이름 지워도 개인정보일 수 있다?[주목! 개인정보 판례]

[정세진 법무법인 광장 변호사] 우리는 흔히 이름이나 주민등록번호처럼 특정 개인을 곧바로 알아볼 수 있는 정보만을 개인정보라고 생각한다. 하지만 현실에서 개인정보의 범위는 훨씬 넓다. 그 자체로 개인을 식별할 수 있는 정보뿐만 아니라, 다른 정보와 쉽게 결합하여 개인을 특정하는 단서가 될 수 있는 정보도 개인정보로 해석되기 때문이다. 그렇다면 법이 말하는 ‘개인정보’는 어디까지를 가리킬까.

정세진 법무법인 광장 변호사. (사진=본인 제공)

이 물음에 중요한 판단 기준을 제시한 것이 2019다242045(대법원 2024. 7. 11. 선고 2019다242045, 2019다242052) 판결이다. 환자의 처방 정보가 외부에 제공된 사건을 계기로, 개인정보의 범위와 개인정보 보호법 위반에 따른 손해배상 책임이 쟁점으로 떠올랐다.

사건의 발단은 약국에서 사용하는 조제 프로그램이었다. 약국은 환자가 제출한 처방전을 바탕으로 약품명·용량·조제 내용 등을 프로그램에 입력했다. 이렇게 수집된 처방 정보는 관련 전문기관 서버로 전송된 뒤 의료통계업체에 넘겨졌다. 환자들은 동의 없이 자신의 의료정보가 유출되었다며 손해배상 소송을 제기했다.

이 사건에서 핵심 쟁점은 해당 정보가 일부 비식별화된 상태로 제공되었다는 점이었다. 주민등록번호처럼 그 자체로 신원을 드러내는 정보는 암호화되거나 삭제되어 있었기에, 피고 측은 해당 정보가 더 이상 개인정보에 해당하지 않는다고 주장했다. 반면 원고 측은 일부 정보가 제거되었더라도 개인을 식별할 가능성이 남아 있는 이상 여전히 개인정보에 해당한다고 맞섰다.

대법원은 먼저 개인정보 해당 여부의 판단 기준을 설명했다. 개인정보 보호법상 개인정보는 반드시 해당 정보만으로 특정인을 식별할 수 있어야 하는 것은 아니며, 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 경우에도 개인정보에 해당한다는 점을 분명히 했다.

아울러 대법원은 구체적인 판단 기준도 제시했다. 단순히 이론적으로 결합 가능성이 있다는 사정만으로 개인정보로 볼 수는 없고, 합리적인 수단을 통해 현실적으로 다른 정보와 결합하여 개인을 식별할 가능성이 있는지를 기준으로 삼아야 한다는 것이다. 또한 식별 가능성을 판단할 때 정보 수령자의 주관적 의도나 동기·이익·활용 방법까지 고려할 필요는 없으며, 어디까지나 객관적으로 개인을 식별할 수 있는지를 기준으로 판단해야 한다고 보았다. 즉, 정보를 받은 자가 이를 결합하여 신원을 파악하려는 의도가 있었는지가 아니라, 해당 정보가 결합될 경우 객관적으로 특정인을 식별할 수 있는지가 핵심 기준이라는 것이다.

이러한 기준에 따라 대법원은, 이 사건에서 제공된 처방 정보가 다른 정보와 결합할 경우 특정 개인을 식별할 가능성이 있다고 보아 개인정보 보호법상 개인정보에 해당한다고 판단했다.

또 다른 쟁점은 손해배상 책임의 성립 여부였다. 대법원은 개인정보 보호법 위반이 있다고 하여 곧바로 손해배상 책임이 발생하는 것은 아니라고 보았다. 배상이 인정되려면 실제 손해가 발생했는지, 그리고 위법행위와 손해 사이에 인과관계가 있는지가 함께 입증되어야 한다는 것이다. 대법원은 결국 이 사건에서 환자들에게 위자료를 인정할 만한 정신적 손해가 발생했다고 보기 어렵다고 판단했다. 개인정보 보호법 위반 사실만으로 바로 손해배상 책임이 인정되지는 않는다는 점을 명확히 한 것이다.

이 판결의 의미는 단순히 해당 정보가 개인정보에 해당한다고 결론 내린 데 있지 않다. 개인정보 보호법은 이미 ‘다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 정보’도 개인정보에 포함된다고 규정하고 있었다. 문제는 실제 사건에서 어느 정도의 결합 가능성을 ‘쉽게 결합’으로 볼 것인지였는데, 2019다242045 판결은 그 판단 기준을 비교적 구체적으로 제시했다는 점에서 중요한 의의를 갖는다. 단순한 이론적 가능성이 아니라 합리적인 수단을 통해 현실적으로 개인을 식별할 수 있는지, 그리고 정보 수령자의 의도가 아닌 객관적 식별 가능성을 기준으로 판단해야 한다는 점을 분명히 했다.

오늘날 데이터 기술의 발전으로 서로 다른 정보들이 결합·분석되는 일이 점점 일상화되고 있다. 과거에는 개인과 무관해 보이던 정보도, 여러 데이터가 결합되는 순간 특정 개인을 식별하는 단서가 될 수 있다. 이러한 환경에서 개인정보의 범위를 어디까지 볼 것인지는 앞으로 더욱 중요한 법적 쟁점이 될 것이다.

핵심은 실제 식별 여부가 아니라 ‘식별 가능한 상태’라는 점이다. 우리가 무심코 남기는 정보들도 언제든 개인정보가 될 수 있다는 사실을 유념해야 한다.

■정세진 변호사 △고려대학교 전기전자전파공학 졸업 △한국과학기술원(KAIST) 전기 및 전자공학 석사 졸업 △성균관대학교 법학전문대학원 석사 졸업 △고려대학교 정보보호대학원 박사과정 수료 △前김앤장 법률사무소 변호사 △前 법무법인 율촌 변호사 △과학기술정보통신부 고문변호사 △개인정보보호위원회 고문변호사 △금융감독원 금융감독자문위원회 자문위원(디지털/IT분과)△사단법인 벤쳐기업협회 자문위원 △한국핀테크지원센터 혁신금융 전문위원 △한국금융연수원 겸임교수 △성균관대학교 법학전문대학원 겸임교수