일본의 개인정보 법제 및 개인정보 침해사건에서의 민사책임^*:

세계 최초의 개인정보보호입법은 연방국가 독일의 헤센주에서 이루어진 것으로 설명된다.⁵⁾⁶⁾ 정식명칭은 Hessisches Datenschutzgesetz(약어는 HDSG)이고, 1970년 10월 7일에 마련되어 계속적으로 개정되어 왔는데,⁷⁾ 최근(2018. 5. 25.) 유럽의 ｢일반개인정보보호규칙｣(독일어로는 der Europäischen Datenschutz- Grundverordnung, ‘EU-DSGVO’, 영어로는 General Data Protection Regulation, ‘GDPR’, 이하 GDPR로 칭한다)에 따라 전면적인 개정이 이루어졌다.⁸⁾⁹⁾

1) 독일 연방국가 차원에서는 1977년에 ｢연방데이터보호법｣(Bundesdatenschutzgesetz, 이하 ‘BDSG’)이 제정되었다.¹⁰⁾ BDSG는 2000년대에 들어 몇 차례 개정이 있었다. 특히 2009년과 2010년에는 상당한 내용의 추가가 있었고, 2018. 5. 25. 유럽연합 차원에서의 GDPR의 영향으로 기존의 BDSG를 전면대체하는 개정이 있었는데, 이는 헤센 주의 변화와 같은 맥락이다. 즉, EU의 규율에 발맞춘 개정이다.¹¹⁾ 따라서 이와 관련하여서는 EU의 GDPR을 간단히 언급할 필요가 있다.

2) EU가 확대되고 정보통신 관련 기술이 급진적으로 발전하여 인터넷의 활용이 고도로 네크워크화되어 종래 ‘EU 정보보호 지침’ (Directive 95/46/EC)¹²⁾이 규범적 한계를 드러내면서 개인정보보호제도의 종합적 개선이 요구되었다.¹³⁾ 그에 따라 유럽연합 집행위원회(European Commission)는 ‘EU에서의 개인정보보호에 대한 종합적 접근’에 착수하였고, 2012년 1월에는 ‘EU 정보 보호 개혁(EU Data Protection Reform)’을 위하여 유럽GDPR 초안을 마련하였다. 이후 GDPR은 유럽 의회(European Parliament) 및 유럽 이사회(Council of Europe)의 승인 절차를 거쳐 2016년 5월 24일 발효하였고, 2018년 5월 25일부터 본격적으로 적용되었다.¹⁴⁾ GDPR은 유럽이라는 디지털 단일시장에서의 개인정보보호와 관련된 일반적 법원칙을 선언하는 것으로 원칙적으로는 EU 회원국의 추가 입법 없이도 구속력 있고 직접적으로 적용되며,¹⁵⁾ 독일을 비롯한 상당수의 회원국들이 이미 GDPR 내용을 자국 내에서 이행하기 위한 국내법을 마련하여 시행하고 있다.¹⁶⁾¹⁷⁾

1) 보통법 국가인 영국은 주거 침입, 저작권 침해, 명예훼손 등을 대상으로 하는 개별적인 법률에 의하여 프라이버시 영역에 속하는 권리를 보호하고 있었다. 1976년 데이터보호위원회가 설치되면서 컴퓨터에 의한 개인정보 처리와 인터넷을 통한 개인정보 유통이 일반화됨에 따라, 개인정보보호를 목적으로 1984년 ｢데이터보호법｣(Data Protection Act)이 제정되었다. 데이터보호법이 컴퓨터 처리정보만을 규제대상으로 함으로써 중요한 개인정보가 컴퓨터가 아닌 수작업에 의해 처리되는 현상이 나타나자 1987년 ｢개인기록접근법｣(Access to Personal Files Act)을 제정하여 컴퓨터 처리와 수작업에 관계없이 정보 주체의 자기정보에 대한 접근권을 인정하고 있다. 그 후 1998년에 제정된 ｢데이터보호법｣(Data Protection Act, ‘DPA’)은 1995년 유럽공동체(EC)의 개인정보보호지침을 국내법적으로 구체화하기 위한 입법으로 성립되었다. 최근 2017년 영국이 유럽 연합을 탈퇴하기로 결정하여(소위 ‘브렉시트’) 영국에게 유럽연합 개인정보보호지침이 강제되지 않게 되었으나, 영국 의회는 유럽의 GDPR을 국내법으로 수용하여 DPA 1998를 개정한 ｢2018 데이터보호법｣(Data Protection Act 2018 (c 12)) United Kingdom Parliament)을 마련하였고 이는 2018년 5월부터 시행되었다.¹⁸⁾

