쿠팡 개인정보 유출사고에 징벌적 손해배상 현실화될까

2023년 법개정으로 5배 청구 가능
집단 유출 징벌 손배 판례 드물어
피해자 특정 의무·집단소송 필요

쿠팡 개인정보 유출 사태를 놓고 징벌적 손해배상제 현실화가 과제로 떠오르고 있다. 징벌적 손해배상 청구가 인용된 판례는 거의 없다. 개인정보 유출 사고가 아니라 기업이 개인정보를 제3자에게 판매하거나 유용하는 등의 경우에는 피해 사실 통지 의무도 없어 손해배상 청구 자체가 어려운 문제도 있다.

징벌적 손배 첫 시험대

개인정보보호법상 징법적 손해배상 조합. 법률신문.

개인정보보호법은 개인정보처리자가 법에서 정한 의무를 어기면 피해자에게 손해의 5배까지 배상할 수 있게 규정하고 있다(제39조 제3항). 2016년 손해의 3배까지 배상할 수 있다는 규정이 신설됐고, 2023년에는 추가 개정으로 배상 한도가 5배까지 높아졌다. 정보 유출에 고의나 과실이 없었는지는 개인정보처리자가 스스로 입증하게 해 피해자의 소송 제기 부담도 낮췄다.

법이 만들어진 지 10년 가까이 지났지만 징벌적 손해배상이 인정된 사례는 찾기 힘들다. 2016년 인터파크 회원 1030만명의 정보를 북한 측이 해킹했던 사례가 있지만 개정법이 시행되기 2개월여 전에 발생한 사건이라 징벌적 손해배상이 적용되지는 못했다.

쿠팡 사태가 사실상 첫 사례가 될 것으로 보이지만 징벌적 손해배상이 인정될지는 미지수다. 정신적 피해는 징벌적 손해배상 대상이 될 수 없다는 판결도 있다. 인천지법은 재산적 손해는 객관적 증거로 산정할 수 있지만 정신적 손해는 그렇지 않아 위자료에 몇 배를 곱할지도 불분명하다며 "개인정보 보호법 제39조 제3항은 재산적 손해배상청구에 한정하는 것으로 해석함이 타당하다"고 판시했다(2021나74344). 재판부는 위자료를 정할 때 제반 사정을 고려하기 때문에 몇 배의 배상을 할지 기준도 이미 중복해 포함된 셈이라고 판단했다.

정신적 피해도 '징벌' 대상?

걸림돌은 또 있다. 개인정보보호법은 피해액이 얼마인지 주장하기 어렵다면 이에 대한 입증 책임도 면제해 준다. 대신 법원이 300만원 이하로 손해액을 책정하고 징벌적 손해배상 판결은 내리지 않는다(법정손해배상, 제39조의 2). 정신적 피해 배상인 위자료는 300만원 이하인 경우가 많다.

쿠팡 사태와 관련해서는 여러 건의 단체소송이 동시다발적으로 추진되고 있다. 피해액은 대체로 원고 1인당 10만~50만원 사이일 것으로 보인다. 정태원 법무법인 LKB평산 변호사(사법연수원 33기)는 "집에 수상한 물건이 배달되거나 공동현관 비밀번호가 유출돼 재산 피해가 발생하는 등 자료를 모으고 있다"며 "정신적 피해를 주장할 원고들과 별도로 단체소송을 제기할 계획"이라고 말했다.

해킹으로 인한 유출 이외의 사건에도 징벌적 손해배상이 가능하도록 법령 개정도 필요하다. 2011~2014년, 홈플러스는 회원들을 멤버십카드에 가입시키면서 712만건의 개인정보를 보험회사 7곳에 148억원에 판매했다. 수사를 통해 피해자 절반이 제3자 정보제공에 동의하지 않은 것으로 나타났다. 2024년 5월 대법원은 멤버십카드 회원 280여명이 홈플러스를 상대로 제기한 손해배상 청구 소송(2018다262103)에서 원고 4명만 각 5만원에서 30만원의 위자료를 인정했다.

당시 대법원은 정보 유출에 고의나 과실이 없었는지는 피고가 입증할 몫이지만 애초 피해 사실이 있었는지는 원고가 입증해야 한다고 판시했다. 개인정보보호법은 유출을 알게 되면 지체 없이 피해자에게 통지해야 한다고 규정한다(제34조). 홈플러스는 유출 사고가 있었던 것이 아니라 의도적으로 정보를 이용한 것이어서 알릴 의무가 없었다. 수사기관이나 피고인 홈플러스의 도움 없이는 피해 사실을 알 수 없어 1심 판결 때부터 비판이 거셌지만 제도 개선은 이뤄지지 않았다.

정세진 법무법인 율촌 변호사(변호사시험 3회)는 "개인정보를 제3자에게 무단으로 제공해 피해 사실이 통보되지 않는 경우에도 손해배상 청구가 가능해져야 한다"고 말했다. 정 변호사는 "마케팅 등을 위해 고객이 동의한 목적 범위를 넘어서는 개인정보 유용도 정보 주체의 권리를 침해한 것"이라며 "제3자 유출보다 피해는 작겠지만 피해 사실을 알 수 있게 제도 보완이 필요하다"고 했다.

'한국형 집단소송' 도입 필요성

집단소송이 불가능한 것도 개선 과제다. 집단소송은 소수의 대표가 승소하면 소송에 참여하지 않은 다른 사람들에게도 법적 효과가 미친다. 개인정보분쟁조정위원회에서 조정이 이뤄지면 집단소송의 효과를 얻을 수는 있지만(개인정보보호법 제49조), 기업이 조정안을 거부할 수 있어 실효성이 작다.

박성동 법률신문 기자

※이 기사는 법률신문에서 제공받은 콘텐츠로 작성되었습니다.