네이트·싸이월드 해킹 사건: 유출된 내 정보, 보상받을 수 있을까?

[판례]

대법원 2015다24904

클릭하여 상세 정보 보기, 선고일: 2018.01.25)

1. 사건의 배경 및 쟁점

사건 개요: 2011년 SK커뮤니케이션즈(네이트·싸이월드)에서 수백만 명의 회원정보가 외부로 유출되는 사고가 발생했다. 피해자들은 사업자가 개인정보를 안전하게 관리·보호할 주의의무를 다하지 못해 유출이 발생했다며 손해배상을 청구했다.

핵심 쟁점:

플랫폼(포털) 사업자가 개인정보 유출에 대해 민법상 불법행위 책임(손해배상)을 부담하는지,

유출로 인한 정신적 손해(위자료) 등 손해의 인정 범위와 인과관계(입증책임)가 어떻게 되는지,

사업자의 보호 의무의 내용·범위(기술적·관리적 보호조치의 수준)가 어느 정도인지였다.

2. 법원의 판단 요지

대법원은 플랫폼 사업자가 개인정보를 수집·보관하는 과정에서 사용자 개인정보 보호를 위한 적절한 보호조치를 취할 주의의무가 있다고 판단하였다. 사업자가 그 주의의무를 다하지 않아 대규모 유출이 발생한 경우에는 민법상 불법행위 책임(손해배상책임)을 인정할 수 있다고 보았다. (2[법령]

[법령]

민법 제750조

클릭하여 상세 정보 보기의 불법행위 규정과 연결)

구체적으로 법원은 사업자의 주의의무 위반 여부를 판단할 때, 사업자의 영업규모·취급하는 개인정보의 민감성·당시 기술적·관리적 보호의 구현가능성(예: 암호화, 접근통제, 패치관리 등) 등을 종합적으로 고려해야 한다고 설시했다.

또한, 피해자의 손해(특히 정신적 손해)에 대한 인과관계 입증 문제에서, 대규모·중대한 개인정보 유출과 같이 유출 사실 자체가 상당한 정신적 고통을 초래할 것이 명백한 경우에는 개별 피해자가 구체적 결과(예: 금전적 손실의 발생)를 엄격히 입증하기 어렵다는 점을 고려해 인과관계와 손해 인정의 문턱을 낮출 수 있음을 시사했다. 따라서 위자료 등 비재산적 손해의 인정 가능성을 열어두었다.

요컨대, 사업자가 개인정보를 안전하게 관리할 합리적 조치를 강구하지 않은 채 방치하여 유출이 발생했다면, 그로 인한 피해에 대해 손해배상책임을 부담할 수 있다는 판단이다. (1[판례]

[판례]

대법원 2015다24904

클릭하여 상세 정보 보기)

3. 유사 판례와의 차이점

기존(종전) 경향: 전통적으로 법원은 손해와 유출행위 사이의 인과관계를 엄격히 따지고, 단순한 유출 사실만으로 넓은 범위의 손해배상을 인정하는 데 신중했다. 특히 재산적 손해가 명확히 드러나지 않으면 손해 인정이 제한되는 경우가 많았다.

본 판결의 차이점:

플랫폼에게 요구되는 주의의무의 구체적·실무적 내용(기술적·관리적 보호조치의 존재 여부)을 보다 적극적으로 판단 요건으로 삼음으로써 사업자 책임의 문턱을 낮추었다.

대규모 유출의 경우 정신적 손해(위자료) 인정의 가능성을 명확히 열어두어, 피해 입증의 현실적 어려움을 고려한 유연한 인과관계·손해인정을 허용했다.

결과적으로 이 판결은 플랫폼 등 개인정보 대량 취급자의 책임가능성을 확대하는 방향으로 기존 법리를 확장시킨 사례로 평가된다.

4. 일반인이 눈여겨볼 점 (Takeaway)

플랫폼·사업자 관점

개인정보를 대량으로 취급하는 사업자는 단순한 ‘형식적’ 보호조치로는 부족하다. 기술적(암호화, 접근제어, 취약점 패치, 로그관리 등)·관리적(권한관리, 내부교육, 사고대응체계) 보호조치를 문서화·이행하고, 그 실행가능성과 적정성을 지속적으로 점검해야 한다.

