해당판례
대법원 2015. 2. 12. 선고 2013다43994,44003 판결〔손해배상(기)·손해배상(기)〕
상고를 모두 기각하여, 온라인 오픈마켓 운영사와 보안관제업체에 대한 이용자들의 손해배상청구를 배척한 원심판결이 확정되었다.
하급심
제1심: 서울중앙지방법원 2010. 1. 14. 선고 2008가합31411, 2008가합58638(병합) 판결
이용자들의 손해배상청구를 모두 기각하였다.
원심: 서울고등법원 2013. 5. 2. 선고 2010나31510, 2010나31527(병합) 판결
원심은 해킹으로 전체 회원 약 1,800만 명의 개인정보가 유출되었다고 인정하면서도, 사고 당시 운영사가 시행한 보안조치와 해킹수법 등을 고려하면 개인정보 보호의무를 위반했다고 보기 어렵다고 판단하였다.
웹 방화벽 미설치, 톰캣 서버의 초기 아이디·비밀번호 유지, 주민등록번호 미암호화, 이상 징후 탐지 실패 등을 각각 검토하였으나, 당시 법령·기술수준과 전체적인 보안체계에 비추어 손해배상책임을 인정할 사유로 보지 않았다.
보안관제업체에 대해서도 계약에 따른 침입탐지·차단, 상황 전파, 로그 분석 등의 업무를 수행하였다고 보았다. 항소심에서 추가된 계약책임 주장에 관해서는, 보안관제업체가 이용자들에 대하여 직접 계약상 개인정보 보호의무를 부담한다고 보기 어렵다고 판단하였다.
대법원의 판단
대법원은 개인정보 보호의무가 법률뿐 아니라 서비스 이용계약에서도 발생한다고 명시하였다. 다만 그 의무위반 여부는 사고 당시 사회통념상 합리적으로 기대할 수 있는 보호조치를 다했는지를 기준으로 판단해야 한다고 보았다.
이 기준에 따라 운영사와 보안관제업체의 책임을 부정한 원심을 유지하였다. 원심을 파기한 사건이 아니므로 파기환송심은 없다.
관련판례
네이트·싸이월드 회원정보 유출에 관한 후속 판결이다. 사고 당시 기술수준과 전체 보안조치 등을 종합한다는 대상판결의 판단 기준을 이어받았다.
다만 고시는 최소한의 기준이므로 구체적인 사정에 따라 고시에 명시되지 않은 보호조치도 요구될 수 있다고 설명하였다. 해당 사건에서는 개인정보취급자의 업무 종료 후 로그아웃 등 접속 차단조치 의무를 인정하면서도, 그 위반과 유출 사이의 상당인과관계를 부정하였다.
따라서 대상판결의 ‘고시 준수 시 원칙적으로 의무위반 부정’이라는 법리는 모든 경우의 면책을 의미하지 않는다. 추가 보호조치가 요구되는 특별한 사정과, 그 조치를 취했더라면 유출을 방지할 수 있었는지를 함께 검토해야 한다.
관련법령
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제28조 제1항 이용자의 개인정보가 분실·도난·누출·변조·훼손되지 않도록 안전성 확보에 필요한 기술적·관리적 조치를 취할 의무를 규정하였다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제32조 개인정보 보호에 관한 규정 위반으로 손해를 입은 이용자의 손해배상청구에 관한 조문이다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 2. 29. 법률 제8852호로 개정되기 전의 것) 제45조 제2항 정보통신망의 안정성과 정보의 신뢰성 확보를 위한 구체적인 보호조치의 근거이다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행규칙(2008. 9. 23. 행정안전부령 제34호로 전부 개정되기 전의 것) 제3조의3 제1항·제2항 내부관리계획, 접근통제, 접속기록 보호, 암호화, 백신 등 보호조치와 구체적인 기준의 고시 근거를 규정하였다.
- 개인정보의 기술적·관리적 보호조치 기준(정보통신부고시 제2007-3호, 2007. 1. 29. 개정) 제5조 제1항 패스워드·생체정보 등 본인 인증정보의 일방향 암호화 저장에 관한 규정이다. 대법원은 정보통신부고시 제2005-18호 및 제2007-3호를 함께 인용하였다.
- 개인정보의 기술적·관리적 보호조치 기준(정보통신부고시 제2007-3호, 2007. 1. 29. 개정) 제7조 제1항 개인정보 출력 시 용도를 특정하고 출력 항목을 최소화하도록 한 규정이다.
- 정보보호조치 및 안전진단방법·절차·수수료에 관한 지침(정보통신부고시 제2004-54호, 2004. 10. 8. 개정) 제2조 및 별표 1 불필요한 프로토콜·서비스 제거 등 보안설정에 관한 규정이다.
