개인정보 유출과 민사상 손해배상

개인정보처리자의 법 위반으로 손해를 입은 정보주체는 손해배상을 청구할 수 있다(개인정보 보호법 제39조 제1항). 법정손해배상을 청구할 때에는 유출등의 사실을 증명하되 손해 발생을 구체적으로 증명할 필요는 없다(2023다311184 판결요지 [2]). 다만 법정손해배상으로 위자료를 청구하는 경우, 처리자는 배상할 정신적 손해가 없음을 증명해 면책될 수 있다(같은 판결 판결요지 [3]).

쉽게 말하면 — 가입한 회사에서 본인의 개인정보가 유출된 경우입니다. 피해자는 유출 사실을 증명하면 손해 발생을 구체적으로 증명하지 않고도 법정손해배상을 청구할 수 있습니다(2023다311184 판결요지 [2]). 다만 회사가 배상할 정신적 손해가 없었다고 증명하면 위자료에 관한 법정배상책임을 면할 수 있습니다(같은 판결 판결요지 [3]). 배상액은 법원이 증거 등을 보고 정하므로 자동으로 정액을 받는 것은 아닙니다(개인정보 보호법 제39조의2 제2항).

어떤 경우 개인정보 유출에 대한 배상을 청구할 수 있는가

정보주체는 개인정보처리자의 법 위반으로 손해를 입었다면 손해배상을 청구할 수 있다(개인정보 보호법 제39조 제1항). 정보주체는 처리되는 정보로 알아볼 수 있는 그 정보의 당사자다(같은 법 제2조 제3호). 개인정보처리자는 업무상 개인정보파일을 운용하기 위해 직접 또는 다른 사람을 통해 개인정보를 처리하는 공공기관·법인·단체·개인 등이다(같은 법 제2조 제5호).

가해자의 고의·과실에 의한 위법행위로 손해가 발생했다면 일반적인 불법행위 책임도 문제된다(민법 제750조). 정보통신서비스 가입 때 필수 회원정보를 제공한 이용자는 회사의 계약상 보호의무도 따질 수 있다(2013다43994 판결요지 [1]). 그 의무를 이행하지 않아 생긴 손해는 계약 위반에 따른 배상 대상이 될 수 있다(같은 법 제390조).

개인정보 처리를 맡긴 업체는 수탁자가 위탁업무를 처리하며 개인정보법을 위반해 손해를 일으킨 경우에도 책임을 질 수 있다. 이 배상책임에서는 수탁자를 위탁한 개인정보처리자의 직원으로 보기 때문이다(개인정보 보호법 제26조 제7항). 사용자는 직원이 사무집행에 관해 가한 손해를 배상하되, 선임·감독에 상당한 주의를 했거나 그 주의를 해도 손해를 피할 수 없었다면 면책된다(민법 제756조 제1항).

확인은 전체 사고 공지와 자신의 유출 내역을 맞추는 데서 시작한다. 해킹 사건이 있었어도 개별 이용자의 정보 유출을 뒷받침할 통지나 확인내역이 없으면 청구가 받아들여지지 않을 수 있다(2015다24904 이유 2). 가입 당시 제공한 정보, 유출 항목, 사고 시점과 해당 계정의 관계를 정리하면 자신의 피해를 특정하는 데 도움이 된다. 공개된 정보를 수집·제공한 행위의 동의 범위는 공개된 개인정보의 수집·제공과 동의의 범위에서 설명한다.

유출될 가능성이 있었다는 것만으로 배상받는가

구 정보통신망법을 적용한 대법원은 관리·통제하의 정보에 실제 접근이 없었다면 접근 가능성만으로 누출을 인정하지 않았다(2011다24555 판결요지 [1]). 여기서 누출은 정보가 사업자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태가 되는 것을 뜻한다(같은 판결 판결요지 [1]).

문제가 된 사이트에서는 휴대전화번호를 입력해야 가입자 정보가 전송됐다. 해당 원고들의 번호가 입력됐는지 확인되지 않았고 사업자가 연동을 끊어 접근을 막을 수 있던 정보에 대해서는 누출을 부정했다(2011다24555 판결요지 [2]). 다만 주민등록번호가 실제 조회된 두 원고의 경우에는 누출을 인정했다. 이들은 조회자의 친구였고 조회 방법을 알려주거나 탄원서를 낸 사정 등이 있어 배상할 정신적 고통을 부정했다(같은 판결 이유 2.나).

