개인정보 2400만건 팔아넘긴 홈플러스…대법 "'내 정보 판매' 입증한 고객에만 손해배상"

고객 개인정보 2400만건을 보험사에 팔아넘긴 홈플러스가 총 156명에 대해 손해를 배상하게 됐다. 그러나 이들과 달리 자신의 개인정보가 제공됐다는 사실을 입증하지 못한 280여명은 한푼도 못 받는다는 대법 판결이 나왔다.
 
대법원 2부(주심 신숙희 대법관)는 17일 강모씨 등 283명이 홈플러스를 상대로 낸 손해배상 청구 소송에서 원심의 원고 일부 승소 판결을 확정했다.
 
대법원은 원고 중 4명에 대해서만 홈플러스가 배상 책임을 져야 한다고 판단했다. 나머지 청구인에 대해서는 “홈플러스가 개인정보를 (다른 곳에) 제공한 사실이 증명되지 않았다”며 받아들이지 않았다.
 
홈플러스는 2011년 말부터 2014년 7월까지 다이아몬드 반지, 고급 자동차 등을 걸고 경품 행사를 진행하면서 수집한 개인정보 712만건을 보험사 7곳에 148억원을 받고 넘겼다. 또 패밀리카드 회원을 모집한다면서 개인정보 1694만건을 수집한 뒤 보험사 2곳에 넘긴 뒤 83억5000만원을 받았다.
 
홈플러스가 당시 경품행사 응모권 뒷면과 인터넷 응모 화면에 약 1mm 크기의 작은 글씨로 ‘개인정보 제공 동의’를 설명한 사실이 알려져 ‘깨알 고지’ 논란이 일기도 했다. 이에 강씨 등 425명과 안산소비자단체협의회가 2015년 홈플러스를 상대로 손해배상 청구 소송을 냈다.
 
1심 재판부는‘개인정보를 제공하지 않았다’는 점을 증명할 책임이 정보를 처리한 기업에 있다고 봤다. 이에 따라 홈플러스가 고객 동의 없이 개인정보를 보험사에 넘긴 것은 불법이라고 인정했다. 개인정보보호법에 따라 개인정보처리자(홈플러스)는 고의·과실이 없음을 증명하지 못하면 배상 책임을 져야 한다.
 
2심 재판부는 손해배상 책임은 인정하면서도, 배상 대상자는 줄였다. 1심에서 인정된 손해배상 인정 대상자는 284명이었는데 2심에선 152명만 인정됐다. 2심 재판부는 “자신의 개인정보가 선별작업을 위해 보험회사에 제공됐다는 점에 대한 입증 책임은 원고 등에게 있다”며 “입증이 없는 이상 피해자로 단정하기 어렵다”고 밝혔다.
 
대법원에서도 비슷한 판단을 유지했다. 대법원은 “(추가로) 4명의 청구 부분에 관해서는 ‘위자료로 배상할 만한 정신적 손해가 발생했다’고 판단한다”며 “나머지 원고들의 개인정보가 보험회사에 제공됐다는 사실에 관한 구체적·개별적 증명이 없는 이상 피고의 개인정보보호법 위반행위를 인정할 수 없다”고 밝혔다. 배상액은 5만~30만원씩이다.
 
결론적으로 156명은 개인정보가 보험사에 팔렸다는 점을 입증해 배상을 받았거나 받게 됐지만 소송에 함께 나섰던 나머지 280여명은 입증을 못해 돈을 받지 못한다. 156명은 2014년 검찰이 홈플러스 등을 압수수색해 복원한 개인정보 제공 명단 등을 토대로 사실관계를 입증한 것으로 알려졌다.
 
대법원은 “개인정보보호법 위반으로 입은 손해를 배상받으려면 ‘고의나 과실’ 여부는 기업 등이 입증해야 하지만 ‘법 위반 사실’ 자체는 피해자가(정보주체)가 주장·증명해야 한다는 최초 판시”라고 설명했다.
 
도성환 전 홈플러스 사장은 개인정보보호법 위반 등 혐의가 인정돼 2019년 2심에서 징역 10개월에 집행유예 2년을 선고받았으며 대법이 이를 확정했다. 홈플러스 법인도 벌금 7500만원을 확정받았다.