- 민법 제390조, 민법 제750조 서비스 이용계약상 보호의무 위반과 불법행위에 따른 손해배상책임의 기본 조문이다.
사실관계
원고들은 온라인 오픈마켓 운영사와 상품 중개서비스 이용계약을 체결한 회원들이다. 회원가입 과정에서 이용약관에 따라 이름, 주민등록번호, 휴대전화번호, 이메일 주소, 아이디, 비밀번호 등의 개인정보를 제공하였다.
운영사는 이용자들의 개인정보를 데이터베이스 서버에 보관하였다. 별도의 보안관제업체는 인터넷 데이터센터 운영회사와 체결한 계약에 따라 해당 운영사에 정보보호 서비스를 제공하였다. 따라서 이용자와 운영사 사이의 서비스 이용계약, 데이터센터 및 보안관제업체 사이의 보안업무 계약은 서로 다른 계약관계였다.
해커는 2008. 1. 초경 고객상담용 이노믹스 서버에 설치된 톰캣 서버의 초기 아이디·비밀번호를 이용해 관리자 페이지에 접속하고, 비정상적인 접근을 가능하게 하는 프로그램을 올린 것으로 추정되었다. 이후 방화벽 우회, 통신정보 가로채기, 비밀번호 해독 등 여러 공격기법을 이용하여 데이터베이스 접근정보를 확보한 것으로 조사되었다.
해커는 2008. 1. 4.부터 같은 달 8.까지 네 차례에 걸쳐 데이터베이스에 저장된 회원의 이름, 주민등록번호, 주소, 전화번호, 아이디, 계좌번호 등 개인정보를 외부로 유출하였다.
제1심 당시에는 10,807,471명의 정보가 유출된 것으로 확인되었으나, 원심은 추가 경찰수사 결과를 반영하여 전체 회원 약 1,800만 명의 개인정보가 유출되었다고 인정하였다.
운영사는 2008. 1. 3. 사이트 이상 징후가 발생한 이후 보안관제업체와 함께 로그 분석, 악성코드 점검, 관련 접속 차단 등의 대응을 진행하였다. 이후 2008. 2. 4. 경찰 및 관계 기관에 사고를 신고하고, 다음 날 회원들에게 개인정보 유출 사실을 공지하였다.
원고들은 운영사와 보안관제업체가 충분한 보안조치를 취하지 않아 개인정보가 유출되었다며 손해배상을 청구하였다. 웹 방화벽 설치, 관리자 계정 관리, 주민등록번호 암호화, 대량 정보조회 탐지, 악성 프로그램 탐지 및 사고 대응의 적정성 등이 다투어졌다.
법리
법률상 의무와 계약상 보호의무
일반적 판단 기준: 정보통신서비스제공자는 관련 법령에 따른 기술적·관리적 보호조치 의무를 부담한다. 나아가 서비스 이용계약을 체결하면서 이용약관에 따라 회원정보를 필수적으로 수집하였다면, 그 정보를 안전하게 보호할 계약상 의무도 부담한다.
사건에 대한 적용: 운영사는 원고들에게 법률상·계약상 개인정보 보호의무를 부담하였다. 책임이 부정된 것은 보호의무 자체가 없어서가 아니라, 구체적인 의무위반을 인정하기 어려웠기 때문이다.
사고 당시 합리적으로 기대할 수 있는 보호조치
일반적 판단 기준: 해킹 발생만으로 의무위반을 추정하여 결론을 내릴 수는 없다. 사고 당시 보편적으로 알려진 기술수준, 업종과 영업규모, 전체 보안조치, 보안 비용과 효용, 공격수법에 따른 회피 가능성, 개인정보의 내용 및 예상 피해를 종합해야 한다.
사건에 대한 적용: 운영사는 내부관리계획, 침입탐지·방지시스템, 인증·접근통제, 데이터베이스 모니터링, 복수의 백신 등을 운영하였다. 대법원은 개별 취약점만을 떼어 평가하지 않고 이러한 전체 보안체계를 고려하였다.
고시 준수의 의미
일반적 판단 기준: 당시 고시는 법령이 요구하는 보호조치를 기술수준에 맞추어 구체화한 기준이다. 그 보호조치를 다하였다면 특별한 사정이 없는 한 법률상·계약상 의무위반을 인정하기 어렵다.
사건에 대한 적용: 대법원은 운영사가 당시 요구되는 보호조치를 취하고 있었다고 보았다. 다만 이는 ‘특별한 사정이 없는 한’이라는 조건부 판단이며, 이후 발전한 기술이나 강화된 법령을 기준으로 같은 결론을 적용할 수는 없다.
