뉴스이야기
[내 이메일이 유출되었는데 보상금이 0원?]
2026-09-11
내 이메일이 유출되었는데 보상금이 0원?
- 대법원 2023다11184 판결 -
쿠팡 사건 영향 주나...대법 "정보유출, 손해 없다면 책임면제"
어느 날 갑자기 날아온 한 통의 메일, "귀하의 개인정보가 유출되었습니다"라는 문구를 마주하면 누구나 가슴이 덜컥 내려앉기 마련입니다. 내 소중한 비밀번호와 이메일이 해커의 손에 들어갔다는 사실만으로도 큰 불쾌감과 함께 '정신적 충격'을 호소하게 되죠. 특히 그 피해자가 수만명에 달하는 대규모 해킹 사고라면, 기업이 당연히 그에 합당한 보상을 해야 한다고 믿는 것이 우리의 상식입니다.
하지만 최근 대법원에서 이러한 대중의 통념을 뒤집는 파격적인 결론을 내놓았습니다(대법원 2023다311184 판결). 개인정보가 실제로 유출되었고 기업의 보안 조치 미흡이 인정되었음에도 불구하고, 결론적으로 '보상금은 0원'이라는 판결이 확정된 것입니다.
오늘은 대법원이 왜 이런 냉정한 판단을 내렸는지 그 이면의 논리를 살펴보겠습니다.
1. 사건의 발단: "내 정보가 털렸다!"
이 사건의 피고는 온라인 지식거래 서비스를 제공하는 인터넷 사이트를 운영하는 회사였습니다. 피고는 사이트 가입자들의 개인정보파일을 운용하기 위해 개인정보를 처리하는 개인정보처리자에 해당하였습니다.
이 사건의 원고는 이 사건 사이트에 회원으로 가입하면서, 피고에게 아이디, 비밀번호, 성명, 생년월일, 성별, 전화번호, 이메일 주소 등 개인정보를 제공하였습니다.
그런데, 2021년 9월 해커의 공격으로 인해 원고를 포함하여 이 사이트 가입자 약 40만 명의 개인정보가 유출되는 사고가 발생했습니다. 당시 유출된 원고의 정보는 '암호화된 비밀번호'와 '이메일 주소'였습니다.
이에 원고는 정보 유출로 인해 정신적 손해를 입었다고 주장하면서 개인정보보호법에 따른 법정손해배상을 청구(개인정보보호법 제39조의2)하며 소송을 제기했습니다.
2. 쟁점: "피해를 입증하지 않아도 배상받을 수 있나요?"
<참고> 개인정보보호법 제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. 제39조의2(법정손해배상의 청구) ① 제39조제1항에도 불구하고 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. |
개인정보보호법 제39조의2 제1항에는 '법정손해배상' 제도가 있습니다. 보통 민사소송에서는 피해자가 "내가 얼마의 손해를 입었다"는 것을 구체적으로 증명해야 하지만, 개인정보 유출 사고는 피해액을 산정하기 어렵기 때문에 유출 사실만 입증하면 300만 원 이하의 범위에서 상당한 금액을 배상받을 수 있도록 한 제도입니다.
그래서 원고는 "내 정보가 유출되었으니 법에 따라 배상해 달라"고 주장했고, 반대로 피고(회사)는 "유출은 됐지만, 실질적인 피해는 없었으니 배상할 수 없다"고 맞선 것입니다.
3. 대법원의 판단: "피해가 없다면 배상도 없다"
대법원은 회사의 손을 들어주었습니다(원고 패소). 그 핵심 이유는 "손해가 발생하지 않은 것이 분명한 경우까지 배상의무를 인정하려는 것은 법의 취지가 아니기 때문"입니다.
대법원은, “개인정보 보호법 제39조의2 제1항의 입법취지는 현대사회에서 개인정보 유출 등의 법익침해가 있을 경우 손해에 관한 증명이 곤란하더라도 정보주체로 하여금 개인정보처리자로부터 일정한 한도의 법정금액을 배상받을 수 있도록 함으로써 피해자가 쉽게 권리구제를 받을 수 있도록 하는것”이라고 하면서도, 그러나 “손해가 발생하지 않은 것이 분명한 경우까지 손해배상의무를 인정하려는 것이 위 규정의 취지는 아니므로, 정보주체가 위자료 배상을 청구하는 경우 개인정보처리자로서는 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 아니하였음을 주장, 증명함으로써 위 규정에 따른 법정손해배상책임을 면할 수 있다”고 판시하였습니다. |
법원은 정보주체가 유출 사실만 주장하면 배상 청구가 가능하다고 보면서도, 반대로 회사가 "정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다"는 점을 입증하면 책임을 면할 수 있다고 판단한 것입니다.
4. 왜 이 사건에서는 '손해'가 없다고 보았을까?
대법원은 다음과 같은 구체적인 이유를 들어 원고에게 정신적 손해가 발생하지 않았다고 보았습니다.
√ 암호화된 정보: 유출된 비밀번호는 암호화되어 있어서 해커나 제3자가 그 내용을 알거나 이용할 가능성이 매우 낮았습니다.
√ 식별 곤란: 이메일 주소가 유출되긴 했지만, 이름(성명) 같은 다른 정보와 결합되지 않아서 이메일만으로는 그게 누구인지 알아내기 어렵다고 보았습니다.
√ 낮은 악용 가능성: 해당 사이트는 지식공유 사이트라서, 가입 시기나 이용 내역 없이 이메일만 유출된 것으로는 개인의 사생활이 침해되거나 영리 목적(마케팅 등)으로 악용될 위험이 낮다고 판단했습니다.
√ 2차 피해 부존재: 사고 발생 후 2년이 지날 때까지 스팸메일이 증가하거나 추가적인 피해가 발생했다는 증거가 없었습니다.
√ 회사의 조치: 회사는 해킹 인지 후 즉시 신고하고 가입자들에게 알리는 등 피해 확산을 막기 위해 노력했습니다.
5. 마치며: 무조건적인 배상은 어렵습니다
이번 대법원 판결은 단순히 개인정보가 유출되었다는 사실만으로 무조건 위자료를 받을 수 있는 것은 아니라는 점을 명확히 했습니다. 유출된 정보가 암호화되어 안전하거나, 실질적으로 개인을 식별하기 어려워 2차 피해의 우려가 없는 경우라면 법원은 배상 책임을 인정하지 않을 수 있습니다.
물론, 주민등록번호나 계좌번호처럼 민감한 정보가 그대로 유출되거나 이로 인해 스팸 폭탄을 받는 등 실질적인 불안감이나 피해가 발생한 경우에는 여전히 배상 청구가 가능합니다.
오늘의 포스팅이 개인정보 유출 사고와 법적 권리를 이해하는 데 도움이 되셨기를 바랍니다.
☞ 자세한 내용은 아래 블로그 링크를 통해 확인 부탁드립니다.
https://blog.naver.com/jinsim0801/224174121054