2) 미국의 경우 정보를 통할하는 일반법은 없는 것으로 보인다. 여러 단행법을 통해서 분야별로 규율하여 온 것인데, 공공부문과 관련해서는 1974년 제정한 ｢프라이버시법｣(The Privacy Act), 1988년 연방데이터베이스의 비교‧합성에 관한 ｢컴퓨터연결 및 프라이버시보호법｣(The Computer Matching and Privacy Protection Act)이 있고, 전기통신상의 개인정보보호입법으로 1986년 ｢전기통신프라이버시법｣(The Electronic Communication Privacy Act)과 1994년 ｢법집행통신지원법｣(The Communication Assistance for Law Enforcement Act), 1996년 ｢정보통신법｣(Telecommunication Act)이 있고, 민간부문과 관련해서는 1978년 ｢금융프라이버시법｣(The Financial Privacy Act), 1984년 ｢케이블통신프라이버시법｣(The Cable Communication Privacy Act) 등이 있다고 한다.¹⁹⁾ 아직까지 미국 연방차원에서 데이터 프라이버시와 관련하여 통과된 법률은 없으나,²⁰⁾ 2018년 6월 미국 캘리포니아주에서 최초로 ｢캘리포니아 소비자 프라이버시법｣(California Consumer Privacy Act)을 제정되어 그 영향에 관한 관심이 높다.²¹⁾

일본에서는 2003년(平成 15年) 5월 23일 ｢개인정보의 보호에 관한 법률｣(個人情報の保護に関する法律, 약칭 ｢개인정보보호법｣, 본고에서는 ‘개인정보보호법’으로 부른다)이 제정되었다. 동법은 사기업에 대한 벌칙 조항 등 4장 내지 6장의 규정을 제외하고 곧바로 시행되었고, 2005년 4월 1일에 전면적으로 시행되었다.²²⁾ 동법은 인터넷 등 국제적 테이터 유통의 본격화와 더불어 각 국가의 개인정보 보호제도가 상이하여 개인정보의 국제유통을 저해하고 있다는 점에 관한 인식으로부터 출발하였고, 개인정보침해에 대한 불안을 해결하고자 하였다. 따라서 법명과는 달리 개인정보의 보호에 그 입법 목적이 제한된 것은 아니었다.²³⁾

개인정보보호법(2003年 法第57号)을 개인정보 관련법 체계의 기본법으로 하여 개인정보보호와 관련하여 같은 해 성립된 법률은 ① ｢행정기관이 보유하는 개인정보의 보호에 관한 법률｣(行政機関の保有する個人情報の保護に関する法律, 2003年法律第58号), ② ｢독립행정법인등이 보유하는 개인정보의 보호에 관한 법률｣(独立行政法人等の保有する個人情報の保護に関する法律, 2003年法律第59号), ③ ｢정보공개·개인정보보호심사위원회설치법｣(情報公開・個人情報保護審査会設置法, 2003年法律第60号), ④ ｢행정기관이 보유하는 개인정보의 보유에 관한 법률의 시행에 붙인 관계법률의 정비등에 관한 법률｣(行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律, 2003年法律第61号)이 있다.²⁴⁾ 이에 따라 일본의 경우 공공부문을 담당하는 4법과 민간부문은 담당하는 1법 등 총 ‘5법 체계’를 갖추고 있다.

