한 줄 요약 · 대법원 2025. 12. 4. 선고 2023다311184 판결. 개인정보 보호법 제39조의2 법정손해배상을 청구할 때 정보주체는 손해 발생을 구체적으로 증명할 필요가 없지만, 개인정보처리자가 위자료로 배상할 정신적 손해가 생기지 않았음을 증명하면 책임을 면합니다. 상고기각.
![[최신판례] 개인정보 유출, 손해 증명 없이 배상받을 수 있을까｜대법원 2023다311184](https://image.inblog.dev?url=https%3A%2F%2Fsource.inblog.dev%2Ffeatured_image%2F2026-10-09T05%3A10%3A33.552Z-6f4ed72f-2fa3-4149-93ef-c39f215fb6aa&w=3840&q=75)
💡
"회원님의 개인정보가 유출되었습니다"라는 안내 문자를 받으면 누구나 불안해집니다. 이럴 때 실제 피해가 없어도 배상을 받을 수 있는지, 받으려면 무엇을 증명해야 하는지가 궁금해집니다.
개인정보 보호법은 피해자가 손해액을 일일이 증명하기 어렵다는 점을 고려해 300만 원 이하 범위에서 상당한 금액을 청구할 수 있는 법정손해배상 제도를 두고 있습니다. 이번 대법원 판결은 이 제도에서 누가 무엇을 증명해야 하는지, 그리고 회사가 어떤 경우에 책임을 벗어날 수 있는지를 구체적으로 정리했습니다.
사건 개요
온라인 지식공유(지식거래) 사이트에 2021년 9월쯤 해커가 침입해 가입자 약 40만 명의 개인정보가 유출되었습니다.
개인정보보호위원회는 2022년 9월 안전조치의무 위반을 이유로 운영회사에 과징금과 과태료를 부과했습니다.
원고는 자신의 암호화된 비밀번호와 이메일 주소가 유출되었고, 이후 스팸메일이 늘고 2차 피해가 걱정된다며 정신적 손해 30만 원의 배상을 청구했습니다.
쟁점
법정손해배상을 청구하는 정보주체가 손해 발생 사실을 구체적으로 주장·증명해야 하는지
개인정보처리자가 정신적 손해가 없었음을 증명해 책임을 면할 수 있는지, 그 판단 방법은 무엇인지
원심의 판단
심급 | 판단 |
|---|---|
1심 | 방화벽 비활성화 등 보호조치 소홀은 과실로 인정. 그러나 비밀번호 암호화, 이메일만 유출된 점, 확산 증거가 없는 점, 신속한 조치 등을 들어 배상할 정신적 손해는 없다고 봄 |
2심 | 법정손해배상 대상이고 유출과 손해 사이의 인과관계도 인정. 다만 원고가 느낀 불안감·불쾌감은 금전으로 위자할 정도가 아니라고 보아 원고 청구를 받아들이지 않음 |
대법원 판단
① 정보주체는 '유출 사실'만 증명하면 된다
법정손해배상을 청구하는 정보주체는 개인정보가 분실·도난·유출 등이 되었다는 사실만 주장·증명하면 됩니다. 손해가 실제로 생겼다는 점을 구체적으로 증명할 필요는 없습니다.
② 처리자는 '정신적 손해 없음'을 증명하면 면책된다
다만 손해가 명백히 발생하지 않은 경우까지 배상하게 하는 것은 제도의 취지가 아닙니다. 그래서 개인정보처리자가 위자료로 배상할 만한 정신적 손해가 생기지 않았다는 점을 주장·증명하면 법정손해배상책임을 면할 수 있습니다. 증명책임이 회사 쪽에 있다는 점이 중요합니다.
③ 판단할 때 종합하는 사정
유출된 개인정보의 종류와 성격, 정보주체를 식별할 수 있는지
제3자가 열람했는지, 앞으로 열람될 가능성이 있는지
유출 정보가 확산된 범위, 추가 피해 가능성
개인정보 관리 실태와 유출 경위, 피해 방지를 위해 취한 조치
대법원은 이런 판단이 손해 증명 없이 피해자를 구제하려는 법정손해배상 제도를 "형해화"하지 않도록 이루어져야 한다고 덧붙였습니다.
④ 이 사건에의 적용
비밀번호가 암호화되어 있어 제3자가 내용을 알거나 쓸 가능성이 매우 낮았습니다.
