개인정보 유출 피해 대응 및 손해배상 가이드

유출 사건에서 먼저 갈리는 지점은 누가 무엇을 증명하느냐입니다. 민법 제750조는 고의 또는 과실로 인한 위법행위로 타인에게 손해를 가한 자가 그 손해를 배상할 책임이 있다고만 정하므로, 일반 불법행위에서는 피해자가 가해자의 과실을 증명해야 합니다. 그런데 개인정보 보호법 제39조 제1항은 정보주체가 개인정보처리자의 위반행위로 손해를 입으면 배상을 청구할 수 있다고 하면서, 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다고 덧붙입니다. 증명의 부담이 기업 쪽에 놓여 있습니다. 다음 지점은 무엇을 청구할 것인가입니다. 갈래는 셋입니다. 개인정보 보호법 제39조 제1항의 손해배상은 실제 손해액을 증명해야 하지만 한도가 없고, 개인정보 보호법 제39조의2 제1항의 법정손해배상은 손해액 증명 없이 300만원 이하의 범위에서 청구할 수 있으며, 개인정보 보호법 제39조 제3항은 고의나 중대한 과실이 인정되면 법원이 손해액의 5배를 넘지 아니하는 범위에서 배상액을 정할 수 있게 합니다. 이 갈래는 서로 막혀 있지 않습니다. 개인정보 보호법 제39조의2 제3항은 제39조에 따라 손해배상을 청구한 정보주체가 사실심의 변론이 종결되기 전까지 그 청구를 법정손해배상 청구로 변경할 수 있다고 명시합니다. 증거는 대부분 기업 서버 안에 있습니다. 이에 대응하는 조문이 개인정보 보호법 제39조의3입니다. 같은 조 제1항은 법원이 당사자의 신청에 따라 상대방 당사자에게 자료의 제출을 명할 수 있다고 정하고, 같은 조 제3항은 그 자료가 영업비밀에 해당하더라도 손해의 증명이나 손해액 산정에 반드시 필요하면 제출을 거부할 정당한 이유로 보지 아니한다고 규정하며, 같은 조 제4항은 정당한 이유 없이 제출명령에 따르지 아니한 경우 자료의 기재에 대한 신청인의 주장을 진실한 것으로 인정할 수 있다고 정합니다. 마지막으로 승패가 갈리는 곳은 기업이 안전조치를 다했는가입니다. 유출 사실만으로 배상이 확정되지는 않습니다. 개인정보 보호법 제29조는 개인정보처리자가 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적, 관리적 및 물리적 조치를 하여야 한다고 규정합니다. 다만 어느 수준까지 해야 의무를 다한 것인지는 조문이 직접 정하지 않고, 사고 당시의 기술 수준과 업계 관행, 처리한 정보의 민감도를 종합해 판단한다는 것이 판례가 세운 기준입니다.