1. 개인정보처리자의 손해배상책임의 성립요건
개인정보처리자의 손해배상책임이 성립하기 위해서는 첫째, 「개인정보 보호법」을 위반한 위법한 침해행위가 있어야 하고, 둘째, 「개인정보 보호법」을 위반한 침해행위로 인하여 손해가 발생하여야 하며, 셋째, 「개인정보 보호법」을 위반한 침해행위와 손해 사이에 상당한 인과관계가 있어야 하고, 넷째, 「개인정보 보호법」을 위반한 침해행위를 한 개인정보처리자에게 고의 또는 과실과 책임능력이 있어야 한다.
(1) 「개인정보 보호법」을 위반한 위법한 침해행위의 존재
개인정보처리자가「개인정보 보호법」을 위반하는 위법한 침해행위가 있어야 함. 따라서 「신용정보법」, 「위치정보법」 등 개인정보 보호 관련 법률을 위반하는 행위는 「개인정보 보호법」이 정하고 있는 손해배상책임의 대상이 되지 않고, 이 경우에는 해당 법률 또는 「민법」에 따른 손해배상책임을 진다.
「개인정보 보호법」을 위반하는지 여부의 판단은 법질서 전체의 입장과 객관적으로 모순·충돌하는 경우로 한정함. 일반적으로 「개인정보 보호법」을 위반하는 경우 위법성이 인정되지만, 선량한 사회풍속, 조리, 사회통념 등 사회상규에 반하지 않는다고 인정되는 경우에는 위법성이 조각된다.
개인정보는 다른 사람의 생명ᆞ신체ᆞ재산을 보호하기 위하여 이용되는 경우가 많으므로 손해배상책임을 결정함에 있어서는 특별히 위법성 조각사유에 해당하는지 여부를 면밀히 검토 하여야 한다.
(2) 「개인정보 보호법」을 위반한 위법한 침해행위로 인하여 손해의 발생
개인정보처리자가 「개인정보 보호법」을 위반한 위법한 침해행위로 인하여 정보주체에게 손해가 발생하여야 함. 여기에서의 손해는 재산적·경제적 손해는 물론 정신적 손해도 포함하고, 손해액에 대한 증명은 손해배상을 청구하는 정보주체에게 있다.
손해는 위법행위로 인하여 정보주체가 받은 손해 가운데 사회 일반의 관념상 통상적으로 발생한다고 생각되는 범위의 손해를 배상하는 것으로 통상 손해를 넘어서 특별한 사정으로 인한 ‘특별손해’는 배상의 대상이 되지 않음. 특별손해는 개인정보처리자가 특별한 사정을 알았거나 알 수 있었을 때에 한하여 손해배상책임을 진다.
이 경우 개인정보처리자가 특별한 사정을 알았거나 알 수 있었을 것이라는 사실은 정보주체가 입증하여야 한다.
(3) 「개인정보 보호법」을 위반한 위법한 침해행위와 손해 사이의 인과관계
개인정보처리자가 손해배상책임을 지기 위해서는「개인정보 보호법」을 위반한 위법한 침해행위와 손해 사이에 상당한 인과관계가 있어야 함. 즉, 원인과 결과 사이의 관계가 무한히 연결되는 사실 가운데 객관적으로 보아 위법행위로부터 일반적으로 초래되는 손해가 발생한다고 인정할 때 “상당인과관계”가 있어야 함. 위법행위와 손해 사이에 상당인과관계가 있다는 사실은 정보주체가 증명하여야 한다.
“상당성”은 가해행위 당시에 평균적 일반인이 알 수 있었던 사정과 가해자가 특히 알고 있었던 사정을 함께 고려하여 판단함. 상당인과관계 유무는 결과발생의 개연성, 위법행위의 태양 및 피침해이익의 성질 등을 종합적으로 고려하여 판단하여야 한다.
(4) 고의ᆞ과실 및 책임능력의 존재
“고의”란 개인정보처리자가 「개인정보 보호법」 위반을 알면서도 위법행위를 하는 것으로, 여기에는 위법행위로 인하여 손해가 발생할지도 모른다는 의구심을 가지면서 그 위법행위를 하는 “미필적 고의”도 포함된다.
“과실”이란 개인정보처리자가 신의칙(信義則)상 요구되는 정도의 주의를 다하지 않아 「개인정보 보호법」에 위반함을 인식하지 못한 것, 즉, 개인정보처리자가 선량한 관리자로서의 주의의무를 다하지 아니한 것을 말한다.
개인정보처리자가 손해배상책임을 지기 위해서는 위법행위에 대한 고의 또는 과실은 물론 책임능력이 있어야 한다.
개인정보처리자의 선임ᆞ지휘ᆞ감독을 받는 임직원, 파견근로자, 시간제근로자 등 개인정보를 처리하는 업무를 담당하는 자의 고의ᆞ과실은 개인정보 보호책임자 자신의 고의ᆞ과실로 본다. 또한, 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 「개인정보 보호법」을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 보아야 하므로, 수탁자의 고의ᆞ과실도 개인정보처리자 자신의 고의ᆞ과실로 본다.
2. 고의ᆞ과실에 대한 입증책임의 전환
「민법」상 불법행위에 따른 손해배상청구의 경우에는 정보주체가 고의 또는 과실의 존재에 대한 입증책임을 지는 것이 원칙이다.
그러나, 「개인정보 보호법」은 손해배상청구에 대하여 고의 또는 과실에 대한 입증책임을 개인정보처리자에게 부담시키고 있다. 즉, 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 손해배상책임을 면할 수 없다.
※ 개인정보 보호법 규정
제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.
② 삭제 <2015. 7. 24.>
③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 5배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다. <신설 2015. 7. 24., 2023. 3. 14.>
④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다. <신설 2015. 7. 24.>
1. 고의 또는 손해 발생의 우려를 인식한 정도
2. 위반행위로 인하여 입은 피해 규모
3. 위법행위로 인하여 개인정보처리자가 취득한 경제적 이익
4. 위반행위에 따른 벌금 및 과징금
5. 위반행위의 기간ㆍ횟수 등
6. 개인정보처리자의 재산상태
7. 개인정보처리자가 정보주체의 개인정보 분실ㆍ도난ㆍ유출 후 해당 개인정보를 회수하기 위하여 노력한 정도
8. 개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도