핵심 요약 수탁사에서 유출 사고가 나 위탁사가 정보주체에게 먼저 배상했다면, 그 금액을 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만 돌려받습니다. 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·확정)은 위탁사 30 대 수탁사 70으로 나누어 약 55억 원을 인정했는데, 위탁사가 30%를 지게 된 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 상태로 넘겼기 때문이었습니다.
목차
수탁사 직원이 낸 사고로 정보주체에 대한 배상을 위탁사가 먼저 떠안는 구조는 앞서 수탁사 직원의 실수로 개인정보가 유출됐을 때 위탁사의 책임 범위에서 다뤘습니다. 그 글에서 접어 둔 질문은 위탁사가 배상한 다음 수탁사로부터 얼마를 돌려받을 수 있는지입니다.
개인정보 보호법이 수탁자를 소속 직원으로 본다면, 구상도 막히나?
막히지 않습니다. 법 제26조 제7항은 손해배상책임에 관하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 정하는데, 이는 정보주체가 누구에게 청구할 수 있는지를 정한 것입니다.
위탁사와 수탁사 사이의 내부 정산은 다른 문제이고, 개인정보 보호법이 아니라 민법의 부진정연대채무 법리로 처리됩니다. 부진정연대채무자 중 1인이 자기 부담부분 이상을 변제해 공동면책을 얻으면, 다른 채무자에게 그 부담부분 비율에 따라 구상할 수 있습니다.
실제로 얼마가 인정됐나
서울중앙지방법원이 2025년 9월 4일 선고한 구상금 사건(2022가합550574)이 이 구조를 그대로 보여줍니다. 1심 판결이지만 원고와 피고가 모두 항소를 취하해 2025년 9월 27일 그대로 확정됐습니다.
카드회사가 이상거래 탐지 시스템 개발을 신용조회회사에 맡겼고, 그 회사 프로젝트 총괄 매니저가 개발 과정에서 카드 고객정보를 유출했습니다. 카드회사는 피해 고객들에게 2019년부터 2022년까지 약 79억 3,461만 원을 전액 변제한 뒤 수탁사를 상대로 구상금을 청구했습니다.
법원은 위탁사와 그 직원을 공동불법행위자로, 수탁사를 그 직원의 사용자로 보았습니다. 그리고 부담부분을 위탁사 30 대 수탁사 70으로 정해 약 55억 5,423만 원을 인정했습니다.
이 사건처럼 유출 사고가 민사 판결까지 간 사례는 유출 손해배상 판결 데이터베이스에 사고별로 모아 두었습니다. 1심 인용액과 상소심에서 확정된 액수가 갈리는 사건이 적지 않아, 행마다 종국 여부를 함께 적었습니다.
위탁사가 30%를 지게 된 이유
주목할 부분은 그 30%가 어떤 사정에서 나왔는지입니다. 판결이 든 사실 중 하나가 위탁사가 카드 고객정보를 변환하지 않은 상태 그대로 제공했다는 것입니다. 수탁사 직원들은 그 원본 데이터를 업무용 컴퓨터에 저장하고 폴더를 공유하는 방식으로 사용했습니다.
감독 서류가 부실했다거나 교육을 안 했다는 이야기가 아닙니다. 데이터를 넘길 때 어떤 형태로 넘겼는지가 그대로 부담부분의 근거가 됐습니다. 개발이나 테스트 목적으로 실데이터를 통째로 내주는 관행이 사고 뒤에 금액으로 환산되는 지점입니다. 반대로 수탁사에 더 무거운 책임이 지워진 근거는 용역계약의 직접 당사자로서 직원 선발과 관리에 특별히 주의했어야 한다는 것이었습니다.
"우리 사무실에서 우리 시스템으로 일했다"는 항변
수탁사는 이렇게 다퉜습니다. 그 직원이 일한 곳은 위탁사 사업장이고, 인적·물적 설비와 전산시스템을 위탁사가 관리했으니 위탁사도 그 직원의 사용자에 해당한다는 주장입니다.
