사건 개요

의약품 정보 수집을 목적으로 하는 한 재단법인이 약국 관리 프로그램을 이용해 환자들의 처방전 정보를 무단으로 수집했어요. 이 정보에는 환자의 주민등록번호, 질병분류기호, 의사 면허번호 등 민감한 개인정보가 포함되어 있었죠. 재단법인은 이 정보를 암호화 처리한 뒤, 시장조사 회사에 돈을 받고 제공했어요. 이에 해당 정보의 주체인 의사와 환자들이 개인정보 침해를 이유로 손해배상 소송을 제기한 사건이에요.

원고의 입장

의사와 환자들은 피고들이 자신들의 동의 없이 주민등록번호와 질병 정보 등 매우 민감한 개인정보를 불법적으로 수집하고 제3자에게 판매했다고 주장했어요. 이는 개인정보 보호법을 명백히 위반한 공동불법행위에 해당하므로, 이로 인해 입은 정신적 고통에 대해 손해를 배상할 책임이 있다고 강조했어요.

피고의 입장

약국관리 프로그램의 저작권자인 사단법인은 정보 수집에 직접 관여하지 않았다고 주장했어요. 정보를 수집한 재단법인과 이를 제공받은 시장조사 회사는 정보가 암호화 등 비식별화 조치를 거쳤기 때문에 더 이상 ‘개인정보’로 볼 수 없다고 맞섰어요. 설령 개인정보에 해당하더라도 통계 작성 및 학술 연구 목적으로 제공된 것이며, 정보가 외부에 유출되거나 범죄에 이용되지 않았으므로 원고들에게 실제 정신적 손해가 발생하지 않았다고 항변했어요.

법원의 판단 (상·하급심)

1심, 2심, 그리고 대법원 모두 원고들의 청구를 기각했어요. 법원은 피고들이 정보주체의 동의 없이 민감정보와 고유식별정보를 수집하고 제3자에게 제공한 행위는 개인정보 보호법 위반이라고 인정했어요. 특히 초기 암호화 방식은 재식별 가능성이 현저해 적절한 비식별화 조치로 볼 수 없다고 판단했죠. 하지만 법 위반 사실만으로 정신적 손해가 당연히 발생했다고 보기는 어렵다고 봤어요. 정보가 피고들 사이에서만 공유되었을 뿐 외부로 유출되거나 2차 피해를 낳지 않은 점 등을 고려할 때, 위자료를 지급할 만한 정신적 손해가 실제로 발생했다고 증명되지 않았다고 판결했어요.

법적 포인트

이 사건의 핵심은 개인정보 보호법 위반 행위가 곧바로 손해배상 책임으로 이어지는지에 대한 판단이었어요. 법원은 개인정보자기결정권 침해라는 위법행위가 있었던 점은 명확히 인정했어요. 그러나 민사상 손해배상 책임을 묻기 위해서는 그 위법행위로 인해 배상할 만한 ‘실질적인 손해’가 발생했다는 점이 증명되어야 한다고 보았어요. 이 사건에서는 정보가 외부로 유출되거나 범죄에 악용되는 등의 추가 피해가 없어, 원고들이 정신적 고통을 겪었다는 점을 객관적으로 입증하지 못했다고 판단한 것이에요.

나의 사건과 유사할까?

• 나의 동의 없이 개인정보(특히 건강정보)가 수집된 적 있다.
• 수집된 정보가 암호화되었다는 이유로 ‘개인정보가 아니다’라는 주장을 들은 상황이다.
• 내 정보가 제3자에게 영리 목적으로 제공된 사실을 알게 되었다.
• 정보 침해 사실은 알지만, 그로 인해 직접적인 금전 피해나 범죄 피해를 입지는 않았다.

체크리스트 중 여러 항목에 해당된다면 이 사건과 유사한 상황일 수 있으며, 특히 불법행위로 인한 정신적 손해의 입증이 주요 법적 쟁점이 될 수 있어요.