피고 회사가 운영하는 채용사이트의 보안 취약점으로 인해 입사지원자들의 개인정보가 외부에 열람되는 사고가 발생함.

【원고, 항소인 겸 피항소인】 【원고, 항소인】 【피고, 피항소인 겸 항소인】 **** (소송대리인 법무법인 세종 담당변호사 ****외 2인) 【제1심판결】 **** 2008. 1. 3. 선고 ****, ****, **** 판결 【변론종결】2008. 10. 14. 【주 문】 1. 제1심판결 중 피고에 대하여 **** 기재 원고들에게 300,000원 및 이에 대하여 ****부터 ****까지 연 5%, 그 다음날부터 다 갚는 날까지 연 20%의 각 비율로 계산한 금원을 초과하여 지급을 명한 피고 패소 부분을 각 취소하고, 그 부분에 해당하는 위 원고들의 청구를 각 기각한다. 2. 원고들의 항소 및 피고의 위 1항 기재 원고들에 대한 나머지 항소를 각 기각한다. 3. **** 기재 원고들과 피고 사이에 발생한 소송총비용은 90%를 위 원고들이, 10%를 피고가 각 부담하고, **** 기재 원고들과 피고 사이에 발생한 항소비용은 위 원고들이 부담한다. 【청구취지 및 항소취지】1. 청구취지 피고는 원고들에게 각 20,000,000원 및 이에 대하여 ****부터 이 사건 소장 부본 송달일까지 연 5%, 그 다음날부터 다 갚는 날까지 연 20%의 각 비율로 계산한 금원을 지급하라. 2. 항소취지 가. 원고들 제1심판결을 다음과 같이 변경한다. 피고는 원고들에게 각 2,000,000원 및 이에 대하여 ****부터 이 사건 소장 부본 송달일까지 연 5%, 그 다음날부터 다 갚는 날까지 연 20%의 각 비율로 계산한 금원을 지급하라. 나. 피고 제1심판결 중 **** 기재 원고들에 대한 피고 패소 부분을 각 취소하고 그 부분에 해당하는 위 원고들의 청구를 각 기각한다. 【이 유】 1. 기초 사실 다음의 각 사실은 당사자 사이에 다툼이 없거나, ****, ****, ****, ****, ****, ****(가지번호 있는 것은 가지번호 포함)의 각 기재에 변론 전체의 취지를 종합하여 이를 인정할 수 있다. 가. 피고는 2006. 9. 3.경 2006년 하반기 신입사원 채용공고를 하고, 2006. 9. 4.부터 ****까지 피고의 홈페이지 중 인재채용란[(사이트 주소 1 생략), 이하 ‘****’라 한다]을 통하여 인터넷으로 신입사원지원을 받았는데, 원고들을 포함한 입사지원자들은 ****에서 입사지원서를 작성하였다. 나. 입사지원서의 작성과정을 보면, 입사지원자는 먼저 지원서작성 버튼을 클릭하고 자신의 성명, 주민등록번호, 이메일 주소를 입력한 다음 등록버튼을 클릭하여 지원서작성 페이지로 이동, 입사지원서의 구체적인 내용을 작성하게 되는데, 이 경우 자동적으로 해당 입사지원자의 주민등록번호 뒷자리가 비밀번호로 부여되고(이처럼 자동부여된 비밀번호는 입사지원자가 임의로 변경할 수 있다), 입사지원자가 등록정보의 수정이나 조회를 위하여 다시 ****에 접속(로그인)하기 위하여는 성명, 주민등록번호, 이메일 주소, 비밀번호를 입력하도록 되어 있으며, 접속할 경우 자신의 등록정보만 수정이나 조회가 가능하도록 되어 있다. 다. 