 ff. 이러한미국식접근을지지하는것으로, Litman, Information Privacy/Information Property, 52 Stan. L. Rev. 1283, 1308 f. (2000), 법률제정으로더넓은범위에서일반적암호화의무를지워야한다는견해로, Rancourt, Hacking, Theft, and Corporate Negligence: Making the Case for Mandatory Encryption of Personal Information, 18 Tex. Wes. L. Rev. 183 (2011). 한편, 근래에는개별법령 (Fair Credit Reporting Act 1681a-1681x, Health Insurance Portability and Accountability Act, Gramm-Leach-Bliley Act 6801-6809) 상개인정보보호가규정되어있지아니한때에도누출과그로인한손해가예견가능하므로 (forseeable) 보통법상개인정보를보호하기위하여적절한조치를취할의무가있다는판례도나오고있다. Bell v. Michigan Council 25 of the Am. Fed n of State, County, and Mun. Employees, 2005 WL 356306 (Mich. Ct. of App. 2005). 이러한근래의경향에관하여는 Bishop, To Serve and Protect: Do Business Have a Legal Duty to Protect Collections of Personal Information?, 3 Shidler J. L. Com. & Tech. 7 (2006). 나아가개별법령과보통법법리로부터일반적주의의무를도출하려는것으로, Johnson( 주 20), pp. 263 ff.
376 서울대학교法學 제 55 권제 4 호 (2014. 12.) 보를취급하는자의수를최소한으로하여야함을규정한다. 그러나이들규정과시행령을모두살펴보아도기술적 관리적조치의대강의틀만이드러날뿐 ( 정보통신망법시행령제13조, 제15조 ), 그내용, 즉구체적으로어떤조치가취해져야하는지는전혀분명하지아니하다. 가령방화벽을설치하지아니하면기술적 관리적조치의무위반인지, MD5 방식의일방향암호화로도기술적 관리적조치를다하였다고볼수있는지등은이들규정만으로명확해질수없는것이다. 28) 물론이러한점까지상세하게적은각종지침 고시해설서 안내서들이있으나, 이들은규범적효력을갖지아니한다. 기술적 관리적조치의수준이정보통신망서비스제공자등에따라달라질수있고, 비슷한수준의조치라하더라도다양한조치와모형을시도하고또발전시키는것이정보보안에도움이되며, 정보통신망서비스제공자등보다규제기관이바람직한기술적 관리적조치의정립과발전에관하여정보우위를누리는것도아니므로, 법령에이를명시하는것이반드시바람직하다고보이지도아니한다. 사후편향 (hindsight bias) 이개입할위험을충분히경계한다는전제하에, 개별사안에응하여판단하는것이바람직하고또한불가피하다. 29) 재판실무에서도기술적 관리적조치의무위반은위규정이제시하는기본틀이외에개인정보누출이있었을당시해킹방지기술의발전정도와그도입을위한경제적비용및그효과, 개인정보유출로인하여이용자가입게되는피해의정도등을고려하여그때그때개별 구체적으로판단되고있다. 30) 그밖에개인정보의목적외이용으로서공개및개인정보의불법적인제3자제공 28) 서울고등법원 2013. 5. 2. 선고 2010 나 31510 판결 ( 주 17); 서울서부지방법원 2013. 2. 15. 선고 2011 가합 11733, 13234, 14138, 2012 가합 1122 판결 ( 주 17). 형식적으로라도조치를취하면일응정보통신망법상의의무는이행한것이고, 불법행위법상의의무가문제될뿐이라는견해도있으나 [ 최호진, 해킹에의한개인정보유출과정보통신서비스제공자에대한손해배상책임에관한고찰 - SK 컴즈사건을중심으로 -, 법조, 통권제 689 호 (2014. 2), 138-141 면 ], 일반적으로지지받지못하고있다. 29) 실무상으로는정보보안관련각종법령, 지침 고시에대한해설서와안내서에서구체적인기술적 관리적조치를열거하고있고, 이것이마치법령과도같이인식되어이를따르는한책임을면할수있는것처럼여겨지기도한다. 이에대한비판으로, 박상철 ( 주 11), 255 면이하. 30) 서울고등법원 2013. 5. 2. 선고 2010 나 31510 판결 ( 주 17) 의원심인서울중앙지방법원 2010. 1. 14. 선고 2008 가합 31411, 58638 판결 ( 다만해커가사용한해킹기술의수준까지주의의무에관련시킨것은의문이다. 이는주의의무의내용이나그위반여부가아닌인과관계와귀속의문제이다 ). 나아가주의의무판단기준을구조화하려는시도로, 권영준, 해킹 (hacking) 사고에대한개인정보처리자의과실판단기준, 저스티스, 통권제 132 호 (2012. 10), 57 면이하 ; 최호진 ( 주 28), 152-154 면.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 377 내지취급위탁도 이장의의무 위반에해당한다. 정보주체의동의를받지아니하거나동의를받았지만동의요건 (informed consent; 정보통신망법제24조의2 제1 항 ) 을갖추지는아니한경우제3자제공도누출이다. 이점도 EU 내지그개별가입국과같고, 개별법규정이나명시적약정이없는한원칙적으로제3자제공에대한책임을인정하지아니하는미국과는다르다. 31) 다만, 법령상예외를정하고있는때에는책임이없다 ( 정보통신망법제24조의2 제2항 ). 32) 그밖에법령에명시적인규정이없으나법익형량상공개나제3자제공이허용되는경우가있을수있다. 33) 이러한경우는위법성이없다. 이러한사정이없다하더라도있다고믿을만한상당한이유가있으면회피할수없는법률의착오 (unvermeidbare Rechtsirrtum) 가인정되어과실이부정될수있다. 정보통신망서비스제공자등이정보주체의개인정보를보유하고있는한그정보를어떻게수집하였는지, 그것이적법한것인지 ( 정보통신망법제22조이하 ) 는문제되지아니한다. 부적법하게수집한개인정보에대하여도누출과관련하여서는동일한의무를진다고보아야한다. 34) (2) 고의 과실그리고의무위반은정보통신서비스제공자등의고의나과실에의한것이어야한다. 고의는의무위반을구성하는행위및그결과 ( 발생의개연성 ) 를인식하면서도이를하는것을말하고, 과실은이를인식 회피할수있었음에도그렇게하지아니한경우를말한다. 정보통신서비스제공자등대표자의고의 과실내지조직과실 (Organizationsverschulden) 이이에해당한다. 그피용자의고의 과실이문제된다면이규정에사용자책임 ( 민법제756조 ) 을적용할수있다. 뒤에서보는바이지만 31) 문성제, 개인정보의제 3 자제공으로인한피해에대한사법적구제, 성균관법학, 제 17 권제 2 호 (2005. 6), 191 면이하. 미국법에관하여는 Graham, Privacy, Computers and the Commercial Dissemination of Personal Information, 65 Tex. L. Rev. 1412 (1987). 32) 이창범 이성엽 ( 주 19), 218 면이하. 제 3 자제공과취급위탁의구별이명확하지아니하다는지적으로정상조, 광고기술의발전과개인정보의보호, 저스티스, 제 106 호 (2008. 9), 611-612 면. 33) 대법원 2011. 5. 24. 자 2011 마 319 결정 ( 주 5); 2011. 9. 2. 선고 2008 다 42430 전원합의체판결 ( 이른바로마켓사건 ) 참조. 34) 서울지방법원 2002. 10. 23. 선고 2002 노 3856 판결 ( 구공공기관의개인정보보호에관한법률제 11 조의 직무상알게된개인정보 에는정당한직무수행중지득한개인정보뿐아니라외관상직무수행인것처럼가장하여부당한목적으로알게된개인정보도포함한다 ) 참조.
