[集体诉讼、过度救济的陷阱]①一次事故或致中小企业存亡危机，“挖坟法”追溯既往事件来袭

旅游企业Modetour发生306万名客户个人信息泄露。在受害者提起的损害赔偿诉讼中，法院继一审后，二审也认定每人可获10万韩元精神损害赔偿。对单个受害者而言虽是10万韩元，但若向全部306万名受害者适用同一金额，赔偿额将增至3060亿韩元。这相当于Modetour 2025年营业利润74亿韩元的41.4倍、净资产925亿韩元的3.3倍。一旦成为现实，仅靠公司正常经营活动将难以承担。

企业规模越小，财务负担越重。教育内容企业ClassU的个人信息泄露受害者约为160万人。若按与Modetour相同的每人10万韩元计算，潜在赔偿额将达1600亿韩元，为其2024年营业利润37.7亿韩元的42.5倍；与33.8亿韩元净资产相比，更高达47.4倍。即便投入全部持有资本，也只能承担部分赔偿额。

View original image

GOLFZON也曾发生涉及221万人的个人信息泄露事件。按同样方式估算，潜在赔偿额为2210亿韩元，相当于其2025年营业利润681亿韩元的3.2倍，约为4389亿韩元净资产的一半。

2026年发生事故的TVING，受害规模达1953万人。若按每人10万韩元计算，赔偿额将达到1.953万亿韩元。TVING在2025年录得698亿韩元营业亏损，净资产为2068亿韩元，潜在赔偿额是其9.4倍。在亏损持续的情况下，公司自身难以承担如此规模的赔偿；若无大规模融资或股东支持，企业存续本身都可能受到威胁。

上述数据是将法院在Modetour事件中认定的每人10万韩元精神损害赔偿，统一套用于其他个人信息泄露事件，以简单比较财务负担得出的结果。实际是否赔偿及赔偿金额，将根据各案件的损害程度、企业过失及法院判断等因素而有所不同。

潜在赔偿额是否会转化为企业实际负担，集体诉讼制度是否引入将是关键变量。目前原则上仅直接参与诉讼的受害者能够获得赔偿。但若国会正在讨论的集体诉讼制度落地，部分受害者提起诉讼的判决可能也适用于未参与诉讼的受害者。因此，有观点担忧，在受害者达数十万至数百万人案件中，赔偿规模可能激增，进而威胁资本实力薄弱的中小及中坚企业的生存。

View original image

据国会立法调查处及行业12日透露，网络入侵事件申报数量从2021年的640起增至2024年的1887起，接近3倍。2025年截至8月，共受理1473起事件。十起事件中有九起发生在中小及中坚企业。2024年，中小及中坚企业发生的事件为1716起，占全部申报的90.9%；2025年截至8月为1334起，占90.6%。

个人信息泄露不分企业规模与行业。不仅发生在SK电讯、KT、LG U+、Coupang、乐天卡等大型企业，也发生在Modetour、GOLFZON、ClassU、Albamon、R&R、Duo等中小及中坚企业。2026年，TVING也发生了大规模个人信息泄露事件。

问题在于，事故风险虽然集中于中小及中坚企业，但不同规模企业在预防及应对能力上存在巨大差距。根据信息安全产业协会发布的《2024年信息安全现状调查》，员工在250人以上企业的信息安全组织拥有率为87%，而员工为10至49人的企业仅为26.2%。信息安全政策拥有率也分别为98.7%和48.9%，相差约一倍。

这也是企业对引入集体诉讼制度高度敏感的原因。2020年政府推动制定集体诉讼法时的一项调查显示，68.6%的中小企业表示反对。中小企业中央会当时担忧，可能出现旨在获取高额和解金的诉讼，或专门策划集体诉讼的律师事务所。中小企业法律应对能力相对薄弱，即使最终胜诉，也须长期承担法律费用；而被起诉这一事实本身也可能损害消费者信任。

也有担忧认为，责任保险未必能够充分发挥安全网作用。企业一直以现有损害赔偿体系为前提投保，以防范风险。但若法律实施前发生的事故也被纳入新集体诉讼程序，企业可能面临原先未预见的赔偿风险。行业认为，若保险无法覆盖的或有债务扩大，也可能对投资和融资构成负担。