현재 개인정보처리자는 실제 유출등뿐 아니라 대통령령이 정한 유출등의 가능성을 알게 된 경우에도 통지 의무를 질 수 있다(개인정보 보호법 제34조 제1항·제2항). 따라서 통지를 받았다는 사실과 자신의 손해배상 요건이 갖춰졌다는 판단은 같지 않다(같은 법 제39조 제1항). 안내가 실제 유출을 확인한 것인지 위험을 알린 것인지, 본인의 정보가 포함됐는지를 확인해야 한다.

회사는 해킹을 막지 못하면 언제나 책임지는가

구 정보통신망법상 사업자는 사고 당시 합리적으로 기대되는 보호조치를 다했는지를 기준으로 의무 위반을 판단받는다(2013다43994 판결요지 [2]). 법원은 다음 사정을 종합한다(같은 판결 판결요지 [2]).

사고 당시 알려진 보안기술과 해킹기술의 수준을 대조하고 피해를 피할 수 있었는지를 본다.
사업자의 업종·영업규모와 실제 취한 보안조치 전체의 내용을 살핀다.
보안에 드는 비용과 효용, 수집한 정보의 내용과 예상되는 피해를 고려한다.

당시 고시의 보호조치를 모두 이행했다면 특별한 사정이 없는 한 법률상·계약상 의무 위반을 인정하기 어렵다고 보았다(2013다43994 판결요지 [2]). 다만 고시는 최소기준이므로, 일반적으로 쉽게 예상하고 합리적으로 기대할 수 있는 추가 보호조치를 빠뜨리면 위법할 수 있다(2015다24904 판결요지 [2]). 주의의무를 어겨 타인의 불법행위를 돕고 그 방조와 손해 사이에 상당인과관계가 있어도 책임을 면하지 못한다(같은 판결 판결요지 [2]).

현재 개인정보처리자는 유출등을 막기 위해 법령이 정한 기술적·관리적·물리적 안전조치를 해야 한다(개인정보 보호법 제29조). 옛 해킹 사건에서 특정 조치를 의무로 보지 않았다는 이유로 현재의 안전조치 의무까지 없다고 판단할 수는 없다. 당시의 법령과 기술 수준을 기준으로 한 판결이기 때문이다(2013다43994 판결요지 [2]).

개인정보가 유출되면 정신적 손해도 인정되는가

법원은 유출정보의 성격과 열람·확산·후속침해 가능성 등 구체적 사정을 종합해 위자료로 배상할 정신적 손해를 판단한다(2011다59834 판결요지 [1]). 재산상 피해와 구별되는 정신적 손해의 배상에 관한 일반 설명은 위자료에서 볼 수 있다.

판단에는 다음 사정이 함께 고려된다(2011다59834 판결요지 [1]).

유출된 정보의 종류·성격과 그 정보로 개인을 식별할 가능성을 살핀다.
제3자의 실제 열람 여부와 확산 범위를 본다. 열람 여부가 불명확하면 현재·장래의 열람 가능성을 살핀다.
추가적인 권리침해 가능성, 정보의 관리 실태와 유출 경위, 피해·확산 방지조치를 함께 고려한다.

보너스카드 고객정보를 직원이 빼내 공범·언론관계자에게 전달한 사건에서는 위자료를 부정했다. 저장매체가 모두 회수·폐기됐고 다른 유출 흔적도 없었으며, 한정된 열람으로 특정 정보를 식별하기 어려웠다(2011다59834 판결요지 [2]). 명의도용 등 후속 피해가 생겼다고 추정할 사정도 발견되지 않았다는 점을 함께 고려한 결과다(같은 판결 판결요지 [2]).

이 판단은 회수했다는 사실 하나만으로 책임을 면제한 것이 아니다(2011다59834 판결요지 [1]·[2]). 피해자는 자신의 정보가 누구에게 어떤 상태로 전달됐고 추가 침해에 어떻게 노출됐는지 설명할 자료를 정리하는 것이 좋다.

