핵심 요약 수탁사에서 유출 사고가 나 위탁사가 정보주체에게 먼저 배상했다면, 그 금액을 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만 돌려받습니다. 최근 1심 판결은 위탁사 30 대 수탁사 70으로 나누어 약 55억 원을 인정했는데, 위탁사가 30%를 지게 된 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 상태로 넘겼기 때문이었습니다.
수탁사 직원이 낸 사고로 정보주체에 대한 배상을 위탁사가 먼저 떠안는 구조는 앞서 수탁사 직원의 실수로 개인정보가 유출됐을 때 위탁사의 책임 범위에서 다뤘습니다.
그 글에서 접어 둔 질문이 남습니다. 물어준 다음에는 어떻게 되는가.
개인정보 보호법이 수탁자를 소속 직원으로 본다면, 구상도 막히나?
막히지 않습니다. 법 제26조 제7항은 손해배상책임에 관하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 정하는데, 이는 정보주체가 누구에게 청구할 수 있는지를 정한 것입니다.
위탁사와 수탁사 사이의 내부 정산은 다른 문제이고, 개인정보 보호법이 아니라 민법의 부진정연대채무 법리로 처리됩니다. 부진정연대채무자 중 1인이 자기 부담부분 이상을 변제해 공동면책을 얻으면, 다른 채무자에게 그 부담부분 비율에 따라 구상할 수 있습니다.
실제로 얼마가 인정됐나
서울중앙지방법원이 2025년 9월 4일 선고한 구상금 사건(2022가합550574)이 이 구조를 그대로 보여줍니다. 1심이고 확정되지 않았다는 점을 전제로 읽어야 합니다.
카드회사가 이상거래 탐지 시스템 개발을 신용조회회사에 맡겼고, 그 회사 프로젝트 총괄 매니저가 개발 과정에서 카드 고객정보를 유출했습니다. 카드회사는 피해 고객들에게 2019년부터 2022년까지 약 79억 3,461만 원을 전액 변제한 뒤 수탁사를 상대로 구상금을 청구했습니다.
법원은 위탁사와 그 직원을 공동불법행위자로, 수탁사를 그 직원의 사용자로 보았습니다. 그리고 부담부분을 위탁사 30 대 수탁사 70으로 정해 약 55억 5,423만 원을 인정했습니다.
위탁사가 30%를 지게 된 이유
주목할 지점은 그 30%가 어디에서 나왔는가입니다.
판결이 든 사실 중 하나가 위탁사가 카드 고객정보를 변환하지 않은 상태 그대로 제공했다는 것입니다. 수탁사 직원들은 그 원본 데이터를 업무용 컴퓨터에 저장하고 폴더를 공유하는 방식으로 사용했습니다.
감독 서류가 부실했다거나 교육을 안 했다는 이야기가 아닙니다. 데이터를 넘길 때 어떤 형태로 넘겼는지가 그대로 부담부분이 됐습니다. 개발이나 테스트 목적으로 실데이터를 통째로 내주는 관행이 사고 뒤에 금액으로 환산되는 지점입니다.
반대로 수탁사에 더 무거운 책임이 지워진 근거는 용역계약의 직접 당사자로서 직원 선발과 관리에 특별히 주의했어야 한다는 것이었습니다.
“우리 사무실에서 우리 시스템으로 일했다"는 항변
수탁사는 이렇게 다퉜습니다. 그 직원이 일한 곳은 위탁사 사업장이고, 인적·물적 설비와 전산시스템을 위탁사가 관리했으니 위탁사도 그 직원의 사용자에 해당한다는 주장입니다.
법원은 받아들이지 않았습니다. 상주는 용역계약의 특성상 수탁사 직원을 개별 카드회사에 파견하기로 한 약정에 따른 것이고, 수탁사 직원들이 전문 지식과 기술·설비를 토대로 독립적으로 업무를 수행했으며 위탁사로부터 구속력 있는 지시를 받거나 별도 대가를 받은 사정이 확인되지 않는다는 이유였습니다. 고객정보 제공도 수탁사 측 요청에 따른 것이었습니다.
상주 개발이나 파견 구조를 쓰는 회사가 눈여겨볼 대목입니다. 물리적으로 우리 사무실에서 우리 장비로 일했다는 사실만으로 사용자 지위가 넘어오지는 않았습니다.