일본 개인정보보호법은 2009년 6월 5일 일부 내용의 개정이 있었고,²⁵⁾ 이어서 최근 2015년(平成 27年)에 대폭적인 개정이 있었다. 2015년 개정은 소위 빅데이터에 관한 기업의 이용을 가능하게 하고, 개인정보 누설에 대한 형사벌을 추가하는 내용을 포함하는 전면적인 개정이었다.²⁶⁾ 개인정보보호법 체계의 마련 이후 10년이 경과되어 개정된 이 법률에는 몇 가지 중요한 내용이 추가되었다. 개인정보의 신중한 활용이 강조되는 상황에서 사업자들이 어떠한 정보에 대하여 어떠한 조치를 하면 활용할 수 있는지에 관한 회색지대가 확대되었고, 개인정보취급사업자의 감독이 주무대신제 하에서 가이드라인에 근거하여 사업분야별로 이루어져서 여러 사업에 걸친 사업자들에게는 중첩적인 집행이 이루어지는 문제가 있었으며, 글로벌화된 기업 등의 활동에 따라 국제적인 정합성을 도모할 필요가 있었다는 점이 개정의 배경으로 설명된다.²⁷⁾

1) 먼저 개인식별부호, 요배려개인정보²⁹⁾에 관한 내용이 추가되는 등 개인정보의 개념이 세분화, 명확화 되었다(일본 개인정보호법 제2조 제1내지3호). 다만 개인식별부호의 구체적인 내용은 하위규범인 정령(政令)에서 정할 수 있도록 위임하여, 유연한 대응이 가능하도록 하고 있다(현재 정령에서는 지문인식데이터, 안면인식데이터, 여권이나 운전면허증 번호 등을 규정하고 있다). 이와 같은 개정은 사업자에게는 그 전에 회색지대로 비판되던 개인정보의 개념을 명확히 하여 그 활용과 이용 가능성을 높이고, 소비자에게는 보호대상을 정확히 인식하게 하는 효과를 의도한 것으로 보인다.³⁰⁾

수집에 관하여는 우리와 달리 소위 옵트아웃(opt-out)이 원칙적인 모습으로 규정하고 있다. 요배려정보가 아닌 일반 개인정보의 경우 속임수 기타 부정한 수단에 의한 방법에 의하지 아니하는 한 수집하고 통지하여 정보주체가 처리정지를 요구하지 아니하는 한 처리할 수 있도록 하고 있다(제17조 제1항, 제18조). 다만 요배려정보의 경우에는 사전동의를 요구한다. 일본 개인정보보호법에서는 개정전후를 막론하고 개인정보의 수집, 이용 등에 우리와 같은 사전동의제도가 없는데, 요배려정보에 있어서는 사전동의를 요하는 규정을 신설한 것이다(제17조 제2항). 또한 개인정보 취급의 글로벌화도 규정되어 해외의 법제도와의 균형을 고려하고 있다는 점도 명시되어 있다.

한편 데이터의 활용 가능성을 제고하는 내용도 포함되어 있다. 개정 전에는 개인정보의 목적외 이용이나 제3자 제공에 있어서 미리 본인의 동의를 구하도록 규정하고 있었는데, 그로 인한 정보 활용의 한계가 지적되었다. 그에 따라 데이터의 활용을 위한 근거조항(“익명가공정보”- 특정 개인을 식별할 수 없도록 개인 정보를 가공하여 얻는 개인에 관한 정보로 해당 개인 정보를 복원할 수 없도록 한 것)에 관한 내용도 포함되었다(제2조 제9호). 이러한 정보의 사업적 활용을 통하여 새로운 서비스를 마련하는 것이 허용된 것이다. 익명가공정보의 작성과 활용에 관하여는 총 네 개의 조문을 두어 구체적으로 규율하고 있다(제36조 내지 제39조).

