[최신판례] 개인정보 유출 '병원 책임 아닙니다' 

사건 개요

• 법원·선고일 : 서울북부지방법원 2026. 6. 9. 선고

• 사건번호·사건명 : 2025나31732 (의료정보유출)

• 결과 : 원고 항소 기각 — 1심·2심 모두 원고 패소(청구 기각), 항소비용 원고 부담

환자가 자신의 진료기록이 병원 측에 의해 유출됐다며 개인정보 보호법으로 손해배상 300만 원을 청구했지만, 법원이 "개인정보 보호법이 처리자에게 전환하는 것은 '고의·과실'의 증명책임일 뿐, '유출됐다는 사실 자체'는 여전히 정보주체가 증명해야 한다"고 보아 청구를 기각한 항소심입니다.

Q. 개인정보 유출, 유출 사실도 회사가 증명하나요?

병원에서 제 진료기록이 유출된 것 같습니다. 개인정보 보호법은 회사가 '과실이 없음'을 증명해야 한다고 들었는데, 그럼 유출됐다는 사실까지 병원이 증명하는 건가요? 실제 손해액을 모르면 법정손해배상 300만 원은 유출만 인정되면 받을 수 있나요?

A. '유출 사실'은 정보주체 본인이 증명해야 합니다

개인정보 보호법이 처리자 쪽으로 뒤집어 놓은 것은 '고의·과실'의 증명책임뿐입니다. '내 의사에 반해 유출됐다'는 사실 자체는 여전히 정보주체가 증명해야 하고, 이 출발점을 세우지 못하면 법정손해배상 300만 원도 받을 수 없습니다.

사실관계 — 1심 패소 후 항소했지만 결론은 그대로

원고는 한 의료기관에서 진료를 받은 환자였고, 피고는 그 진료기록(일반영상·CT영상)을 보유·관리한 학교법인이었습니다. 원고는 자신의 진료기록 파일이 본인의 의사에 반하여 유출됐고, 그 과정에서 다른 사람의 의료정보가 끼워 넣어지는 등 기록이 조작됐다고 주장하며 개인정보 보호법에 근거해 손해배상 300만 원을 청구했습니다(※ '조작' 등은 원고의 주장이며 법원이 인정한 사실이 아닙니다). 1심은 청구를 기각했고, 원고는 "1심이 개인정보 보호법이 아니라 일반 불법행위 법리를 적용해 사실상 원고에게 직접 증명을 요구했다"며 항소했습니다. 그러나 항소심의 결론도 같았습니다.

법적 포인트 — 전환되는 건 '과실', 증명할 건 '유출 사실'

개인정보 보호법 제39조 제1항과 제39조의2 제1항은 "개인정보처리자가 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다"고 정합니다. 일반 손해배상과 달리 가해자의 잘못(고의·과실)을 처리자가 스스로 '없음'을 증명하도록 뒤집어, 정보주체를 두텁게 보호하려는 취지입니다. 그러나 법원은 결정적인 선을 긋습니다. 전환되는 것은 어디까지나 '고의·과실'이고, '개인정보가 의사에 반해 유출됐다'는 사실은 여전히 정보주체가 증명해야 한다는 것입니다. 즉 ① 먼저 정보주체가 '의사에 반한 유출'을 증명하고, ② 그 뒤 처리자가 '고의·과실 없음'을 증명하지 못하면 책임지는 2단계 구조입니다. 이 사건에서 원고가 낸 증거만으로는 유출 사실을 인정하기에 부족했고, 법원은 고의·과실을 따질 것도 없이 청구를 기각했습니다. 항소심에서 새로 꺼낸 '진료기록 조작' 주장도, 원래 청구인 '유출'과 기초가 다르고 소송을 현저히 지연시키며 손해액 특정도 없어 추가가 허용되지 않았습니다.

*적용 법조 - 개인정보 보호법 제39조 제1항(손해배상·과실 추정) / 제39조의2 제1항(법정손해배상, 300만 원 이하) / 민사소송법 제420조(제1심판결 이유 인용) / 제262조 취지(청구변경 : 기초 동일성·현저한 지연)

꼭 기억하세요 — 법이 유리해도 '출발점'은 피해자 몫

흔한 오해는 "개인정보 보호법 사건이니 유출됐는지 여부까지 전부 회사가 증명해야 한다"는 생각입니다. 그러나 전환되는 것은 '고의·과실'일 뿐, '유출이 실제로 있었고 그것이 내 의사에 반했다'는 사실은 정보주체가 먼저 증명해야 합니다. 이 1단계를 넘지 못하면 과실 추정이라는 유리한 규정은 작동할 무대에도 오르지 못합니다. 유출이 의심된다면 열람·다운로드 기록, 전송 내역, 목격·통지 정황 등 유출의 정황·경로·시점을 보여줄 자료를 최대한 확보해 두는 것이 중요합니다.

*근거 법조 - 개인정보 보호법 제39조의2 제1항(고의·과실 없음의 증명책임은 처리자에게 전환 / 유출 사실의 증명은 정보주체)

이런 분은 빠르게 상담하세요

• 진료기록·개인정보가 유출된 것으로 의심돼 병원·기업·기관을 상대로 손해배상(법정손해배상 300만 원 포함)을 검토 중인데, '유출 사실'을 어떤 증거로 증명할지 막막한 경우

• 반대로 개인정보처리자(병원·기업, 또는 입주민 정보·CCTV 영상을 다루는 아파트·집합건물 관리주체 등)로서 유출 의혹으로 손해배상 청구를 당해, '유출 사실 자체가 증명되지 않았음'을 방어 논리로 다투는 경우

• 의료과실과 개인정보 유출처럼 여러 쟁점이 얽혀 있어, 어떤 청구를 어떤 순서·구성으로 제기할지 소송 설계가 필요한 경우

본 답변은 서울북부지방법원 2026. 6. 9. 선고 2025나31732 판결문에 근거한 일반적 정보 제공용 자료이며, 구체적 사건에 대한 법률 자문이 아닙니다. 사안에 따라 결론이 달라질 수 있으므로 반드시 변호사와 상담하시기 바랍니다.