피고는 **** 2만 2천여 명의 입사지원자들 중 1천 명의 서류전형 합격자를 발표하였는데,소외 1(**** 컴퓨터공학과를 졸업하였고, 당시 **** 5학기를 이수중이었다)은 위 서류전형에서 불합격통지를 받자 **** 22:30경 포털사이트 다음(****)의 취업관련 정보공유 카페인 ‘****’의 게시판에 ‘핑크팼다’라는 닉네임으로 ‘****의 모든 지원서는 누구나 볼 수 있다’라는 제목 하에 “**** 떨어진 기념으로 간단하게 만들어 봤습니다. 지원서마다 내부적으로 process id를 부여하는데 그 값만 변경하면 모두 볼 수 있습니다. 툴을 하나 만들어 봤습니다. 첨부파일^^. 열면 사진이 50명 단위로 나오고 클릭하면 새 창으로 지원서가 뜹니다. 이전 페이지 다음 페이지 50명 단위로 지원합니다. 약 481300번~513100번 정도가 이번 2006 하반기에 해당하는 것으로 추측되네요. 그럼 즐감~. ps. 이런 짓하면 쇠고랑 찰까요? 걱정이네... 자기소개 잘 쓰는 분들 많군요. 부럽네요.”라는 글과 함께 ‘****(1kb)’이라는 링크파일을 첨부하여 게시하였다. 라. **** 23:25경까지 위 글의 조회수는 3,056회에 달하였는바, 위 링크파일을 실행하면 앞서 본 바와 같은 성명, 주민등록번호, 이메일 주소, 비밀번호 등의 입력이 없어도 초기화면에 Process ID가 500000부터 500049인 입사지원자들의 사진이 50매 나타나고, ‘이전’이나 ‘다음’ 항목을 클릭하면 이전 또는 다음의 입사지원자들 사진이 50매씩 나타나는 방식으로 원고들을 포함한 입사지원자 2만여 명의 사진이 나타나는데(입사지원자가 사진을 등록하지 않은 경우에는 사진이 없는 공란이 나타난다), 위 사진을 개별적으로 클릭하면 도움말(지원서를 작성하기 위한 도움말), 기본인적사항(성명, 주민등록번호, 전화번호, 주소, 병역사항, 희망근무지·직무), 상세인적사항(학력사항, 대학교 및 대학원의 경우 학점 포함, 어학성적), 자기소개(자신이 가진 열정에 대하여, 본인이 이룬 가장 큰 성취에 대하여, 본인의 가장 큰 실패 경험에 대하여, 본인의 역량에 관하여, 본인의 성격에 관하여, 본인의 10년 후 계획에 대하여), 경력/인턴(경력회사, 경력상세기술서, 최종연봉·희망연봉, 인턴경험), 연구실적(석사학위 이상만 기재, 수행프로젝트, 세부전공, 입사후 희망 연구분야)의 하부메뉴가 있는 페이지가 나타난다. 마. 그런데 피고의 ****의 시스템에 의하면, 입사지원자가 입사지원서를 작성할 경우 각 입사지원자별로 Master ID(이를 통해 앞서 본 기본인적사항이 관리된다)와 Process ID(이를 통해 지원 시점을 기준으로 하여 앞서 본 상세인적사항, 자기소개, 경력/인턴, 연구실적이 관리된다)가 1개씩 부여되며(지원자가 여러 번 지원할 경우 Master ID는 불변이나 지원시마다 Process ID는 추가로 생성되어 복수가 된다), 입사지원자가 등록한 정보 중 기본인적사항에 관한 정보는 Master ID를 Key로 하여 Master Table에 저장되고, 상세인적사항, 자기소개, 경력/인턴, 연구실적에 관한 정보는 Process ID를 Key로 하여 Process Table에 저장되는데, 위 링크파일을 통하여서는 입사지원자들의 기본인적사항은 열람되지 않고, 나머지 상세인적사항, 자기소개, 경력/인턴, 연구실적의 하부메뉴만 열람이 가능하였다. 바.