또한 개인정보의 활용범위를 넓히기 위해 목적구속원칙을 완화하여 개정전에 “이용목적과 상당한 연관성이 있다고 합리적으로 인정되는 범위”에서 사용할 수 있다고 명시된 규정에서 “상당한”을 삭제하였다.³¹⁾

2) 2015년 개정 중 가장 주목할 부분 중 하나는 개인정보보호위원회의 신설이다. 기존에는 소비자청이 개인정보보호법을 소관하는 한편 각 주무대신이 그 소관하는 사업분야의 사업자에 대하여 감독권한을 가지고 있었으나 독자적인 개인정보보호 전담기구는 존재하지 않았다.³²⁾ 따라서 개인정보보호법에 따른 개인정보보호는 주무부처에서 마련한 『개인정보보호에 관한 지침(가이드라인)』을 통해 이루어지고 있었다.³³⁾ 그런데 개정법에 의해서 개인정보보호위원회가 신설되어 새로 마련된 각종 제도 등에 대해서는 개인정보보호위원회가 규칙으로서 구체적 내용을 정하도록 되어 있는 것이 많다. 또 현지 조사권을 포함한 막강한 권한이 부여되도록 규정되어 있고, 기존에 각 산업 분야마다 주무장관(主務大臣)이 가지던 감독 업무를 일원적으로 집약하여 맡게 되어, 업무를 통할하는 권한을 가지게 되었다(일본 개인정보보호법 제52조).³⁴⁾³⁵⁾ 유럽에서는 EU정보보호지침에 의해서 각국의 데이터 보호 기관에 이러한 강한 권한이 주어지고 있으므로 국제적인 밸런스도 고려된 것으로 보인다.³⁶⁾ 이러한 개정에 따라 일본에서는 2016년 1월 개인정보보호위원회가 출범하였다.

3) 일본 개인정보보호법제의 특징은 법률에서 원칙적인 기준을 제시하고, 세부적인 내용은 분야별(예: 은행, 증권업, 생보, 손보, 투신, 신탁 등)로 가이드라인을 두고 있다는 점이다. 이는 일본의 다른 산업 규제 방식에서도 자주 등장하는데, 실제 일본에서는 산업별 자율규제가 상당한 영향력을 행사한다.

일본 개인정보보호법 제4장 제1절에서는 개인정보취급사업자의 의무를 규정하여, 일부를 제외한 모든 분야에서의 개인정보취급사업자가 최소한 준수해야 하는 기준을 규정하였다. 제4장 제4절에서는 업계별로 주무대신에 의하여 인정된 개인정보보호단체를 통한 개인정보보호에 관하여 규정하고 있는데, 이는 개인정보보호가 민간단체를 통하여 구체화되어 오던 자율규제의 일부분을 법제화한 것이다. 이를 ‘인정개인정보보호단체제도’라고 부르는데(개인정보보호법 제47조 이하), 개인정보보호 업무에 관하여 일정한 기준을 갖춘 민간단체가 주무대신의 인정을 받아 법령이 정한 개인정보보호에 관한 업무를 수행하는 구조로 되어 있었는바,³⁷⁾ 개정법에서는 인정 개인정보보호단체의 역할이 확대되었다(제53조).

고충처리 역시 인정개인정보보호단체의 업무 중 하나인데, 개인정보보호법 제35조에서는 개인정보취급사업자가 개인정보의 취급에 대한 고충 처리를 하도록 규정하고 있으므로 개별 사업자도 그 업무를 수행한다. 그 처리에 문제가 있는 경우 개인정보보호위원회가 권고, 조언, 명령 등의 방법으로 규제적으로 접근한다.

4) 또 하나 특징적인 것은 일본의 개인정보보호법에는 개정 전후를 막론하고 民事責任에 관한 규정이 없다는 것이다. 결국 민사책임에 관하여 동법은 특별한 방향을 제시해주지는 못할 것으로 보인다. 이는 민사책임에 관한 규정을 두고 있는 우리나 GDPR³⁸⁾과 구별되는 점이다.

이하에서는 일본의 개인정보침해 사건에 있어서 대표적인 사례를 살펴보고자 한다. 앞에서 논의한 바와 같이 일본의 경우에는 개인정보보호법 위반을 기초로 불법행위를 구성하지 않으므로 개인정보 관련 사건인지 여부가 명확히 드러나지 않는다. 따라서 구체적으로 문제된 내용을 중심으로 개인정보 관련 사건인지를 살펴봐야 하고 분류하는 사람에 따라 달리 판단되기도 한다.