378 서울대학교法學 제 55 권제 4 호 (2014. 12.) 개정정보통신망법제32조의2는불법행위책임의특칙이기때문이다. 그밖에정보통신서비스제공자등으로부터개인정보취급위탁을받은수탁자가고의 과실로개인정보를누출한경우에도 - 그는피용자가아님에도불구하고 - 정보통신서비스제공자등이책임을진다. 정보통신망법제25조제5항이손해배상책임 ( 이에개정정보통신망법제32조의2의법정손해배상이포함된다는데는의문이없다 ) 과관련하여수탁자를정보통신서비스제공자등의소속직원으로본다고규정하므로사용자책임이성립하는것이다. 35) 판례 통설상민법제756조제1항단서의면책가능성이거의부정되고있으므로 36) 이는중대한책임확장에해당한다. 37) 개정정보통신망법제32조2 제1항단서는 이경우해당정보통신서비스제공자등은고의또는과실이없음을입증하지아니하면책임을면할수없다 고규정한다. 이는부수적으로는제32조의2의책임이과실책임임을밝히는기능을하지만, 그주된기능은무엇보다도고의또는과실의증명책임이가해자, 즉정보통신서비스제공자등에게전환되어있다는점을분명히하는데있다고보인다. 그러나이미같은조제1항제1호가법정손해배상청구의요건으로 정보통신서비스제공자등이고의또는과실로이장의규정을위반한경우 를규정하고있고, 이는같은조제1항본문상정보통신서비스제공자등이주장 증명하여야할적극적요건으로해석되므로 ( 다음각호의모두에해당하는경우에는 ), 법정손해배상을청구하는이용자로서는어차피먼저정보통신서비스제공자등이고의또는과실로이장의규정을위반하였음을주장 증명하는수밖에없어이증명책임전환규정은적용되는경우가없게된다. 38) 더나아가객관화된과실개념은곧의무위반을가리키므로, 정보통신서비스제공자등이 이장의규정 을위반하면과실은사실상늘인정된다. 이장의규정 의의무는모두결과 ( 방지 ) 의무 (erfolgbezogene 35) 문성제 ( 주 31), 194-195면. 임종인 이숙연 ( 주 14), 225면 ; 정상조 ( 주 32), 613면도같은취지로보인다. 36) 양창수 권영준, 권리의변동과구제 (2011), 635면. 37) 이에대한비판으로권영준 ( 주 30), 64-65면 ( 면책가능성을좀더넓게인정하려고한다 ). 경청할만한주장이라고생각되나, 개정정보통신망법제32조의2의법정손해배상고유의문제는아니므로이글에서는더다루지아니한다. 38) 이규정에어떤의미를부여하려면개정정보통신망법제32조의2 제1항제1호의고의또는과실은객관적의무위반에관한것이고제1항본문의고의또는과실은주관적귀책사유 ( 책임요건 ) 를가리킨다는식의구분을도입하여야하는데, 이는민사책임법상과실은이미객관적개념으로이해되고있다는점에서받아들이기어렵다. 이동진, 위험영역과증거법적보증책임 : 증명책임전환의기초와한계, 저스티스, 통권제 138호 (2013. 10), 187면참조.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 379 Pflichten) 가아닌행위의무 (verhaltenbezogene Pflichten) 이므로, 그위반을고의에의한위반으로볼여지도있다. 정보통신망법제71조이하에그위반에대한형벌규정이있는데, 이들도과실범이아닌고의범으로이해된다. 어떻든 이장의규정 위반을피해자가주장 증명하는한고의나과실이독자적으로문제되는경우는생각하기어렵다. (3) 사실적인과관계와규범적귀속끝으로, 개정정보통신망법제32조의2 의문언에드러나있지는아니하나, 고의 과실에의한제3자제공금지내지기술적 관리적조치의무위반과개인정보의누출사이에인과관계가있어야한다. 예컨대시스템관리자가자신의아이디와비밀번호를회사명등쉽게추측할수있는단어로설정하여브루트-포싱 (brute-forcing) 공격에취약한상태에놓인것은기술적 관리적조치의무위반이될수있지만, 실제해커 (hacker) 가그아이디와비밀번호를알아낸방법이브루트-포싱 (brute-forcing) 이아니었다면이러한의무위반과개인정보누출사이에는인과관계가없고, 따라서그에게책임을지울근거도없다. 39) 벌칙규정이지만정보통신망법제73조제1호는 기술적 관리적조치를하지아니하여 개인정보가누출된경우를처벌대상으로함으로써이러한사실적및규범적관련성을전제하고있다. 3. 적용범위 (1) 정보통신망법의한계내 : 인적 사항적및장소적적용범위개정정보통신망법제32조의2의법정손해배상은같은법의적용범위에한하여적용된다. 먼저, 이규정은정보통신서비스제공자등과이용자사이의관계에대하여만적용된다. 정보통신서비스제공자등 이라함은정보통신서비스제공자및그로부터개인정보를제공받은제3자를가리킨다 ( 정보통신망법제25조제1항 ). 그리고정보통신서비스제공자는전기통신사업법제2조제1항제6호에따른전기통신사업자와영리목적으로전기통신사업자의전기통신역무를이용하여정보를제공하거나정보의제공을매개하는사람양자를가리킨다 ( 정보통신망법제2조제1항제3 39) 서울중앙지방법원 2010. 1. 14. 선고 2008 가합 31411, 58638 판결 ( 주 30). 권영준 이동진, 개인정보유출에대한과실및손해판단기준, 고학수편 ( 주 6), 293-294 면도참조.
380 서울대학교法學 제 55 권제 4 호 (2014. 12.) 호 ). 그중전기통신사업자는전기통신설비를이용하여타인의통신을매개하거나전기통신설비를타인의통신용으로제공하는사람, 요컨대인터넷등통신망 (network) 을보유 운영하거나망서비스의일부를하는사람을말한다 ( 전기통신사업법제2조제8호 ). 40) 그리하여인터넷등통신망 (network) 을이용하여통신망관련서비스를하는자는늘, 이망을이용하여정보를제공하거나매개하는자는영리목적이있는때, 가령전자상거래업자등에한하여정보통신서비스제공자로서법정손해배상책임을지고, 이들로부터개인정보를제공받은제3자는, 그자신정보통신서비스제공자등에해당하지아니할때에도, 법정손해배상책임을진다. 신용정보 전기통신역무를이용하여정보를제공하거나매개하는자 전기통신역무를제공하는자 위양자로부터개인정보를제공받은제 3 자 영리 비영리 신용정보의이용및보호에관한법률제 43 조 개인정보보호법제 39 조 개정정보통신망법제 32 조의 2 기타개인정보보호법제 39 조 이용자는정보통신서비스를이용하는사람을말한다 ( 정보통신망법제2조제1항제4호 ). 정보통신서비스이용관계는통상계약관계일것이나, 그계약이유상 ( 有償 ) 이어야하는것은아니다. 영리목적은규율대상의인적특성을구획하는표지일뿐, 당해정보제공거래내지정보제공을매개하는거래를통하여그거래의상대방에대하여영리를추구하여야만하는것은아니기때문이다. 가령개인정보는이용자로부터수집하고수익은제3자의광고등으로부터얻는인터넷포탈도정보통신망법상정보통신서비스제공자등이고그이용자도정보통신망법상이용자이다. 계약관계가무효이거나아예존재하지아니하는사실상의이용관계여도상관없다. 정보통신망법의규율은망이용과그서비스제공자등의개인정보보유사실에기초하고있을뿐계약을전제하지아니한다. 41) 한편, 정보통신서비스제 40) 구태언, 온라인과오프라인에서개인정보보호규제체계의이분화에따른문제점, 고학수편 ( 주 6), 174 면이하참조. 41) 이와달리정보통신망이용과그에관한개인정보보호문제를계약법적으로구성하려는시도로, 배대헌, 개인정보보호 이용에관한계약법적방안모색, 상사판례연구,
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 381 공자등과그이용자의관계에있기는하나누출은이용관계와는관계없는맥락에서, 가령오프라인 (off-line) 에서이루어진경우본조가적용되는가하는점에대하여는논란의소지가있다. 그밖의제3자는개정정보통신망법제32조의2의적용을받지아니한다. 이용자가정보통신서비스제공자등이외에공동가해자 ( 가령민법제760조 ) 에게책임을추궁하거나이미이용자에게손해배상을한가해자중 1인이정보통신망서비스제공자등인다른가해자에게구상할때에는이규정이적용될수없다. 다음, 정보통신망법은기본적으로규제법령에속하므로, 정보통신망법제4장의의무도그수범자도내국인으로제한될소지가있다. 그러한한이러한의무위반에대한책임규정인개정정보통신망법제32조의2도그수범자에한하여적용된다. 그리하여정보통신서비스제공자등과이용자중하나라도외국인인때에는규제법령, 특히보호적성격을갖는규제법령의역외적용의한계문제가제기될수있다. 42) (2) 개정법의적용한계내 : 시간적적용범위개정정보통신망법제32조의2는 2014. 11. 29. 시행된다 ( 개정정보통신망법부칙제1조 ). 이에대하여는개정전의개인정보누출에대하여는이규정이적용되지아니한다는인식이있는것처럼보인다. 그러나이러한해석에는의문이있다. 개정정보통신망법부칙은과징금과벌칙개정조항에대하여는행위시법을적용할것을규정하였으나 ( 부칙제2조 ), 법정손해배상에대하여는별다른규정을두지아니하였다. 법정손해배상이전제하고있는 이장의의무 도모두전부터존재하였던것이다. 특히뒤에보는바와같이법정손해배상이거의전적으로전보적 ( 塡補的 ) 성격을갖고있고, 나아가주로증거법적내지구제법적 (remedial) 성격을갖는다고한다면, 이규정을소급적용하지아니할이론적근거를찾기어려워진다. 43) 현행법의해석으로는기판력이나소멸시효에의하여차단되지아니하는한소급적 제19집제4권 (2006. 12), 588면이하. 나아가배대헌, 정보의귀속 유통에관한민사법적접근 - On-line상개인정보의보호를중심으로 -, 비교사법, 제8권제2호 (2001. 12), 266면이하도참조. 42) 우선박훤일, EU 개인정보보호지침의역외적용, 통상법률, 제43호 (2002. 2), 105면이하. 43) McCreary, Retroactivity of Laws: An Illustration of Intertemporal Conflicts Law Issues through the Revised Civil Code Articles on Disinherison, 62 La. L. Rev. 1321 (2002) 참조.