법정손해배상에서는 처리자의 정신적 손해 부존재 주장을 판단할 때에도 이와 같은 사정들을 종합한다. 다만 피해자의 손해 증명을 덜어 주려는 제도의 취지가 무너지지 않도록 판단해야 한다(2023다311184 판결요지 [3]).

피해자와 개인정보처리자는 각각 무엇을 증명해야 하는가

개인정보처리자는 법 위반으로 손해배상 문제가 생겼을 때 고의·과실이 없음을 증명해야 책임을 면할 수 있다(개인정보 보호법 제39조 제1항). 이는 잘못에 관한 증명책임의 특칙이다. 법 위반으로 자신에게 손해가 생겼다는 정보주체의 주장까지 모두 사실로 추정하는 규정은 아니다(같은 법 제39조 제1항).

인과관계는 문제 삼는 의무 위반이 손해를 일으켰다고 연결할 수 있는 관계다. 네이트·싸이월드 해킹 사건에서 대법원은 작업 종료 후 로그아웃을 하도록 할 보호조치 의무를 인정했다(2015다24904 판결요지 [3]). 그러나 해커가 키보드 입력을 몰래 가로채 이미 관리자 계정정보를 확보한 상태였다. 로그아웃 여부와 무관하게 접속할 수 있어 그 조치 미이행과 해킹 사이의 상당인과관계를 부정했다(같은 판결 판결요지 [3]).

제39조에 따라 실제 손해를 배상받으려는 정보주체는 유출·의무 위반·인과관계·손해에 관한 자료를 구분할 필요가 있다(개인정보 보호법 제39조 제1항, 2015다24904 이유 2·3). 계약책임을 주장할 때에도 계약상 보호의무가 무엇이고 이를 어겨 어떤 손해가 생겼는지를 특정해야 한다(민법 제390조). 채무자가 고의·과실 없이 이행할 수 없게 된 경우의 면책과, 계약상 의무 자체가 있었는지는 별개의 문제다(같은 법 제390조).

법정손해배상을 청구하는 정보주체는 유출등의 사실을 증명하면 되고, 손해 발생을 구체적으로 증명할 필요는 없다(2023다311184 판결요지 [2]). 위자료 청구에서는 처리자가 배상할 정신적 손해가 없음을 주장·증명해 책임을 면할 수 있다(같은 판결 판결요지 [3]).

실제 손해액을 밝히기 어렵다면 얼마를 청구할 수 있는가

정보주체는 법정손해배상 요건을 충족하면 300만원 이하의 상당액을 청구할 수 있다(개인정보 보호법 제39조의2 제1항). 고의·중과실에 따른 유출등으로 손해가 발생했다면 별도의 가중배상도 문제된다(같은 법 제39조 제3항).

법정손해배상

개인정보처리자의 고의·과실로 유출등이 발생해야 하며, 처리자가 고의·과실이 없음을 증명하면 책임을 면한다(같은 법 제39조의2 제1항). 여기서 유출등에는 분실·도난·유출·위조·변조·훼손이 포함된다(같은 법 제23조 제2항).

법원은 변론 전체와 증거조사 결과를 보고 300만원 이하에서 상당액을 인정할 수 있으므로, 모든 피해자에게 정액을 지급하는 제도는 아니다(개인정보 보호법 제39조의2 제2항). 제39조에 따라 청구했다면 사실심 변론이 끝나기 전까지 법정손해배상 청구로 바꿀 수 있다(같은 법 제39조의2 제3항). 이는 사실관계와 증거를 심리하는 재판 단계에서 청구를 변경할 수 있는 기한이다.

법정손해배상은 2016년 7월 25일부터 시행됐다(개인정보 보호법 부칙 제1조(2015.7.24)). 시행 후 분실·도난·유출·위조·변조·훼손된 정보에 관한 청구부터 적용된다(같은 법 부칙 제2조(2015.7.24)).

고의·중과실에 대한 가중배상

법원은 고의·중과실에 따른 유출등으로 손해가 생겼다면 손해액의 5배 이내에서 배상액을 정할 수 있다(개인정보 보호법 제39조 제3항). 개인정보처리자가 고의·중과실이 없음을 증명하면 이 가중배상은 적용되지 않는다(같은 법 제39조 제3항 단서). 법원은 고의 또는 손해 발생의 우려를 인식한 정도, 피해 규모, 위반으로 얻은 이익, 벌금·과징금, 위반 기간·횟수, 재산상태와 회수·피해구제 노력 등을 고려해야 한다(같은 법 제39조 제4항).