개인정보 관련 사건을 어떻게 분류할 것인지 그 기준으로 몇 가지가 상정 가능하다. 대표적으로 ① 관련 법령의 규정에 따른 분류, ② 형사처벌 규정을 바탕으로 행위의 위법성을 고려한 분류, ③ 개인정보의 생애주기에 따른 분류, ④ 귀납적 유형화 등을 생각할 수 있는데,⁵⁵⁾ 일본 개인정보보호법에 있어서는 형사처벌 규정이 여러 행태를 포섭하지 않으므로 나머지 세 가지가 주로 상정 가능하다. ①과 ③의 기준도 일정한 흐름을 바탕으로 논의를 진행한다는 점에서 합리성을 가지고 있고 우리나라에서도 자주 활용되는데,⁵⁶⁾ 민사책임을 주로 논의하는 본고의 목적에는 잘 부합하지 않는 것으로 보인다.

실제로 다양한 종류의 사건이 있을 것이지만, 본고에서는 기존 사건에 대한 귀납적 유형화의 일종으로 손해배상책임이 주로 문제되는 사건들을 편의상 개인정보처리자가 소극적으로 의무를 위반한 것인지, 적극적으로 행위를 한 것인지를 기준으로 나누어 정보 유출 사안과 정보 공개 사안으로 대별하고, 그 대표적인 사례를 살펴보고자 한다.⁵⁷⁾

일본의 경우에도 정보 유출과 관련하여서는 소송상 문제된 사례가 상당수 존재한다. 이러한 사건들은 대체로 유출된 개인정보가 상당하여 우리나라와 마찬가지로 사회적으로 파장을 일으켰고 그 진행과 관련하여 언론의 주목도 받았다. 그 대표적인 사례는 아래와 같다.

1) 일본에서 프라이버시에 관한 정보로서 법적 보호대상으로 인정받기 위하여는 ① 사생활상의 사실 또는 사생활상의 사실로 받아들여질 우려가 있는 사항일 것, ② 일반인의 감수성을 기준으로 당해사인의 입장에 설 경우 공개를 원하지 않을 것으로 인정되는 사항일 것, ③ 일반인들에게 아직 알려지지 않은 사항일 것이라는 세 가지 요건이 충족되어야 한다. 이는 사생활에 관한 내용이 소설에 포함되어 위자료 책임이 문제된 소위 “연회 후 사건”⁷⁵⁾에서 제시된 것인데, 이는 프라이버시권이 최초로 문제된 사건으로 이후에도 프라이버시 관련 사건에서 중요하게 기능하였다.

여기서의 프라이버시는 사적 영역의 비밀성과 관련된 것으로 명예훼손과는 구별된다.⁷⁶⁾ 이후 프라이버시권은 일본 판례에서 점차 여러 유형을 포함하는 개념으로 사용되도록 확장되었다.

2) 위에 열거된 일본의 개인정보 관련 판례 중 일부는 위 “연회후 사건”의 기준을 따랐으나 모든 판례가 그러한 것은 아니다. <TBC 고객정보유출사건>, <아파트 구입 신청서>, <에스테틱 살롱 사건> 사건과 같은 경우에는 3가지 요건을 모두 검토한 것으로 보이는데, 최근에 선고된 <교육생 명단 유출 사건>이나 <와세다대학 장쩌민 사건>에 있어서는 그러하지 아니하다. 이러한 차이는 구체적으로 문제된 정보의 내용 차이에 기인한 것으로 보인다. 최근의 하급심에도 사적 영역에 관한 정보가 포함되었는지를 살펴본 바 있다.⁷⁷⁾

이를 두고 (누설이나 무단공개 여부를 따지지 않고) 단순한 개인식별정보만이 문제된 경우에는 <와세다대학 장쩌민 사건> 에 있어서와 같은 기준에 따라 (“연회 후 사건”에서 제시된 세 가지 요건의 검토 없이) 곧바로 프라이버시 침해로 인정하고, 개인의 사적 영역에 관한 사항이 포함되는 경우에는 세 가지 요건을 검토하는 것으로 이해할 수 있다고 보는 견해도 있다.⁷⁸⁾ 이러한 태도는 판례들의 태도 및 검토 방법에 비추어 수긍할만하다. 실제 판례들에서 프라이버시 침해로 통칭하고 있으나 개인의 식별 가능성보다는 내밀한 사적 영역(경우에 따라서는 명예훼손이 인정될 사안)이 문제되는 경우가 자주 등장하고 있기 때문이다.