382 서울대학교法學 제 55 권제 4 호 (2014. 12.) 용이가능하다고본다. 참고로법정손해배상에대하여개정저작권법부칙제2조는개정법시행후최초로권리침해가발생하거나의무위반이발생한것부터적용한다고하고있으나, 개정상표법부칙제4조는개정법시행후소가제기된것부터적용한다고정하여일정한범위에서소급효를인정한다. Ⅲ. 책임내용, 행사기간및법적성질 1. 법정손해배상 (1) 증거법적측면 : 손해액에대한증명도경감개정정보통신망법제32조의2의요건을충족하면이용자, 즉자신에대한정보를누출당한정보주체는정보통신서비스제공자등에대하여상당한금액을손해액으로하여배상을청구할수있다. 법원은변론전체의취지와증거조사의결과를고려하여그범위에서상당한손해액을인정할수있다 ( 개정정보통신망법제32조의2). 그의미는개정정보통신망법보다는오히려개정저작권법, 개정상표법을살펴볼때더잘드러난다. 개정저작권법과개정상표법은각그제125조의2 제4항, 제67조의2 제1항제2문에서개정정보통신망법제32조의2 제2항과비슷한규정을두고있다. 그런데다른한편이들법률은각그제126조, 제67조제5항에서저작권법의경우손해가발생한사실은인정되지만저작권법제125조의규정에따른손해액을산정하기어려운때, 상표법의경우그손해액을입증하기위하여필요한사실을입증하는것이해당사실의성질상극히곤란한경우에 변론전체의취지와증거조사의결과를고려하여그범위에서상당한손해액을인정할수있다 고규정한다. 44) 판례는이러한규정이없는일반불법행위법과계약법에서도사안의성질상손해액을엄밀하게증명하기곤란한경우법관이변론전체의취지와증거조사의결과를고려하여적당히손해액을산정하는것을허용해왔다. 그러 44) 특히저작권법제 126 조에관하여는조영선 ( 주 4), 136 면이하. 일반적으로는대법원 2004. 6. 24. 선고한 2002 다 6951, 6968 판결 ; 최우진, 구체적액수로증명곤란한재산적손해의조사및확정 - 사실심법원권능의내용과한계 -, 사법논집, 제 51 집 (2011), 413 면이하.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 383 므로위두규정은확인적성격을가진다. 이법리의기능은민사소송상요구되는증명도를낮추어주는것이다. 민사소송에서증명은원칙적으로법관에게확신을주는정도에이르러야한다. 가령손해액에관하여는그것이금액으로정확히얼마인지확신할수있어야하는것이다. 45) 문제는이를확정하는것이인과과정의복잡성등으로인하여매우불분명하거나적어도그증명에큰 ( 감정등 ) 비용이드는경우가있다는점이다. 이때에도엄격한증명을요구하면권리구제가불가능해지거나경제적으로비합리적이될것이다. 그러므로그에갈음하여일응납득할만한범위안의금액을결정해주는것을허용할필요가있다. 이법리는바로이러한필요에대응한다. 이처럼이미법관의재량에의한손해액산정이인정되는우리법질서에서법정손해배상이갖는의의는무엇인가. 그차이는판례및저작권법제126조, 상표법제67조제5항의경우손해액을정면에서증명하는것이어려워야비로소이러한보충적산정방법이동원될수있는반면, 개정저작권법제125조의2, 개정상표법제67조의2의법정손해배상에서는그러한객관적요건을이용자의주관적선택으로대체하였다는점에있다. 즉, 전자 ( 前者 ) 는엄격한위계에따라다른방법이고려되기어려운때에한하여보충적으로적용되는손해액산정방법인반면, 후자 ( 後者 ) 는권리자 ( 피해자 ) 의선택에의하여적용되는손해액산정방법이다. 개정정보통신망법제32조의2의법정손해배상도마찬가지로판례상요건을갖추지아니한때에도증명도경감을누릴수있게해준다. 요컨대우리법질서에서법정손해배상은손해액의증명과관련하여피해자, 즉원고측에서충족하여야하는최소한의증명도를판례와몇몇법규정이인정하는예외사유가없는경우에도낮추어주는기능을한다. 나아가우리법의법정손해배상은손해의증명도도함께낮추어준다. 명문규정으로침해내지누출만있으면청구할수있게하고손해의증명을요구하지아니하고있고 ( 이점에서저작권법제126조와다르다 ), 뒤에보는바와같이개인정보누출로인한손해의경우손해는인정되나손해액의증명이어려운경우는별로없으므로손해의증명을요구한다면 - 안그래도많다고할수없는 - 이규정의실천적의의가지나치게감손되기때문이다. 45) 이동진 ( 주 38), 173-176 면.
384 서울대학교法學 제 55 권제 4 호 (2014. 12.) (2) 실체법적측면 : 실손해전보 ( 塡補 ) 실체법상배상대상이되는손해가무엇인가, 손해액의산정은어떻게이루어져야하는가하는점은절차적으로손해의증명을어느정도요구할것인가와구별되어야한다. 절차적으로손해내지손해액의증명을요구하지아니한다하더라도그에관한어떤실체적관념이전제되지아니하면법관의재량행사가합리적으로이루어질수없다. 이와관련하여법정손해배상이실손해전보 ( 塡補, compensation) 를추구하는지, 위반행위의예방 (prevention) 내지징벌 (punishment) 을목적으로하는지가문제된다. 근래미국에서는법정손해배상이실손해전보와징벌을동시에추구하는제도라는취지라고판단한판례가나온바있다. 46) 그러나이제도가처음도입될때에는오히려전보기능이중심이었고, 징벌적성격은별로강조되지아니하였다. 47) 미국에서이러한측면이강조되게된데에는인터넷환경에서저작권등이대량으로침해된경우, 특히집단소송 (class action) 이가능한경우, 대개배상액의하한이정해져있는미국의법정손해배상제도하에서전체적으로막대한금액의법정손해배상이행해질수있게된점이영향을미쳤다고보인다. 48) 손해배상액의하한이규정되지아니한우리의법정손해배상에서는이러한요청이반드시크다고할수없다. 또한사법 ( 私法 ) 에서제재적요소가완전히배제되어야하는것은아니라할지라도이를원칙이라고할수는없는데, 개정정보통신망법제32조의2에는이규정이제재내지징벌적요소를고려하고있다고볼만한단서가전혀보이지아니하고, 오히려그제1항이 - 전보배상을정하고있는 49) - 정보통신망법제32조에따른손해배상을청구하는 대신 법정손해배상을청구할수있다고하고있다. 그리고이규정은고의또는과실이있으면책임을물을수있다고하고, 그적용범위를고의등특히비난할만한법위반으로국한하고있지아니하다. 이규정이 46) 대표적으로 Cass County Music Co. v. C.H.L.R. Inc., 88 F.3d 635, 643 (8th Cir. 1996). 47) Gómez-Arostegui, What History Teaches Us about US Copyright Law and Statutory Damages, 5 WIPO J. 76 (2013); Samuelson and Wheatland, Statutory Damages in Copyright Law: A Remedy in Need of Reform, 51 Wm. & Mary L. Rev. 439, 446 ff. (2009); F.W. Woolworth Co. v. Contemporary Art., Inc. 344 U.S. 228 (1952); Doehrer v. Caldwell, 207 U.S.P.Q. 319 (N.D.Ill. 1980). 48) 가령이규호 ( 주 4), 116 면이하 ; 이종구 ( 주 3), 135 면이하 ; 이종구, 한미 FTA 의이행에따른미국의법정손해배상제도의도입과그한계, 산업재산권, 제 23 권 (2007. 8), 631 면이하. 49) 권영준 이동진 ( 주 39), 295-296 면.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 385 정한손해배상액의상한도 300만원으로비교적소액이다. 입법자도 이용자권리구제수단을보완 하기위하여개정한다고하였을뿐이고, 정보통신서비스제공자등의의무위반의억지내지그위반에대한제재의측면은언급한바없다. 어느모로보아도개정정보통신망법제32조의2의법정손해배상은실손해전보를추구하는제도이고, 이를넘어징벌적목적을갖고있지는아니하다고보인다. 50) 개정정보통신망법제32조의2 제1항은제32조의손해배상을청구하는 대신 법정손해배상을구할수있다고하므로, 제32조의손해배상의범위에해당하는모든손해를제32조의2의법정손해배상으로도청구할수있다. 여기에는재산적손해와비재산적손해가모두포함된다. 재산적손해로는가령신용카드가가입된개인정보가유출되어제3자가정보주체의계산으로물품을구입하거나서비스를제공받아입은손해, 금융정보가유출되어제3자가정보주체의명의로대출을받거나그예금계좌에서예금을인출함으로써발생한손해, 개인정보의추가확산을막기위한조치비용등을생각할수있다. 노동조합이나정당가입여부등이알려져진행중이던계약교섭에영향을주어유리한계약을체결하지못하거나이미체결된계약을해지할수밖에없게된경우그로인한불이익도이에포함될여지가있다. 비재산적손해로는성생활, 건강, 가정사, 범죄경력등에관한정보가유출되어생긴사회적평가의저하나정신적고통, 이메일주소나전화번호가유출되어수시로스팸 (spam) 메일이나광고성전화를받게됨에따라겪는생활의불편내지정신적고통등을생각할수있겠다. 재산적손해에관하여는이미확립된재산적손해액의산정에관한원칙이, 비재산적손해에관하여는법관의재량에의한위자료산정원칙이적용된다. 51) 개정정보통신망법제32조의2의법정손해배상또한실손해전보를지향한다는결론으로부터추가로도출되는또하나의귀결은, 개인정보의누출로인하여동일한재산적내지비재산적손해가발생한경우에도손해전보는한차례만이루어져야한다는것이다. 복수의가해자가있다면이들은 ( 부진정 ) 연대책임을진다. 자기부담부분을초과하여배상한자는다른가해자에대하여구상권을갖게된다. 52) 50) 한미 FTA 에서규정하고있는저작권침해와상표위조에대한법정손해배상에관하여같은취지로, 최경진 ( 주 1), 228 면이하. 법정손해배상에 ( 손해전보를넘는 ) 제재내지억지목적이부가되어있다는견해로, 김태선 ( 주 3), 256 면이하 ; 이종구 ( 주 48), 635 면이하, 개정저작권법제 15 조의 2 의운용, 특히배상액산정과관련하여일반예방적고려를강조하는것으로, 조영선 ( 주 4), 148 면. 51) 권영준 이동진 ( 주 39), 294-295 면, 297 면.
386 서울대학교法學 제 55 권제 4 호 (2014. 12.) (3) 두측면의상호작용법정손해배상이청구되는경우법관은변론전체의취지와증거조사의결과를고려하여재산적 비재산적손해모두에대하여가능한한실제손해에상응하는배상액을정하도록노력하여야한다. 변론전체의취지와증거조사의결과만으로통상요구되는정도에이르는심증을얻지못한때에도주어진정보하에서최선의결정을하여야한다. 53) 우리법에서법정손해배상이갖는의미가바로이것이다. 개정정보통신망법제32조의2 제2항은법원은상당한손해액을인정 할수있다 고하나, 이는법관이정보제약으로인한빈틈을합리적재량으로메울수있음을뜻할뿐, 법정손해배상을임의로거부할수있다는뜻은아니라고보인다. 법정손해배상이손해의전보를지향하는한법위반및귀책사유의정도, 반복위험등제재내지징벌적측면은배상액에큰영향을주기어렵다. 54) 이용자로서는증명할의무는없다하더라도어떤손해를주장하는것인지그구체적내용 ( 손해항목 ) 은진술하여야하고, 나아가배상에서좀더유리한위치에서기위해관련증거를제출하여 변론전체의취지와증거조사의결과 를자신에게더유리하게할수있으며, 법관은당연히이를고려하여야한다. 미국에서법정손해배상이배심재판의대상이될수있다고하는것도 55) 이를전제한다. 그리하여 52) 단일한손해에대하여복수의가해자가존재하는경우이들은부진정연대책임을지고, 내부구상이가능하다. 이동진, 공동불법행위, 구상, 과실상계의경제적분석, 법경제학연구, 제 9 권제 1 호 (2012. 6), 83 면이하. 법정손해배상에도부진정연대책임 (joint and several liability) 이인정된다는점은미국에서도같다. Salton, Inc. v. Phillips Domestic Appliances & Pers. Care B.V., 391 F.3d 871, 877 (7th Cir. 2004); 이규호 ( 주 4), 100 면. 53) 같은취지로, 최경진 ( 주 1), 222 면. 법정손해배상이 ( 실손해에대한 ) 증명도를경감시켜주는기능을한다는점에대하여는 Peter Pan Fabrics, Inc. v. Jobela Fabrics, Inc., 329 F.2d 194, 195-196 (2nd Cir. 1964); Van Der Zee v. Greenidge, 2006 WL 44020 (S.D.N.Y. 2006); In re Braun, 327 B.R. 447, 450 (Bankr. N.D. Cal. 2005). 대륙법적관점에서미국의법정손해배상을이렇게이해하는것으로 Dreier, Kompensation und Prävention. Rechtsfolgen unerlaubter Handlung im Bürgerlichen, Immaterialgüter- und Wettbewerbsrecht (2002), S. 175 f. 54) 이러한점이비재산적손해액의산정에미치는영향에대하여는, 이동진, 비재산적손해배상액의산정 : 비교법경제학적접근, 법경제학연구, 제 10 권제 2 호 (2013. 12), 291 면이하. 55) Feltner v. Columbia Pictures Television, Inc., 523 U.S. 340, 118 S.Ct. 12279. 또한 Ward, Listen to Cass County Music: The Right to Jury Trials in Copyright Infringement Actions When Statutory Damages Are Elected, 54 Wash. & Lee L. Rev. 1685 (1997).
