해당판례
대법원 2014. 5. 16. 선고 2011다24555,24562 판결〔손해배상(기)·손해배상(기)〕
상고를 모두 기각하였다. 대부분의 원고는 개인정보 누출이 확인되지 않았고, 실제 누출이 확인된 일부 원고도 위자료로 배상할 정신적 손해를 인정하기 어렵다는 이유로 손해배상청구가 배척되었다.
하급심
제1심: 서울중앙지방법원 2009. 11. 6. 선고 2008가합75268, 2009가합91281(병합) 판결
이동통신사에 대한 청구를 일부 인용하고, 학교법인에 대한 청구는 배척하였다.
원심: 서울고등법원 2011. 2. 10. 선고 2009나119131, 2009나119148 판결
원심은 제1심 중 이동통신사 패소 부분을 취소하고, 원고들의 청구를 모두 기각하였다.
외부 사이트에 휴대폰번호를 입력하면 개인정보가 전송될 수 있었다는 사정만으로 원고들의 정보가 실제 누출되었다고 볼 수 없다고 판단하였다. 실제 조회가 확인된 원고 130과 원고 214에 대해서도 조회자와의 관계, 취약점 발견 및 이용 경위 등을 고려하여 배상할 정신적 손해를 부정하였다.
대법원의 판단
대법원은 개인정보의 누출을 사업자의 관리·통제권을 벗어나 제3자가 내용을 알 수 있는 상태에 이른 경우로 정의하였다. 이 사건에서 조회되지 않은 개인정보는 통신사 서버에 남아 있었고, 통신사가 연동을 차단하여 접근 가능성을 제거할 수 있었으므로 단순한 접근 가능성만으로 누출을 인정할 수 없다고 판단하였다.
원고 130과 원고 214에 관해서는 별도의 조회 페이지를 통해 주민등록번호가 조회되어 누출된 사실을 인정하면서도, 정신적 손해를 부정한 원심의 결론을 유지하였다.
상고기각으로 원고 전부 패소가 확정되었으며, 파기환송심은 없다.
관련판례
개인정보가 실제 유출된 경우에도 위자료로 배상할 정신적 손해의 발생 여부는 정보의 종류, 제3자의 열람·확산 가능성, 추가 피해 가능성, 유출 경위 및 사후조치 등을 종합하여 개별적으로 판단한다고 보았다.
대상판결에서 실제 누출이 인정된 일부 원고의 정신적 손해를 별도로 심사한 부분과 연결된다. 두 판결 모두 개인정보 유출 사실과 위자료청구권의 성립을 동일시하지 않는다.
대규모 해킹으로 개인정보가 실제 유출된 사건에서, 사고 당시 기술수준과 전체 보안조치 등을 고려하여 사업자의 보호의무 위반 여부를 판단하였다.
대상판결은 주로 ‘누출이 있었는지’와 ‘정신적 손해가 발생했는지’를 다룬다. 반면 이 판결은 실제 유출을 전제로 ‘사업자가 필요한 보호조치를 다했는지’를 다룬다는 차이가 있다.
카드고객정보가 유출되어 제3자에게 열람되었거나 앞으로 열람될 가능성이 크고, 추가 범죄에 악용될 수 있다는 사정 등을 고려하여 정신적 손해와 각 10만 원의 위자료를 인정하였다.
대상판결의 위자료 부정 결론은 해당 원고들의 구체적인 사정에 따른 것으로, 실제 재산상 피해가 발생해야만 개인정보 유출에 대한 위자료가 인정된다는 의미는 아니다.
관련법령
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제24조의2 제1항 개인정보를 제3자에게 제공할 때의 고지·동의에 관한 규정이다. 원고들은 콘텐츠 제공업체에 대한 무단 제공을 주장하였다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제25조 제4항·제5항 개인정보 취급 수탁자에 대한 관리·감독과 손해배상책임상 소속직원 의제에 관한 규정이다. 콘텐츠 제공업체의 계정관리 소홀에 대한 통신사의 책임 주장과 관련된다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제28조 제1항 개인정보의 분실·도난·누출 등을 방지하기 위한 기술적·관리적 보호조치 의무를 규정하였다. 원심이 인용한 정보통신부령 위임 문언에 해당하는 구법이다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제32조 개인정보 보호규정 위반으로 인한 손해배상과 사업자의 고의·과실에 관한 입증책임을 규정하였다. 고의·과실에 관한 입증책임과 누출·손해 발생 여부는 구분해야 한다.
