민사 · IT

해킹으로 이메일 주소와 암호화된 비밀번호가 유출되면 법정손해배상을 받을 수 있을까요?

김진오 대표변호사 · 김호윤 변호사 · 박정철 변호사 · 유태선 변호사2026. 10. 17.대법원 2025. 12. 4. 선고 2023다311184 판결

해당 판결

쟁점

해킹으로 개인정보가 유출된 회원이 사이트 운영자에게 개인정보 보호법 제39조의2 제1항에 따른 법정손해배상을 청구한 사건입니다. 정보주체가 손해 발생 사실까지 증명해야 하는지, 개인정보처리자가 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 증명하여 책임을 면할 수 있는지가 문제 되었습니다. 이 사건은 소액사건이어서 소액사건심판법 제3조 제2호의 상고이유 제한도 문제 되었는데, 대법원은 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다는 이유로 개인정보처리자의 법정손해배상책임을 부정할 수 있는지에 관하여 판례의 입장이 명확하지 않으므로 법령해석의 통일을 위하여 판단한다고 하였습니다.

사실관계

• 피고는 온라인 지식거래 서비스를 제공하는 인터넷 사이트를 운영하는 개인정보처리자입니다.
• 원고는 2001. 4. 10. 이 사이트에 회원으로 가입하면서 피고에게 ID, 비밀번호, 성명, 생년월일, 성별, 전화번호, 이메일 주소 등 개인정보를 제공했습니다.
• 2021. 9. 10.부터 2021. 9. 13.까지 사이에 신원미상의 해커가 사이트를 해킹하여 원고를 포함한 가입자 403,298명의 개인정보가 유출되었고, 원고의 경우 암호화된 비밀번호와 이메일 주소가 유출되었습니다.
• 피고는 2021. 9. 16. 개인정보보호위원회, 사이버경찰청 등에 사고발생사실을 신고했고, 2021. 9. 17. 회원들에게 사고발생사실을 알리고 비밀번호 변경 등을 권고했습니다.
• 개인정보 보호위원회는 2022. 9. 14. 피고가 안전조치의무를 위반하였다고 판단하여 과징금 1,210만 원과 과태료 1,020만 원을 부과했습니다.
• 원고는 피고에게 개인정보 보호법 제39조의2 제1항에 따른 법정손해배상금으로 300,000원과 지연손해금을 청구했습니다.

원심의 판단

원심은 원고의 개인정보가 유출되었고 피고가 고의 또는 과실이 없다는 점을 주장·입증하지 않았으므로 이 사고가 개인정보 보호법 제39조의2의 법정손해배상청구 대상이 된다고 보았습니다. 원심은 법정손해배상에서는 피해자가 구체적인 손해발생의 개연성을 입증하는 것으로 족하다고 보아 원고에게 손해가 없다고 볼 수 없다고 하면서도, 사고 이후 받은 스팸메일과 이메일 주소 유출의 연관관계가 확인되지 않는 점, 비밀번호가 암호화되어 있는 점, 피고에게 중과실이 있다고 볼 수 없는 점 등을 들어 다음과 같이 판단했습니다.

원고가 이 사건 사고로 인한 개인정보 유출로 불안감이나 불쾌감 등 정신적 고통이 없다고 볼 수 없으나, 그것을 금전으로 위자할 정도의 정신적 손해로 보기는 어렵다

제1심도 원고의 청구를 기각했고, 원심은 제1심판결이 결론을 같이하여 정당하다고 보아 원고의 항소를 기각했습니다.

대법원의 판단

대법원은 개인정보 보호법 제39조의2 제1항에 따른 법정손해배상의 증명책임과 개인정보처리자의 면책에 관하여 다음과 같이 판단했습니다.

위와 같은 문언의 내용과 입법 취지 등을 고려해 보면, 정보주체는 개인정보처리자를 상대로 개인정보보호법 제39조의2 제1항에 따른 법정손해배상을 청구하기 위하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손되었다는 사실만 주장·증명하면 되고 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없다고 보아야 한다.

그러나 손해가 발생하지 않은 것이 분명한 경우까지 손해배상의무를 인정하려는 것이 개인정보보호법 제39조의2 제1항의 취지는 아니므로, 정보주체가 위자료 배상을 청구하는 경우 개인정보처리자로서는 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 아니하였음을 주장·증명함으로써 위 규정에 따른 법정손해배상책임을 면할 수 있다.

대법원은 개인정보처리자의 이러한 주장을 판단할 때에는 유출된 개인정보의 종류와 성격, 정보주체를 식별할 가능성, 제3자의 열람 여부 또는 장래의 열람 가능성, 확산 범위, 추가적인 법익침해 가능성, 개인정보 관리 상황과 유출 경위, 피해 발생 및 확산을 방지하기 위하여 취해진 조치의 내용 등 여러 사정을 종합적으로 고려하여야 한다고 보았습니다. 이 사건에서는 다음 사정을 들어 원고에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다고 봄이 타당하다고 판단했습니다.