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 387 경우에따라손해액증명이통상의증명도에이를수도있다. 정보통신서비스제공자등도이를뒤집기위하여반증할수있다. 손해는이용자가입은것이므로어떤손해를입었는지는이용자는잘알것이기대되는반면정보통신서비스제공자등은알기어렵다. 따라서정보통신서비스제공자등이이용자가주장하는손해의존부와규모에대하여합리적의심을제기하는것만으로도이미 변론전체의취지와증거조사의결과 가이용자에게불리한방향으로옮겨갈가능성이있고, 또그것이부당하다고할수도없다. 그리하여정보통신서비스제공자등이반증을제시하면이용자로서는법정손해배상을받기위하여사실상통상의증명도에가까운증명부담을지게될수있다. 그밖에손해액산정에적용되는여타법리, 가령과실상계 ( 민법제396조 ) 도여기에적용된다. 가령정보통신서비스제공자등이개인정보누출사실을통지하고그대책으로 ( 개정정보통신망법제27조의3 제5항 ) 이용자에게일정한협력을요청하였으나이용자가이에응하지아니하여손해가확대되었다면과실상계를하여법정손해배상액을감경할수있다. (4) 법정손해배상액의상한과하한개정정보통신망법제32조의2는개정저작권법제125조의2나개정상표법제67 조의2와마찬가지로법정손해배상의상한만을정하고, 하한은정하지아니하였다. 이점에서상한과하한을모두정하는전형적인미국법정손해배상입법과 56) 다소차이를보인다. 그렇다면법정손해배상이매우적은금액, 특히 0이될수도있는가. 개정정보통신망법제32조의2는문언상이러한가능성을열어두고있다. 손해가없거나 57) 56) Copyright Act 504(c)(750 3 만달러 ); Trademark Act 1117(c)(500 1 백만달러 ); Anticybersquatting Consumer Protection Act 1117(d)(1,000 10 만달러 ); Electronic Communication Privacy Act 2520(c)(50 100 달러, 100 1,000 달러, 100 1 만달러 ); Truth in Lending Act 1640(a)(100 500 달러 ); Fair and Accurate Credit Transaction Act 504(c)(100 1,000 달러 ). 57) 손해의존부에대하여도증명도가경감된다는것이손해가없음을들어청구를기각할수있다는점과배치되는것은아니다. 미국의법정손해배상은하한이있어우리와사정이다른데, 최근 Van Alstyne v. Electronic Scriptorium, Ltd., 560 F.3d 199 (4th Cir. 2009) 는전기통신정보보호에관한 ( 따라서개인정보보호에도관계가있는 ) Electronic Communication Privacy Act 2707 의법정손해배상에대하여실손해 (actual damages) 의존재를요건으로한다고판시하여상당한논란을불러일으킨바있다.
388 서울대학교法學 제 55 권제 4 호 (2014. 12.) 적어도금전적으로는그에대하여배상을줄만한것이아니라고여겨질때에는그밖의요건이갖추어진때에도배상액이 0이되는경우를상정할수있는것이다. 그러나현재의판례에따르는한, 이러한가능성은큰의미를가지기어렵다. 개정정보통신망법제32조의2는법정손해배상의요건으로개인정보의누출을들고있는데, 판례는누출이있는한원칙적으로그자체 ( 비재산적 ) 손해가있다고보아, 그에대하여일정한, 대체로 10만원이상의위자료, 즉배상액을부여하고있으므로, 58) 법정손해배상의책임성립요건이인정되는한제1차손해로서개인정보유출이존재하고, 그것이손해액이라는크기도가지는것이되기때문이다. 개인정보는기본적으로정보주체의개인정보에대한권리와정보자유사이의형량이요구되는영역이고, 물건과같이물리적 유형적대상을갖고있지도아니하므로, 정보주체에게일정한통제권능을할당하는것은별론, 그정보에대한권리내지그이득의배타적향유를보장하기는곤란하다. 59) 따라서한사회의성원이공유하는객관적가치내지공통가치를가지지도아니하고, 설사시장에서일정한가격에거래된다하더라도그가격이개인정보의객관적내지공통가치라고볼수도없 58) 대법원 2012. 12. 26. 선고 2011 다 59834, 59858, 59841 판결 ( 주 18). 이판결은개인정보의누출이외에여러요소들을열거하고있으나, 누출이외의요소들은큰의미를부여하기어려울것으로보인다. 좀더자세한분석은권영준 이동진 ( 주 39), 297 면이하. 누출을요건으로하는법정손해배상과는별개의문제이지만, 제 3 자가접근할수있는지여부는위자료산정의한요소일뿐손해존부및책임성부의문제는아니라는고형석, 개인정보침해와피해구제에관한연구, 법조, 통권제 661 호 (2011. 10), 281 면의주장도당연히손해를인정하는취지로보인다. 그밖에판례를지지하는것으로권태상 ( 주 5), 103 면. 임건면, 개인정보의의의와귀속관계 - 민사법적인관점에서 -, 중앙법학, 제 7 집제 4 호 (2005. 12), 237-239 면도개인정보누출자체가손해라고한다. 또한정상조 ( 주 32), 616-618 면 ( 침해가있으나손해가없다는것은모순이라고한다 ). 59) 이러한이익충돌을보여주는예로, 대법원 2011. 9. 2. 선고 2008 다 42430 전원합의체판결 ( 주 33). 홍진영, 개인정보자기결정권과개인정보처리의자유충돌의사법적해결, 민사판례연구 [XXXV](2013), 746 면이하. Solove and Schwartz( 주 27), pp. 842 ff.; Volokh, Freedom of Speech and Information Privacy: The Troubling Implications of a Right to Stop People from Speaking About You, 52 Stan. L. Rev. 1049, 1057-1059 (2000). 또한 Data Protection Directive (95/46/EC) Article 9 도참조. Born, Schadensersatz bei Datenschutzverstößen. Ein ökonomisches Instrument des Datenschutzes und seine präventive Wirkung (2001), S. 61 ff. Druey, Information als Gegenstand des Rechts (1995), S. 105 ff. 는이점이정보를물권화 (Verdinglichung) 하는데한계가된다면서, 정보권을이를절차권 (Verfahrensrecht) 내지기회 (Chance) 로보아야한다고한다. 같은이유에서개인정보를인격권의대상적객체로절대적으로보호할수는없다는것으로 BVerfGE 65, 1, 43( 이른바인구조사결정 ). 또한정진명 ( 주 5), 591-592 면.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 389 다. 따라서개인정보누출로인한실질적인손해를따지지아니하고누출자체를이미손해로파악하여법관이적당히정한값을매기는것이적절한지에대하여는의문이있다. 60) 그러나어떻든지금의재판실무를전제하는한법정손해배상의요건을충족하나손해액이 0이되어청구가기각되는경우란생각하기어렵다. 61) 개정정보통신망법제32조의2 제1항은법정손해배상청구의상한을 300만원으로정하고있다. 이러한낮은수준의상한은이한도의금액을청구하는한손해및손해액의증명이 ( 당해소송의이익에비하여 ) 곤란한지여부를개별 구체적으로따지지아니하고증명도를낮추어주고 ( 형식적판단 ), 이를넘는손해를주장하고자하는때에는다시원칙으로돌아가개별 구체적으로손해액의증명이곤란하다고여겨질때에한하여 ( 실질적판단 ) 증명도를완화하는두단계의구분을도입하기위함이다. 즉, 증명도완화의요건을단계화한다. 이처럼상한이정해져있는한무엇을단위로그상한을적용할것인지기준을정하여야한다. 개정저작권법제125조의2 제1항, 제2항은 침해된각저작물 마다 1천만원의한도를적용하되, 둘이상의저작물을소재로하는편집저작물과 2차적저작물은하나의저작물처럼취급하게하고있다. 그러나개정상표법이나개정정보통신망법제32조의2에는이러한규정이없다. 미국에서는특히저작권침해와관련하여이문제가여러번다투어졌는데, 근래의판례는하나의저작물을한사 60) 권영준 이동진 ( 주 39), 296 면 ; 김진환 ( 주 12), 45 면이하, 73-81 면. 개인정보의가치손상자체에대한배상을거부한미국판례로 In re Barnes & Noble Pin Pad Litig., 12-CV-8617, 2013 WL 4759588, 4 (N.D. Ill. Sept. 3, 2013); In re Jetblue Airways Corp. Privacy Litig., 379 F.Supp.2d 299, 326 f. (E.D.N.Y. 2005). 개인정보보호에관한주의의무를넓혀가는경향에도불구하고이점은오늘날까지거의바뀌지아니하고있다. 가령 Bishop( 주 27). 개인정보의가치손상자체에대한배상을인정한 Claridge v. RockYou, Inc., 785 F.Supp.2d 855, 861, 866 (N.D. Cal. 2011) 은매우드문예외이다. Meal( 주 27), p. 8. 나아가 Druey( 주 59), S. 47 ff. 는아예정보자체에는가치 (Wert) 가부여되어있지아니하다고한다. 반면 Born( 주 59), S. 65 f. 는예외적으로개인정보제공에대한대가상당의손해배상또는부당이득반환은가능한경우가있을것이라고한다. 한편, 최호진 ( 주 28), 154-156 면은비재산적손해도증명되어야한다면서, 누출에대한책임 ( 위험부담의정도 ) 에따라그증명도가달라져야한다고주장한다. 그러나과실에증명도를연동시키는것은합리적이라고할수없다. 61) 미국판례는하한에해당하는금액을청구할때에는증명없이곧바로원고승소의약식판결 (summary judgment) 을신청할수있다고한다. BMG Music v. Gonzalez, 430 F.3d 888, 893. 우리법에서는위법리가그와비슷한기능을하는셈이다. 그러나실손해가하한을하회하는경우하한보다낮은배상액을인정한예로, Warner Bros., Inc. v. Dae Rim Trading, Inc., 677 F.Supp. 740, 743 (1988); D.C. Comics Inc. v. Mini Gift Shop, 912 F.2d 29, 30 (1990).
