대법 "개인정보 유출됐어도 손해 없다 증명하면 법정손배책임 없다"

서울 서초구 대법원 청사./사진=뉴시스

개인정보 유출 사고가 발생했더라도 만약 개인정보처리자가 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다는 것을 증명한다면 개인정보보호법에서 규정하고 있는 법정손해배상책임을 지지 않아도 된다는 첫 대법원 판단이 나왔다.

대법원 2부(주심 오경미 대법관)는 A씨가 해피캠퍼스를 상대로 낸 손해배상 소송에서 패소 판결한 원심 판결을 받아들여 확정했다고 14일 밝혔다.

온라인 지식거래 서비스를 제공하는 해피캠퍼스는 2021년 9월 해커에게 홈페이지를 해킹당했다. 이로 인해 회원 40만3298명의 이메일 주소, 비밀번호 등 개인정보가 유출되는 사고가 발생했다.

A씨는 해피캠퍼스가 웹사이트 개인정보처리시스템에 대한 외부 접근통제를 소홀히 한 고의 또는 중과실로 개인정보를 유출했다고 주장했다.

A씨는 암호화된 비밀번호와 이메일주소가 유출된 후 스팸메일을 받고 있고 보이스피싱 등 2차 피해 발생이 우려되는 등 정신적 손해를 입었다며 개인정보보호법에 따른 법정 손해배상금 30만원 및 지연손해금을 청구했다.

개인정보보호법에 규정된 법정손해배상책임은 정보주체가 개인정보처리자의 위반행위로 손해를 입으면 청구할 수 있다. 고의·과실 입증책임은 개인정보처리자에게 있으며, 분실·도난·유출 등에는 5배 배상 또는 300만원 이하의 법정배상이 가능하다.

1심과 2심에서는 원고 패소 판결이 나왔다. 해피캠퍼스 측의 안전조치의무 위반은 인정됐다. 하지만 법원은 A씨가 이 사고로 인한 개인정보 유출로 받은 불안감이나 불쾌감 등 정신적 고통이 없다고 볼 수는 없으나 위자료를 받을 만한 정신적 손해로 보기는 어렵다고 판단했다.

대법원 역시 이를 받아들여 상고기각 판결을 내리고 원고 패소 판결을 확정했다.

대법원은 정보주체인 A씨가 개인정보처리자 해피캠퍼스를 상대로 개인정보보호법에 따른 법정손해배상을 청구하기 위해 손해의 발생 사실을 구체적으로 주장하고 증명해야 되는 것은 아니라고 봤다. 정보주체는 자신의 개인정보가 분실, 도난, 유출, 위조, 변조, 훼손됐다는 사실만 주장하고 증명하면 된다.

또 대법원은 개인정보처리자가 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았음(손해가 발생하지 않음)을 주장하고 증명해 법정손해배상책임을 면할 수 있다고 판단했다. 실제로 정신적 손해가 발생하지 않은 경우까지 손해배상 의무를 인정하는 것이 해당 조항 취지는 아니라는 것이다.

대법원은 "개인정보처리자가 정보주체에 위자료 배상할 만한 정신적 손해가 발생하지 않았음을 주장하고 증명해 손해배상 책임을 면할 수 있다"면서 "유출된 사이트 비번은 암호화돼 있어 3자가 내용 파악하거나 이용했을 가능성 매우 낮고 추가적 정보가 없는 한 유출된 이메일 주소 그 자체만으로는 정보주체가 누군지 식별하기 어렵다"고 설명했다.

이어 "이메일 주소가 유출됐다고 정보주체에게 재산적 피해가 발생할 위험은 낮다"며 "위자료를 배상할 만한 정신적 손해가 발생했다고 보기 어렵다"고 덧붙였다.

이같은 법리는 대법원에서 처음 나온 것이다. 개인정보 유출 사고가 벌어졌다고 해도 무조건 법정손해배상책임이 인정되는 것은 아니고 이를 면하기 위해 정신적 손해가 발생하지 않았음을 주장하고 증명한다면 위자료를 주지 않아도 된다는 판결이다.

송민경 (변호사)기자 mksong@mt.co.kr

Copyright ⓒ 머니투데이 & mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.