대규모 유출이 발생하면, 사업자는 민법상 불법행위 책임을 부담할 가능성이 크며, 위자료 등 비재산적 손해까지 인정될 수 있어 손해액 추정과 리스크 관리(보험·계약·내부통제)가 중요하다.

이용자(개인) 관점

개인정보 유출 사건에서 피해자는 단순히 금전적 손해가 발생함을 입증하기 어려워도 위자료 등 정신적 피해에 대한 구제를 받을 가능성이 있다. 유출 사실이 확인되면 소명자료(유출 통지 내역, 사업자의 공지, 사고 경위 등)를 확보해 두는 것이 중요하다.

향후 실무·규제 영향

본 판결은 플랫폼 책임을 강화하는 법리적 토대가 되었고, 이후 개인정보 보호 관련 입법·행정지도(기술적·관리적 보호의무 규범화, 법정손해배상제 도입 등) 및 분쟁에서의 입증전략에 큰 영향을 미친다. 기업은 법적·규제적 책임을 줄이기 위해 개인정보 보호 거버넌스와 사고 대응 능력을 강화해야 한다.

법률 해석 포인트(실무적 메모)

사업자의 주의의무 위반은 ‘절대적 표준’이 아니라 사건별·시기별 기술수준과 사업자의 취급 형태에 따라 판단된다.

유출 후 손해배상 소송에서 중요한 것은 (1) 사업자가 어떤 보호조치를 취했는지의 구체적 증거, (2) 유출경위(외부 공격인지 내부자 유출인지), (3) 유출된 정보의 종류(주민등록번호·금융정보 등 민감정보 여부)이다.

피해자가 손해 일부를 입증하기 어렵더라도, 대규모·중대한 유출의 경우 법원은 손해 및 인과관계를 보다 유연하게 인정할 수 있다.

참고법령/판례 표기

본 판례: 1[판례]

[판례]

대법원 2015다24904

클릭하여 상세 정보 보기

연결되는 기본 법리: 2[법령]

[법령]

민법 제750조

클릭하여 상세 정보 보기 (불법행위에 따른 손해배상)

결론적으로, 1[판례]

[판례]

대법원 2015다24904

클릭하여 상세 정보 보기는 플랫폼 사업자에게 개인정보 보호에 대한 실질적·적극적 주의의무를 부과하고, 대규모 유출 시 피해자 손해구제 가능성을 확대했다는 점에서 중요한 전기(轉機)적 판결이다. 플랫폼 운영자와 개인정보를 제공하는 이용자 모두에게 실무적·예방적 시사점을 주는 판결이다.

실제 판례 출처

대법원 2015다24904

2018.01.25 | 손해배상(기)ㆍ손해배상(기)ㆍ손해배상(기)ㆍ손해배상(기)(네이트ㆍ싸이월드 회원들의 개인정보 유출로 인한 손해배상 청구사건)

판결요지(요약): === 손해배상(기)ㆍ손해배상(기)ㆍ손해배상(기)ㆍ손해배상(기)(네이트ㆍ싸이월드 회원들의 개인정보 유출로 인한 손해배상 청구사건) === 기본 정보: 사건번호: 2015다24904, 24911, 24928, 24935 법원: 대법원 선고일: 20180125 사건종류: 민사 판결유형: 판결 판시사항: ...

복사용 원문 출처

법령: 민법 제750조

원문: https://www.law.go.kr/lsSc.do?menuId=1&subMenuId=15&tabMenuId=81&query=%EB%AF%BC%EB%B2%95+%EC%A0%9C750%EC%A1%B0

판례: 대법원 2015다24904

원문: https://www.law.go.kr/DRF/lawService.do?OC=0428&target=prec&ID=193332&type=HTML&mobileYn=

Law Chat(Law chat을 클릭하면 새탭에서 이동됩니다)에서 쟁점별 반대 논리까지 함께 검토해, 분쟁 대비 논증 구조를 더 탄탄하게 만들어보세요.