앞선 소송의 과실 40%는 왜 그대로 오지 않았나
이 사건에는 앞선 소송이 있었습니다. 피해 고객들이 카드회사를 상대로 낸 손해배상 소송에서 카드회사의 과실이 40%로 인정됐습니다.
그런데 구상 국면의 부담부분은 30%였습니다. 과실상계에서 말하는 피해자의 과실은 사회통념상 공동생활에서 요구되는 약한 의미의 부주의를 가리키는 것이어서, 공동불법행위자 사이의 책임비율로 그대로 옮길 수 없다는 것이 이유입니다.
앞선 소송에서 인정된 과실비율을 그대로 구상 예상액에 곱해 두면 계산이 어긋날 수 있다는 뜻입니다.
이 판단이 사고 전에 무엇을 바꾸나
세 가지가 계약 단계의 점검 항목으로 돌아옵니다.
개발·테스트에 넘기는 데이터의 형태. 실데이터를 원본으로 넘길 필요가 정말 있는지, 가명·변환·부분 추출로 대체할 수 없는지가 사고 뒤 부담부분을 가릅니다. 이 판단은 계약서가 아니라 실제 전달 방식에서 나옵니다.
요청의 기록. 이 사건에서 정보 제공은 수탁사 측 요청에 따른 것으로 인정됐습니다. 누가 무엇을 왜 요구했는지가 남아 있으면 부담부분 논의에서 쓰입니다.
계약서의 배상 조항. 구상 자체는 민법 법리로 가능하지만, 배상 상한이나 면책 조항이 있으면 회수 범위가 달라집니다. 위·수탁 계약에서 이 조항을 어떻게 설계할지는 별도로 다루겠습니다.
정보주체에 대한 통지·신고 절차가 끝나면 사고는 마무리된 것처럼 보입니다. 실제로는 그때부터 기업 사이의 정산이 시작되고, 그 정산의 기준은 사고 훨씬 전에 데이터를 어떤 형태로 넘겼는지에 이미 정해져 있습니다.
자주 묻는 질문
Q. 개인정보 보호법 제26조 제7항이 수탁자를 소속 직원으로 본다고 하는데, 그러면 수탁사에 구상할 수 없는 것 아닌가요?
그 조항은 정보주체에 대한 관계를 정한 것입니다. 제26조 제7항은 손해배상책임에 관하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 하여 정보주체가 위탁사에 청구할 수 있도록 하는 규정이고, 위탁사와 수탁사 사이의 내부 정산까지 막지 않습니다. 구상은 개인정보 보호법이 아니라 민법상 부진정연대채무의 내부 부담부분 법리로 처리됩니다.
Q. 수탁사 직원이 우리 사무실에 상주하며 우리 시스템에서 일했습니다. 그러면 우리도 그 직원의 사용자가 되나요?
그 주장은 최근 1심에서 받아들여지지 않았습니다. 법원은 상주가 용역계약의 특성에 따른 약정 때문이고, 수탁사 직원들이 전문 지식과 설비를 토대로 독립적으로 업무를 수행했으며 위탁사로부터 구속력 있는 지시를 받거나 별도 대가를 받은 사정이 확인되지 않는다는 점을 들었습니다. 상주 개발이나 파견 구조라는 사실만으로 위탁사가 사용자 지위를 함께 지게 되는 것은 아니라고 본 것입니다.
Q. 앞선 손해배상 소송에서 우리 과실이 40%로 인정됐습니다. 구상에서도 40%를 부담하나요?
그대로 옮겨지지 않습니다. 과실상계에서 말하는 피해자의 과실은 사회통념상 요구되는 약한 의미의 부주의를 가리키는 것이어서, 공동불법행위자 사이의 책임비율과는 성질이 다릅니다(대법원 2005다8125 판결 참조). 실제로 앞선 소송에서 과실 40%가 인정된 사안에서 구상 국면의 부담부분은 30%로 정해졌습니다.
참고자료
- 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(구상금). 1심이고 확정되지 않았습니다
- 위 판결이 인용한 법리: 대법원 2006. 1. 27. 선고 2005다19378 판결(부진정연대채무 부담부분과 구상), 대법원 1992. 6. 23. 선고 91다33070 전원합의체 판결(사용자책임의 대체적 성격과 구상 범위), 대법원 2005. 7. 8. 선고 2005다8125 판결(과실상계의 과실과 공동불법행위자 과실비율의 구별)
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제26조 제4항·제7항·제8항, 제64조의2 제1항 제5호