정보가 새도 배상은 왜 어려울까

어느 날 한 통의 문자가 온다. "고객님의 개인정보가 유출됐습니다." 이름, 연락처, 때로는 주민등록번호까지 새어 나갔다는 통보다. 화가 난 이용자는 소송을 떠올린다. 그러나 법정에 서면 상황은 생각과 다르게 흘러간다.

유출됐다는 사실만으로는 부족하다

민사상 손해배상(불법행위로 입은 손해를 돈으로 물어 달라는 청구)이 인정되려면 몇 가지 요건이 갖춰져야 한다. 가해자의 잘못, 피해자가 입은 손해, 그리고 그 잘못과 손해 사이의 인과관계다. 개인정보 유출 사건에서 문제가 되는 지점은 뒤의 두 가지다.

정보가 유출됐다는 사실 자체는 비교적 다투기 쉽다. 하지만 그로 인해 '내가 구체적으로 어떤 손해를 입었는가'를 증명하는 일은 다른 차원이다. 유출된 정보가 실제로 범죄에 쓰였는지, 스팸이나 보이스피싱이 그 유출 때문인지, 정신적 고통이 배상받을 만한 수준인지를 피해자가 밝혀야 한다. 이 증명 책임은 원칙적으로 청구하는 쪽, 즉 피해자에게 있다.

인과관계라는 보이지 않는 벽

대규모 유출일수록 역설적으로 개별 피해 입증은 어려워진다. 유출 경로가 여러 곳이고, 이미 시중에 떠도는 정보와 뒤섞이면 '바로 이 유출 때문에 이 피해가 생겼다'는 연결고리를 대기가 힘들다.

판례는 정신적 손해(위자료)를 인정할지 여부를 유출된 정보의 종류와 범위, 유출로 인한 위험의 정도, 사업자의 관리 소홀 여부 등을 종합해 판단하는 것으로 알려져 있다. 사실관계에 따라 결론이 갈린다는 뜻이다. 정보가 새어도 배상이 인정되지 않거나, 인정돼도 액수가 크지 않은 경우가 적지 않은 배경이다.

그래서 어떻게

피해를 입었다면 '증거를 남기는 일'이 출발점이다. 유출 통보 문자·메일, 이후 걸려온 의심스러운 전화와 문자, 스팸 내역, 명의도용 흔적을 시간 순으로 보관한다. 사업자의 통지 내용과 시점도 기록해 둔다. 단체소송이나 집단 대응 움직임이 있다면 참여 여부를 검토하는 것도 방법이다. 소송의 승패는 '정보가 샜다'가 아니라 '그래서 내가 무엇을 잃었다'를 얼마나 구체적으로 보여 주느냐에 달려 있다.