[로이슈 전용모 기자] 대법원 제2부(주심 대법관 오경미)는 이메일 주소와 비밀번호 유출로 인한 손해배상 사건 상고심에서 피고인의 상고를 기각해 이 사건 사고(개인정보유출)로 인해 원고에게 위자료로 배상할 만한 정신적 손해가 발생했다고 보기 어렵다고 보아 원고의 청구를 배척한 원심을 확정했다(대법원 2025. 12 .4. 선고 2023다311184 판결). 상고비용은 원고가 부담한다.

피고는 온라인 지식거래 서비스를 제공하는 인터넷 사이트인 해피캠퍼스를 운영하면서, 가입자들의 개인정보파일을 운용하기 위하여 개인정보를 처리하는 개인정보처리자이다.

원고는 2001. 4. 10. 이 사건 사이트에 회원으로 가입하면서, 피고에게 ID, 비밀번호, 성명, 생년월일, 성별, 전화번호, 이메일 주소 등 개인정보를 제공했다.

2021. 9. 10.부터 2021. 9. 13.까지 사이에 신원미상의 해커가 이 사건 사이트를 해킹해 원고를 포함한 가입자 403,298명의 개인정보가 유출됐다(이하 ‘이 사건 사고’). 이 사건 사고로 유출된 원고의 개인정보는 암호화된 비밀번호와 이메일주소이다.

개인정보 보호위원회는 2022. 9. 14. 피고가 이 사건 사고에 관하여 '개인정보보호법' 제29조, 구 개인정보보호법 시행령(2023. 9. 12. 대통령령 제33723호로 삭제) 제48조의2 제1항 제2호에서 정한 안전조치의무를 위반했다고 판단하여 피고에게 과징금 및 과태료를 부과했다.

원고는 이후 스팸메일을 받고있고 보이스피싱 등 2차 피해 발생 우려되는 등 정신적 손해 입었다며 피고를 상대로 30만 원과 이에 대해 이 사건 소장 부본 송달 다음날부터 다 갚는 날까지 연 12%의 비율로 계산한 돈을 지급하라며 소송을 제기했다.

피고는 원고가 주장하는 스팸메일로 인한 피해는 이 사건 사고로 이메일 주소가 유출된 것과 관련이 없고, 비밀번호는 암호화되어 있어 2차 피해가 발생할 가능성이 거의 없다. 따라서 원고 주장의 손해와 이 사건 사고 사이에 인과관계가 없고, 또한 위와 같은 사정을 고려하면 이 사건 사고로 원고에게 위자료로 배상할 만한 정신적 손해가 발생했다고 볼 수 없다고 항변했다.

-1심(서울남부지방법원 2023. 3. 3. 선고 2021가소568939 판결)은 원고의 청구를 기각했다.

비밀번호에 대하여는 사전에 암호화 조치가 이루어졌고, 이메일 주소의 유출만으로 해당 정보주체를 구체적이고 예상가능한 위험에 노출시킨다고 단정하기 어려우며, 해킹된 개인정보가 제3자에게 전달되거나 일반 또는 제3자에게 확산되었다고 볼 증거도 없는 점 등을 보면 피고 회사가 수집한 개인정보가 유출됨에 따라 원고에게 위자료로 배상할 만한 정신적 손해가 발생했다고 보기 어렵다는 판단에서다.

-원심(2심 서울남부지방법원 2023. 12. 7. 선고 2023나55205 판결)은 원고의 항소를 기각해 1심판단을 유지했다.

대법원은 이 사건에서 쟁점이 되고 있는 개인정보보호법 제39조의2에 따른 법정손해배상책임에서, 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다는 이유로 개인정보처리자의 손해배상책임을 부정할 수 있는지에 관하여 판례의 입장이 명확하지 않으므로, 법령해석의 통일을 위해 판단했다.

손해가 발생하지 않은 것이 분명한 경우까지 손해배상의무를 인정하려는 것이 개인정보보호법 제39조의2 제1항의 취지는 아니므로, 정보주체가 위자료 배상을 청구하는 경우 개인정보처리자로서는 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장·증명함으로써 위 규정에 따른 법정손해배상책임을 면할 수 있다.

이 사건 사고로 인하여 원고에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다고 봄이 타당하다.

이 사건 사고로 유출된 이 사건 사이트 비밀번호의 경우 암호화되어 있었기에 제3자가 그 내용을 파악하거나 이용하였을 가능성은 매우 낮다. 이 사건의 경우 추가적인 정보가 없는 한 유출된 이메일 주소 그 자체만으로는 정보주체가 누구인지 식별하기 어렵다.

실제로 이 사건 사고 발생일부터 2년 넘게 지난 원심 변론종결일까지 이 사건 사고와 연관된 스팸메일의 증가가 확인되지 않고, 추가적인 법익침해나 2차 피해 발생에 관한 자료도 없다.

피고에게 이 사건 사고에 관한 고의·중과실이 있다고 보기 어렵다. 피고는 이 사건 사고를 인지한 후 유출 정보 내역을 확인한 다음 개인정보 보호위원회와 사이버경찰청에 사고 발생사실을 신고하는 한편, 원고에게도 정보유출사실을 통보하고 비밀번호 변경을 요청하는 등 피해 발생 및 확산을 방지하기 위한 조치를 취했다.

대법원은 원심의 이유 설시에 일부 적절하지 않은 부분이 있지만, 이 사건 사고로 인하여 원고에게 위자료료 배상할 만한 정신적 손해가 발생했다고 보기 어렵다고 보아 원고의 청구를 배척한 원심의 결론은 정당해 수긍할 수 있고, 거기에 개인벙보보호법상 법정손해배상의 요건에 관한 법리오해 등으로 판결에 영향을 미친 잘못이 없다고 판단했다.

전용모 로이슈(lawissue) 기자 sisalaw@lawissue.co.kr