- 민법 제390조 계약상 개인정보 보호의무 위반에 따른 손해배상청구의 관련 조문이다.
- 민법 제750조, 민법 제751조 제1항 불법행위 손해배상 및 정신적 손해에 대한 위자료의 기본 조문이다.
사실관계
원고들은 이동통신사의 개인휴대통신서비스 가입자들이다. 피고들은 가입자 정보를 보유한 이동통신사와, 대학을 설립·운영하면서 대학 산하 조직을 통하여 모바일 콘텐츠 사이트를 운영한 학교법인이었다.
통신사는 휴대폰 캐릭터·멜로디 서비스를 제공하기 위한 서버를 운영하였다. 외부 콘텐츠 제공업체는 통신사로부터 부여받은 계정으로 이 서버에 연동할 수 있었다.
대학 측은 학생들이 만든 벨소리·배경화면 등을 게시하고 휴대폰으로 내려받을 수 있도록 ‘엠샵사이트’를 구축하였다. 콘텐츠를 휴대폰에 맞게 제공하려면 기종과 화면 크기 등의 정보가 필요하여 ‘폰정보 조회’ 기능도 마련하였다.
사이트 개발업체는 2005. 10.경 시스템 작동을 점검하기 위해 통신사의 콘텐츠 제공업체로부터 그 업체의 아이디와 비밀번호를 임시로 제공받았다. 그러나 점검 후 이를 삭제하지 않아 엠샵사이트와 통신사 서버의 연동이 계속되었다.
이 상태에서 엠샵사이트에 특정 휴대폰번호를 입력하면 해당 가입자의 정보가 통신사 서버에서 전송되었다. 일반 화면에는 주로 휴대폰의 색상·화면 크기·화음 정보가 표시되었지만, 전송되는 주소와 데이터를 분석하면 주민등록번호·가입일 등의 정보도 확인할 수 있었다.
원고 130은 이러한 취약점을 발견하고 친구인 프로그래머에게 알려주었다. 그 프로그래머는 2008. 3. 21. 별도의 ‘휴대폰정보 조회’ 페이지를 만들어 가입자 583명의 주민등록번호를 조회하였다.
통신사는 2008. 3. 25. 콘텐츠 제공업체의 비밀번호를 강제로 변경하게 하여 엠샵사이트를 통한 개인정보 조회를 차단하였다.
이 사건 원고 대부분에 대해서는 휴대폰번호가 입력되어 개인정보가 실제 전송·조회되었다는 사실이 확인되지 않았다. 반면 원고 130과 원고 214는 위 프로그래머의 별도 조회 페이지에서 주민등록번호가 조회되었다. 따라서 583명의 조회 사실이 있다는 것과 이 사건 원고 전원의 정보가 조회되었다는 것은 구별된다.
원고들은 접근 가능한 상태를 방치한 통신사와 학교법인에 각 20만 원의 손해배상을 청구하였다.
법리
접근 가능성과 개인정보 누출의 구별
일반적 판단 기준: 개인정보 누출은 정보가 사업자의 관리·통제권을 벗어나 제3자가 내용을 알 수 있는 상태에 이른 것을 말한다. 정보가 여전히 관리·통제 아래 있고 실제 접근·열람이 이루어지지 않았다면, 외부에서 접근할 수 있는 보안상 취약점이 존재한다는 사정만으로 누출이 성립하지는 않는다.
사건에 대한 적용: 이 사건 시스템은 휴대폰번호를 입력해야 해당 가입자의 정보가 전송되는 구조였다. 입력 전에는 정보가 통신사 서버에 그대로 보관되어 있었고, 통신사는 계정 변경으로 연동을 끊을 수 있었다. 따라서 원고별 입력·전송이 확인되지 않은 이상 연동 상태만으로 누출을 인정하지 않았다.