View original image

目前，韩国国内的集体诉讼制度仅限于证券领域。政府与执政党正推动将其扩大至全部损害赔偿请求。由共同民主党议员Park Gyuntaek于今年3月代表提出的集体诉讼法案，经与法务部协商制定，实际上被视为政府方案。目前国会已提出包括该法案在内的14项与集体诉讼制度相关的法案。其中，围绕“退出申报型（Opt-out）”机制及“追溯适用”，法律界和产业界提出担忧，相关法案目前仍搁置于国会法制司法委员会法案审查小组委员会。

行业关注的争点是退出申报机制。根据现行一般共同诉讼原则，受害者必须直接参与诉讼，才能受到判决效力约束。即便受害者有100万人，若实际参与诉讼者仅1万人，判决原则上只适用于这1万人。退出申报机制则相反：除非受害者申报退出并表示“不参加本案诉讼”，否则即使未直接参与诉讼，也将受到判决效力约束。Park议员的法案同样规定，生效判决的效力及于未申报退出的成员。

对企业而言，赔偿对象的基数本身可能发生变化。假设认定每人可获10万韩元精神损害赔偿，1万名受害者对应10亿韩元，100万名受害者则对应1000亿韩元。这正是为何有人指出，在个人信息泄露受害者多达数百万人的事件中，退出申报机制可能大幅扩大企业潜在赔偿规模。

围绕受害者自主决定权也存在争议。由于即使对未充分知悉诉讼正在进行的受害者，判决效力也可能产生影响。法院行政处也提出意见称，部分受害者可能在未充分认识到诉讼事实的情况下被纳入诉讼，或无法行使权利，进而导致诉讼请求权受侵害，因此有必要审慎审查。

View original image

View original image

最大的争点在于是否追溯适用，即不仅对法律实施后发生的事件，也允许将新的集体诉讼程序适用于实施前发生的部分事件。部分人士将集体诉讼法称为“掘墓法”，原因正在于此。这意味着企业当时已依据法律和制度完成应对，或仍在处理中的过往事件，可能再次成为新集体诉讼的对象。

随着争议扩大，国会法制司法委员会正以Park议员法案为中心，讨论将适用范围扩大至法律实施前3年内发生的事件。执政党认为，这属于诉讼时效尚未届满、结果尚未确定的“不真正追溯”，因此可以适用。在这种情况下，近期因个人信息泄露等仍存在损害赔偿可能性的案件，也可能成为新集体诉讼程序的对象。

但宪法禁止因追溯立法而剥夺财产权。有观点指出，若将新制度适用于过往案件，企业可能承担当时无法预见的赔偿责任，因此对于是否追溯适用应更加审慎地审查。

行业所担忧的是经营可预测性。企业会以事故发生时适用的损害赔偿制度和保险保障范围等为依据防范风险。若之后制定的集体诉讼程序适用于过往事件、并扩大赔偿对象，企业可能承担当时难以预见的财务负担。产业界反驳称，不能仅因民事诉讼时效尚未届满，就适用新的诉讼程序，否则可能加剧法律不稳定性。

这也与既有立法先例存在差异。2005年实施的证券相关集体诉讼法，适用于法律实施后首次发生的行为所引发的损害赔偿请求。分包法中的惩罚性损害赔偿，适用于实施后首次发生的违法行为；产品责任法则适用于实施后首次供应的产品。信用信息法中的法定损害赔偿，以及个人信息保护法中的惩罚性和法定损害赔偿，也适用于实施后发生的信息泄露等事件。

尽管目前正推动与既有立法先例不同、将过往案件也纳入适用范围的方案，但由此产生的企业财务负担尚未得到充分评估。Park议员办公室相关人士表示：“议员办公室或政党层面尚未开展针对中小及中坚企业影响的评估。”

必读新闻

[独家]现代汽车退休员工“汽车理财”受限……25%折扣优惠也将征税

• 有利息、股息收入就多缴医保费？连续5年盈余终结，明年保费或上调[为何与下一步]
• “曾是与An Sangho同样的留学生”……演员曾祖父亲日争议中，走上“不同道路”的Kim Iknam
• Choi Taewon与Roh Soyoung“9440亿韩元财产分割”命运日：今日午夜再上诉截止
• 7000人滞留机场，多名韩国人受困……日本首都圈遭遇创纪录暴雨告急

建国大学法学专门研究生院教授Kwon Yongsu指出：“中小及中坚企业中，积极投资并勇于挑战的企业面临的风险大得多。若集体诉讼被追溯适用，可能给经营带来风险。”他虽然认同救济受害者及保护社会成员利益的制度宗旨，但表示：“还应一并考量其对企业股东、劳动者、债权人及当地社区等其他利益相关者可能造成的影响。”

版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。