쿠팡 사건 영향 주나…대법 "정보유출, 손해 없다면 책임면제"

이용자가 개인정보를 유출한 기업을 상대로 손해배상을 청구할 때는 유출 사실만 입증하면 된다는 대법원 판단이 나왔다. 쿠팡을 상대로 이용자들의 집단 손해배상 소송이 제기된 상태에서 나온 판례라 쿠팡 재판에서 책임을 판단하는 기준이 될 것으로 보인다.

━

해피캠퍼스 정보유출 사건, 이용자 패소

이번 소송은 리포트·논문·시험자료 중개 사이트인 해피캠퍼스의 개인정보 유출 사고에서 시작됐다. 2021년 9월 한 해커의 해킹으로 회원 40만3298명의 이메일과 암호화된 비밀번호가 유출됐다. 이에 A씨는 해피캠퍼스를 상대로 30만원의 손해배상을 요구하는 소송을 제기했다. A씨는 "해킹 이후 스팸메일을 받고 있고, 보이스피싱 등 2차 피해 발생이 우려되는 등 정신적 손해를 입었다"고 주장했다.

1심에서는 A씨가 패소했다. 법원은 해피캠퍼스 측의 정보관리에 잘못은 있지만, 이로 인해 A씨가 어떤 손해를 입었는지는 부정확하다고 봤다. 유출 사고 전부터 A씨가 스팸 메일을 받아 왔으며, 사고 후 비밀번호 변경 요청을 받고도 비밀번호를 바꾸지 않은 점도 지적했다.

2심 판단 역시 같았다. 재판부는 "A씨가 이 사건 사고로 인한 개인정보 유출로 불안감이나 불쾌감 등 정신적 고통이 없다고 볼 수 없으나, 그것을 금전으로 위자할 정도의 정신적 손해로 보기는 어렵다"고 했다. 비밀번호는 암호화돼 있어 제3자에 의한 이용 가능성이 없으며, 이메일은 민감 정보는 아니라고 봤다.

━

대법 "정신적 손해 없다면 손해배상 책임 면제"

대법원도 같은 판단을 내리며 개인정보 유출 시 손해배상 청구에 대한 기준을 처음으로 제시했다. 대법원 2부(주심 오경미 대법관)은 지난달 4일 "법의 취지는 개인정보의 광범위한 처리가 일반화된 현대사회에서 (개인정보 유출 등) 손해에 관한 증명이 곤란하더라도 피해자가 쉽게 권리 구제를 받을 수 있도록 하는 데에 있다"며 "이용자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손됐다는 사실만 주장·증명하면 되고 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없다"고 했다.

정보 유출로 정신적 손해가 발생했는지를 판단할 때는 "유출된 개인정보의 종류와 성격, 개인정보 유출로 정보주체(이용자)를 식별할 가능성이 발생했는지, 제3자가 유출된 개인정보를 열람했는지 또는 장래의 열람 가능성 유무, 개인정보 관리 상황과 유출 경위" 등을 종합적으로 고려해야 한다고 했다.

이어 해피캠퍼스 사건에 대해서는 "위자료로 배상할 만큼의 정신적 손해가 발생하지 않았다"며 A씨 패소 판결한 원심을 확정했다. 대법원은 "유출된 비밀번호는 암호화돼 있었기에 제3자가 내용을 파악하거나 이용했을 가능성은 매우 낮다"며 "이메일이 유출됐다고 해서 사행활·명예의 침해나 재산적 피해 등이 발생할 위험성은 낮다"고 했다.

━

정보유출 손배 판단기준 제시…쿠팡 사건 영향 줄 듯

이는 개인정보보호법 39조의2에 따른 정신적 손해배상 책임에 대한 대법원의 첫 판단이다. 개인정보보호법 39조의2는 개인정보 처리자(기업)의 고의 또는 과실로 정보가 유출되면 최대 300만원까지 손해 배상을 청구할 수 있도록 규정하고 있다. 대법원은 "정신적 손해가 발생하지 않았다는 이유로 손해배상액을 부정할 수 있는지에 관해 판례의 입장이 명확하지 않으므로, 법령 해석의 통일을 위해 판단한다"고 했다.

이번 대법원 판단은 3370만명 개인정보 유출 사고 후 쿠팡을 상대로 한 공동 손해배상 소송이 전국에서 동시다발로 제기된 가운데 나왔다. 최소 64만명이 1인당 10만원~100만원을 청구하는 손해배상 소송을 제기해 이들이 요구하는 배상액 총합은 1000억원을 넘어섰다. 이번 대법원 판례가 하급심 재판부에 판단 기준을 제시할 것으로 보인다.




최서인([email protected])