개인정보 유출 피해,
법적 책임을 묻습니다

「개인정보 보호법」 제29조에 따르면 쿠팡과 같은 개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 기술적·관리적 및 물리적 조치를 하여야 할 법적 의무가 있습니다.

언론 보도에 따르면, 이번 유출 사고는 쿠팡의 '인증 시스템 개발자'였던 직원이 퇴사한 이후에도 해당 직원의 접근권한(인증키)을 회수하거나 말소하는 등 기본적인 보안 조치를 이행하지 않고 방치한 것이 원인이었습니다.

쿠팡의 개인정보 유출 사고는 「개인정보 보호법」 제29조 위반으로 발생했으므로, 지금까지 밝혀진 사실관계에 비추어 승소가능성은 상당하다고 판단합니다.

기존에 대법원은 개인정보 유출로 인한 위자료 액수를 산정함에 있어 유출된 개인정보의 종류와 성격, 유출 경위 및 규모 등을 종합적으로 고려해야 한다고 판시하고 있으며, 위자료를 10~20만원 수준에서 인정해 왔습니다.

이 사건의 경우 쿠팡의 반성 없는 무책임한 사후 대응, 거대 플랫폼 기업의 가중된 사회적 책임 방기 등을 참작하면 30만원 이상의 위자료가 인정되어야 한다고 판단합니다.

현재 대한민국 법체계는 실제 손해의 배상을 원칙으로 하므로, 원칙적으로 징벌적 손해배상 제도는 인정되지 않습니다. 그러나 2011년부터 악의적인 불법행위를 억제하고 피해자를 실질적으로 구제하기 위해 개별 법률에서 예외적으로 손해액의 3배에서 5배에 이르는 징벌적 손해배상 제도를 도입하는 추세입니다.

현재까지 개인정보 보호법 제39조 제3항에 따른 징벌적 손해배상이 명시적으로 인정된 사례는 확인하기 어렵습니다만, 이번 소송이 향후 징벌적 손해배상의 실효성을 높이는 계기가 될 것으로 기대합니다.