카드사 개인정보 유출 위자료 — 식별 가능 · 열람 가능성이 크면 정신적 손해, 1인당 10만 원 확정

검수 열손사 · 현업 손해사정사 · 원문 대조

대법원 2018. 10. 25. 선고 2018다2194062018. 10. 25

한 줄 결론상고기각(고객 승소 확정) — 카드사와 용역회사가 공동으로 고객 1인당 위자료 10만 원을 배상한다.

실무 포인트이 판결은 개인정보 유출 위자료를 "유출됐다"는 사실만이 아니라 정보의 성격과 열람 · 확산 가능성 등으로 판단하고, 액수는 사실심 재량이라고 봤다.

보상 결과 · 배상책임 · 청구인 받음(지급) · 인정 10만원

내 사건과 어디가 다른지 궁금하면익명으로 질문하기 →현업 · 합격생이 답합니다

쟁점

카드사가 사고분석시스템 개발을 맡긴 용역회사의 직원이 카드고객 정보를 빼돌렸다. 유출된 고객에게 위자료로 배상할 정신적 손해가 생겼는지 어떻게 판단하고, 위자료 액수는 누가 정하는가.

1카드사(피고 1)는 다른 회사(피고 2, 이하 용역회사)와 카드사고분석시스템(FDS) 업그레이드 개발용역계약을 맺고, 용역회사 개발인력에게 카드고객 개인정보를 제공해 다루게 했다.
2용역회사 직원이 용역 수행 중 카드고객 정보를 유출했다. 고객들(원고 등)이 두 회사에 손해배상을 청구했다.
3원심은 카드사가 구 개인정보 보호법상 개인정보처리자로서 보안프로그램 설치 · 관리감독, 위탁 시 보호조치 문서약정, 암호화된 정보 제공, 접근권한 제한 등 의무를 다하지 않았다고 봤다. 용역회사는 위탁받은 신용정보의 안전성 확보 조치를 하지 않았고 직원의 사용자로서 면책 사유도 증명하지 못했다고 봤다.
4원심은 두 회사가 공동으로 원고 등에게 위자료 각 10만 원을 지급하라고 했다. 두 회사가 상고했다.

1대법원은 카드사가 관련 법령의 안전성 확보 조치를 하지 않아 개인정보 보호법 제39조에 따라 배상책임이 있다는 원심 판단이 정당하다고 했다.
2용역회사에 대해서는 직원의 유출이 용역 수행이라는 사무집행에 관한 것이고, 선임 · 감독에 상당한 주의를 했다는 증명이 없다며 사용자책임을 인정한 원심을 유지했다.
3정신적 손해 발생은 유출 정보의 종류와 성격, 식별 가능성, 제3자 열람 여부 또는 열람 가능성, 확산 범위, 추가 법익침해 가능성, 관리 실태와 유출 경위, 피해 방지 조치 등을 종합해 개별적으로 판단한다(2011다59834 등).
4이 사건 정보는 개인을 식별할 수 있고 사생활 · 신용과 밀접하며, 전파 과정에서 이미 열람됐거나 열람될 가능성이 크다는 원심 판단이 정당하다고 했다. 위자료 액수는 사실심 재량이고 각 10만 원이 현저히 과다하지 않다고 했다.

상고기각(고객 승소 확정) — 카드사와 용역회사가 공동으로 고객 1인당 위자료 10만 원을 배상한다.

이 판결은 개인정보 유출이 있어도 위자료가 자동으로 생기는 것이 아니라, 정보의 민감도와 실제 열람 · 확산 가능성 등을 따져 정신적 손해를 판단한다고 봤다. 같은 유출 사고라도 정보 항목과 확산 정도가 다르면 결론이 갈린다.
소액사건이라 대법원은 "판례에 상반되는 판단"인지만 봤다.
업무를 위탁받은 회사 직원의 유출에도 위탁회사 자신의 보호조치 의무 위반과 수탁회사의 사용자책임이 함께 인정될 수 있다고 봤다.