소외 1이 위 링크파일을 만든 경위를 보면, 원래 ****의 작성 및 조회 페이지는 모두 팝업 형식으로 화면에 나타나도록 되어 있어 해당 페이지의 URL 주소가 바로 노출되어 있지는 않았는데,소외 1은 인터넷 익스플로러의 새창 열기(Ctrl+N)를 실행하여 해당 페이지의 URL 주소를 확인, 그 소스를 확보한 다음 그 소스 중 Process ID에 자신의 Process ID와 비슷한 값을 넣고 실행해 본 결과 다른 입사지원자들의 등록정보가 나타나는 것을 발견하였고, 이에소외 1은 위 URL 정보를 분석하고 불필요한 정보를 제거한 후 일반인들도 쉽게 조회해 볼 수 있도록 구조화하여 위 링크파일을 만들어 냈다. 사. 한편, 피고의 웹서버들은 모두 웹방화벽의 탐지를 받고 있었으나, ****의 웹서버는 Passive Mode로서 비정상적인 접속이 있을 경우 접속 자체는 허용하되 로그에만 기록을 남기는 방식으로 운영되고 있었다. 아.소외 1이 게시한 위 글과 첨부파일을 발견한 ‘****’ 카페 회원 중 성명불상자는 **** 23:20경 카페 운영자인소외 2에게 이와 같은 사실을 신고하였고,소외 2는 같은 날 23:25경 ‘핑크팼다’라는 닉네임의소외 1을 강퇴(카페 회원의 자격을 강제로 박탈하는 것)시키고 위 게시물을 삭제하였는데, 한편 피고 인사팀 채용그룹의소외 3은 인터넷 모니터링 과정에서 같은 날 23:00경 위 게시물을 발견하자 같은 날 23:15경 내부에 보고한 후 ****의 제작, 운영 및 유지보수를 맡고 있는 피고의 계열사인 LG CNS의 담당자에게 위와 같은 상황을 통보하고, 같은 날 23:39경에 이르러소외 2에게 증거자료 등을 요청하는 쪽지를 보냈으며,소외 2는소외 3에게 전화하여 입사지원자들의 등록정보가 더 이상 조회되지 않도록 내부적으로 긴급히 처리해달라고 요청하는 한편 이메일로 증거자료 등을 전달해 주었다. 자. 피고는 2006. 9. 27. 00:08경 입사지원자들의 등록정보 열람이 불가능하도록 **** 서버의 접속을 차단하였고, 같은 날 19:40경 피고의 홈페이지에 공식 사과문을 게재하였다. 차. 전산자료를 통하여 확인한 결과, 위 링크파일을 실행하여 비정상적 방법으로 입사지원자들의 등록정보를 열람한 IP 주소는 ****개이고, ****의 입사지원서가 열람당하였는데, 원고들 중 입사지원을 위한 등록정보를 열람당한 사람은 **** 기재 원고들 31명이고, 이 사건 원고들 중 위 31명의 원고들을 제외한 나머지 원고들은 **** 기재와 같다. 2. **** 기재 원고들의 청구에 대한 판단 가. 컴퓨터를 사용하여 타인의 개인정보를 처리하는 자의 주의의무 우리헌법 제17조는 “모든 국민은 사생활의 비밀과 자유를 침해받지 아니한다.”라고 규정하고 있는바, 이는 개인의 사생활 활동이 타인으로부터 침해되거나 사생활이 함부로 공개되지 아니할 소극적인 권리는 물론, 오늘날 고도로 정보화된 현대사회에서 자신에 대한 정보를 자율적으로 통제할 수 있는 적극적인 권리까지도 보장하려는 데에 그 취지가 있는 것으로 해석되며(대법원 1998. 7. 24. 선고 96다42789 판결 참조), 이와 같은 헌법의 원칙은 이를 구체화한 법률의 규정에 의하여 또는 해당 법률 규정이 없더라도 사법상의 일반원칙을 규정한 조항들을 통하여 사인(私人) 간에도 적용된다고 할 것이다. 구 공공기관의 개인정보보호에 관한 법률(2007. 5. 17. 