390 서울대학교法學 제 55 권제 4 호 (2014. 12.) 람또는여러사람이공동으로침해한이상침해행위내지복제물의수와관계없이하나로본다. 62) 이러한판례는무엇보다도하한이중복적용되어전체적으로막대한금액의배상액이결정되는것을조금이라도통제하려는의도를가지고있다고보인다. 그러나이법리를개정정보통신망법제32조의2의법정손해배상에적용하는데는약간의수정이필요하다. 첫째, 저작권과달리개인정보는하나의권리단위가분명하지아니하다. 성명, 주민등록번호, 이메일주소, 아이디, 비밀번호등은따로떼어도개인정보가될여지가있지만합쳐져더욱뚜렷하게개인정보가되는경우가더많다. 그간재판실무에서위자료산정례를보아도어느정보가어디까지유출되었는지종합적으로고려하여하나의위자료액을산정하였을뿐하나하나의정보에따로값을매겨합산하지는아니하였고, 실손해의크기를고려할때이와같은접근이합리적이라고보인다. 63) 둘째, 개정정보통신망법제32조의2에는미국법과달리하한이규정되어있지아니하다. 따라서단위를다소좁게정하여도과다배상의위험은없다. 이상과같은점에비출때위상한은사회관념상동일하다고인정되는매침해결과마다적용된다고봄이좋을것이다. 64) 그러한이상하나의정보통신망서비스제공자등이누출하였으나구체적인누출행위는여러단계에걸쳐이루어진경우또는복수의정보통신망서비스제공자등이공동으로누출한경우전체에대하여 300만원이하의법정손해배상을한차례받을수있을뿐이나, 하나의정보통신망서비스제공자등이누출하였다하더라도서로다 62) 무엇보다 Venegas-Hernandes v. Sonolus Records, 370 F.3d 183, 185 (1st Cir. 2004). 논의의경과에대하여는 Zawada, Infringed versus Infringing : Different Interpretations of the Work and the Effect on the Deterrence Goal of Copyright Law, 10 Marq. Int. Prop. L. Rev. 129, 134 ff. (2006); 이종구 ( 주 48), 629-631 면. 상표위조의경우단위상품수가기준이다 (per counterfeit mark per type of goods). 15 U.S.C. 1117 (c) (1); 김원오, 상표위조행위에대한법정손해배상제도의도입검토, 산업재산권, 제 24 호 (2007. 12), 9-10 면. 63) 이는인격적법익침해에어느정도공통적이다. 하급심재판실무는하나의행위가명예와초상권, 음성권을동시에침해하는경우각각에대하여별도의위자료를정하는경향이있으나, 이는작위적이다. 이동진, 위자료산정의적정성에관한사법정책연구 (2013), 39-45, 118-120 면. 64) 저작권침해에관한것이지만, 조영선 ( 주 4), 152-153 면도형법상수죄 ( 數罪 )- 실체적경합범과포괄일죄의구별을끌어들여별개고의하에시간과장소를달리하여반복한침해의경우별개로, 단일고의하에시간적, 장소적으로연속성을갖고침해한경우하나로보아야한다고한다. 이에대하여상표법상법정손해배상의상한은상표단위로하여야한다는해석으로, 정태호, 상표법상법정손해배상제도에관한비교법적검토및제언, 발명특허, 통권제 432 호 (2012. 7), 28-30 면.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 391 른제3자에게별도로누출하여사회관념상구분되는별개의손해가발생한경우에는각각따로 300만원이하의법정손해배상을구할수있다. 2. 행사기간 (1) 행사기간의기산점개정정보통신망법제32조의2 제1항은법정손해배상은 대통령령으로정하는기간내에 청구할수있다고한다. 2014. 7. 17. 입법예고된 ( 방송통신위원회공고제2014-33호 ) 정보통신망법시행령제17조의2는이기간을 법제27조의3제1 항에따른통지를받은날부터 3년또는개인정보가분실 도난 누출된날부터 10년 으로정하고있다. 정보통신망법제27조의3 제1항에따른통지는개인정보누출등의통지를가리킨다. 정보통신서비스제공자등은개인정보누출사실을안때에는지체없이누출된개인정보항목, 누출이발생한시점, 이용자가취할수있는조치, 정보통신서비스제공자등의대응조치, 이용자가상담등을접수할수있는부서및연락처를, 정당한사유가없는한그사실을안때로부터 24시간이내에, 해당이용자에게알려야하는데, 이를통지한때, 즉통지가이용자에게도달한때로부터 3년이경과하면더는법정손해배상을청구할수없게되는것이다. 안때부터 24시간이경과한뒤에통지가이루어졌다거나통지하여야할사항에일부오류나누락이있다는등의사정은원칙적으로통지의효력에영향을주지아니하나통지하여야할사항의누락이나오류가심각하여이용자가자신의피해를잘못이해할정도에이르렀을때에는그러하지아니하다고보아야한다. 이규정은뒤에보는바와같이불법행위의단기소멸시효에대응하는것이므로, 피해자에게개인정보유출및그로인한피해를인식할만한계기를제공해주는것이어야하기때문이다. 65) 같은시행령제14조의2 제2항이 제1항에따른통지 신고를하려는경우법제27조의 3제1항제1호또는제2호의사항이확인되지아니하였으면그때까지확인된내용과같은항제3호부터제5호까지의사항을우선통지 신고한후추가로확인되는 65) 장 단기소멸시효의이론적기초에관하여는 Riedhammer, Kenntnis, grobe Fahrlässigkeit und Verjährung (2004), S. 170 ff. 대법원 1993. 7. 13. 선고 92 다 39822 판결 ; 2008. 11. 13. 선고 2007 다 19624 판결등이보험금청구권에관하여민법제 166 조에도불구하고주관적기산점을취한것도상법제 662 조의 2 년의단기소멸시효기간과관련되어있다.
392 서울대학교法學 제 55 권제 4 호 (2014. 12.) 내용에대해서는확인되는즉시통지 신고하여야한다 고규정하는것도참고가된다. 이러한경우추가통지를통하여앞에서언급한수준에이르렀을때에비로소행사기간이진행한다고봄이옳을것이다. 한편, 정보통신망법제27조의3 제1항단서는 이용자의연락처를알수없는등정당한사유가있는경우에는대통령령으로정하는바에따라통지를갈음하는조치를취할수있다 고하여이러한통지의예외를정한다. 정보통신망법시행령제14조의2 제3항은 정보통신서비스제공자등은법제27조의3제1 항각호외의부분단서에따른정당한사유가있는경우에는법제27조의3제1 항각호의사항을자신의인터넷홈페이지에 30일이상게시하는것으로제1항의통지를갈음할수있다 고하고, 같은조제4항은 천재지변이나그밖의정당한사유로제3항에따른홈페이지게시가곤란한경우에는 신문등의진흥에관한법률 에따른전국을보급지역으로하는둘이상의일반일간신문에 1회이상공고하는것으로제3 항에따른홈페이지게시를갈음할수있다 고한다. 그러나이들특례는 3년의기간진행과는무관하다고봄이옳다. 이러한게시만으로는피해자에게개인정보유출및그로인한피해를인식할만한계기를줄수없기때문이다. 이들통지에갈음하는방법은과태료와관련하여 ( 정보통신망법제76조제1항제2호의2) 의미가있을뿐이다. 또한이용자는위 3년의행사기간과관계없이, 개인정보가분실 도난 누출된날부터 10년이지난때에도법정손해배상을청구할수없게된다. 이때개인정보가분실 도난 누출된날이란이용자가법률상법정손해배상의요건을갖추어이를청구할수있게된날, 즉권한이없는제3자가이에접근할수있는상태에이른날을가리킨다. (2) 행사기간의법적성격 : 소멸시효개정정보통신망법시행령제17조의2의행사기간은민법제766조의불법행위에대한장 단기시효기간을염두에두고그에일정한변형을가한규정으로보인다. 그러므로이규정의행사기간또한민법제766조에서와같이소멸시효로봄이자연스럽다.