사건 개요

한 신용정보회사 직원이 카드사들의 '카드사고분석시스템(FDS)' 개발 용역에 참여하던 중, 업무상 접근 권한을 이용해 수천만 건의 고객 개인정보를 빼돌렸어요. 이 직원은 USB 메모리 등을 이용해 C카드, D은행, E카드의 고객 정보를 유출한 뒤, 이를 대출중개업자 등에게 판매했어요. 정보가 유출된 카드 고객들은 직원의 사용자인 신용정보회사를 상대로 정신적 피해에 대한 손해배상을 청구하는 소송을 제기했어요.

원고의 입장

직원의 불법 행위는 회사의 업무를 수행하는 과정에서 발생했으므로, 민법상 사용자책임에 따라 회사가 손해를 배상해야 한다고 주장했어요. 성명, 주민등록번호, 주소, 연락처는 물론 카드번호와 결제계좌 등 민감한 정보가 유출되어 신용카드를 재발급받는 불편을 겪었어요. 또한, 금융사기 등 추가 범죄에 노출될 수 있다는 불안감으로 큰 정신적 고통을 받았다고 호소했어요.

피고의 입장

직원의 정보 유출은 용역 계약상의 업무와 무관한 개인적인 범죄 행위이므로 회사의 '사무집행 관련성'이 없다고 반박했어요. 또한, 회사는 직원을 채용하고 관리·감독하는 데 상당한 주의를 기울였으므로 사용자책임이 면제되어야 한다고 주장했어요. 유출된 정보만으로는 실제 금전적 피해가 발생하기 어렵고, 일부 정보는 유통되기 전 수사기관에 압수되었으므로 고객들에게 위자료를 지급할 만한 손해가 발생하지 않았다고도 했어요.

법원의 판단 (상·하급심)

법원은 직원의 정보 유출 행위가 외형적, 객관적으로 볼 때 회사의 업무수행과 관련된 행위로 '사무집행 관련성'이 인정된다고 판단했어요. 직원이 카드사 사무실에서 회사 업무를 진행하던 중 정보를 유출했고, 유출한 정보 역시 업무를 위해 제공받은 자료였기 때문이에요. 또한 회사가 직원의 선임 및 사무감독에 상당한 주의를 다했다는 점을 입증하지 못했으므로 사용자책임을 져야 한다고 봤어요. 다만, 유출된 정보가 제3자에게 넘어가기 전 수사기관에 압수된 E카드 고객들의 경우에는 정신적 손해가 현실적으로 발생했다고 보기 어렵다며 배상 책임 대상에서 제외했어요. 최종적으로 법원은 유출된 정보의 민감도에 따라 1인당 5만 원 또는 10만 원의 위자료를 지급하라고 판결했어요.

법적 포인트

이 사건의 핵심은 민법 제756조의 '사용자책임' 성립 여부였어요. 사용자책임에서 '사무집행에 관하여'라는 요건은 직원의 불법행위가 외형상 객관적으로 사용자의 사업 활동이나 사무집행 행위와 관련되어 보이면 인정돼요. 직원의 주관적인 범죄 의도와 상관없이, 행위가 시간적·장소적으로 업무와 밀접하고 업무 수행 과정에서 이루어졌다면 사용자는 책임을 져야 해요. 사용자가 책임을 면하려면 직원의 선임과 사무감독에 상당한 주의를 다했음을 스스로 입증해야 하지만, 이 사건에서 회사는 이를 증명하지 못했어요.

나의 사건과 유사할까?

• 회사 직원의 불법행위로 인해 피해를 입은 적이 있다.
• 직원이 업무 시간이나 업무 장소에서, 또는 업무와 관련된 행위를 하던 중 문제를 일으켰다.
• 개인정보 유출로 인해 정신적 불안감이나 2차 피해의 우려를 겪고 있다.
• 회사가 직원에 대한 관리·감독을 소홀히 했다고 볼 만한 정황이 있다.
• 유출된 내 정보가 제3자에게 전달되거나 판매되어 확산될 가능성이 있는 상황이다.

체크리스트 중 여러 항목에 해당된다면 이 사건과 유사한 상황일 수 있으며, 특히 사용자책임의 성립 여부가 주요 법적 쟁점이 될 수 있어요.