한편, 정보공개의 경우에는 사적 영역이 자주 문제되고, 이와 같이 의도된 사적 영역의 공개는 명예훼손과 마찬가지로 표현의 자유 등 다른 법익과의 갈등이 문제될 수 있다.⁷⁹⁾ 일본의 판례 중 <아파트 구입신청서 사건>서는 공개의 필요성이나 당사자의 추정적 의사가 고려되었고, <논픽션 사건>과 같이 명예훼손적인 문제가 포함된 경우에는 이익형량을 하고 있다.⁸⁰⁾ 3) 이와 같은 내용에 비추어, 프라이버시라는 커다란 범주에 포함시켜서 여러 사안을 하나의 기준을 통하여 해결하는 것보다는 보다 프라이버시를 세분화해서 파악하는 것이 향후 사건의 해결에 좋을 수 있다.⁸¹⁾ 실제 위 일부 사안에서는 일반적인 프라이버시권의 침해를 문제 삼았으되 개인정보에 있어서의 독자적인 기준을 바탕으로 판단하였다고 볼 수도 있다. 다만 프라이버시권을 어떻게 세분화할지가 문제되는데, 그것은 단순하지만은 않아 보인다. 특히 일본의 경우에 개인정보보호법을 기초로 논의를 진행하는 것이 아니므로, 개인정보보호법상의 개인정보 개념과 일반적으로 사용하는 개인정보 개념이 정확히 일치하지 않을 수 있고, 실제 사안에서 개인정보와 사적 영역의 정보가 함께 문제되는 경우가 많으며, 일본의 2015년 개정 개인정보보호법상 개인정보의 개념 범위가 매우 넓어서 사적 영역의 정보와의 구별도 어렵기 때문이다.⁸²⁾ 프라이버시에서 개인정보를 떼어내어 구별하는 방법도 생각할 수 있는데, 전술한 바와 같이 개인정보 개념의 활용 범위가 모호하고, 이미 불법행위 책임의 인정에 있어서 개인정보에 관하여 프라이버시권을 통한 접근을 하여 와서 그 엄격한 준별은 현재로서는 쉽지 않아 보인다.⁸³⁾ 개인정보보호를 프라이버시와 구별하여 개인정보보호를 프라이버시 보호를 위한 수단으로 보는 것이 낫다는 주장도 있다.⁸⁴⁾ 향후 일본의 재판례가 프라이버시권을 어떻게 정치하게 세분화할 것인지는 그 흐름을 지켜볼 일이다.

일본의 재판례에서 명문으로 일정한 분류 기준이 제시된 바는 없고 일률적으로 적용하기는 쉽지 않기는 하지만, 현재의 재판례를 바탕으로 하여 개인정보에 관련된 사건만을 대상으로 살펴본다면, 현재로서는 대략 ① 문제된 정보를 바탕으로 나누어 사적 영역이 포함된 경우에는 <연회후 사건>에서 제시된 세 가지 요건을 기준으로 검토하고, 그렇지 않은 경우에는 당사자의 동의나 허락이 없는 유출이나 공개만으로 프라이버시 침해를 인정하며, ② 행위 태양을 바탕으로 정보의 공개와 누설을 구별하여, 사생활의 공개의 경우 그 공개와 관련된 상황을 고려하고 명예훼손에 있어서의 사용되는 방법을 차용하여 표현의 자유 등과의 갈등을 이익형량을 통하여 살펴보아 그 위법성을 판단하고 있는 것으로 정리해볼 수는 있을 것 같다.