법률 제8448호로 개정되기 전의 것, 이하 ‘구 공공기관정보보호법’이라 한다) 제9조 제1항에 의하면, 공공기관의 장은 개인정보를 처리함에 있어 개인정보가 분실·도난·누출·변조 또는 훼손되지 않도록 안전성 확보에 필요한 조치를 강구할 의무가 있고,동법 제22항은 공공기관 외의 개인 또는 단체는 컴퓨터를 사용하여 개인정보를 처리함에 있어 공공기관의 예에 준하여 개인정보의 보호를 위한 조치를 강구하도록 규정하고 있다(원고들과 피고의 관계에서 피고를 정보통신망 이용촉진 및 정보보호 등에 관한 법률의 적용 대상인 정보통신서비스제공자이거나 준용 사업자로 볼 수 없고, 피고와 입사지원자들 사이는 기껏해야 근로계약 교섭의 초기 단계에 불과하여 어떠한 계약관계를 인정하기도 어렵다). 나아가 살피건대, 피고는 자신의 웹사이트를 통하여 온라인으로 입사지원을 받음으로써 인력과 비용의 절감 및 관리의 편의를 얻고 있고, 온라인 입사지원사이트를 통하여 입사지원서를 제출하는 지원자들은 자신이 제공하는 정보가 채용 및 인사담당자에게만 공개될 것으로 신뢰하고 사적인 영역에 속한 민감한 정보까지 제공하였을 것인 점(이 점에서 이용자들이 통상의 전자상거래 사이트 가입시 개인정보의 유출 또는 제3자에의 제공 가능성을 염두에 두어, 민감한 개인정보의 제공을 요구하는 사이트에는 가입을 자제하는 것과 비교된다)에 비추어 보면, 피고는 정보주체인 입사지원자들이 자신의 개인정보를 제공한 목적에 반하여 유출되거나 훼손되지 않도록 당시의 기술수준에 부합하는 보안조치를 취하여야 할 주의의무가 있다고 할 것이다. 나. 유출된 정보의 성격 개인정보란 “생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명·주민등록번호 및 화상 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)”라 할 것인바(공공기관의 개인정보보호에 관한 법률 제2조 제2호), “화상”은 가장 오래되고도 확실한 개인 식별수단으로서 성명 및 주민등록번호와 마찬가지로 당해 개인을 식별할 수 있는 정보라 할 것이며(피고는 정보를 취득한 자가 당해 개인을 알지 못하는 한 “화상” 정보인 사진만으로는 개인의 식별이 불가능하다는 취지의 주장을 하나, “개인을 식별할 수 있는 정보”는 당해 정보에 의하여 개인을 식별할 가능성만 있으면 되는 것이고 정보를 취득한 자가 당해 개인이 누구인지 구체적으로 특정할 것은 요하지 않으며, 이 점은 성명이나 주민등록번호의 경우도 마찬가지라 할 것이다), **** 시행되던구 공공기관정보보호법 제2조 제2호가 개인을 식별할 수 있는 정보로서 들고 있는 “성명·주민등록번호 등”에도 “화상”이 포함되어 있다고 해석되므로, 피고로서는 성명·주민등록번호만이 아니라 화상정보의 경우에도 개인의 식별을 가능하게 하는 정보로서 위 정보 등 개인정보의 분실·도난·누출·변조·훼손을 방지하는 데에 필요한 안전성 확보 조치를 강구하여야 할 것이다. 다. 