법원은 받아들이지 않았습니다. 상주는 용역계약의 특성상 수탁사 직원을 개별 카드회사에 파견하기로 한 약정에 따른 것이고, 수탁사 직원들이 전문 지식과 기술·설비를 토대로 독립적으로 업무를 수행했으며 위탁사로부터 구속력 있는 지시를 받거나 별도 대가를 받은 사정이 확인되지 않는다는 이유였습니다. 고객정보 제공도 수탁사 측 요청에 따른 것이었습니다.
상주 개발이나 파견 구조를 쓰는 회사가 눈여겨볼 대목입니다. 물리적으로 우리 사무실에서 우리 장비로 일했다는 사실만으로 위탁사가 사용자 지위를 갖게 되지는 않았습니다.
앞선 소송의 과실 40%는 왜 그대로 오지 않았나
이 사건에는 앞선 소송이 있었습니다. 피해 고객들이 카드회사를 상대로 낸 손해배상 소송에서 카드회사의 과실이 40%로 인정됐습니다.
그런데 구상 국면의 부담부분은 30%였습니다. 과실상계에서 말하는 피해자의 과실은 사회통념상 공동생활에서 요구되는 약한 의미의 부주의를 가리키는 것이어서, 공동불법행위자 사이의 책임비율로 그대로 옮길 수 없다는 것이 이유입니다. 따라서 앞선 소송에서 인정된 과실비율을 그대로 구상 예상액에 곱해 두면 계산이 어긋날 수 있다는 뜻입니다.
배상금 말고, 사고를 수습하느라 쓴 비용은 어디까지 돌려받나
구상은 정보주체에게 물어 준 배상금을 나누는 문제입니다. 그런데 위탁사가 사고 직후 먼저 쓰는 돈은 그보다 앞서 나갑니다. 통지문을 찍어 보내고, 카드를 다시 발급하고, 콜센터를 늘리고, 고객 소송에 대응하는 비용입니다.
같은 유출 사고에서 피해를 입은 카드회사들은 이 비용을 수탁사에 손해배상으로 따로 청구했습니다. 법원이 항목마다 넣고 뺀 선이 판결문에 남아 있습니다. 다만 아래는 모두 한 사고(2014년 카드고객정보 유출)에서 나온 판결이므로, 법원 일반의 기준이 아니라 이 사건에서 법원이 그은 선으로 읽어야 합니다.
| 항목 | 이 사건에서 법원의 판단 | 판결 |
|---|---|---|
| 유출 통지(안내문 제작·삽지·우편) | 인정. 통지는 법정 의무이므로 「금융당국 지시에 따른 것이라 인과관계가 없다」는 항변 배척 | 서울고법 2019나2042526(제1심 판단 인용) |
| 카드 재발급 | 인정. 단 사고 직후 4개월간 전년 동기보다 늘어난 건수 × 건당 원가로만 산정 | 같은 판결 |
| 콜센터 추가 인력·좌석 임차 | 인정 | 같은 판결, 서울고법 2022나2004326 |
| 기존 직원 연장근로수당 | 제1심 기각 → 항소심 인정. 법령·복무규정상 지급 의무가 있는 돈이라는 이유 | 서울고법 2019나2042526 |
| 고객 손해배상 소송 대응 법률비용 | 인정 | 서울고법 2022나2004326 |
| 위탁사 자신의 형사사건 방어 비용 | 기각. 자기 형사책임을 방어하려고 쓴 돈이라는 이유 | 같은 판결 |
| 결제알림 문자 요금 면제 | 한 판결은 기각(법령상 의무가 아닌 2차 피해 대비 조치), 다른 판결은 고객 불안이 이어진 약 5개월분만 인정 | 서울고법 2019나2042526(제1심 판단 인용) / 2022나2004326 |
| 직원 위로성 휴가비·식대·심야교통비 | 기각. 시혜적 지출 | 서울고법 2019나2042526(제1심 판단 인용) |
| 영업정지로 인한 손해 | 기각. 처분 사유가 위탁사 자신의 법령 위반이라는 이유 | 같은 판결 |
두 판결 모두 대법원에서 상고가 기각됐습니다(대법원 2020다300534, 2023다287809).