이메일 주소는 이름 등 다른 정보와 결합되지 않은 채 유출되어 그것만으로 본인을 식별하기 어려웠습니다.
사이트 특성상 이메일 주소만으로 가입자의 성향이나 수요를 파악하기도 어려웠습니다.
이에 따라 대법원은 위자료로 배상할 정신적 손해가 생기지 않았다고 본 원심을 수긍하고 상고를 기각했습니다.
실무상 의미 · 이렇게 대응하세요
구분 | 정보주체(피해자) | 개인정보처리자(회사) |
|---|---|---|
증명할 것 | 유출 등의 사실 | 정신적 손해가 없다는 점 |
유리한 사정 | 이름·연락처 등 식별 가능한 정보, 민감한 정보, 실제 열람·확산 | 암호화, 단독 정보 유출, 확산 흔적 없음, 신속한 조치 |
준비할 자료 | 유출 통지문, 유출 항목, 이후 피해 정황 | 보호조치 내역, 유출 경위, 사후 대응 기록 |
피해자 쪽: 손해액을 증명할 필요는 없지만, 어떤 정보가 어떻게 유출되었는지에 따라 결과가 달라집니다. 유출 항목을 정확히 확인하는 것이 출발점입니다.
회사 쪽: 평소 암호화 등 보호조치와 사고 후 신속한 대응이 면책 판단에서 의미 있는 사정이 됩니다.
자주 묻는 질문(FAQ)
Q1. 개인정보가 유출되기만 하면 언제나 배상받을 수 있나요?
A1. 아닙니다. 회사가 위자료로 배상할 정신적 손해가 없었음을 증명하면 법정손해배상책임을 면할 수 있습니다.
Q2. 피해자가 정신적 고통을 따로 증명해야 하나요?
A2. 손해 발생을 구체적으로 증명할 필요는 없습니다. 유출 사실을 증명하면 되고, 손해가 없다는 점은 회사가 증명해야 합니다.
Q3. 어떤 경우 손해가 없다고 판단되나요?
A3. 이 사건처럼 비밀번호가 암호화되어 있고 이메일 주소만 다른 정보와 결합되지 않은 채 유출되어 식별·악용 위험이 낮았던 경우가 예입니다. 유출 정보의 성격과 확산 여부 등을 종합해 개별적으로 판단합니다.
Q4. 회사가 과징금을 받았으면 배상도 당연히 인정되나요?
A4. 그렇지 않습니다. 이 사건에서도 운영회사가 과징금과 과태료를 부과받았지만, 원고에 대한 위자료 배상책임은 인정되지 않았습니다.
2025 대법원 전원합의체·주요 판례 모음
함께 읽으면 좋은 글
글을 마치며
이번 판결은 개인정보 유출 소송에서 증명의 부담을 어떻게 나눌지 분명히 했습니다. 피해자는 유출 사실만 증명하면 되지만, 유출된 정보가 무엇이고 어떻게 다뤄졌는지에 따라 배상 여부가 갈립니다. 유출 통지를 받고 배상 청구를 검토하시거나, 반대로 유출 사고로 소송에 대응해야 하는 회사라면 관련 자료를 정리해 송파·잠실·문정에서 상담을 예약해 주세요.
법률사무소 제이 박경미 변호사는 이혼전문·형사전문 변호사(대한변호사협회 등록)로서, 상담부터 소송 종결까지 직접 사건을 챙깁니다. 문정 법률사무소와 잠실 예약상담 공간 중 편한 곳으로 예약하시면 지금 상황에서 가능한 선택지를 차분히 정리해 드립니다.
📍 문정 · 법률사무소 제이 문정역 3번 출구 송파구 법원로8길 13, 헤리움써밋타워 3층 314호 사무실 운영 평일 09:00–19:00 변호사 방문상담 평일 10:00–16:00 · 예약제 📍 잠실 · 예약상담 잠실역 4번 출구 송파구 올림픽로 212, 갤러리아팰리스상가 2층 225호 연중무휴 09:00–23:00 · 예약제 · 박경미 변호사가 직접 상담합니다 ☎ 대표전화 02-6417-1551 전화상담 연중무휴 09:00–23:00 · 예약제 |
※ 본 글은 대법원이 공개한 선고 요지와 판례속보를 바탕으로 한 일반적인 법률정보입니다. 판결문 원문과 개별 사건의 사실관계에 따라 결론이 달라질 수 있으니 구체적인 사안은 변호사와 상담하시기 바랍니다.
Share article