정보유출 됐는데…카드사로부터 위자료 받을 수 있을까?

정보유출 손해배상은 ‘정신적 피해’ 여부가 관건
사건별로 본 법원 판단기준
GS칼텍스 사건
“유출 정보 압수·폐기돼 정신적 손해 인정 안돼”
엔씨소프트·국민은행 사건
“피해 가능성만 있어도 인정”
옥션사건
“사업주 주의의무 위반 증명해야”

3개 신용카드사의 개인정보 유출 피해를 입은 사람들이 카드사를 상대로 위자료를 요구하는 손해배상 소송을 제기함에 따라, 앞으로 법원이 어떤 판단을 내릴지 주목된다. 개인정보 유출 사건에서 위자료 지급 여부는 ‘정신적 손해가 발생했느냐’에 달렸다. 정신적 손해가 인정되면, 사업주가 ‘주의 의무’를 위반했는지를 따진 뒤 위자료 금액을 산정하게 된다.

개인정보 유출과 관련해 대법원의 판단을 받은 소송은 지에스칼텍스 사건이 사실상 유일하다. 대법원은 2012년 12월 지에스칼텍스 회원 7600여명이 “개인정보가 유출돼 정신적 피해를 입었다”며 낸 손해배상 소송에서 “손해배상 책임을 물으려면 개인정보가 유출됨으로써 정신적 손해가 발생했다는 사정이 구체적으로 입증돼야 한다”고 밝혔다.

대법원은 “개인정보 유출로 구체적이고 현실적인 위험이 발생할 것까지 요구되는 것은 아니다”라고 하면서도 “최소한 불특정 다수가 개인정보를 열람할 수 있는 상태이거나 본인 의사에 반해 개인정보가 수집·이용될 수 있는 상태에 이르러 개인정보 자기결정권이 침해될 상당한 위험이 있다는 점이 인정돼야 한다”고 말했다. 이를 근거로 대법원은 지에스칼텍스 개인정보 유출 사건에서는 “유출된 개인정보가 모두 압수·폐기됐다. 따라서 정신적 손해가 인정되지 않는다”고 판단했다. 이번 카드사 개인정보 유출 사건과 관련해 검찰은 “정보 유출 피의자들로부터 원본 파일과 복사 파일을 회수했다. 제3자에게 추가로 유포됐을 가능성은 매우 낮다”고 밝힌 바 있다.

법원이 정신적 손해를 인정한 경우도 있다. 서울중앙지법은 2007년 1월 정아무개씨 등 5명이 “비밀번호 등 개인정보가 유출돼 정신적 고통을 입었다”며 엔씨소프트를 상대로 낸 손해배상 소송 항소심에서 “피고는 정씨 등 3명에게 10만원씩을 배상하라”고 원고 일부 승소 판결했다. 재판부는 “유출된 개인정보를 이용한 2차 피해가 확인되지 않았다고 해서 정신적 손해를 입지 않았다고 말할 수 없다”고 말했다. 개인정보가 불법적으로 활용될 가능성만으로도 정신적 손해를 인정할 수 있다는 뜻이다.

국민은행 개인정보 유출 사건에서도 법원 판단은 비슷했다. 서울고법은 2007년 11월 “개인정보 유출로 제3자가 개인정보를 악용할지도 모를 위험에 노출되었다. 따라서 정신적 고통을 경험칙상 인정할 수 있다”고 말했다. 실제 피해 없이 ‘피해 가능성’만으로 정신적 피해를 인정한 경우다.

‘정신적 손해’만으로 무조건 위자료 지급이 결정되는 건 아니다. 사업주의 ‘주의 의무’ 위반도 증명돼야 한다. 중국 해커에 의해 개인정보를 탈취당한 옥션 사건의 경우, 서울고법은 지난해 5월 “해킹 사고 당시 관련 법령이 요구하고 있는 보안조치 수준, 해킹 방지기술의 발전 정도를 봤을 때 해킹 사고를 근본적으로 방지하기는 쉽지 않았던 것으로 보인다”며 옥션의 손을 들어줬다.

김원철 기자 [e-mail]