같은 사고의 세 번째 카드회사 사건(서울고법 2022나2006841, 2025. 5. 23. 확정)도 같은 선을 따랐습니다. 통지 우편료, 재발급 카드 배송비 증가분, 고객 소송 변호사 보수, 사고 직후 4개월분 문자 요금 면제는 넣었고, 신뢰 회복 홍보물·광고선전비와 고객 사은품은 「시혜적이거나 사고와 직접 관련이 없다」며 뺐습니다.
같은 문자 요금 면제를 두고 판단이 갈린 대목이 눈여겨볼 곳입니다. 인정한 판결은 면제 기간 15개월을 통째로 보지 않았습니다. 탈퇴 회원 수가 전년 수준으로 돌아온 시점을 「고객 불안이 어느 정도 해소된 때」로 보고, 그 전 5개월분 약 47억 원만 넣고 나머지 약 134억 원은 뺐습니다. 기간을 끊는 근거가 회사 내부의 탈퇴 통계였습니다.
재발급 비용도 같은 방식이었습니다. 법원은 사고가 난 해의 재발급 건수 전체가 아니라 전년 같은 기간보다 늘어난 몫만, 그것도 사고 직후 넉 달 치만 손해로 셌습니다. 평소 수치가 남아 있어야 「사고 때문에 늘어난 몫」을 보여 줄 수 있다는 뜻입니다.
항목이 인정된 뒤에도 전액이 오지는 않았습니다. 수탁사가 물어야 할 몫은 세 판결에서 전체 손해의 60~70%로 제한됐습니다. 앞의 두 판결에서 제한 사유의 첫머리에 놓인 것은 앞서 본 구상 사건과 같았습니다. 위탁사가 법령상 조치를 다하지 않은 채 고객 식별정보까지 들어 있는 원본을 그대로 넘겼다는 점, 그리고 수탁사 직원의 장비와 보안 프로그램을 점검하지 않았다는 점입니다.
이 판단이 사고 전에 무엇을 바꾸나
이 판단들에 비추어 계약 단계와 평시에 점검할 항목은 네 가지입니다.
개발·테스트에 넘기는 데이터의 형태. 실데이터를 원본으로 넘길 필요가 정말 있는지, 가명·변환·부분 추출로 대체할 수 없는지가 사고 뒤 부담부분을 가릅니다. 이 판단은 계약서가 아니라 실제 전달 방식에서 나옵니다.
요청의 기록. 이 사건에서 정보 제공은 수탁사 측 요청에 따른 것으로 인정됐습니다. 누가 무엇을 왜 요구했는지가 남아 있으면 부담부분 논의에서 쓰입니다.
평시 기준선과 대응비용의 증빙. 위 판결들은 재발급·문자 요금 면제 손해를 전년 같은 기간과 비교하거나 탈퇴 회원 추이로 기간을 끊어 셌습니다. 평소 수치와 사고 뒤 지출 내역이 항목별로 남아 있어야 수탁사에 청구할 몫을 보여 줄 수 있습니다.
계약서의 배상 조항. 구상 자체는 민법 법리로 가능하지만, 배상 상한이나 면책 조항이 있으면 회수 범위가 달라집니다. 위·수탁 계약에서 이 조항을 어떻게 설계할지는 별도로 다루겠습니다.
정보주체에 대한 통지·신고 절차가 끝나면 사고는 마무리된 것처럼 보입니다. 실제로는 그때부터 기업 사이의 정산이 시작되고, 그 정산의 기준은 사고 훨씬 전에 데이터를 어떤 형태로 넘겼는지에 따라 이미 정해져 있습니다.
이 글이 다루는 구상은 유출 사고의 마지막 국면입니다. 인지에서 신고·통지를 거쳐 조사와 처분, 그리고 이 정산까지 여섯 단계에 각각 어떤 조문이 걸리는지는 유출 대응 단계별 지도에 정리해 두었습니다. 초기 대응에서 남긴 기록이 배상액 산정에서 다시 쓰인다는 점도 거기서 다뤘습니다(법 제39조 제4항 제7호·제8호).
자주 묻는 질문
Q. 개인정보 보호법 제26조 제7항이 수탁자를 소속 직원으로 본다고 하는데, 그러면 수탁사에 구상할 수 없는 것 아닌가요?
그 조항은 정보주체에 대한 관계를 정한 것입니다. 제26조 제7항은 손해배상책임에 관하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 하여 정보주체가 위탁사에 청구할 수 있도록 하는 규정이고, 위탁사와 수탁사 사이의 내부 정산까지 막지 않습니다. 구상은 개인정보 보호법이 아니라 민법상 부진정연대채무의 내부 부담부분 법리로 처리됩니다.