개별 보안조치에 대한 판단
웹 방화벽: 당시에는 관련 법령상 설치가 의무화되어 있지 않았고, 시스템 특성을 고려하여 선택하는 보안조치였다는 점을 고려하였다.
초기 아이디·비밀번호: 대규모 서버 환경에서 자동화된 도구로 취약점을 점검하는 방식이 보편적이었고, 해당 취약점은 사고 후에야 사용 중인 점검 도구의 목록에 포함되었다. 대법원은 전체 보안조치와 함께 이를 평가하였다. 초기 비밀번호를 그대로 두어도 된다는 일반적 허용을 선언한 것은 아니다.
이상 징후 탐지: 해커가 발생시킨 정보조회와 데이터 전송량이 운영사의 통상적인 업무 수준을 넘지 않았고, 경고 기준 자체가 부적절하다고 보기 어려웠다.
주민등록번호 암호화: 당시 고시의 일방향 암호화 대상인 본인 인증정보에 주민등록번호가 포함된다고 보지 않았다. 주민등록번호 암호화 저장은 이후 2009. 1. 28. 개정되어 2010. 1. 28. 시행된 시행령에서 명시되었다는 점과 당시 기술수준을 고려하였다.
출력 제한: 고시상 출력 항목 최소화 규정은 권한 있는 사람이 정상 경로로 개인정보를 출력하는 경우를 규율하므로, 해커의 무권한 유출에 그대로 적용할 수 없다고 보았다.
보호조치 위반과 유출 사이의 인과관계
일반적 판단 기준: 특정 조치를 취하지 않았다는 사정뿐 아니라, 그 조치를 취했더라면 유출을 방지하거나 줄일 수 있었는지도 판단해야 한다.
사건에 대한 적용: 변종 악성 프로그램과 여러 우회기법이 사용되었고 당시의 보안기술 및 전체 조치 수준을 고려하면, 운영사가 보호조치를 소홀히 하여 사고를 방지하지 못했다고 단정하기 어렵다고 판단하였다.
보안관제업체의 책임
일반적 판단 기준: 보안관제업체의 의무는 계약에서 맡은 업무와 실제 대응내용을 기준으로 판단해야 한다. 보안업무를 수행했다는 이유만으로 모든 정보유출을 방지할 결과책임이나 이용자에 대한 직접적인 계약책임이 발생하지는 않는다.
사건에 대한 적용: 원심은 보안관제업체가 네트워크 기반의 탐지·차단과 보고 등 맡은 업무를 수행하였다고 보았다. 계약상 ‘10분 이내 통지’도 단순한 경고 이벤트 발생과 확인된 보안사고를 구별하여 해석하였으며, 설령 통지가 더 빨랐더라도 사고가 방지되었을 것으로 보기 어렵다고 판단하였다. 대법원은 관제업무 소홀을 인정하기 어렵다는 결론을 유지하였다.
실무적 유의점
- 사고 당시 기준을 재구성해야 한다. 당시 적용 법령·고시, 보안제품의 기능과 업데이트 내역, 취약점 공개 시점 등을 확보하여 사후적으로 알려진 정보를 사고 전에도 알 수 있었던 것처럼 평가하지 않도록 해야 한다.
- 고시 준수는 실제 운영자료로 입증해야 한다. 내부관리계획이나 제품 구매내역뿐 아니라 접근권한 설정, 탐지 규칙, 로그 분석, 취약점 점검 및 개선기록이 중요하다.
- 피해자 측은 구체적인 의무위반과 방지 가능성을 연결해야 한다. 특정 취약점이 존재했다는 주장에 더하여, 당시 이를 발견·보완할 수 있었고 그 조치로 실제 공격경로를 차단할 수 있었다는 점을 밝혀야 한다.
- 고시 준수를 절대적인 면책으로 취급해서는 안 된다. 이미 확인된 위험, 반복된 경고, 민감한 정보의 대규모 보유 등 추가 조치를 요구하는 사정이 있었는지 검토해야 한다.
- 보안관제 계약의 업무범위와 통지기준을 구체화해야 한다. 네트워크·서버·응용프로그램·데이터베이스 중 관리대상, 경고와 사고의 정의, 통지 기산점, 차단 권한 및 대응 책임을 명확히 정할 필요가 있다.
- 이용자에 대한 책임과 업체 사이의 계약책임을 구분해야 한다. 보안관제업체에 업무를 맡겼다는 사정만으로 운영사의 개인정보 보호의무가 없어지는 것은 아니다. 관제업체에 대한 이용자의 직접청구와 운영사의 계약상 청구도 별도로 검토해야 한다.