1) 위에서 살펴본 바와 같이 재판으로 이어지는 사건도 있었지만, 일본에서는 개인정보 관련 사건에 있어서 기업들이 자주적인 노력으로 대응하여 배상액을 지급하는 경우가 상당하다. 정신적 손해배상을 인정하여 위자료를 지급하는 것으로 귀결되는 경우, 정신적 피해의 인정에 있어서 특별히 실제적인 손해 발생의 위험성이나 2차 손해를 고려하지는 않는 것으로 보인다(물론 위자료 산정에서는 2차 손해를 고려한다). 최근 <교육생 명단 유출 사건>의 하급심에서는 손해의 발생에 관한 엄격한 검토를 시도했던 것으로 보이는데, 최고재판소에는 이를 받아들이지 않은 것으로 평가된다. 따라서 프라이버시의 침해와 위법성이 인정되는 경우에는 대체로 위자료 책임이 인정될 것으로 생각된다.

2) 위자료의 금액은 그 정보의 가치나 피해의 정도와 관련이 있어 보인다. 위 판례들에서도 드러나는 바와 같이 대략적인 금액은 500엔에서 30,000엔 수준으로 정해지고 있다. 고객 정보의 누설과 관련하여 비밀성을 바탕으로 위자료의 금액을 3단계로 정리할 수 있다.⁸⁵⁾⁸⁶⁾

일본에서도 개인정보의 유출이나 무단공개 등에 있어서 민사책임이 문제되는 것은 위에서 살펴본 판례에서 나타나는 바와 같다. 그와 관련하여서는 우리와 구별되는 특징이 있는데, 그것은 개인정보 침해를 프라이버시의 문제로 보고 불법행위 책임을 묻는다는 것이다.⁹²⁾ 이는 일관된 판례의 태도로서 위에서 살펴본 바와 같이 일본 개인정보보호법의 성격, 기능과 관련되어 있다. 따라서 일본에서 민법상의 불법행위책임을 묻기 위하여는 “권리 또는 법률상 보호되는 이익”이 침해되어야 하는데, 개인정보가 프라이버시로서 보호대상이 된다는 점을 바탕으로 프라이버시권의 일종인 “자기에 관한 정보를 컨트롤 할 수 있는 권리”가 침해되었다고 구성하는 것으로 이해된다.⁹³⁾ 사안의 결론에서는 불법행위책임을 인정하는 우리의 태도와 큰 차이는 없지만, 이와 같은 태도에 따라 프라이버시권이 문제되는 다른 사건들과의 명확한 구별은 어렵게 되었다. 실제 개인정보와 다른 정보가 혼재되어 있는 사건이 많으므로, 그 침해를 인정하는 기준도 명확하지 않아 보인다. 다만, 위에서 살펴본 바와 같이 귀납적으로 단순한 식별정보 외에 평가, 가치 등의 주관적 요소와 관련된 정보가 포함된 경우에는 다른 평가 기준 등이 함께 검토된 것으로 대별할 수는 있다.

결국 우리와는 개인정보보호법의 성격의 차이로 인하여 불법행위책임을 구성하는 방식에는 차이가 있으나,⁹⁴⁾ 구체적인 사안에서 보호법익을 자기정보통제권(자기정보결정권)으로 보고, 개인정보의 유출이나 무단 공개행위가 그 침해에 해당하여 불법행위책임이 문제된다고 구성하는 점에 있어서는 큰 차이가 없는 것으로 보인다. 참고로 우리나라에서도 프라이버시라는 개념이 인정되어 불법행위책임의 근거로 사용되기도 한 바 있지만,⁹⁵⁾ 우리와 달리 일본에서는 최고재판소에서 그 용어를 사용하고 이미 상당한 판례가 축적되어 있는 것으로 보인다.

일본에서도 우리와 마찬가지로 경우에 따라 개인정보의 내용이 다른 이익과 관련된 사안에서 이익형량을 통해 위법성 조각 여부를 검토한다. 침해행위가 있다고 해서 곧바로 불법행위 책임을 인정하는 것이 아니라 해당 정보의 공개가 다른 법익의 보호와 관련된 문제인지 살펴보는 위법성 조각의 단계를 거치는 것이다. 이는 일반적인 불법행위 책임의 구성에 부합하는 것으로 특정한 의도를 가지고 개인정보를 공개하는 사안에서 주로 문제될 것이다.

