변호사 박기민｜[email protected]
1. 서론
개인정보처리자는 개인정보의 안전한 관리를 위해 내부관리계획을 수립하고 접속기록을 보관하는 등 안정성 확보에 필요한 물리적, 관리적, 기술적 조치를 취해야 할 의무를 부담하고, 이러한 의무를 위반해 정보주체에게 손해가 발생하면 손해배상책임을 부담합니다. 다만, 이 경우 다수의 정보주체에게 소액의 피해가 발생하는 것이 보통이고 실제 손해가 발생하였다는 것을 입증하는 것이 쉽지는 않기 때문에 실제 정보주체가 피해를 구제받기는 쉽지 않습니다. 이에 따라 개인정보보호법은 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다고 하여 손해의 발생사실을 구체적으로 주장하거나 입증하지 않아도 손해배상을 청구할 수 있는 길을 열어 놓았습니다(소위 ‘법정손해배상책임’).
2. 개인정보가 유출되면 무조건 손해배상책임이 성립하는지
다만, 그 동안 법정손해배상책임을 추궁하는 사건에서 정보주체에게 위자료로 배상할 만한 정신적인 손해가 발생하지 않았음을 이유로 개인정보처리자가 손해배상책임을 부정할 수 있는지에 관해 하급심 판례의 입장이 일관되지 않았습니다. 이에 대법원은 최근 개인정보처리자가 정보주체에게 정신적 손해가 발생하지 않았음을 주장∙증명함으로써 법정손해배상책임을 면할 수 있다는 명시적인 판결을 내려 주었습니다.
정신적 손해가 발생하였는지 여부는 유출된 개인정보의 성격, 개인정보 유출로 정보주체를 식별할 가능성이 발생하였는지, 제3자가 유출된 개인정보를 열람하였는지 또는 장래에 열람할 가능성이 있는지, 유출된 개인정보의 확산 범위, 개인정보 유출로 추가적인 법익 침해가능성이 있는지, 개인정보처리자의 개인정보 관리 상황과 유출의 경위, 유출로 인한 피해 발생 및 확산을 방지하기 위해 개인정보처리자가 취한 조치 등을 종합해서 판단해야 합니다.
대법원은 ‘이메일 주소’가 성명 등 다른 개인정보와 결합된 상태로 유출되지 않았고 추가적인 정보가 없는 한 유출된 이메일 주소 그 자체만으로는 정보주체를 식별할 수 없다는 점, 유출된 사이트의 가입자 유형이 매우 폭넓고 다양하여 가입자의 가입시기나 이용내역 등이 함께 유출되지 않은 이상 이메일 만으로는 해당 가입자의 성향이나 수요 등을 파악하기 어렵다는 점, 유출과 관련된 스팸메일의 증가가 확인되지 않고 추가적인 법익침해나 2차 피해가 확인되지 않는다는 점, 개인정보처리자가 유출 이후 정보주체에게 유출사실을 통보하고 비밀번호 변경을 요청하는 등 적절할 조치를 취하였다는 점을 고려하여, 개인정보유출에도 불구하고 정보주체에게 위자료로 배상할 만한 정신적인 손해가 발생하였다고 볼 수 없다고 판단하였습니다.
3. 시사점
개인정보가 유출되어 정보주체에게 실제 재산적 피해가 발생한 경우, 예컨대, 유출된 정보로 대금 결제가 이뤄진 경우에는 그 재산적 피해를 증명하여 손해배상을 청구하면 되지만, 이러한 추가적인 재산 피해가 딱히 없는 경우 개인정보 유출만으로 정보주체에게 정신적인 피해가 발생하는지는 제반 사정을 고려하여 따져 볼 문제라는 것이 법원의 입장입니다. 따라서 이러한 경우에는 정보유출과 관련한 제반 사실관계를 검토한 후 유리한 사실관계를 잘 선별하여 증거와 함께 법원에 제출하는 것이 중요하므로 이를 유념하시기 바랍니다.
