해당판례
하급심
제1심인 서울서부지방법원 2013. 2. 15. 선고 2011가합11733, 2011가합13234(병합), 2011가합14138(병합), 2012가합1122(병합) 판결은 이용자들의 손해배상청구를 일부 인용하였다.
원심인 서울고등법원 2015. 3. 20. 선고 2013나20047, 20054, 20061, 20078 판결은 제1심의 피고 패소 부분을 취소하고 해당 청구를 모두 기각하였다. 사고 당시 법령과 고시, 기술 수준 등을 고려할 때 회사가 개인정보 보호조치 의무를 위반하였다고 인정하기 어렵다고 판단하였다. 일부 선정자들에 대해서는 자신의 개인정보가 유출되었다는 증거가 없다는 이유로 청구를 배척하였다.
대법원은 원심의 판단 중 작업 종료 후 로그아웃 의무에 관한 설명을 바로잡았다. 고시에 명시되어 있지 않더라도 작업 종료 후 로그아웃하도록 하는 것은 합리적으로 기대되는 보호조치에 해당한다고 판단하였다.
다만 해커가 이미 데이터베이스 관리자의 아이디와 비밀번호를 확보하여 로그아웃 여부와 관계없이 접속할 수 있었으므로, 해당 보호조치 미이행과 유출사고 사이의 상당인과관계는 인정되지 않는다고 보았다. 이에 상고를 모두 기각하여 원고들 패소의 결론이 확정되었다. 파기환송심은 없다.
관련판례
해킹사고 당시의 기술 수준, 사업자의 규모, 보안조치의 내용, 비용과 효용 등을 종합하여 합리적으로 기대 가능한 보호조치를 다하였는지 판단해야 한다고 판시하였다. 고시상의 조치를 이행하였다면 특별한 사정이 없는 한 보호조치 의무 위반을 인정하기 어렵다는 기준도 제시하였다. 이 사건은 이를 원용하면서 고시가 최소한의 기준이라는 점과 추가적인 주의의무의 가능성을 명확히 하였다.
불법행위에 도움을 주지 않아야 할 주의의무를 위반하여 타인의 불법행위를 용이하게 한 경우, 상당인과관계가 인정되면 과실에 의한 방조책임이 성립할 수 있다는 법리에 관한 판례이다. 이 사건은 회사의 보안조치 미흡이 해커의 불법행위를 용이하게 하였는지를 판단하는 근거로 이를 인용하였다.
관련법령
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2012. 2. 17. 법률 제11322호로 개정되기 전의 것) 제28조 제1항 개인정보의 안전성 확보를 위한 기술적·관리적 보호조치 의무를 정한다. 내부관리계획, 접근통제, 접속기록 보호, 암호화, 악성프로그램 방지 등의 조치가 포함된다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2012. 2. 17. 법률 제11322호로 개정되기 전의 것) 제32조 개인정보 관련 규정 위반으로 인한 손해배상책임과 고의·과실에 관한 증명책임을 정한다. 사업자는 고의 또는 과실이 없음을 입증하지 않으면 책임을 면할 수 없지만, 개인정보 유출 사실과 인과관계 등 다른 책임요건은 구별하여 검토해야 한다.
- 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(2011. 8. 29. 대통령령 제23104호로 개정되기 전의 것) 제15조 개인정보 보호조치의 구체적인 내용과 고시 위임 근거를 정한다. 구법의 개정 기준은 대법원 판결의 표기를 따랐다.
- 구 개인정보의 기술적·관리적 보호조치 기준(2012. 8. 23. 방송통신위원회고시 제2012-50호로 개정되기 전의 것) 제4조 접근통제에 관한 규정이다. 제4항의 외부 접속 시 안전한 인증수단 적용과 제5항의 접근 제한·유출 시도 탐지 의무가 주요 쟁점이었다.
- 민법 제390조 이용계약상 개인정보 보호의무 위반에 따른 채무불이행책임의 근거이다.
- 민법 제750조 개인정보 보호조치 의무 위반에 따른 불법행위책임의 근거이다.
- 민법 제760조 제3항 불법행위의 방조자를 공동행위자로 보는 규정이다. 보안조치 미이행으로 해킹을 용이하게 한 경우의 책임과 관련된다.
사실관계
피고는 네이트와 싸이월드 등을 운영하는 포털서비스 사업자이다. 이용자들은 회원가입 과정에서 성명, 주민등록번호, 아이디, 비밀번호, 이메일 주소, 주소, 전화번호 등을 제공하였다.
해커는 압축프로그램의 업데이트 경로를 악용하여 회사 직원의 컴퓨터에 악성프로그램을 설치하였다. 이후 키보드 입력 내용을 가로채는 방식으로 데이터베이스 관리자의 인증정보를 확보하고, 직원 컴퓨터와 중계서버를 거쳐 회원정보가 저장된 데이터베이스에 침입하였다.
