개인정보 유출 피해에 대한 손해배상

일반 불법행위 소송에서는 피해자가 가해자의 고의·과실을 증명해야 합니다. 그러나 개인정보 보호법 제39조 제1항은 개인정보처리자가 이 법을 위반해 정보주체에게 손해를 입힌 경우, 처리자가 고의·과실이 없음을 증명하지 못하면 책임을 면할 수 없다고 정합니다. 회사 내부 보안 사정을 피해자가 알기 어렵다는 점을 반영한 것입니다.

여기서 '유출등'은 개인정보의 분실·도난·유출·위조·변조·훼손을 함께 가리키는 말입니다. 해킹, 직원의 무단 반출, 이메일 오발송, 관리 소홀로 인한 노출이 모두 문제 될 수 있습니다.

대법원은 개인정보가 유출된 경우 위자료로 배상할 만한 정신적 손해가 생겼는지를 여러 사정을 종합해 구체적 사건마다 개별적으로 판단해야 한다고 봅니다(대법원 2012. 12. 26. 선고 2011다59834 등 판결). 이 사건에서는 정보가 저장매체에 담겨 한정된 사람들에게 전달되었지만, 언론 보도 직후 저장매체 등이 압수되거나 폐기되어 더 퍼지지 않은 점 등을 들어 위자료를 인정하지 않았습니다.

그래서 같은 유출 사고라도 정보가 외부에 퍼졌는지, 어떤 정보가 나갔는지에 따라 결과가 달라집니다. 회사가 보내는 유출 통지에는 유출 항목, 시점과 경위, 피해 최소화 방법, 손해배상·법정손해배상·분쟁조정 등 권리 행사 방법이 담겨야 하므로(제34조), 통지 문자와 안내문을 꼭 보관하세요.

• 유출 통지 문자·이메일, 회사 공지문
• 회원 가입·이용 내역(정보주체임을 보여주는 자료)
• 유출된 정보 항목 확인 자료
• 스팸·피싱 문자 증가 기록
• 명의도용·금전 피해 신고 내역
• 비밀번호 변경·카드 재발급 등 대응 비용
• 정신과 진료 등 고통을 보여주는 자료
• 언론 보도·당국 발표(유출 경위·규모)

2차 피해의 재산 손해를 청구하려면 그 피해가 이번 유출 때문이라는 인과관계를 보여야 합니다. 범행에 쓰인 정보가 유출 정보와 일치하는지, 피해 시점이 유출 이후인지가 핵심입니다. 개인정보유출 손해배상청구권도 손해와 가해자를 안 날부터 3년, 유출 행위일부터 10년의 소멸시효가 적용됩니다(민법 제766조).