国政監査で公共機関の個人情報漏洩に対する損害賠償責任の明確化とサイバー保険義務化が提案

この問題を検討する際には、過料と損害賠償を区別する必要がある。過料は法違反に対する行政制裁であり、損害賠償は被害者が被った損失を回復するための制度である。個人情報保護委員会も、この二つの制度は目的と性質が異なることを説明している。現行法において、公共機関の個人情報漏洩に対する賠償責任が全く存在するわけではない。個人情報保護法上の個人情報処理者には公共機関が含まれており、同法第39条は、個人情報処理者の法違反により損害を受けた情報主体が損害賠償を請求できることを定めている。個人情報処理者は、故意または過失がなかったことを立証できない限り、責任を免れることはできない。

ただし、漏洩事実のみで全被害者に一定の賠償金が自動的に支払われる構造ではない。具体的な賠償責任と範囲は、法違反、損害の発生、因果関係などの個別事案の要件に基づいて判断される。今回の問題提起は、公共機関に賠償責任を新たに付与すべきという意味ではなく、実際の事故において責任を明確にし、被害救済が機能するようにすべきという論点として検討する必要がある。大法院も、個人情報保護法が故意・過失の立証責任を個人情報処理者に転換しても、法違反事実そのものを推定するものではないと説明した。

林基根国務調整室長は、公共機関の個人情報保護に対する警戒心を高める必要性に共感した。公共機関の管理上の誤りによる損害賠償責任については、一般的な法原則に基づく責任を認める趣旨で答弁し、個別事案は別途検討が必要という立場を示した。趙議員は、被害賠償を支える代替手段としてサイバー保険への加入義務化も提案した。公共機関と民間企業が保険を通じて事故リスクを分担し、事故発生後に必要な資金を確保できるようにする趣旨である。

保険制度を検討する際には、加入の有無だけでなく、被害者に対する賠償責任をどの範囲まで保証するか、保証限度額や自己負担金をどのように設定するかなど、具体的な設計が伴う必要がある。個人情報漏洩被害の賠償と、機関自身の事故対応やシステム復旧費用も区別して検討すべきである。