이 법리를 ‘제3자가 실제 읽었다는 증거가 없으면 언제나 누출이 아니다’라고 확대해서는 안 된다. 핵심은 해당 정보가 관리·통제권을 벗어났는지이며, 이 사건은 조회되지 않은 정보가 원래 서버에 남아 있던 경우이다.
보호조치 미흡과 손해배상책임
일반적 판단 기준: 보호조치 의무의 위반과 그로 인한 권리침해·손해 발생은 별개의 요건이다. 안전조치에 미흡한 점이 있다는 사실만으로 곧바로 위자료청구권이 발생하지는 않는다.
사건에 대한 적용: 대법원은 통신사 등의 보호조치 의무 위반이나 학교법인의 접근권한 위반이 있었다고 하더라도, 원고들의 개인정보 누출이 인정되지 않는 이상 그로 인한 사생활 침해를 인정할 수 없다고 보았다. 이는 임시 계정 방치가 적절한 보안관리였다고 인정한 판단이 아니다.
실제 누출과 정신적 손해의 구별
일반적 판단 기준: 개인정보가 실제 누출되었다고 하더라도 금전으로 위자할 정신적 고통이 발생했는지는 구체적인 경위와 당사자의 사정을 고려하여 판단해야 한다.
사건에 대한 적용: 원고 130과 원고 214의 정보는 별도의 조회 페이지에서 조회되어 누출되었다고 인정하였다. 그러나 두 원고는 조회자의 친구였고, 원고 130이 취약점을 알려주었으며, 원고 214는 조회자를 위한 탄원서까지 제출하였다. 대법원은 이러한 사정을 종합하여 위자료로 배상할 정신적 고통을 인정하기 어렵다고 판단하였다.
친구에게 정보가 알려지면 손해가 없다는 일반론이 아니라, 취약점 발견·공유 및 조회자와의 관계를 종합한 개별 판단이다.
제3자 제공 가능성과 실제 제공의 구별
일반적 판단 기준: 제3자가 서버에 접속할 계정을 보유하고 있어 개인정보가 제공될 수 있다는 사정과, 해당 정보주체의 개인정보가 실제 제공되었다는 사실은 구별된다.
사건에 대한 적용: 콘텐츠 제공업체에 계정이 부여되어 있었다고 하더라도 원고들의 주민등록번호가 실제 제공되지 않았다면, 그 가능성만으로 원고들의 사생활 침해나 정신적 손해를 인정할 수 없다고 보았다.
실무적 유의점
- 원고별 유출 여부를 확인해야 한다. 전체 가입자가 조회 위험에 놓였다는 사실과 특정 원고의 정보가 조회·전송되었다는 사실은 다르다. 조회번호 목록, 접속기록, 응답기록 및 수사자료를 대조해야 한다.
- 데이터의 실제 이동경로를 분석해야 한다. 단순한 접근 가능 상태인지, 외부 서버로 이미 전송·저장되었는지, 관리·통제권이 유지되었는지를 구분해야 한다. 일반 화면에 표시되지 않더라도 전송 데이터에 개인정보가 포함되었는지 확인할 필요가 있다.
- 의무위반·누출·손해를 나누어 주장해야 한다. 임시 계정 미삭제나 접근통제 미비를 지적하는 데 그치지 않고, 그것이 해당 원고의 정보 유출과 정신적 피해로 어떻게 이어졌는지를 밝혀야 한다.
- 로그 부재를 곧바로 미유출의 증거로 보아서는 안 된다. 기록의 수집 범위와 보존기간을 먼저 확인하고, 외부 저장자료·조회자의 진술 등 다른 증거와 종합해야 한다.
- 위자료는 구체적인 사정으로 뒷받침해야 한다. 정보의 성격, 조회자와의 관계, 유출 범위, 추가 이용 가능성 및 사후조치를 검토해야 한다. 실제 금전 손실이 없다는 이유만으로 정신적 손해가 당연히 부정되는 것은 아니다.
- 임시 계정의 종료 절차를 계약과 운영에 반영해야 한다. 테스트 계정의 유효기간, 사용범위, 점검 종료 후 삭제·비밀번호 변경 책임, 불필요한 개인정보의 전송 차단 등을 명확히 정할 필요가 있다.