손해배상책임의 발생 피고는, 피고의 입사지원사이트를 통한 입사지원자가 해당 지원기간 동안만 하여도 2만 2천여 명에 이르며 이들이 신원조회나 사전검증 없이 입사지원서를 제출하고 있어 입사지원자 중 비정상적인 행위를 하거나 입사지원을 가장하여 해킹을 시도할 사람이 있을 가능성을 배제할 수 없으므로, 이에 상응하는 보안조치를 취하고 입사지원기간이 종료된 후에는 외부로부터 관련 웹서버나 DB서버에 접근하는 것을 차단하는 등 조치를 취하여야 함에도 불구하고, 입사지원사이트의 URL이 Ctrl키와 N키를 함께 누르는 간단한 조작(새창열기 기능의 실행)으로 노출되고, 입사지원자의 지원서 내용을 열람할 수 있는 URL 중 특정 변수의 인자값을 변경하여 입력하면 위 사이트에 침입하여 타인의 입사지원서를 열람할 수 있는 보안취약점을 간과하였고 입사지원사이트의 웹서버에 웹방화벽을 적용하지 않고 있었던 점(****의 10, 69),소외 1은 2006. 9. 21.부터 **** 이 사건 게시물을 올리기 전까지 인터넷 웹브라우저 프로그램의 주소 입력창에 피고의 입사지원사이트의 주소를 입력하고 Process ID에 임의의 값을 입력하는 방법으로 44회에 걸쳐 피고의 입사지원사이트를 방문하여 다른 사람의 입사지원정보를 열람하였으나(****의 87, 90, 93, 97, 99), 피고의 전산시스템은 이와 같은 침입에 대한 탐지장치가 구비되어 있지 않았던 점(피고의 웹서버는 비정상적인 접속이 있을 경우 접속 자체는 허용하되 로그에만 기록을 남기는 방식으로 운영되었는바, 남겨진 로그기록에 대한 사후 모니터링 등의 조치도 없었던 것으로 보인다),소외 1이 만든 간단한 자바스크립트 링크파일(****)을 실행하기만 하면 로그인 등 아무런 인증절차 없이 피고의 DB서버에 저장된 입사지원자 50명의 사진(화상정보)이 한꺼번에 보여지고 사진을 클릭하면 당해 개인의 학력, 자기소개서 등의 정보가 노출되었던 점,소외 1은 같은 방법으로 다른 대기업의 입사지원사이트에도 침입을 시도하였으나, 피고 등 4개 회사를 제외하고는 보안장치에 막혀 그 뜻을 이루지 못한 점(****의 70) 등에 비추어 보면, 피고는 당시의 기술수준에 비추어 보더라도 피고가 그 신입사원의 채용을 위한 목적으로 보관중인 개인정보의 분실·도난·누출 등 방지에 필요한 보안조치를 강구하여야 할 주의의무를 위반하였다고 할 것이고, 이로 말미암아소외 1이 위 URL정보를 분석하여 위 링크파일을 만들고 이를 통하여 일반인들도 쉽게 ****에 접속하여 위 원고들의 입사지원정보를 열람하게 되는 결과(이하 ‘이 사건 사고’라 한다)가 발생하였으니, 피고의 위와 같은 과실과 이 사건 사고 사이에는 상당인과관계가 있다고 할 것이다. 나아가 보건대, 위 원고들이 이 사건 사고로 인하여 자신들이 입사지원의 목적으로 제공한 개인정보가 불특정 다수인들에 의하여 열람당함으로써 정신적 고통을 받았을 것임은 경험칙상 쉽게 인정할 수 있으므로, 피고는 불법행위책임으로서 위 원고들의 정신적 고통을 금전으로나마 위자할 의무가 있다고 할 것이다. 라. 손해배상책임의 범위 다음으로 위자료의 액수에 관하여 보건대, ① 개인정보를 처리하는 자가 취한 사고 당시의 보안조치의 수준, ② 사고발생 후 얼마나 신속하게 사고를 파악하고 적시에 적절한 피해확산방지조치를 취하였는지 여부, ③ 피해자의 자기정보통제권과 관련하여 피해자에 대한 사고발생 안내의 적절성 및 피해접수 내지 확인, 피해회복조치 이행 여부, ④ 유출된 정보의 성격 및 유출된 정보의 양, ⑤ 정보가 유출된 범위 및 유출된 정보의 전파가능성, ⑥ 스팸메일이나 명의도용 등 추가적인 피해 발생 여부, ⑦ 개인정보를 처리하는 자가 개인정보를 수집, 처리함으로써 얻는 이익 등은 그 액수를 산정하는 중요한 요소가 될 것이다. 