충격적인 개인정보 대량 유출 사건이 있었습니다. 국내 대형 유통회사가 고객들의 동의 없이 863만명의 개인정보를 보험회사들에 제공했다는 사실이 밝혀졌습니다. 하지만 피해자들이 손해배상을 청구했더니 뜻밖의 결과가 나왔는데요.
사건의 전말
A유통회사가 고객 863만명의 개인정보를 고객들의 동의 없이 여러 보험회사들에 제공했습니다. 이는 사전필터링이라는 명목으로 이루어졌습니다.
이 사실이 수사기관에 의해 밝혀지면서 개인정보 보호법 위반으로 형사처벌을 받게 되었습니다. 최종적으로 기소된 개인정보 건수는 약 443만건이었습니다.
피해를 입은 고객들이 A유통회사를 상대로 정신적 피해에 대한 위자료를 청구하는 집단소송을 제기했습니다.
원고들이 자신의 개인정보가 실제로 제공되었다는 구체적 증거를 제시하지 못하면서 소송에서 어려움을 겪었습니다.
일부 원고들(4명)만 위자료를 인정받았고, 나머지 원고들은 개인정보 제공 사실을 입증하지 못해 패소했습니다.
2024년 대법원에서 원심 판결이 확정되어 개인정보 침해 입증 책임의 한계가 명확해졌습니다.
"개인정보 보호법 위반 사실 자체는 피해자가 입증해야 한다"
원심 판결 유지 - 상고 기각
왜 패소했을까
핵심은 개인정보 보호법 제39조 제1항의 해석에 있었습니다:
"정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다."
입증 책임의 구분
• 피해자(정보주체)가 입증해야 할 것: 개인정보 보호법 위반 행위 자체
• 가해자(처리자)가 입증해야 할 것: 고의나 과실이 없었다는 점
즉, 법 위반 사실은 피해자가 입증해야 하고, 고의·과실만 가해자가 반증하면 되는 구조입니다.
구체적인 패소 이유
1. 전체 vs 일부: 전체 863만명 중 실제 기소된 건수는 443만건(50% 수준)
2. 개별 입증 부족: 각 원고의 개인정보가 실제로 제공되었다는 구체적 증거 부족
3. 다른 사건과의 차이: 유사한 다른 사건에서는 회사 협조로 제공 내역을 확인할 수 있었음
4. 증명 방해 주장 한계: 회사의 증명 방해만으로는 입증 책임이 전환되지 않음
실제 처벌 과정
승소: 4명 원고만 위자료 인정
패소: 나머지 다수 원고들 - 개인정보 제공 사실 입증 실패
상고: 대법원에서 원심 판결 확정 (2024년)
위자료: 승소한 원고들의 구체적 위자료 금액은 공개되지 않음
• 개인정보 보호법 위반: 5년 이하 징역 또는 5천만원 이하 벌금
• 대량 개인정보 제공: 가중처벌 가능
• 회사 차원: 양벌규정에 따른 회사 처벌
• 행정처분: 과징금 및 시정명령
개인정보 침해 손해배상의 한계
이번 판례는 개인정보 침해 피해자들이 직면하는 현실적 어려움을 잘 보여줍니다:
- 개인정보 제공 사실: 내 정보가 실제로 제3자에게 제공되었다는 점
- 법 위반 행위: 동의 없이 제공하는 등 개인정보 보호법 위반
- 손해 발생: 정신적 피해나 재산적 손해가 실제로 발생했다는 점
- 인과관계: 개인정보 제공과 손해 사이의 인과관계
• 정보 접근 한계: 회사 내부 자료에 피해자가 접근하기 어려움
• 개별 확인 곤란: 대량 제공 중 개인별 제공 여부 확인 어려움
• 손해 산정 문제: 정신적 피해의 구체적 금액 산정 어려움
• 증명 방해 한계: 회사의 비협조만으로는 입증 책임 전환 안됨
개인정보 보호 실무 가이드
- 즉시 신고: 개인정보보호위원회 개인정보 침해신고센터(privacy.go.kr)
- 증거 수집: 침해 관련 문자, 이메일, 통화 기록 등 보관
- 열람권 행사: 개인정보 처리현황 열람·정정·삭제 요구
- 집단분쟁조정: 개인정보 분쟁조정위원회 활용
- 소송 시 준비: 구체적 피해 사실과 증거 충분히 준비
• 동의권: 개인정보 처리에 대한 동의 여부 결정
• 열람권: 본인 개인정보 처리현황 확인
• 정정·삭제권: 잘못된 정보의 수정이나 삭제 요구
• 처리정지권: 개인정보 처리 중단 요구
• 손해배상청구권: 피해 발생 시 배상 청구
유사한 실제 사례들
- 카드회사 개인정보 판매: 대량 고객 정보 판매, 징역형 확정
- 통신사 위치정보 제공: 수사기관에 무단 제공, 과징금 부과
- 온라인쇼핑몰 해킹: DB 유출로 집단소송, 일부 위자료 인정
- 병원 의료정보 유출: 직원 무단 열람, 개별 손해배상 인정
기업의 개인정보 보호 의무
• 동의 없는 개인정보 제공: 5년 이하 징역 또는 5천만원 이하 벌금
• 개인정보 판매·영리목적 제공: 5년 이하 징역 또는 5천만원 이하 벌금
• 개인정보 처리 거부·방해: 3년 이하 징역 또는 3천만원 이하 벌금
• 안전성 확보 의무 위반: 2년 이하 징역 또는 2천만원 이하 벌금
- 동의 획득: 개인정보 수집·이용·제공 전 명시적 동의
- 목적 제한: 수집 목적 범위 내에서만 처리
- 최소 수집: 목적 달성에 필요한 최소한의 정보만 수집
- 안전성 확보: 기술적·관리적 보호조치 이행
- 개인정보보호책임자 지정: 전담 조직 및 책임자 운영
법적 교훈과 시사점
863만명이라는 대규모 개인정보 침해 사건임에도 불구하고 대부분의 피해자가 손해배상을 받지 못한 이번 판례는 중요한 시사점을 던집니다.
핵심 교훈 - 개인정보 침해 피해를 입었다고 해서 자동으로 손해배상을 받을 수 있는 것은 아닙니다. 개인정보 보호법 위반 사실을 구체적으로 입증해야 하고, 이는 생각보다 어려운 일입니다. 따라서 사전 예방이 무엇보다 중요하며, 피해 발생 시에는 충분한 증거 수집과 전문가 도움이 필요합니다.
개인정보는 한 번 유출되면 되돌릴 수 없는 소중한 자산입니다. 기업은 더욱 철저한 보호 의무를 다해야 하고, 개인은 자신의 정보를 지키기 위해 적극적으로 권리를 행사해야 합니다.