個人情報訴訟

個人情報とは、生存する個人に関する情報であって、次のいずれかに該当する情報を意味する(「個人情報保護法」第2条第1号)。

企業は、自社が保有・処理するデータが上記の範疇に該当するかを事前に分類し、結合の可能性および再識別の危険まで考慮した内部統制の体系を備えるべきである。

個人情報保護法により、情報主体は、個人情報取扱事業者の法違反行為によって損害を被った場合、損害賠償を請求できる。

この場合、企業は故意または過失がないことを立証できなければ、責任を免れることが難しい。

すなわち、訴訟の構造上、企業が実質的な立証の負担を負うことになる。

また、個人情報が紛失・盗難・流出・偽造・変造または毀損された場合、情報主体は300万ウォン以下の範囲で法定損害賠償を請求でき、これは実際の損害額と無関係に認められることがある。

なお、故意または重大な過失が認められる場合、損害額の最大5倍まで賠償責任が拡大することがある。

特に裁判所は、故意の認識の程度、被害の規模、取得した経済的利益、違反の期間・回数、被害回復および再発防止の努力などを総合的に考慮するため、企業は事故後の対応だけでなく、平時の運営体系の充実性を立証できなければならない。

企業は、次の要素を中心に防御戦略を設計すべきである。

紛争が生じた後に資料を整理するのではなく、平常時の運営体系がそのまま証憑として活用できる構造を備えておく必要がある。

侵害の申告や苦情の受付の後に監督機関の事実調査が進められると、是正命令、過料、課徴金などの行政処分が下されることがある。

企業は、こうした処分が違法または不当であると判断される場合、行政審判または行政訴訟を通じて争うことができる。

この過程で提出された資料と陳述は、民事・刑事の手続にも影響を及ぼすことがあるため、戦略的な対応が必要となる。

行政段階での対応は、制裁の減軽にとどまらず、その後の訴訟と捜査のリスクまで考慮した「事実関係の管理」の観点から取り組むべきである。

また、行政処分は、開示・報道・投資家の信頼低下など、二次的な経営リスクへ拡大することがあるため、迅速な対応が必要となる。

個人情報を不正に取得し、または同意なく第三者に提供し、あるいは業務上知り得た個人情報を漏えい・流出した場合、刑事処罰の対象となることがある。

刑事手続では、故意性、組織性、営利目的の有無などが主要な争点となり、初期の陳述と資料提出の方向が、その後の裁判の結果に重大な影響を及ぼすことがある。

個人情報訴訟は、平常時の運営構造の適正性を立証する問題である。

法務法人大輪は、企業法務、刑事、民事、行政を専門とする弁護士が協業するワンチーム体制を通じて、調査対応、行政争訟、損害賠償訴訟の防御、刑事リスクの管理まで総合的な戦略を提供する。

また、デジタルフォレンジックおよび電子証拠分析のインフラを通じて、ログ・電子文書の完全性の確保とデータフローの分析を支援し、企業が説明可能な遵法・セキュリティ運営体系を基に責任の範囲を最小化できるよう支援している。

AIを専門とする弁護士とともに、貴社のデータ処理の構造が紛争の状況においても説明可能なように設計されているかを点検しておくことが望ましい。