개인정보 유출 사고에 대한 기업의 책임과 배상 범위와 관련해 가장 주목할 만한 판결은 지난해 12월 대법원이 선고한 2023다311184 판결이다.

이 판결에서 대법원은 개인정보 보호법상 피해자가 실제 발생한 손해액을 구체적으로 입증하지 않아도 배상을 청구할 수 있는 '법정손해배상' 제도와 관련 "기업이 '정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았음'을 입증한다면 배상책임을 면할 수 있다"는 원칙을 세웠다.

발단이 된 사건은 2021년 9월 해커의 공격으로 리포트, 논문, 자기소개서, 시험자료 등 거래를 중개하는 온라인 지식거래 플랫폼 '해피캠퍼스' 회원 40만3298명의 이메일 주소, 비밀번호 등 개인정보가 유출된 사고다. 피해자 중 한명인 유모씨는 '해피캠퍼스' 운영사인 에이전트소프트를 상대로 개인정보 보호법상 법정손해배상(위자료) 30만원과 지연이자를 청구하는 소송을 냈다.

이 사건에서 1심과 2심 법원은 웹방화벽을 비활성화하는 등 해킹 공격을 정상적으로 탐지·차단하지 못한 회사 측 과실을 인정하면서도 ▲비밀번호에 대해 사전에 암호화 조치가 이뤄진 점 ▲이메일 주소의 유출만으로 해당 정보주체를 구체적이고 예상 가능한 위험에 노출시켰다고 단정하기 어려운 점 ▲해킹된 개인정보가 제3자에게 전달되거나 일반 또는 제3자에게 확산됐다고 볼 증거가 없는 점 ▲사고 발생 즉시 피고 회사가 개인정보보호위원회와 사이버수사국 등에 사고 발생 사실을 신고하고 사고 원인을 파악해 불법 접속 경로를 차단하는 한편 원고에게 해킹알림 통지서를 보내 피해 사실을 알리고 비밀번호 변경을 요청한 점 등 이유를 들어 유씨의 청구를 기각했다.

그리고 대법원은 이와 같은 하급심의 결론을 유지하면서도 "소액사건에 적용되는 법령의 해석에 관한 대법원 판례가 명확하지 않고, 그 법령이 적용되는 다수의 사건이 하급심에 계속되는 등 특별한 사정이 있는 경우에는 소액사건에 관한 상고 요건을 갖추지 않았더라도 법령해석의 통일이라는 대법원의 본질적 기능에 비춰 실체법의 해석과 적용에 관해 판단할 수 있다"며 개인정보보호법상 손해배상 규정에 대한 해석 기준을 제시했다.

당시 대법원은 개인정보 보호법 39조(손해배상책임) 1항과 달리 같은 법 39조의2(법정손해배상의 청구) 1항이 정보주체의 '손해'를 청구요건에서 제외한 것에 대해 "개인정보의 광범위한 처리가 일반화된 현대사회에서 개인정보 유출 등의 법익침해가 있을 경우 손해에 관한 증명이 곤란하더라도 정보주체로 하여금 개인정보처리자로부터 일정한 한도의 법정금액을 배상받을 수 있도록 함으로써 피해자가 쉽게 권리구제를 받을 수 있도록 하는 데에 입법취지가 있다"고 밝혔다.

다만 대법원은 "손해가 발생하지 않은 것이 분명한 경우까지 손해배상의무를 인정하려는 취지는 아니므로, 개인정보처리자로서는 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장·증명함으로써 법정손해배상책임을 면할 수 있다"고 판단했다.

그러면서 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생했는지 여부를 판단하는 기준으로 ▲유출된 개인정보의 종류와 성격 ▲개인정보 유출로 정보주체를 식별할 가능성이 발생했는지 ▲제3자가 유출된 개인정보를 열람했는지 또는 장래의 열람 가능성 유무 ▲유출된 개인정보의 확산 범위 ▲개인정보 유출로 추가적인 법익침해 가능성이 발생했는지 ▲개인정보처리자의 개인정보 관리 상황과 개인정보 유출의 경위 ▲개인정보 유출로 인한 피해 발생 및 확산을 방지하기 위해 취해진 조치의 내용 등 7가지를 제시했다.

한편, 가입자 약 2324만명의 유심 정보 등이 유출된 SK텔레콤 해킹 사건의 경우 피해자 1인당 50만원을 청구하는 3건의 공동소송이 병합돼 지난 3월 첫 변론기일이 열렸다. 당시 재판에서는 '온라인 위임장'의 효력을 둘러싸고 1만5900명에 달하는 원고의 특정 여부가 쟁점으로 다뤄졌다.

약 3367만명의 개인정보가 유출된 쿠팡 사건의 경우 지난해 12월 첫 소장 접수 이후 최근까지 여러 건의 소장이 법원에 접수돼 1심 재판이 진행 중이다. 또 주민등록번호와 혼인 경력 등 약 43만명의 개인정보가 유출된 결혼정보업체 듀오 사건은 지난 5월 46명의 피해자가 한명당 100만원의 손해배상을 청구하는 공동소송을 제기한 상태다.

티빙 해킹 사고와 관련해선 이미 14만명의 소장을 접수한 법무법인 지향을 비롯해 복수의 로펌에서 공동소송을 진행 중이며, 강남언니 사건은 법무법인 YK에서 피해자 원고인단을 모집 중이다.