가중배상은 2016년 7월 25일부터 시행됐으며, 당시 상한은 손해액의 3배였다(개인정보 보호법 부칙 제1조(2015.7.24), 같은 법 당시 제39조 제3항). 그 3배 상한은 2016년 7월 25일 이후 사고부터 적용된다(같은 법 부칙 제2조(2015.7.24)). 2023년 9월 14일까지 발생한 사고가 그 대상이다(같은 법 부칙 제1조(2023.3.14)). 5배 상한은 2023년 9월 15일부터 시행됐다(같은 법 부칙 제1조(2023.3.14)).

법정손해배상의 한도에 배수를 곱해 확정액을 구하는 방식은 아니다. 각 제도의 요건과 법원이 정할 상당액 또는 손해액을 구별해야 한다(개인정보 보호법 제39조의2 제1항·제2항, 같은 법 제39조 제3항).

손해배상청구는 언제까지 해야 하는가

정보주체의 불법행위 청구는 원칙적으로 손해 및 가해자를 안 날부터 3년과 불법행위일부터 10년의 시효를 함께 따진다(민법 제766조 제1항·제2항). 다만 국가·지자체에 대한 불법행위 청구는 아래와 같이 행위일부터의 기간이 더 짧다. 소멸시효는 일정 기간 권리를 행사하지 않아 그 권리가 소멸하는 제도다. 사고 공지일을 일률적인 기산일로 삼지 않고 피해자나 법정대리인이 손해와 가해자를 안 시점을 살펴야 한다(같은 법 제766조 제1항).

국가·지방자치단체에 대한 불법행위 청구

국가에 대한 불법행위 손해배상은 손해 및 가해자를 안 날부터 3년, 행위일부터 5년의 시효를 함께 따진다(민법 제766조 제1항, 국가재정법 제96조 제1항·제2항). 구 예산회계법 판례는 다른 법률의 더 짧은 시효는 적용하되, 민법의 10년은 국가의 5년 시효를 대체하지 못한다고 보았다(99다53742 판결요지 [3]).

지방자치단체에 대한 불법행위 청구도 손해 및 가해자를 안 날부터 3년, 행위일부터 5년이다(민법 제766조 제1항, 지방재정법 제82조 제1항·제2항). 구 지방재정법 판례 역시 다른 법률의 더 짧은 기간이 있는 경우 외에는 사법상 금전채권에도 5년을 적용한다고 설명했다(77다1048 이유 1).

회사와의 서비스계약에 따른 청구

회사는 상인으로 취급되며, 한쪽 당사자의 행위가 상행위인 거래에도 상법을 적용한다(상법 제5조 제2항, 같은 법 제3조). 따라서 회사의 영업상 서비스계약을 어긴 데 따른 배상청구에는 원칙적으로 5년의 상사시효가 적용된다(같은 법 제64조). 다른 법령에 더 짧은 시효가 있으면 그 기간이 우선한다(같은 법 제64조 단서).

계약상 보호의무 위반에 따른 청구와 불법행위 청구는 각각의 요건을 따지는 별개의 청구다(민법 제390조·같은 법 제750조). 같은 유출 사고라도 두 청구의 기간을 합쳐 하나의 기한으로 계산하지 않는다. 일반 민사채권의 기간과 구체적인 기산점·중단·정지는 소멸시효에서 설명한다.

배상을 요구하기 전에 어떤 자료를 정리할 것인가

정보주체는 청구 근거에 맞춰 자신의 유출 사실과 배상 주장을 뒷받침할 자료를 정리해야 한다(개인정보 보호법 제39조 제1항, 2023다311184 판결요지 [2]).

보존 자료와 배상·조정 요구

다음은 유출 및 실제 손해배상 주장을 구체화하는 자료의 예시다.

