개인정보 누출, 접근 가능성만으로는 부족해!

개인정보 누출 사고는 끊이지 않고 발생하고 있습니다. 그런데 단순히 누출될 가능성만으로도 손해배상을 받을 수 있을까요? 최근 대법원 판결을 통해 자세히 알아보겠습니다.

사건의 개요

이번 사건은 통신사(乙)로부터 시스템 점검용 아이디와 비밀번호를 받은 업체(甲)가 점검 후 이를 삭제하지 않아 발생했습니다. 이로 인해 특정 웹사이트에 휴대폰 번호를 입력하면 가입자의 개인정보가 전송될 수 있는 상태가 되었죠. 통신사 가입자들(丙 등)은 개인정보 누출을 주장하며 손해배상을 청구했습니다.

쟁점: 접근 가능성 vs. 실제 누출

핵심 쟁점은 "개인정보에 접근할 수 있는 상태였던 것만으로 개인정보가 누출된 것으로 볼 수 있는가"였습니다. 즉, 실제로 누군가 정보를 열람하지 않았더라도, 시스템 취약점으로 인해 접근 가능성이 있었다면 누출로 인정해야 하는지가 문제였습니다.

대법원의 판단: 실제 누출이 있어야 한다!

대법원은 개인정보 누출은 "정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태"라고 정의했습니다. 단순히 접근 가능성만으로는 부족하며, 실제로 제3자가 정보 내용을 알 수 있는 상태에 이르러야 한다는 것이죠.

이 사건에서 통신사는 웹사이트와 서버의 연동을 끊는 등 정보 접근을 차단할 수 있는 관리·통제권을 가지고 있었습니다. 또한, 원고들의 휴대폰 번호가 문제의 웹사이트에 입력되었는지 확인되지 않았습니다. 따라서 대법원은 실제 누출이 있었다고 보기 어렵다고 판단하여 원고들의 청구를 기각했습니다.

판결의 의의

이번 판결은 개인정보 누출에 대한 중요한 기준을 제시했습니다. 정보 접근 가능성만으로는 누출로 인정하기 어렵다는 점을 명확히 한 것이죠. 물론 정보통신서비스 제공자는 개인정보 보호를 위한 기술적·관리적 보호조치를 철저히 해야 할 의무가 있습니다. 하지만 실제 누출 여부를 판단할 때는 접근 가능성뿐 아니라, 실제 열람이나 접근 여부를 종합적으로 고려해야 한다는 점을 강조한 판결입니다.

관련 법조항: 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제3조 제1항, 제28조 제1항, 제32조