개인정보가 유출됐다고 해서 누구나 곧바로 300만원을 받는 것은 아니다. 개인정보 보호법 제39조의2 제1항은 개인정보처리자의 고의 또는 과실로 유출 등이 된 경우 300만원 이하 범위의 상당한 금액을 손해액으로 청구할 수 있도록 한다. 상한과 개별 사건의 인정액을 구별해야 한다.
유출 사실과 책임의 전제를 살핀다
가령 자신이 이용한 회사에서 개인정보 유출 안내를 받은 뒤 법정손해배상을 알아보려 한다고 하자. 설명용 가상 사례다. 누구의 어떤 정보가 어느 회사에서 유출됐는지, 그 회사의 처리와 어떤 관계가 있는지 확인한다. 안내를 받았다는 사실과 원고 개인의 청구 요건이 모두 인정된 사실은 같지 않다. 제39조의2는 제39조 제1항에도 불구하고 청구할 수 있는 법정손해배상을 정하므로 일반 손해배상과 구분해 읽는다.
고의나 과실이 없다는 입증은 회사가 한다
해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 않으면 책임을 면할 수 없다(제39조의2 제1항 후단). 그렇다고 유출 사실이나 당사자의 관계까지 확인할 필요가 사라지는 것은 아니다. 법이 정한 책임의 전제와 입증 부담을 구별한다. 회사가 사고 원인과 대응을 어떻게 설명했는지 살피되, 단순한 불만만으로 회사의 책임과 배상 결과를 확정하지 않는다.
법원이 상당한 손해액을 판단한다
법원은 변론 전체의 취지와 증거조사 결과를 고려해 법정 범위에서 상당한 손해액을 인정할 수 있다(제39조의2 제2항). 조문에 적힌 300만원은 자동 지급액이나 최소 보장액이 아니다. 제3항은 제39조의 손해배상 청구를 사실심 변론 종결 전까지 법정손해배상 청구로 바꿀 수 있도록 정한다. 이미 소송 중이라면 현재 청구 내용과 소송 단계를 나누어 확인한다. 유출 통지와 회사 설명, 자신과 처리 회사의 관계 및 경과를 보여 주는 자료를 정리하고 어떤 근거의 청구를 할지 검토해야 한다. 이 글은 실제 소송의 인용 여부나 배상액을 예상하는 설명이 아니다.