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 393 3. 청구의법적성질과절차적취급 (1) 법적성질개정정보통신망법제32조의2는법정손해배상을청구할수있다고만하고있어, 그법적성질이무엇인지에관하여논란의여지를남기고있다. 그러나개정저작권법및개정상표법상의법정손해배상과달리, 개정정보통신망법제32조의2의법정손해배상은법이정한특별한불법행위책임으로, 독자적인청구권을발생시킨다고보는수밖에없다. 먼저개정정보통신망법제32조의2의법정손해배상은정보통신망법제4장의법률상의무위반에대한제재이다. 이는계약관계를전제하지아니한다. 특히정보통신서비스제공자의위탁을받은제3자의경우이용자와사이에계약은물론계약에유사한접촉조차도전혀없었을수있다. 따라서정보통신망법제32조가그러한것처럼이규정도불법행위책임에대한특칙이라고보아야한다. 계약책임이따로성립하는경우청구권이경합하게된다. 66) 다음정보통신망법제32조와달리, 개정정보통신망법제32조의2의법정손해배상은일반불법행위책임의요건이나효과, 증명책임에관하여일부수정을가하는것이아니라별도의청구권을성립시킨다. 무엇보다도개정정보통신망법시행령제17조의2가민법제766조와구별되는독자적인시효기간을규정하고있기때문이다. 우리법에서소멸시효는채권기타재산권을단위로인정되므로 ( 민법제162 조참조 ), 별도의소멸시효가규정된이상별도의채권으로보는것이자연스럽다. 다만, 법정손해배상이전보적성격을갖는다고이해하는한두청구권은동일한손해를지향하고, 하나가만족되면그범위에서손해가소멸하여다른하나도소멸할수밖에없으므로, 두청구권은청구권경합관계에놓이게된다. (2) 절차적취급이처럼개정정보통신망법제32조의2의법정손해배상과정보통신망법제32조내지일반불법행위법상의손해배상이서로다른청구권을발생시키고, 양자가경합한다고이해하는한 - 판례인구실체법설에따를때 67) - 두청구는별도의소 66) 정보통신망법제 32 조의손해배상과계약책임의관계에관한것이지만같은취지로, 대구지방법원 2014. 2. 13. 선고 2012 나 9865 판결 ( 이른바 SK 컴즈사건 ). 67) 대법원 2008. 9. 11. 선고 2005 다 9760, 9777 판결. 호문혁, 민사소송법, 제 10 판 (2012),
394 서울대학교法學 제 55 권제 4 호 (2014. 12.) 송물을구성한다. 이용자는둘중어느것을구하는것인지분명히하여야한다. 개정정보통신망법제32조의2 제1항은이용자가청구할수있다고규정하고있고, 이점은개정저작권법제125조의2 제1항, 개정상표법제67조의2 제1항도마찬가지이다. 이문구는한미 FTA상법정손해배상청구여부는 - 법관이아닌 - 피해자의선택에맡겨져야한다는요구에응하기위하여채택된것이므로, 68) 그취지를존중함이옳다. 다만, 법정손해배상은어디까지나예외에해당하므로이를구하는취지임을분명히하지아니한때에는일응정보통신망법제32조내지민법상일반불법행위책임을묻는취지로해석하고, 법정손해배상을구하는것임을분명히하였을때비로소법정손해배상을묻는취지로봄이옳을것이다. 69) 나아가둘중하나를재판외나재판상청구하였다가다른하나로바꾸는것도가능하다. 개정정보통신망법제32조의2 제1항은 제32조에따른손해배상을청구하는대신 이라고하고있으나, 일단법정손해배상을청구하면곧바로같은법제 32조에따른손해배상청구는할수없게된다고하고있지는아니하다. 그역도마찬가지이다. 이규정에대응하는개정저작권법제125조의2 제1항은 사실심 ( 事實審 ) 의변론이종결되기전 까지법정손해배상을청구할수있다고규정하고, 개정상표법제67조의2 제2항은 제66조의2에따라손해배상을청구한상표권자또는전용사용권자는법원이변론을종결할때까지그청구를제1항에따른청구로변경할수있다 고한다. 이들은모두일반손해배상책임으로소송상청구를하였다가소송중법정손해배상으로변경할수있는것이다. 개정정보통신망법제32 조의2에서도달리볼까닭이없다. 두권리를별개의청구권으로보는한둘중어느하나를구하다가중간에다른하나로변경하는것은청구의변경 ( 민사소송법제262조 ) 이다. 별도의권리행사기간을정하지아니하고사실심변론종결전까지이를구할수있다고하고있어별개의청구권으로볼필요가없는개정저작권법및개정상표법상법정손해배상에관하여도법정손해배상에서일반손해배상으로, 또는그반대로의변경은청구의변경이라는것이일반적인이해이다. 70) 115-116 면. 68) 한 미자유무역협정문제 18.10 조제 6 항 : the election of the right holder. 상표법상법정손해배상에관하여이점을강조하는것으로, 김석준, 상표법상법정손해배상에관한비교법적고찰 - 고의의차별적취급및사용요건의강화를중심으로 -, 안암법학, 제 42 호 (2013. 12), 523 면. 69) 저작권법상법정손해배상에관한것이지만, 이규호 ( 주 4), 140 면도같은취지이다. 70) 저작권법에관하여이규호 ( 주 4), 141 면, 상표법에관하여김석준 ( 주 68), 523 면 ( 다만, 같은문헌, 524 면이상표권자에게손해의발생이인정되지만원고가그실손해액증
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 395 이렇게보는한심지어개정정보통신망법제32조의2의법정손해배상을청구하여판결을받은다음, 다시정보통신망법제32조내지민법상불법행위책임을묻는청구를하는것도허용된다. 두청구가별개의소송물을구성하는한전소 ( 前訴 ) 판결의기판력은후소 ( 後訴 ) 에미치지아니하므로, 후소를차단할근거가없다. 결국개정정보통신망법제32조의2 제1항의 대신 은같은법제32조와제32 조의2의책임이동일한손해를대상으로하고있음을, 즉전보적 ( 塡補的 ) 성격을갖고있음을가리킬뿐이고, 어느하나를청구하면다른하나를청구할수없게된다는뜻은아니라고보는수밖에없다. 이는미국에서법정손해배상의운용과는다른것이나, 결론적으로합리적인것이기도하다. 이러한이해로부터몇가지추가적인귀결이도출된다. 첫째, 복수의정보통신망서비스제공자등이있는경우그중일부에대하여는법정손해배상을, 나머지에대하여는정보통신망법제32조내지민법상일반손해배상을구하는것도가능하다. 한사람에대하여둘중어느하나, 또는둘다판결을받을수있다면, 복수의가해자에대하여서로다른방법으로판결을받는것도막을까닭이없다. 법정손해배상이일반손해배상과동일한손해및손해액을지향하는한부당한결과는생기지아니한다. 어차피피고가응소하여적극다투면적어도이념적으로는양쪽모두동일한손해액에이를수있기때문이다. 둘째, 주위적으로정보통신망법제 32조내지민법상의불법행위책임을, 예비적으로개정정보통신망법제32조의2의법정손해배상을구하거나양자를선택적으로구할수도있다. 개정저작권법및개정상표법상법정손해배상과관련하여서는이점에관하여의문이있었으나, 71) 적어도개정정보통신망법상의법정손해배상의경우순서대로또는양자모두심리하여큰금액을주문으로올리면족하다. 특히법정손해배상을선택하였다하더라도정보통신서비스제공자등이손해에대한반증을제시하면이용자도 변론전체의취지와증거조사의결과 를다시자신에게유리하게하기위하여손해와손해액에대한증거를제출할수밖에없고, 그결과어차피손해및손해액을통상 명에곤란을겪고있을때법관이법정손해배상으로청구를변경하는것을석명할필요가있다고하는것은의문이다. 청구의변경에대한석명은매우엄격한요건하에서만허용될수있을뿐이다 ); 정태호 ( 주 64), 32-33 면. 그러나개정저작권법과개정상표법의법정손해배상에관하여도이러한이해가타당한지는의문이다. 여기에서는오히려하나의청구권, 즉하나의소송물만이존재한다고봄이옳다고보인다. 71) 예비적병합은허용하여야한다는견해로, 김석준 ( 주 68), 523-524 면 ( 그러나상표권자의선택권을존중하여야하므로선택적병합은허용될수없다고한다 ).
