홈플러스 개인정보 판매 사건서 대법, 배상책임 대부분 부정
개인정보 유출로 인한 피해를 보상받으려면 기업의 법 위반 사실을 피해자가 증명해야 한다는 대법원의 첫 판단이 나왔다.
연합뉴스에 따르면 대법원 2부(주심 신숙희 대법관)는 지난 17일 김모 씨 등 283명이 홈플러스를 상대로 낸 손해배상 청구 소송에서 원심의 원고일부승소 판결을 확정하면서 이같이 설시했다.
홈플러스는 2010년 신한생명보험과, 2011년 라이나생명보험과 개인정보 판매 계약을 체결했다. 자신들이 확보한 회원들의 정보를 1건당 1천980원에 판매하는 내용이었다.
홈플러스가 경품행사와 패밀리카드 가입을 통해 모은 개인정보를 위탁 업체에 넘기면, 위탁 업체는 고객들에게 전화해 정보를 제3자에게 제공하는 것에 동의하는지 물었다.
동의하는 고객들의 명단은 보험사에 넘겨졌고, 보험사는 이미 보험에 가입한 고객들을 제외하는 등 ‘선별 작업’을 거쳐 남은 고객들의 개인정보에 대해서만 대금을 지급했다.
그런데 선별 작업을 거치고 나면 남는 고객이 거의 없어 수익성이 크지 않자, 홈플러스는 순서를 뒤바꿔 보험사가 선별 작업을 먼저 하고, 남은 고객을 대상으로 제3자 정보 제공 동의를 받았다.
이를 위해 정보 제공에 동의하지 않은 고객들의 명단이 고스란히 보험사에 넘어갔다. 이 같은 범죄는 2015년 개인정보 범죄 정부합동수사단의 수사로 밝혀졌다.
소비자들은 홈플러스가 개인정보를 팔아넘겨 손해를 봤다며 1인당 50만∼70만원의 배상을 요구하는 소송을 냈다.
개인정보 보호법에 따라 정보 주체는 개인정보 처리자의 위법 행위로 손해를 입으면 손해배상을 청구할 수 있다. 개인정보 처리자는 고의·과실이 없음을 증명하지 못하면 배상 책임을 지게 된다.
재판의 쟁점은 홈플러스에서 보험사로 개인정보가 넘어갔다는 사실을 누가 증명할지였다. 4명을 제외한 대부분의 소비자는 개인정보 유출 사실이 명확하게 밝혀지지 않은 상황이었다.
1심 법원은 “개인정보를 제공하지 않았다”는 점을 증명할 책임이 홈플러스에 있다고 보고 손해배상을 명령했다.
반면 2심은 “개인정보가 제공되었다”는 점을 소비자들이 증명해야 한다고 보고, 이를 증명하지 못한 소비자들에게는 홈플러스가 배상할 필요가 없다고 판결했다.
대법원의 판단도 2심과 같았다. 대법원은 “원고들의 개인정보가 보험회사에 제공됐다는 사실에 관한 구체적·개별적 증명이 없는 이상 피고의 개인정보 보호법 위반행위를 인정할 수 없다고 본 원심 판단에 잘못이 없다”고 판결했다.
대법원은 “개인정보처리자가 개인정보 보호법을 위반한 행위를 했다는 사실 자체는 정보 주체가 주장·증명해야 한다”고 밝혔다.
개인정보 보호법상 유출에 고의나 과실이 없음을 증명할 책임은 개인정보 처리자에게 있지만, 그 이전에 유출 사실 자체는 피해자 스스로 증명해야 한다는 취지다.
대법원 관계자는 “개인정보처리자가 개인정보 보호법을 위반한 행위를 하였다는 사실 자체는 정보 주체가 주장·증명해야 한다는 점을 최초로 판시한 사례”라고 밝혔다.
이날 대법원 2부(주심 김상환 대법관)도 쟁점이 같은 홈플러스의 개인정보 판매 사건을 심리해 같은 결론을 내렸다.
홈플러스는 개인정보보호법 위반 혐의로 기소돼 2019년 8월 벌금 7천500만원이 확정됐다.
