홈플러스가 2011~2014년 경품행사 등을 통해 수집한 고객 개인정보를 보험사에 판 것에 대해 배상해야 한다는 대법원 판결이 17일 확정됐다. 대법원은 개인정보가 보험사에 유출된 사실을 입증한 4명에 대해서만 1인당 5만~30만원씩 배상하라고 했다.
대법원 2부(주심 신숙희 대법관)은 A씨 등 283명이 홈플러스 주식회사를 상대로 낸 손해배상 청구 소송에서 원고 일부 승소한 원심을 확정했다. 대법원은 “‘4명에게 위자료로 배상할 만한 정신적 손해가 발생했다’고 본 원심의 판단에 잘못이 없다”고 했다. 나머지 청구에 대해선 “홈플러스가 (보험사에) 개인정보를 제공한 사실이 증명되지 않았다”며 받아들이지 않았다.
홈플러스는 2011년~2014년 추첨을 통해 벤츠 자동차, 다이아몬드 반지 등을 주는 경품 행사를 했다. 홈플러스는 응모 고객에게 받은 이름, 전화번호 등 개인정보를 보험사 7개에 148억원을 받고 팔았다. 같은 기간 패밀리카드 회원을 모집한다며 개인정보 1694만건을 수집한 뒤 보험사 2개에 83억5000만원을 받고 판매했다. 당시 경품행사 응모권 뒷면 등에 ‘개인정보는 보험 상품 등 안내를 위한 마케팅 자료로 활용된다’는 글귀를 약 1㎜ 크기로 깨알같이 적었다.
이에 2015년 A씨 등 소비자 425명은 “홈플러스의 개인정보 제공 등으로 정신적 손해를 입었다”며 1인당 50만~70만원의 배상을 요구하는 소송을 냈다. 개인정보 보호법에 따라 정보 주체는 개인정보 처리자의 위법 행위로 손해를 입으면 손해배상을 청구할 수 있다. 개인정보 처리자는 고의·과실이 없음을 증명하지 못하면 배상 책임을 진다.
재판 쟁점은 홈플러스에서 보험사로 개인정보가 넘어간 사실을 누가 증명해야 되는지였다. 4명을 제외한 대부분의 소비자는 개인정보 유출 사실을 명확하게 증명하지 못했다. 1심 법원은 증명 책임이 홈플러스에 있다고 보고 회사가 284명에게 손해배상을 하라고 했다. 2심은 증명 책임이 소비자에게 있다고 했다. 이에 개인정보 제공 사실을 입증하지 못한 소비자들에겐 배상하지 않아도 된다고 판단했다.
대법원의 판단도 2심과 같았다. 대법원은 “개인정보 처리자가 개인정보보호법을 위반한 행위를 했다는 사실 자체는 정보 주체가 주장·증명해야 한다”고 밝혔다. 개인정보를 유출한 고의나 과실 여부를 증명할 책임은 가해자에게 있지만, 유출 사실 자체는 피해자가 입증해야 한다는 것이다. 대법원 관계자는 “이 판결은 정보 주체가 개인정보 처리자에게 손해배상을 청구하는 경우 개인정보처리자가 개인정보보호법을 위반했다는 사실 자체는 정보 주체가 주장·증명해야 한다는 점을 최초로 판시한 사례”라고 했다.
이날 대법원 2부(주심 김상환 대법관)도 쟁점이 같은 홈플러스의 개인정보 판매 사건을 심리했다. 도성환 전 홈플러스 사장은 개인정보보호법 위반 등 혐의가 인정돼 2019년 징역 10개월에 집행유예 2년을 확정받았다. 홈플러스 법인도 벌금 7500만원을 확정받았다.
홈플러스 강서 본사 전경. / 홈플러스 제공
대법원 2부(주심 신숙희 대법관)은 A씨 등 283명이 홈플러스 주식회사를 상대로 낸 손해배상 청구 소송에서 원고 일부 승소한 원심을 확정했다. 대법원은 “‘4명에게 위자료로 배상할 만한 정신적 손해가 발생했다’고 본 원심의 판단에 잘못이 없다”고 했다. 나머지 청구에 대해선 “홈플러스가 (보험사에) 개인정보를 제공한 사실이 증명되지 않았다”며 받아들이지 않았다.
홈플러스는 2011년~2014년 추첨을 통해 벤츠 자동차, 다이아몬드 반지 등을 주는 경품 행사를 했다. 홈플러스는 응모 고객에게 받은 이름, 전화번호 등 개인정보를 보험사 7개에 148억원을 받고 팔았다. 같은 기간 패밀리카드 회원을 모집한다며 개인정보 1694만건을 수집한 뒤 보험사 2개에 83억5000만원을 받고 판매했다. 당시 경품행사 응모권 뒷면 등에 ‘개인정보는 보험 상품 등 안내를 위한 마케팅 자료로 활용된다’는 글귀를 약 1㎜ 크기로 깨알같이 적었다.
이에 2015년 A씨 등 소비자 425명은 “홈플러스의 개인정보 제공 등으로 정신적 손해를 입었다”며 1인당 50만~70만원의 배상을 요구하는 소송을 냈다. 개인정보 보호법에 따라 정보 주체는 개인정보 처리자의 위법 행위로 손해를 입으면 손해배상을 청구할 수 있다. 개인정보 처리자는 고의·과실이 없음을 증명하지 못하면 배상 책임을 진다.
재판 쟁점은 홈플러스에서 보험사로 개인정보가 넘어간 사실을 누가 증명해야 되는지였다. 4명을 제외한 대부분의 소비자는 개인정보 유출 사실을 명확하게 증명하지 못했다. 1심 법원은 증명 책임이 홈플러스에 있다고 보고 회사가 284명에게 손해배상을 하라고 했다. 2심은 증명 책임이 소비자에게 있다고 했다. 이에 개인정보 제공 사실을 입증하지 못한 소비자들에겐 배상하지 않아도 된다고 판단했다.
대법원의 판단도 2심과 같았다. 대법원은 “개인정보 처리자가 개인정보보호법을 위반한 행위를 했다는 사실 자체는 정보 주체가 주장·증명해야 한다”고 밝혔다. 개인정보를 유출한 고의나 과실 여부를 증명할 책임은 가해자에게 있지만, 유출 사실 자체는 피해자가 입증해야 한다는 것이다. 대법원 관계자는 “이 판결은 정보 주체가 개인정보 처리자에게 손해배상을 청구하는 경우 개인정보처리자가 개인정보보호법을 위반했다는 사실 자체는 정보 주체가 주장·증명해야 한다는 점을 최초로 판시한 사례”라고 했다.
이날 대법원 2부(주심 김상환 대법관)도 쟁점이 같은 홈플러스의 개인정보 판매 사건을 심리했다. 도성환 전 홈플러스 사장은 개인정보보호법 위반 등 혐의가 인정돼 2019년 징역 10개월에 집행유예 2년을 확정받았다. 홈플러스 법인도 벌금 7500만원을 확정받았다.