396 서울대학교法學 제 55 권제 4 호 (2014. 12.) 필요한수준으로증명하게되었다면 300만원의상한이없는일반손해배상으로변경하는쪽이합리적일수있다. 이것이정보통신서비스제공자등에게특히불리한것도아니다. 그렇다면처음부터병합제기하는것도허용함이옳다. 끝으로사회관념상하나의개인정보누출로인한손해에대하여일부는법정손해배상으로나머지일부는일반손해배상으로청구하는것도가능하다. 법정손해배상과일반손해배상의경합을인정하고, 둘다에대하여각각판결을받을수있는이상, 하나는법정손해배상, 다른하나는일반손해배상으로구하는것도금지할까닭이없다. 당해손해에대하여법정손해배상으로받은돈이모두합쳐서 300만원이하이기만하면되는것이다. 하나의개인정보누출로인한손해에대하여복수의소송으로법정손해배상을구하는것도합쳐서 300만원범위안에있으면허용함이좋을것이다. 72) 판례는심지어사회관념상하나의사고로인한손해라하더라도재산적손해와비재산적손해를별개의소송물이라고보고, 재산적손해도적극손해와소극손해는별개의손해로보며, 같은적극손해또는소극손해안에서도손해항목이별개이면별소 ( 別訴 ) 로청구할수있다는입장을취하고있다. 73) 법정손해배상에서만이를달리볼만한합리적인근거가없다. 그대신법정손해배상을구하는경우에도증명은별론, 주장하는손해가무엇인지는동일성을확인할수있을정도로특정해주어야하고, 또판결문도어떠한손해에대하여법정손해배상을인정하는것인지동일성을확인할수있을정도로특정해주어야한다. 법정손해배상과일반손해배상이같은손해를지향하는한법정손해배상을명하는판결에서고려된손해가무엇인지를알수있어야다른소송에서중복제소나기판력의범위를판단할수있기때문이다. Ⅳ. 평가와전망 1. 우리민사법체계와의정합성 (1) 비교법적관점에서본법정손해배상법정손해배상은미국법상 statutory damages 에서유래한다. 미국에서이러한손 72) 이점에관한미국에서의논의는이규호 ( 주 4), 98 면이하. 73) 대법원 1977. 2. 22. 선고 76 다 839 판결. 호문혁 ( 주 67), 361-363 면.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 397 해배상이규정된가장대표적인예는저작권법과상표법이지만, 일단이러한제도가인정되자점차연방및주법을통하여그밖의영역, 가령각종소비자보호법이나인권법, 개인정보보호법에도확장되게되었다. 74) 제정법상제도로서근거법령마다그내용에차이가있어통일적인논의를하는데한계가있으나, 대체로원고가구하는경우실손해 (actual damage) 의배상에갈음하거나그에덧붙여, 법원이일정한침해단위당일정한금액 ( 하한 ) 이상일정금액 ( 상한 ) 이하의범위의배상액을정하여배상을명할수있도록하는제도를말한다. 배상액이고정되어있거나상한또는하한이없는경우도있다. 이때 법정 (statutory) 이라는수식어는책임의근거가제정법에있다는뜻이아니라, 손해배상액의산정에관하여법령이따로정한다는뜻이다. 우리민사법에서손해배상앞에 법정 을붙이는용법과다소다르고, 미국법상의 statutory damages 의역어 ( 譯語 ) 라는감을지울수없으나, 이제도가우리법에처음도입된경위 ( 미국과의 FTA 협정의이행 ) 에비추면이와같은용어를쓰는것을반드시비난하기만은어렵다. 이제도는미국에서유래하였으나, 점차다른나라로확산되고있다. 캐나다, 중국, 대만, 싱가포르, 말레이시아, 베트남, 스리랑카, 러시아, 아제르바이잔, 카자흐스탄, 키르키즈스탄, 우크라이나, 벨라루스, 불가리아, 리투아니아등이저작권침해등에이제도를도입하였다. 주로국제지적재산권협회 (International Intellectual Property Alliance, IIPA) 의압력하에미국이 1990년대초부터양자및다자간무역협정 (Trade Agreement) 을통하여그상대국에게저작권침해와상표위조에대하여이제도를예외없이관철시켜왔기때문이다. 우리가이제도를받아들인계기도한미 FTA였다. 무역협정상이제도를받아들이기로한모든나라에서실제로이행입법이이루어진것은아니지만, 일단이행입법을한나라에서는이제도가저작권침해와상표위조외의경우로확장되는일이심심치않게일어났다. 75) 그러나독일, 프랑스, 영국등은지적재산권이든개인정보보호이든이러한미국식법정손해배상을받아들이고있지아니하고, 76) 통상의손해배상원칙에만족한 74) 김태선 ( 주 3), 243 면이하 ; 이종구 ( 주 3), 127 면이하참조. 75) Samuelson, Hill, and Wheatland, Statutory Damages: A Rarity in Copyright Laws Internationally, But For How Long?, 9 J. Copyright Soc y 529 (2013) ( 미국학계가 statutory damages 에대하여일관되게비판적임에도통상등의수단으로이를다른나라에확산시키고있다면서이에비판적이다 ). 상표위조에대하여법정손해배상을받아들인예에관하여는김원오 ( 주 62), 14-15 면 ( 싱가포르와중국을든다 ). 76) 개인정보침해에한하여보면, 독일은명문규정을두고있으나경우를나누어중간책임및위험책임과배상액의상한을정할뿐이고, 영국과프랑스는명문규정없이
398 서울대학교法學 제 55 권제 4 호 (2014. 12.) 다. 법정손해배상이미국에서유래한제도임은분명하나, 그전파방향과경로는통상교섭상의필요등법체계외적인요소에좌우되고있어, 대륙법계에서도대만처럼이를받아들인경우가있는가하면보통법계라하더라도영국처럼이를받아들이지아니한경우도있는것이다. (2) 민법과의정합성이제도에관하여는종래미국에서유래한것으로써, 손해전보를목표로하는우리민사책임법과조화가문제될수있다는지적이지속적으로제기되어왔다. 법정손해배상이어떤기능을하는지, 즉종래의손해배상과어떤점에서다른지에비추어이를검토한다. 먼저, 개정정보통신망법제32조의2 및개정저작권법, 개정상표법상의법정손해배상의예에서보듯, 이제도는손해액증명의부담을덜어준다. 증명도를완화시켜준다는것이다. 그러나이러한측면이우리법체계에반한다고볼수는없다. 우리법에는이미미국식의법정손해배상과관계없이손해액의증명도를예외적으로 - 법정손해배상이예정하는정도로 - 완화시켜주는법리가존재하였다. 대륙법계에속하는독일에서도특히손해액에관하여는그증명도를완화시켜주고있고 ( 독일민사소송법제287조 ), 프랑스에서손해액산정은법관의전권 ( 專權, pouvoir souverain du juge) 에속하는것으로보고있다. 77) 증명도경감은규율의합리성의문제이지, 법체계의고유성내지법체계내정합성의문제는아닌것이다. 이를개별 구체적형량에맡길지, 아니면일정한청구액범위를정하여형식적으로그아래에해당하면일반 추상적으로증명도를경감할지도입법적선택의문제일뿐이다. 다음, 우리법질서에는아직그러한형태의법정손해배상이없으나, 미국의법정 불법행위 ( 및계약 ) 책임에맡기고있는데, 모두실손해배상만인정된다. Gola/Klug, Grundzüge des Datenschutzrechts (2003), S. 120 f. ( 독일 ); Carey, Data Protection. A Practical Guide to UK and EU Law (3 rd ed., 2009), pp. 155 f. ( 영국 ); Alau, Les cyber-risques dans l entreprise: enjeux et assurance (2013), Section 2 4 B ( 프랑스 ). 보다광범위한비교법적개관으로는 Allnutt, Di Santo, and Sanz (eds.), International Data Breach Law. A Comparative Guide (2012), pp. 17 f.( 유럽내거의모든국가가통상의실손해전보로만족하고있고, 누출만으로실손해를인정하지는아니한다고한다 ). 유럽에서도징벌적손해배상의틀에서법정손해배상이논의되고있다는설명 [ 조영선 ( 주 4), 142면이하 ] 은양자의차이 [ 김태선 ( 주 3), 255면이하 ] 를무시하고있다. 77) Dreier( 주 53), S. 174-176.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 399 손해배상중상당수는법정손해배상액의하한도규정하고있다. 그리하여하한을청구할때에는아예아무증거도내지아니하더라도책임성립만증명하면청구가인용될수있다. 이러한형태의법정손해배상은객관적최소손해내지최소손해액을정하는기능을한다. 실제미국에서법정손해배상이도입된동기중하나는미국저작권판례가 - 독일등과달리 - 저작권자가실제로저작물을영리목적으로배포하거나이용허락을하는등으로수익을거두었으리라고볼만한사정이없는경우손해액추정규정의적용을거부하였다는점에있었다. 78) 미국법에서이제도도객관적최소손해를염두에둔것이라는말이다. 인터넷상개인정보보호에종종쓰이고적용범위에있어서개정정보통신망법제32조의2와비교할만한미연방전기통신프라이버시법 (Electronic Communications Privacy Act) 제2707조 (c) 는 본조의민사소송에서법원은원고의실손해 (actual damages) 및가해자가가해결과얻은이익일체를손해배상액으로산정할수있으나, 어떤경우에도배상청구권자는합계 1,000 달러이상의배상을받는다. 고정한다. 그중 1,000 달러이상 부분은법정손해배상 (statutory damages) 으로이해되고있는데, 이것이객관적최소손해임은규정형식상이미분명하다. 79) 그러나이러한형태의법정손해배상조차그자체우리법체계에반한다고할수는없다. 전보의대상이되는손해가무엇인가하는점은사실적요소와규범적요소를종합하여야만결정할수있는것이고, 대륙법계에서도무엇이손해이고손해액인지법률로규정하는일이가능하기때문이다. 80) 민법제397조도금전채무불이행에대하여일률적으로법정이율에의한지연손해금을인정하고있고, 이는 - 금전이가지는다양한활용가능성을고려하여 - 실제제때이행되었을때그만큼의이익을얻을수있었는가와관계없이법률상인정되는규범적손해 (normativer Schaden) 로이해된다. 실손해가법정이율에의한금액을초과하는경우그사실을증명하여배상받을수있는지는다투어지지만이를인정하는때에는 81) 이규정에의한손해를객관적최소손해 (objektiver Mindestschaden) 라고할 78) Dreier( 주 53), S. 174 f. 79) 이법의내용과인터넷환경에서의적용에관하여는 Cooper, The Electronic Communications Privacy Act: Does the Answer to the Internet Information Privacy Problem Lie in a Fifteen Year Old Federal Statute? A Detailed Analysis, 20 J. Marshall J. Computer & Info. L. 1 (2001); Serwin, McLaughlin, and Tornaszewski( 주 26), pp. 87 ff. 법정손해배상이대륙법, 그중에서특히독일법적인관점에서이른바객관적최소손해의배상에상응하는기능을한다는점은, Dreier( 주 53), S. 175. 80) 저작권법상법정손해배상에관하여같은취지로, 박성수 ( 주 1), 40-41 면.
400 서울대학교法學 제 55 권제 4 호 (2014. 12.) 수있다. 82) 그밖에노동능력상실로인한일실이익상당의손해를일용노임에의하여산정하는판례도그예에해당한다. 83) 마지막문제는, 이제도가제재내지징벌적성격을가져우리민사책임법체계에반하는것은아닌가하는점이다. 그러나법관에게변론전체의취지와증거조사결과에따라손해액을정할수있게한다하여곧바로제재적내지징벌적성격을띠는것은아니다. 하한을정하였는데그하한이일정종류의불법행위에서실손해를현저히초과하는배상을초래하는경우에비로소징벌적이라고할수있으므로, 하한을정하지아니하거나정하였다하더라도그것이적정수준에머무르면문제되지아니한다. 따라서이는법정손해배상자체의문제가아니라구체적하한의문제인것이다. 나아가제재내지징벌적요소를배제하여야만대륙법계민사 ( 책임 ) 법에부합하는것도아니다. 대륙법에도여러곳에제재내지징벌적요소가스며있다. 84) 요컨대법정손해배상은우리민법과심각한부정합을일으키지아니하고우리법에수용될수있다. (3) 민사소송법과의정합성미국법상법정손해배상에대한규율중우리법과가장조화되지아니한다고보이는것은오히려민사소송절차에서의취급이다. 미국에서는종종복수의청구나복수의당사자에대하여하나의상한을적용하기위하여기판력 (res iudicata) 이동원되는것처럼보인다. 85) 이는우리의기판력이해와는잘조화되지아니한다. 우리민사소송법에서는청구는가능한것으로보고이중만족만을 - 가령청구이의의소 ( 민사집행법제44조 ) 등으로 - 막는접근이정합적이다. 이는미국에서의설명보다피해자에게유리한데, 법정손해배상이결국피해자를두텁게보호하기위한제도인이상문제가있는것은아니다. 81) 대법원 1991. 10. 11. 선고 91 다 25369 판결 ; 2001. 7. 13. 선고 2001 다 22833 판결참조. 82) MünchKommBGB/Ernst, 5. Aufl. (2007), 288 Rn. 4. 83) 대법원 1996. 7. 26. 선고 95 다 19072 판결 ; 1997. 7. 22. 선고 95 다 6991 판결. 규범적요소가소극적, 즉손해를부정하는방향으로고려된예로는이러한원치않은아이의출생과관계된대법원 1999. 6. 11. 선고 22857 판결을들수있다. 84) 가령 Dreier( 주 53), S. 515 ff. 또한대법원 1987. 5. 26. 선고 86 다카 1876 전원합의체판결 ; 2010. 9. 30. 선고 2010 다 50922 판결도참조. 85) 이규호 ( 주 4), 98 면이하참조.