해커는 회원정보를 파일로 생성·압축하여 외부로 전송하였다. 이 사고로 약 3,495만 명의 개인정보가 유출되었다.
이용자들은 회사가 접근통제, 유출 탐지, 인증수단, 작업 종료 후 로그아웃 등의 보호조치를 제대로 이행하지 않았다며 법률상·계약상 책임에 기한 손해배상을 청구하였다.
법리
일반적인 판단 기준
정보통신서비스 제공자는 법령에 따른 개인정보 보호조치 의무를 부담한다. 이용계약을 체결하면서 회원정보를 필수적으로 수집하였다면 그 정보의 안전성을 확보할 계약상 의무도 부담한다.
의무 위반 여부는 유출사고가 발생했다는 결과만으로 판단하지 않는다. 사고 당시 알려진 보안기술, 사업자의 업종과 영업규모, 전체 보안체계, 조치에 필요한 비용과 효용, 공격의 회피 가능성, 정보의 민감성과 예상 피해 등을 종합하여 합리적으로 기대 가능한 조치를 다하였는지 판단한다.
고시상 보호조치를 준수하였다면 원칙적으로 의무 위반을 인정하기 어렵다. 그러나 고시는 최소한의 기준이므로, 명문 규정이 없더라도 일반적으로 쉽게 예상할 수 있고 합리적으로 기대되는 조치를 누락하면 책임이 성립할 수 있다.
보호조치 의무 위반이 인정되더라도 그 위반과 유출로 인한 손해 사이에 상당인과관계가 있어야 한다. 특히 보안조치 미흡이 해커의 침입이나 정보 반출을 실제로 용이하게 하였는지를 구체적인 공격 경로에 따라 판단해야 한다.
해당 사건에 대한 적용
대법원은 개인정보취급자가 작업을 마치면 로그아웃하도록 하는 조치는 고시의 명시 여부와 관계없이 요구될 수 있다고 보았다. 따라서 고시에 규정되어 있지 않다는 이유만으로 해당 의무 자체를 부정한 원심의 설명은 부적절하다고 판단하였다.
그러나 해커는 이미 데이터베이스 관리자의 아이디와 비밀번호를 확보한 상태였다. 직원이 로그아웃했더라도 그 인증정보로 다시 접속할 수 있었으므로, 로그아웃 미이행과 해킹사고 사이의 상당인과관계가 인정되지 않았다.
추가 인증수단에 대해서는 회사 사옥과 데이터센터가 가상사설망으로 연결되어 하나의 내부망을 구성한다는 점을 고려하였다. 이 사건은 해커가 직원 컴퓨터를 장악한 뒤 내부의 정상적인 경로를 이용한 경우이므로, 당시 고시의 외부 접속에 관한 조항 위반을 인정하지 않았다.
대량 정보 유출의 실시간 감시나 특정 유출방지 솔루션의 설치·운영도 당시 적용 규정에서 당연히 요구되는 조치라고 보지 않았다. 이러한 판단은 해당 사고 당시의 규정과 기술적 사실관계에 기초한 것이다.
실무적 유의점
- 피해자 측은 자신의 개인정보가 실제로 유출되었다는 통지나 확인자료를 확보해야 한다. 대규모 사고가 발생했다는 사실만으로 개별 청구인의 정보 유출까지 자동으로 인정되지는 않는다.
- 의무 위반과 인과관계는 나누어 주장·입증해야 한다. 누락된 보안조치를 특정한 다음, 그 조치가 시행되었다면 공격의 어느 단계가 차단되었을지를 접속기록과 기술자료로 설명하는 것이 중요하다.
- 기업은 고시 준수 여부뿐 아니라 기본적인 보안조치가 실제로 이행되는지도 관리해야 한다. 작업 종료 후 접속 해제, 계정·권한 관리 등 합리적으로 기대되는 조치는 명문 규정이 없다는 이유만으로 배제할 수 없다.
- 보안업체와의 계약에는 감시 범위, 이상 징후의 탐지·보고 기준, 사고 대응시간, 로그 보존 및 조사 협조 의무를 구체적으로 정할 필요가 있다. 제품을 도입했다는 사실과 필요한 기능을 실제로 운영했다는 사실은 구별된다.
- 사고 발생 후에는 악성프로그램 유입, 인증정보 탈취, 시스템 접속, 정보 반출의 순서와 시점을 복원해야 한다. 이 사건에서도 인증정보가 이미 탈취되어 있었다는 사실이 로그아웃 미이행과 유출 사이의 인과관계를 부정하는 핵심 근거가 되었다.