회사가 보낸 통지와 개별 조회 결과에서 자신의 유출 항목·시점·경위를 확인한다(개인정보 보호법 제34조 제1항 제1호·제2호).
가입 기록·약관은 어떤 정보를 제공했고 회사가 어떤 계약상 보호의무를 부담했는지 설명하는 자료로 모은다(2013다43994 판결요지 [1]).
공개된 조사 결과에서 확인되는 보안조치 미비와 실제 침입 방법을 함께 정리한다(2015다24904 판결요지 [2]·[3]).
명의도용 등 후속 피해의 내역과 시점, 정보의 열람·확산에 관한 자료를 보존한다(2011다59834 판결요지 [1]).

회사에 보낸 배상 요구와 그 답변도 남겨 두는 것이 좋다. 요구하는 금액과 이유를 적을 때에는 실제 손해에 대한 배상인지 법정손해배상인지 밝혀 두면 청구 내용을 정리하기 쉽다(개인정보 보호법 제39조 제1항, 같은 법 제39조의2). 유출 통지에 적힌 대응조치·피해구제 안내를 읽되, 피해 확산을 막는 조치와 금전배상은 목적과 요건이 다르다(같은 법 제34조 제1항·제3항, 같은 법 제39조 제1항).

개인정보 분쟁의 조정을 원하는 사람은 개인정보분쟁조정위원회에 신청할 수 있다. 개인정보처리자는 신청 통지를 받으면 특별한 사유가 없는 한 조정에 응해야 한다(개인정보 보호법 제43조 제1항·제3항).

소송 중 상대방 자료의 제출

법원은 개인정보법 위반에 따른 배상소송에서 당사자의 신청으로 손해 증명이나 손해액 산정에 필요한 상대방 자료의 제출을 명할 수 있다(개인정보 보호법 제39조의3 제1항). 상대방에게 제출을 거부할 정당한 이유가 있으면 예외다(같은 법 제39조의3 제1항 단서). 이 제도는 2023년 9월 15일 이후 제기한 손해배상소송부터 적용된다(같은 법 부칙 제1조(2023.3.14), 같은 법 부칙 제3조(2023.3.14)).

거부 이유가 다투어지면 법원은 그 당부를 살피기 위해 자료 제시를 명할 수 있고, 이때 다른 사람이 그 자료를 보게 해서는 안 된다(개인정보 보호법 제39조의3 제2항). 영업비밀이어도 손해 증명·액수 산정에 반드시 필요한 자료라면 그 사유로 제출을 거부할 수 없다. 대신 법원이 열람 범위 또는 열람할 사람을 지정해야 한다(같은 법 제39조의3 제3항).

상대방이 정당한 이유 없이 명령에 따르지 않으면 법원은 자료에 적힌 내용에 관한 신청인의 주장을 진실로 인정할 수 있다(개인정보 보호법 제39조의3 제4항). 신청인이 그 내용을 구체적으로 주장하기 현저히 곤란하고 다른 증거로 해당 사실을 증명하기도 기대하기 어렵다면, 효과가 더 넓어질 수 있다. 이때 법원은 자료로 증명하려던 사실에 관한 주장 자체를 진실로 인정할 수 있다(같은 법 제39조의3 제5항).

실무 체크포인트

전체 해킹 공지와 별도로 자신의 정보 유출을 확인할 통지·조회 내역을 확보한다(2015다24904 이유 2).
법정손해배상은 유출등 사실을 증명하되, 손해 발생의 구체적 증명은 필요하지 않다(2023다311184 판결요지 [2]). 법정손해배상으로 위자료를 청구하는 경우, 처리자는 배상할 정신적 손해가 없음을 증명해 면책될 수 있다(같은 판결 판결요지 [3]).
보호조치 미비를 주장할 때에는 그 미비가 사고를 막지 못한 원인인지 함께 살핀다(2015다24904 판결요지 [3]).
불법행위 청구는 원칙적으로 손해·가해자를 안 날부터 3년과 행위일부터 10년을 점검한다(민법 제766조 제1항·제2항). 국가·지자체 상대 청구에서는 행위일부터 5년을 적용한다(국가재정법 제96조 제1항·제2항, 지방재정법 제82조 제1항·제2항).
회사의 영업상 서비스계약 위반에 따른 청구는 불법행위 청구와 구분해 원칙적으로 5년의 상사시효를 확인한다(상법 제64조).
손해 증명·손해액 산정 자료가 상대방에게 있다면 소송에서 제출명령을 신청할 수 있다(개인정보 보호법 제39조의3 제1항).