이 사건에 있어서, ① 앞에서 본 바와 같이 피고의 보안조치는 당시의 기술수준에 비추어 충분하다고 볼 수 없는 점, ② 피고는 피고 시스템의 모니터링이 아니라 다른 인터넷 게시판의 모니터링을 통하여 이 사건 사고를 발견하였고(피고의 전산시스템 담당자가 아닌 인사팀 직원이 인터넷 게시판을 모니터링한 것을 들어 피고의 시스템에 대한 적절한 사후 보안조치로 볼 수 없다), 그로부터 1시간 8분이 경과한 후에야 해당 웹서버가 차단되었는데, 이 사건 게시글에 첨부된 링크파일을 다운로드받은 사람들은 위 게시글이 삭제된 후에도 위 웹서버가 차단되기까지 계속하여 입사지원자들의 정보를 열람할 수 있었던 점, ③ 피고는 사고발생 하루 후인 2007. 9. 27. 19:40경 피고의 입사지원사이트에 사고발생사실을 게시하였을 뿐 입사지원자들에게 이메일 등을 통하여 안내한 바 없었고, 이 사건 소송에 이르기 전에는 입사지원자들에게 개인정보 유출 여부와 유출된 정보가 무엇인지 확인하여 준 바 없는 점, ④ 원고들은 학력사항(학점 포함), 어학성적, 경력사항, 연구실적 등은 물론 피고의 채용 및 인사담당자만 볼 것으로 믿고 작성·제출하였을 개인사나 가족관계, 가치관이나 장래계획 등 사적인 영역의 민감한 정보까지 침범당하였던 점, ⑤ 위 게시글이 3,056회의 조회수를 기록하였고 입사지원자들의 등록정보를 열람한 IP주소가 ****개이며 ****의 입사지원서가 열람당한 점은 피고의 책임을 통상적인 개인정보침해사건에 비하여 무겁게 볼 사유라고 할 것이다. 한편, ① 피고는 성명, 주민등록번호 등 기본적 인적사항은 별도로 보관하고 Master ID에 의하여서만 접근할 수 있도록 하였고, URL이 직접적으로 노출되지 않도록 하는 등 나름대로 보안조치를 취하였던 점, ② 피고는 사고발생 후 해킹방지시스템을 보완하는 등의 조치를 취한 점, ③ 피고가 미흡하나마 입사지원사이트에 사고발생사실을 알리고 사과 및 재발방지를 다짐한 점, ④ 위 원고들의 성명, 주민등록번호 등은 열람된 바 없고(위 원고들은, 자신들의 성명, 주민등록번호, 전화번호, 주소 등의 정보 또한 Master ID와 Process ID가 일치하는 경우 모두 유출되었다고 주장하나, 갑 제18호증의 1, 2의 각 기재만으로는 이를 인정하기 부족하고 달리 이를 인정할 만한 증거가 없다), 유출된 정보에 의하더라도 위 원고들의 지인이나 주변사람이 아니면 실제 위 원고들의 신원을 구체적으로 특정하기는 어려웠을 것으로 보이는 점, ⑤ 위 원고들의 개인정보는 저장이나 재전송이 어려운 방식으로 열람되었고(이용자가 화면 캡처나 일괄다운로드 방식으로 저장하였을 가능성까지 배제할 수는 없으나, 이에 소요되는 시간과 툴, 위 정보가 노출되었던 시간을 고려하여 보면, 위와 같은 방식으로 저장된 정보는 많지 않았을 것으로 짐작된다), 유출된 정보의 경제적 가치에 비추어 2차적인 피해 확산가능성은 높지 아니한 점, ⑥ 위 원고들의 정보가 추가로 외부에 확산되거나 불법적인 용도에 사용되었음을 인정할 증거는 발견되지 않는 점(위 원고들은 이 사건 사고 후에 스팸메일이 증가하였다고 주장하나, 갑 제6호증의 1, 2의 각 기재만으로는 위 원고들이 이와 같은 피해를 입었다는 사실을 인정하기에 부족하고 달리 이를 인정할 증거가 없다), ⑦ 피고가 입사지원자들의 개인정보를 처리하는 데에 영리의 목적이 없었던 점과 함께 이 사건 사고는 제3자의 범죄행위를 직접적인 원인으로 하여 발생한 점 등은 피고의 책임을 가볍게 하는 사유라고 할 것이다. 