"해킹으로 개인정보 유출… 단순한 불안감, 손해배상 대상 아니다"

해킹 사고로 개인정보가 유출됐더라도 구체적이고 실질적 손해가 아닌 단순한 불안감은 손해배상 대상이 아니라는 대법원 판단이 나왔다. 2025년 12월 4일, 대법원 민사2부(주심 오경미 대법관)는 A 씨가 해피캠퍼스 운영사 '에이전트소프트'를 상대로 낸 손해배상 소송에서 원심의 원고 패소 판결을 확정했다(2023다311184).

해킹 사고로 개인정보가 유출됐더라도 구체적이고 실질적 손해가 아닌 단순한 불안감은 손해배상 대상이 아니라는 대법원 판단이 나왔다. 아시아경제DB

[사실관계]

해피캠퍼스는 2021년 9월 해킹 사고로 회원 40만여 명의 이메일 주소와 비밀번호가 유출됐다. 해피캠퍼스 회원인 A 씨는 개인정보 유출로 정신적 손해를 입었다며 법정 손해배상금 30만 원과 지연손해금을 청구하는 소송을 제기했다.

[하급심 판단]

1심은 A 씨의 청구를 기각했다. 1심 재판부는 "유출된 개인정보 가운데 비밀번호는 사전에 암호화 조치가 이뤄졌다"며 "이메일 주소의 유출만으론 정보 주체가 구체적이고 예상 가능한 위험에 노출됐다고 단정하기 어렵다"고 밝혔다. 이어 "에이전트소프트는 개인정보 유출 사고가 발생하자마자 개인정보보호위원회와 경찰청 사이버수사국에 신고하고, 불법 접속 경로를 차단하면서 A 씨에게도 해킹 알림 통지서를 보내 비밀번호 변경을 요청했다"며 "A 씨에게 위자료로 배상할 만한 정신적 손해가 발생했다고 보기 어렵다"고 판단했다.

항소심은 1심 판결을 유지했다. 항소심 재판부는 "에이전트소프트가 안전조치 의무를 제대로 이행했다면 개인정보 유출 사고가 방지됐을 개연성이 있다고 보인다"면서도 "안전조치 의무 위반을 개인정보 유출 사고와 동일시할 수 없고, 에이전트소프트의 중과실로 A 씨의 개인정보가 유출됐다고 볼 수도 없다"고 판시했다.

[대법원 판단]

대법원은 "손해가 발생하지 않은 것이 분명한 경우까지 손해배상 의무를 인정하려는 게 개인정보보호법의 취지는 아니다"며 A 씨의 상고를 기각하고, 원심(항소심) 판결을 확정했다.

이상우 법률신문 기자

※이 기사는 법률신문에서 제공받은 콘텐츠로 작성되었습니다.