Statutory damages for a data leak and proof that no harm arose

Cross-family AI independent reading & axis check

6 of 8 axes matched GPT-6 Astra (OpenAI, codex CLI) · 2026-10-24

A reader from another model family (GPT-6 Astra), given the official text but not the primary reading, agreed on 6 of the 8 axes; the readings differed on axis 4 (form of the test), axis 8 (open question and revisit condition).

Raw responses and comparison record: Protocol · Blind readings (JSONL) · Axis comparison (JSONL) · SHA-256 (JSON)

Lower-court contrast & scope of application

Lower-court reading vs. Supreme Court holding

Lower-court context: The defendant operated the online knowledge-trading site and, as the personal information controller, failed the security duties under Article 29 of the Personal Information Protection Act and Article 48-2(1)(ii) of its former Enforcement Decree, as the Personal Information Protection Commission found on 14 September 2022 when it imposed a surcharge and a fine. The Seoul Southern District Court, in its judgment of 7 December 2023 (2023Na55205), held that the leak did not cause the plaintiff mental harm warranting consolation damages and dismissed the claim.

Supreme Court standard: The Supreme Court found some passages in the appellate reasons inappropriate, but held that the conclusion dismissing the claim was sound, since no mental harm warranting consolation damages arose. It reasoned that the leaked password was encrypted, the email address was not combined with other data such as a name, the site's members were very broad and varied so the address alone revealed little, no rise in related spam or any secondary harm was confirmed in more than two years until the close of oral arguments, and the defendant could not be found to have acted willfully or with gross negligence, having reported the incident and notified the plaintiff. It also held, in a small claims case where the case law on the applicable provision was unclear and many such cases were pending below, that it could decide the interpretation of substantive law even though the ground for appeal of a judgment contrary to Supreme Court precedent was not made out.

Distinguishing conditions

• A claim for ordinary damages under Article 39(1) of the Personal Information Protection Act, since that provision expressly makes the occurrence of loss an element of the claim.
• A case in which it is clear that no loss at all arose, since the Court held that the purpose of Article 39-2(1) does not extend to imposing liability in such a case.
• A case where the leaked data was combined with a name or other identifiers, or where spam or secondary harm was confirmed after the leak, since the Court relied on the absence of those facts.

Record verification notes

Identify first which provision the claim rests on, Article 39(1) or Article 39-2(1), since the burden on the data subject differs between them. Then assemble in the file the seven circumstances the Court listed, and set against them what the processor offers on its data management, the circumstances of the leak and the measures it took after discovery, since the Court weighed them to conclude that no mental harm warranting consolation damages arose and dismissed the claim on that ground.

From the official text

Points at issue

[1] 소액사건에 관하여 상고이유로 할 수 있는 ‘대법원의 판례에 상반되는 판단을 한 때’의 요건을 갖추지 않았지만 대법원이 실체법 해석과 적용에 관하여 판단할 수 있는 경우 [2] 개인정보 보호법 제39조의2 제1항의 입법 취지 및 정보주체가 위 조항에 따른 법정손해배상을 청구하기 위하여 부담하는 주장·증명책임의 내용 [3] 개인정보처리자가 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 아니하였음을 주장·증명하여 개인정보 보호법 제39조의2 제1항에 따른 법정손해배상책임을 면할 수 있는지 여부(적극) / 정보주체가 개인정보처리자를 상대로 개인정보 보호법 제39조의2 제1항에 따른 법정손해배상청구를 하는 사안에서 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았다는 개인정보처리자의 주장을 판단하는 방법

Summary of the holding

[1] 소액사건에 적용되는 법령의 해석에 관한 대법원 판례가 명확하지 않고, 그 법령이 적용되는 다수의 사건이 하급심에 계속되는 등 특별한 사정이 있는 경우에는 소액사건에 관한 상고이유 중 ‘대법원의 판례에 상반되는 판단을 한 때’의 요건을 갖추지 아니하였더라도 법령해석의 통일이라는 대법원의 본질적 기능에 비추어 실체법의 해석과 적용에 관하여 판단할 수 있다. [2] 개인정보 보호법은 ‘손해배상책임’이라는 제목 아래 제39조 제1항에서 "정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다."라고 규정하여 정보주체가 손해를 입을 것을 청구요건으로 명시하고 있다. 이와 달리 개인정보 보호법 제39조의2 제1항에서는 ‘법정손해배상의 청구’라는 제목으로 "제39조 제1항에도 불구하고 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우에는 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다."라고 규정하여 정보주체의 손해 부분을 청구요건에서 제외하고 있다. 개인정보 보호법 제39조의2 제1항의 입법 취지는 개인정보의 광범위한 처리가 일반화된 현대사회에서 개인정보 유출 등의 법익침해가 있을 경우에 손해에 관한 증명이 곤란하더라도 정보주체로 하여금 개인정보처리자로부터 일정한 한도의 법정금액을 배상받을 수 있도록 함으로써 피해자가 쉽게 권리구제를 받을 수 있도록 하는 데에 있다. 위와 같은 문언의 내용과 입법 취지 등을 고려해 보면, 정보주체는 개인정보처리자를 상대로 개인정보 보호법 제39조의2 제1항에 따른 법정손해배상을 청구하기 위하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손되었다는 사실만 주장·증명하면 되고 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없다고 보아야 한다. [3] 손해가 발생하지 않은 것이 분명한 경우까지 손해배상의무를 인정하려는 것이 개인정보 보호법 제39조의2 제1항의 취지는 아니므로, 정보주체가 위자료 배상을 청구하는 경우 개인정보처리자로서는 정보주체에 위자료로 배상할 만한 정신적 손해가 발생하지 아니하였음을 주장·증명함으로써 위 규정에 따른 법정손해배상책임을 면할 수 있다. 나아가 개인정보처리자가 처리하는 개인정보가 정보주체의 의사에 반하여 유출되어 이를 이유로 개인정보 보호법 제39조의2에 따른 법정손해배상청구를 하는 사안에서, 그러한 유출로 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생한 것은 아니라는 개인정보처리자의 주장을 판단할 때에는, 유출된 개인정보의 종류와 성격, 개인정보 유출로 정보주체를 식별할 가능성이 발생하였는지, 제3자가 유출된 개인정보를 열람하였는지 또는 장래의 열람 가능성 유무, 유출된 개인정보의 확산 범위, 개인정보 유출로 추가적인 법익침해 가능성이 발생하였는지, 개인정보처리자의 개인정보 관리 상황과 개인정보 유출의 경위, 개인정보 유출로 인한 피해 발생 및 확산을 방지하기 위하여 취해진 조치의 내용 등 여러 사정을 종합적으로 고려하여 구체적 사건에 따라 개별적으로 판단하되, 손해에 관한 증명 없이 피해자의 권리구제가 가능하게 하려는 법정손해배상제도의 취지가 형해화되지 않도록 주의하여야 한다.

Order

상고를 기각한다. 상고비용은 원고가 부담한다.

Provisions referred to

[1] 소액사건심판법 제3조 제2호 / [2] 개인정보 보호법 제39조 제1항, 제39조의2, 민사소송법 제288조[증명책임] / [3] 개인정보 보호법 제39조의2, 민사소송법 제288조[증명책임]