일본의 경우 위에서 살펴본 소위 <논픽션 사건>에서 그 기준이 구체적으로 제시되고 있다. 우리 판례 중에도 실제 개인정보의 공개가 문제된 사안에서 이익형량을 통하여 그 위법성을 판단한 사례가 존재한다.⁹⁶⁾

마지막으로 손해의 인정과 관련하여 살펴보도록 한다. 위에서 소개한 최근의 <교육생 명단 유출 사건>에 있어서도 드러나듯이 일반적으로 일본 재판소는 구체적인 손해의 발생을 요구하지 않는 것으로 보인다. 즉, 2차 피해가 있는 경우에 위자료를 증액하기는 하지만, 위 판결은 프라이버시 정보의 중요성 등에 비추어 구체적인 정신적 고통의 주장이 없더라도 추상적인 정신적 손해의 발생을 인정할 가능성을 시사하는 취지로 이해된다.⁹⁷⁾ 이는 우리 법원이 과거에 취하던 태도와 유사하고, 최근 우리 판례가 과거와 달리 보다 구체적으로 손해의 발생에 관하여 검토하며, 그를 통해서 일정한 경우 원고의 청구를 기각하는 방향으로 정리되고 있는 것과는 차이가 있다.⁹⁸⁾ 최근의 우리 판례는 단순한 불안과 불쾌감으로는 손해배상책임을 구성할 수 없다고 보았던 <교육생 명단 유출 사건>의 원심의 태도와 궤를 같이 하는 것으로 이해된다.

일본에서도 <교육생 명단 유출 사건>에서 최고재판소가 밝힌 기준과 관련하여 장래에 소송이 빈발할 것을 우려하는 목소리도 있다.⁹⁹⁾ 우리 판례와 일본 판례의 태도를 두고 어떠한 접근이 보다 적절하다고 단언하기는 어렵다. 개인정보의 보호와 활용에 관한 사회적 인식이나 분위기, 자율규제의 정도(전술한 바와 같이 일본의 경우 상당한 분쟁이 자율규제를 통하여 해결된다), 공식적인 분쟁조정 가능성(우리의 경우 개인정보분쟁조정위원회를 통한 간명한 해결이 가능하다) 등에 있어서 차이가 있기 때문이다. 특히 개인정보의 처리에 관한 지향이나 기본적인 태도의 측면에서도 고려할 점이 많다. 다만, 다른 요소들을 차치하고 도그마적인 측면에서 보면 불법행위 구성요건을 세부적으로 검토한다는 점이나 다른 불법행위책임 인정과 관련한 정합성을 유지한다는 점에서 우리 판례의 태도가 한걸음 앞서고 있다고 볼 수 있지 않을까 생각한다.

한편, <교육생 명단 유출 사건>과 같은 사실관계를 기초로 한 하급심 판결에서 원고의 청구를 기각한 것이 있고,¹⁰⁰⁾ 또 원고의 청구를 인용한 것도 있어 향후 귀추가 주목된다.¹⁰¹⁾ 손해발생 여부에 관한 판단과 관련하여 일본의 실무는 아직 진행형이 아닌가 싶다.

위에서 일본 판례의 분류와 관련해서, 일응 개인정보처리자의 개입 정도에 따라 구별하여 두었다. 그러나 실제 개인정보가 관련된 다른 종류의 사건도 존재할 수 있다. 일본의 경우에는 개인정보보호법의 각 규정이 곧바로 불법행위의 태양으로 기능하지 못하기 때문에, 아직까지 그 유형을 구별하는 기준이 명확하지는 않은 듯하다.¹⁰²⁾ 일본에서도 사례가 축적되면 대상 정보나 행위 태양, 보호법익 등을 고려한 여러 유형화 시도가 나타나지 않을까 생각한다.