약정원 민사 2심 ‘손해입증·3자 유출’이 판결 갈랐다

대한약사회와 약학정보원, IMS헬스코리아의 개인정보 유출 혐의에 따라 475명이 청구한 손해배상청구소송 항소심에서 손해 입증과 제3자 유출에 대한 판단이 결국 판결을 가른 것으로 나타났다.

그러나 재판부는 약학정보원과 IMS헬스코리아가 개인정보보호법을 위반한 것으로 판단, 향후 형사 소송에 어떤 영향을 미칠지 주목된다.

서울고등법원 제13민사부는 지난 3일 대한약사회와 약학정보원, IMS헬스코리아에 대해 제기됐던 손해배상청구소송 항소심에서 원고 기각 판결을 내렸다.

원고 측은 재판에서 개인정보 주체인 원고 동의 없이 정보를 수집해 개인정보보호법 및 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)을 위반했다는 점과 약사회와 IMS의 경우 약정원의 행위를 알면서도 불법행위에 가담해 공동불법행위의 책임을 부담해야 한다는 점을 주장해왔다.

이에 대해 피고 측은 이 사건의 정보가 비식별화 조치를 거쳤기 때문에 개인정보에 해당하지 않는다는 점, 개인정보에 해당하더라도 IMS는 약정원으로부터 특정 개인을 식별할 수 없는 상태로 정보를 제공 받았기 때문에 적법한 정보 제공이라는 점, 제3자에게 유출되거나 범죄에 이용된 것은 아니기 때문에 정신적 손해가 발생했다고 볼 수 없다는 점 등을 반론으로 내세웠다.

이 같은 양측의 주장에 재판부는 먼저 약사회에 대한 책임을 인정할 증거가 없다는 판단을 내렸다.

공동불법행위를 이유로 한 손해배상책임이 인정되기 위해서는 먼저 행위자 각각의 고의 또는 과실에 따른 행위가 공동으로 행해졌다는 사실이 밝혀져야 하는데, 재판에서 인정한 사실만으로는 약사회가 약정원의 이 사건 정보 수집 및 제공에 가담했다고 인정하기 부족하고 이를 인정할 증거가 없다는 것.

약정원과 IMS에 대해서는 정보통신망법을 위반하지 않았다고 판단했으며, 개인정보보호법 자체는 위반했지만 이에 대한 손해배상 책임은 없다고 판단했다.

정보통신망법의 경우 약정원이 PM2000을 통해 이 사건 정보를 취득한 것이 정보통신망에 침입하는 등 부정한 수단 또는 방법을 사용했거나 정보주체를 속여 타인의 비밀을 취득한 경우로 보기 어렵다는 이유를 들었다.

반면 개인정보보호법에 대해서는 1기 암호화 방식의 경우 그 자체로 식별하지 않으면서 특정만 하는 방법으로는 충분하지 않고 쉽게 복호화할 수 있다는 점, 2기 및 3기 암호화방식으로 암호화된 것도 1기 암호화방식과 결합해 개인을 식별할 수 있다는 점 등의 이유를 들어 위반한 것으로 판단했다.

그럼에도 불구하고 피고측 승리로 마무리 된 것은 원고의 손해를 입증할 수 없고 통상의 제3자에게 유출된 경우와 차이가 있다는 판단 때문이었다.

이 사건 정보가 IMS에게만 제공됐을 뿐 그 밖의 제3자에게는 유출되지 않았고, IMS에서는 이를 활용해 통계자료 생산을 목적으로 활용했을 뿐 범죄에 이용하거나 그밖에 원고의 권익을 해할 목적으로 사용할 것으로는 보이지 않는 다는 것이었다.

또한 재식별 가능성이 있기는 했지만 IMS를 제외한 제3자의 입장에서는 이 사건 정보를 통해 특정 개인을 식별하는 것이 불가능할 것으로 보이며, IMS의 관리체계, 사업 목적 등에 비춰볼 때 제3자가 해당 정보에 쉽게 접근할 수 있거나 열람했을 가능성이 있다고 보기 어렵다는 점도 언급됐다.

더불어 해당 정보가 통계자료 작성에만 활용됐을 뿐 스팸메일 전송이나 신분 도용에 사용되는 2차 피해를 발생시키지는 않았다는 점, IMS 글로벌 데이터센터에 저장돼있던 해당 정보가 모두 삭제됐다는 점, 원고는 언론보도 등을 통해 약정원 및 IMS가 해당 정보를 수집·이용했다는 사실을 알게됐을 뿐이라는 점 등도 이유로 제시됐다.

이러한 사실을 종합하면 이 사건 정보를 약정원이 수집해 IMS에 제공했다는 것만으로는 원고에게 위자료로 배상할 만한 정신적 손해가 실제로 발생했다고 보기 어렵고, 이를 인정할 증거가 없다는 판단이다.

재판부는 판결문에서 “원고들이 피고 약정원과 피고 IMS의 개인정보침해행위로 금전으로 위자할 만한 정신적 고통을 당했다는 사실에 대한 증명이 부족하다”며 “따라서 이와 다른 전개에 있는 원고들의 이 사건 청구는 받아들일 수 없다”고 밝혔다.

한편 이번 고등법원의 판단이 현재 진행되고 있는 형사재판에 어떤 영향을 미칠지도 주목된다.

형사사건의 경우 개인정보보호법과 정보통신망법 위반 자체에 초점을 맞추고 있는 만큼 민사 2심 재판부와 동일하게 판단할 경우 약정원과 IMS 등은 모두 유죄 판결을 받을 수 있다.

그러나 형사 재판부가 사실상 처음부터 다시 재판을 진행하고 있는 만큼 향후 재판부의 최종 판단을 기다려봐야 할 것으로 보인다.