Q. 수탁사 직원이 우리 사무실에 상주하며 우리 시스템에서 일했습니다. 그러면 우리도 그 직원의 사용자가 되나요?
그 주장은 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·확정)에서 받아들여지지 않았습니다. 법원은 상주가 용역계약의 특성에 따른 약정 때문이고, 수탁사 직원들이 전문 지식과 설비를 토대로 독립적으로 업무를 수행했으며 위탁사로부터 구속력 있는 지시를 받거나 별도 대가를 받은 사정이 확인되지 않는다는 점을 들었습니다. 상주 개발이나 파견 구조라는 사실만으로 위탁사가 사용자 지위를 함께 지게 되는 것은 아니라고 본 것입니다.
Q. 앞선 손해배상 소송에서 우리 과실이 40%로 인정됐습니다. 구상에서도 40%를 부담하나요?
그대로 옮겨지지 않습니다. 과실상계에서 말하는 피해자의 과실은 사회통념상 요구되는 약한 의미의 부주의를 가리키는 것이어서, 공동불법행위자 사이의 책임비율과는 성질이 다릅니다(대법원 2005다8125 판결 참조). 실제로 앞선 소송에서 과실 40%가 인정된 사안에서 구상 국면의 부담부분은 30%로 정해졌습니다(서울중앙지방법원 2022가합550574).
Q. 사고를 수습하느라 쓴 통지비·재발급비·콜센터 비용도 수탁사에 청구할 수 있나요?
2014년 카드고객정보 유출 사고에서 카드회사들이 수탁사에 낸 손해배상 소송에서는 인정됐습니다. 유출 통지 비용, 사고 직후 늘어난 카드 재발급 비용, 콜센터 추가 운영비, 고객 소송 대응 법률비용이 손해로 들어갔고, 위로성 휴가비·식대, 위탁사 자신의 형사사건 방어 비용, 영업정지 손해는 빠졌습니다(서울고등법원 2019나2042526, 2022나2004326, 2022나2006841 — 모두 확정). 다만 한 사고에서 나온 판결이고, 인정된 손해도 위탁사 과실을 이유로 60~70%로 제한됐습니다.
구상 단계에 이르기 전에 책임이 어떻게 배분되는지는 위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나에서 먼저 보시는 편이 낫습니다.
참고 자료
- 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(구상금). 쌍방 항소 취하로 2025. 9. 27. 확정(대법원 나의사건검색 2026. 10. 27. 조회)
- 서울고등법원 2020. 11. 12. 선고 2019나2042526, 2019나2042533 판결(손해배상(기)·용역비) — 제1심 서울중앙지방법원 2019. 8. 29. 선고 2016가합577585 판결, 대법원 2021. 4. 29. 선고 2020다300534 판결로 상고기각
- 서울고등법원 2023. 9. 8. 선고 2022나2004326 판결(손해배상등) — 제1심 서울중앙지방법원 2021. 12. 24. 선고 2016가합576261 판결, 대법원 2024. 1. 25. 선고 2023다287809 판결로 상고기각
- 서울고등법원 2025. 5. 1. 선고 2022나2006841 판결(손해배상(기)) — 제1심 서울중앙지방법원 2021. 12. 24. 선고 2016가합576476 판결, 2025. 5. 23. 확정(상고 취하, 대법원 나의사건검색 2026. 10. 27. 조회)
- 대법원 2006. 1. 27. 선고 2005다19378 판결 — 국가법령정보센터 (부진정연대채무 부담부분과 구상)
- 대법원 1992. 6. 23. 선고 91다33070 전원합의체 판결 — 국가법령정보센터 (사용자책임의 대체적 성격과 구상 범위)
- 대법원 2005. 7. 8. 선고 2005다8125 판결 — 국가법령정보센터 (과실상계의 과실과 공동불법행위자 과실비율의 구별)
- 개인정보 보호법 — 국가법령정보센터
- 민법 — 국가법령정보센터
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.