• 유출된 비밀번호는 암호화되어 있었기에 제3자가 그 내용을 파악하거나 이용하였을 가능성은 매우 낮습니다.
• 이메일 주소가 성명 등 다른 개인정보와 결합된 상태로 유출되지 않았고, 추가적인 정보가 없는 한 유출된 이메일 주소 그 자체만으로는 정보주체가 누구인지 식별하기 어렵습니다.
• 이 사이트는 가입자의 유형이 매우 폭넓고 다양한 지식공유 사이트여서, 가입자의 가입 시기나 이용내역 등이 함께 유출되지 않은 이상 유출된 이메일 주소만으로 가입자의 성향이나 수요 등을 파악하기 어렵습니다. 대법원은 사생활·명예의 침해나 재산적 피해 등이 발생할 위험성은 낮고, 영리 목적으로 이용되거나 확산될 위험성도 높지 않아 보인다고 보았습니다.
• 사고 발생일부터 2년 넘게 지난 원심 변론종결일까지 사고와 연관된 스팸메일의 증가가 확인되지 않고, 추가적인 법익침해나 2차 피해 발생에 관한 자료도 없습니다.
• 피고에게 고의·중과실이 있다고 보기 어렵고, 피고는 개인정보 보호위원회와 사이버경찰청에 신고하고 원고에게 정보유출사실을 통보하며 비밀번호 변경을 요청하는 등의 조치를 취했습니다.

대법원은 원심의 이유 설시에 일부 적절하지 않은 부분이 있지만, 원고에게 위자료로 배상할 만한 정신적 손해가 발생하였다고 보기 어렵다고 보아 원고의 청구를 배척한 원심의 결론은 정당하여 수긍할 수 있다고 보았습니다. 원심판결에 개인정보 보호법상 법정손해배상의 요건에 관한 법리오해 등으로 판결에 영향을 미친 잘못은 없다고 판단했습니다.

결론적으로 대법원은 상고를 기각했고, 상고비용은 원고가 부담하도록 했습니다.

관련 판례

• 대법원 2018. 9. 13. 선고 2017다16778 판결: 소액사건이라도 법령 해석에 관한 판례가 명확하지 않고 다수의 사건이 하급심에 계속되는 등 특별한 사정이 있으면 실체법의 해석과 적용에 관하여 판단할 수 있다는 법리의 근거로 들었습니다.
• 대법원 2023. 4. 27. 선고 2022다297014 판결: 위 소액사건 상고이유에 관한 법리의 근거로 함께 들었습니다.

관련 법령

• 개인정보 보호법 제39조의2: 원고가 청구한 법정손해배상의 근거 조문으로, 대법원은 이 조문이 정보주체의 손해 부분을 청구요건에서 제외하고 있다고 보았습니다.
• 개인정보 보호법 제39조: 제1항이 정보주체가 손해를 입을 것을 청구요건으로 명시하고 있어, 대법원이 제39조의2 제1항의 문언과 대비하는 데 쓰였습니다.
• 민사소송법 제288조: 증명책임에 관한 참조조문으로, 정보주체는 유출 사실을, 개인정보처리자는 정신적 손해가 발생하지 않았음을 주장·증명한다는 판단과 관련되었습니다.
• 소액사건심판법 제3조: 제2호의 상고이유 요건을 갖추지 않았더라도 대법원이 법령해석의 통일을 위하여 실체법 판단을 할 수 있는지가 이 조문과 관련하여 문제 되었습니다.

실무상 의미

• 개인정보 유출을 이유로 법정손해배상을 청구하는 정보주체는 개인정보가 유출되었다는 사실만 주장·증명하면 되고, 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없습니다.
• 정보주체가 위자료 배상을 청구하는 경우, 개인정보처리자는 유출된 정보의 종류와 성격, 식별 가능성, 피해 확산을 막기 위한 조치 등 여러 사정을 들어 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장·증명하면 법정손해배상책임을 면할 수 있습니다. 대법원이 사고 후 신고·통보·비밀번호 변경 요청 같은 조치를 고려 사정으로 든 점을 참고할 만합니다.
• 대법원은 이 판단에서 법정손해배상제도의 취지가 「형해화되지 않도록 주의하여야 한다」고 하였으므로, 유출된 정보가 다르거나 다른 정보와 결합되어 유출된 사건에서는 결론이 달라질 수 있습니다.

사건 표시

• 대법원 2025. 12. 4. 선고 2023다311184 판결 [손해배상(기)] [공2026상,119]
• 원심: 서울남부지방법원 2023. 12. 7. 선고 2023나55205 판결
• 판결 원문: 국가법령정보센터

이 글은 판결을 소개하는 일반 정보이며 법률 자문이 아닙니다. 구체적인 사건은 사실관계에 따라 결론이 달라질 수 있으니 변호사와 상담하시기 바랍니다. 본문의 판결과 법령은 국가법령정보센터에 원문이 있으면 그 원문으로 연결됩니다. 연결되지 않은 하급심 판결은 판결문을 따로 확인해 정리한 것입니다.

목록으로