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 401 2. 개인정보누출사고의억지와피해구제의실효성 (1) 개정정보통신망법제32조의2의개선점과그한계개정정보통신망법제32조의법정손해배상이우리민사법질서와정합적인지와개인정보누출사고의억지와피해구제에실질적으로기여할수있는지는별개의문제이다. 우리처럼하한이없는법정손해배상의기능은결국손해액증명도경감이다. 이러한조치가필요하고또도움이되려면피해자가손해증명이어려워개인정보누출에도불구하고그권리를행사하지아니하거나적어도과소보상 (under-compensation) 을받고있어야한다. 실제개인정보누출에대한법정손해배상도입론은이를전제하였다고보인다. 그러나이러한전제가과연타당한것인지는다소의문이다. 저작권침해나상표위조의경우증명도경감이상당히큰의미를갖는다. 저작권침해나상표위조에서실손해는본래저작권침해나상표위조가없었더라면있었을가정적시장상황과저작권침해나상표위조가있는현실에서의저작권자내지상표권자등의경제적이익의차이로산정된다 ( 차액설 ). 이비교의두항중한항인전자 ( 前者 ), 즉가정적시장상황은그자체재현불가능할뿐아니라, 다수의이해관계인이다양한변수의영향하에상호작용하여이루어진결과여서그확정내지증명이곤란하다. 이러한증명상의곤란은저작권자내지상표권자뿐아니라상대방, 즉침해자도겪는바이다. 86) 이경우누구에게증명책임을지워도증명이개선되지는아니한다. 단지증명책임을지는사람이패소할가능성이높아질뿐이다. 증명도를완화시켜주는것이그나마실체에다가갈수있는길이되는까닭이다. 87) 저작권법이나상표법은이미이문제를해결하기위하여손해액추정규정을두고있지만 ( 저작권법제125조, 상표법제67조 ), 덧붙여일정한소액의손해주장에대하여는일반적인증명도완화를규정하는것도이러한관점에서의미가있을수있다. 86) 이는특히시장메커니즘을통하여발생하는순수경제적손해 (pure economic loss) 에전형적인문제이다. 가령이동진, 가격담합에대한불법행위책임소고 ( 小考 ): 간접피해자의손해배상청구와이른바손해전가 ( 損害轉嫁 ) 의항변을중심으로, 법경제학연구, 제 11 권제 2 호 (2014. 8), 223-225 면 ; Dreier( 주 53), S. 69 ff. 87) 이동진 ( 주 38), 173-176 면.
402 서울대학교法學 제 55 권제 4 호 (2014. 12.) 반면개인정보누출의경우손해는개인정보누출그자체든그로인하여파생된손해든정보주체가증명할수있는사항이다. 증명비용도대개크다고할수없다. 판례는심지어 - 미국과달리 - 개인정보누출자체에대한비재산적손해배상 ( 위자료 ) 은증거없이바로인정해준다. 그이상의손해를주장하는경우에도원고가처음부터증명하기위하여노력할필요가없다면그만큼그의지위가강화되기는하겠지만, 피고가응소하여다투는한원고도승소하기위해서는어차피자신의손해를증명하여야한다. 그리하여이법리는피고가응소하되적극적으로다투거나반증을하지는아니하는사건이나공시송달판결 ( 민사소송법제208조제3 항제3호 ) 의대상인사건, 피해자각자의손해를일일이증명하기도, 다투기도번잡한집단소송에한하여 88) 실질적인차이를낳게된다. 일각에서는개인정보누출로인하여피해자가입는손해가상당히큰데증명부담때문에배상을받지못하고있다는인식도있는듯하다. 그러나여기에서피해자가느끼는손해란, 개인정보가누출되어언젠가매우귀찮은일이생기거나치명적인손해를입을지모른다는불안 89) 내지위험에가깝다. 물론일단개인정보가누출된이상어떤형태로든어디엔가계속남아언젠가손해를발생시킬수있다. 그러나불안감이문제라면이는이른바순수정신적손해 (pure emotional loss) 로서어느나라에서나제한적으로만배상되고있고, 또그러한제한이반드시부당하다고하기도어렵다. 90) 그불안이현실화될위험이문제라면, 이는 - 재현불가능한가상적시장상황과달리 - 시간이해결해줄수있다. 손해가실제로발생하면피해자는곧그손해를알수있고, 또증명할수있으므로그때추가배상을구하면된다는것이다. 91) 아직발생하지아니하였을뿐아니라발생할지여부를 88) 집단소송에서손해 ( 액 ) 를샘플링 (sampling) 기법으로산정할가능성에대하여는, 장원경, 집단적분쟁의손해배상액산정에표집기법의활용, 저스티스, 통권제 144 호 (2014. 10), 168 면이하. 89) 정보화사회로의이행에서나타나는불확실성으로인한불안에관하여는 Thierer, Technopanics, Threat Inflation, and the Danger of an Information Technology Precautionary Principle, 14 Minn. J. Law, Science & Technology 309 (2013). 90) 미국에서도이러한개인정보유출로인한순수한정신적고통은배상대상에서제외되어왔다. Amburgy v. Express Scripts, Inc., 671 F.Supp.2d 1046, 1055 (E.D. Mo. 2009); In re Hannaford Bros. Co. Customer Data Sec. Breach Litig., 613 F.Supp.2d 108, 132 f. (D. Me. 2009); Anderson v. Hannaford Bros Co., 659 F.3d 151 (1st Cir. 2011). Meal ( 주 27), pp. 7 f. 순수정신적손해의배상일반에관하여는이동진, 미국불법행위법상비재산적손해의배상과그한계, 민사법학, 제 66 호 (2014. 3), 286 면이하참조. 91) 미국에서도이러한개인정보유출로인한장래의손해발생위험은일관되게배상되지
개정정보통신망법제 32 조의 2 의법정손해배상 / 李東珍 403 알수도없는장래의손해는원칙적으로그발생여부가확정되어야배상받을수있다. 어떤손해가발생할지확정되기전에는그손해의크기, 즉손해액을평가할수없기때문이다. 92) 순이론적으로는장래발생할수있는손해를그발생확률분포에따라할인한현재의잠재적전체손해를상정할수있고, 현재이를배상해주는제도도구상할수있을지모르나, 93) 이러한제도구상이현실화되려면무수한난관을극복하여야한다. 적어도이는현행법질서와는매우동떨어진것이다. 이러한점을모두걷어내고현재의구체적손해만보았을때에도여전히과소보상되고있다고할수있을지는분명하지아니하다. 94) 아마도하한을추가로규정한다면, 그리고그금액을현재인정되는최소한의금액, 가령 10만원보다충분히높게설정한다면, 개정정보통신망법제32조의2의법정손해배상이상당한성과를거둘수있을지모른다. 미국에서도개인정보침해일반에대하여하한이있는법정손해배상을규정하여야한다는주장이있고, 캐나다에서는이러한입법조치가검토되고있다. 95) 하한을두는것자체가우리법질서에반한다고할수없음은앞서본바이다. 96) 문제는어떤하한인가하는점이다. 미국에서근래저작권법상법정손해배상이논란의대상이되고여러비판을 아니한다. Grigsby v. Valve Corp., C12-0553JLR, 2012 WL 5993755, 2 (W.D. Wash. Nov. 14, 2012); Shafran, 2008 WL 763177, 2-3; Krottner, 406 F.App x 131; Pisciotta v. Old Nat. Bancorp, 499 F.3d 629, 635, 640( 주 27). 또한 Forbes v. Wells Fargo Bank, N.A., 420 F.Supp.2d 1018 (D. Minn. 2006, 현재의손해로부터발생하였고, 일정한장래에발생할것이합리적으로예견되는장래의손해는배상될수있으나, 실현되지아니한장래의손해의위협은배상될수없다고한다 ). 또한 Meal( 주 27), pp. 6 f.; Solove and Schwartz( 주 27), pp. 832 f. 92) 이러한후속손해에대하여는소멸시효의기산점도옮겨진다. Moraht, Verjährungsrechtliche Probleme bei der Geltendmachung von Spätschäden im Deliktsrecht: aus der Sicht des deutschen, schweizerischen, österreichischen und englischen Rechts (1996). 93) 이러한아이디어로, Cooter, Towards A Market in Unmatured Tort Claims, 75 Va. L. Rev. 383 (1989) ( 실제로는이러한시장이존재하기어려움을인정한다 ). 94) 이동진 ( 주 54), 307-308 면. 그러나정상조 ( 주 32), 615-616 면은과소보상이라는취지이다. 95) Schwartz, Property, Privacy, and Personal Data, 117 Harv. L. Rev. 2055, 2118 ff. (2004) ( 미국 ); Office of the Privacy Commissioner of Canada, The Case for Reforming the Personal Information Protection and Electronic Documents Act (2013), p. 8 ( 캐나다 ). 96) 입법론적으로하한을두는데찬성하는것으로, 최경진 ( 주 1), 234 면 ( 예외적감액권도부정한다 ), 저작권침해에관하여이종구 ( 주 48), 643 면 ( 다만, 예외적감액권을두어야한다고한다 ); 차상육, 저작권법상법정손해배상의비교법적고찰, 경북대법학논고, 제 47 집 (2014. 8), 373 면, 상표위조에관하여정태호 ( 주 64), 30-32 면, 반대하는것으로저작권침해에관하여, 이규호 ( 주 4), 138 면이하, 상표위조에관하여김원오 ( 주 62), 527-528 면.