위와 같은 제반 사정을 모두 고려하면, 피고가 위 원고들에게 배상하여야 할 위자료의 액수는 각 300,000원으로 정함이 상당하다. 마. 소결론 따라서 피고는 **** 기재 원고들에게 각 300,000원 및 이에 대하여 위 불법행위일인 ****부터 피고가 그 지급의무의 존부 및 범위에 대하여 항쟁함이 상당한 이 판결선고일인 ****까지 민법이 정한 연 5%, 그 다음날부터 다 갚는 날까지 소송촉진등에 관한 특례법이 정한 연 20%의 각 비율로 계산한 지연손해금을 지급할 의무가 있으므로, 위 원고들의 청구는 위 인정 범위 내에서 이유 있고 나머지 청구는 이유 없다. 3. **** 기재 원고들의 청구에 대한 판단 가. 위 원고들의 주장 위 원고들은, 이 사건 사고로 인하여 피고의 입사지원자 사진이 50명 단위로 화면에 노출되고 이 사건 게시글의 조회수가 3,000여 회에 이른 점에 비추어 보면, 2만 2천 명의 지원자 중 최소한 15,000명(=3,000×50)의 사진이 유출되었을 것인데, 위와 같은 비율(15,000명/22,000명)에 비추어 보면, 결국 위 원고들 중 대부분의 개인사진이 유출되었다고 할 것이므로, 피고는 이로 인하여 위 원고들이 입은 정신적 고통에 대하여도 위자료를 지급할 의무가 있다고 주장한다. 나. 판단 살피건대, 사진(화상)도 당해 개인을 식별할 수 있는 정보임은 앞에서 본 바와 같으나, 갑 제10호증의 기재 및 그 영상만으로는 위 원고들의 사진이 실제로 유출되었음을 인정하기에 부족하고 달리 이를 인정할 만한 증거가 없으며, 위 원고들의 다른 개인정보가 유출되었음을 인정할 증거도 없는바, 위 원고들이 주장하는 위와 같은 사정만으로는 이들에게 금전으로 위자할 만한 정신적 손해가 발생하였다고 보기 어렵다. 가사 위 원고들의 사진이 유출되었다고 하더라도 성명 등 다른 식별정보 없이 한 화면에 50명의 증명사진이 표시되는 형태에 불과하여, 화면에 나타난 개별 사진의 크기나 전체 사진의 개수에 비추어 보면, 해당 화면을 열람한 사람이라도 그 화면에 표시된 사진을 기억하거나 이로부터 위 원고들을 식별할 수 있을 것으로는 보이지 아니하므로, 이로 인하여 위 원고들이 금전으로 위자할 만한 정신적 손해를 입었다고 볼 수 없다. 다. 소결론 따라서 위 원고들의 청구는 이유 없다. 4. 결론 그렇다면 **** 기재 원고들의 청구는 위 인정 범위 내에서 이유 있어 인용하고 나머지 청구는 이유 없어 기각하며, **** 기재 원고들의 청구는 모두 이유 없어 기각하여야 할 것인데, 제1심판결 중 피고에 대하여 **** 기재 원고들에게 위 인정 금원을 초과하여 지급을 명한 피고 패소 부분은 부당하므로 각 취소하고, 그 부분에 해당하는 위 원고들의 청구를 각 기각하며, 원고들의 항소와 피고의 **** 기재 원고들에 대한 나머지 항소는 이유 없으므로 이를 각 기각하기로 하여 주문과 같이 판결한다. [[별지 1] 원고(항소인 겸 피항소인) 명단 : 생략] [[별지 2] 원고(항소인) 명단 : 생략] 판사 이성호(재판장) 김동진 이숙연