금융회사의 고객정보 유출과 안전성 확보조치 위반에 따른 형사책임

해당판례

대법원 2020. 8. 27. 선고 2020도2432 판결

사건명: 개인정보보호법위반·정보통신망이용촉진및정보보호등에관한법률위반·신용정보의이용및보호에관한법률위반

하급심

서울중앙지방법원 2016. 7. 15. 선고 2015고합336 판결은 피고인 금융회사들의 구 개인정보 보호법 위반 중 일부를 유죄로 인정하여 A와 B에 각 벌금 1,500만 원, C에 벌금 1,000만 원을 선고하였다. 나머지 개인정보 보호법 위반 부분과 정보통신망법·신용정보법 위반 부분은 무죄로 판단하였다.

서울고등법원 2020. 1. 31. 선고 2016노2150 판결은 피고인들과 검사의 항소를 모두 기각하였다. 안전성 확보조치 불이행에 대한 고의, 유출 결과의 예견가능성 및 상당인과관계를 인정하면서도, 외주 직원이 개인적 이익을 위하여 정보를 빼낸 행위는 피고인 회사들의 업무에 관하여 이루어진 행위로 볼 수 없다고 판단하였다.

대법원도 쌍방의 상고를 모두 기각하였다. 원심과 대법원의 결론에 차이는 없으며, 위 벌금형과 무죄 판단이 확정되었다. 파기환송은 이루어지지 않았다. 아래의 구체적인 판단 기준과 사실인정은 대법원이 유지한 원심의 이유를 함께 반영한 것이다.

사실관계

피고인 A는 은행업과 그 부수·겸영업무를 수행하는 법인이고, B와 C는 신용카드 등의 발행·판매·관리업무를 수행하는 법인이다. 앞선 목록에서 세 피고인을 모두 카드회사로 표현한 부분은 이러한 당사자의 지위를 구분하여 이해할 필요가 있다.

피고인들은 신용카드 부정사용을 탐지하는 FDS의 개발·개선 업무를 외부 업체 I에 맡겼다. I의 직원 H는 프로젝트 총괄 매니저 등으로 각 금융회사에 파견되어 업무를 수행하면서 개발에 필요한 고객정보에 접근할 수 있었다.

개발 과정에서 고객정보가 외주 직원들의 업무용 컴퓨터와 공유폴더에 저장되었다. 일부 컴퓨터에는 보안프로그램이 설치되지 않았거나 정상적으로 작동하지 않았고, USB 저장을 차단하는 기능과 저장매체 반출입 통제가 제대로 이루어지지 않았다. B와 C에서는 주민등록번호 등 고유식별정보를 암호화하지 않은 채 전달하거나 업무용 컴퓨터에 저장한 문제도 있었다.

H는 이러한 환경을 이용하여 고객정보를 자신이 반입한 USB에 저장하고 외부로 반출하였다. A와 B의 고객정보 중 일부는 제3자에게 제공하고 대가를 받았다. C의 고객정보에 대해서는 추가로 제3자가 실제 열람하지 않았다는 등의 이유로 회사가 ‘유출’ 자체를 다투었다.

검사는 두 가지 책임을 구분하여 기소하였다. 하나는 회사 임직원들의 안전성 확보조치 불이행을 기초로 한 개인정보 보호법상 양벌책임이고, 다른 하나는 H의 직접적인 정보 침해·누설행위를 기초로 한 정보통신망법·신용정보법상 양벌책임이었다.

법리

일반적인 판단 기준

안전성 확보조치 불이행과 유출 결과의 주관적 요건은 구별하여야 한다. 구 개인정보 보호법 제73조 제1호 위반죄가 성립하려면 안전성 확보조치를 이행하지 않는다는 점에 고의가 있어야 하며, 미필적 고의로도 충분하다. 세부 기준을 지키지 않은 상태에서 개인정보를 운용한다는 사실을 알면서 방치한 경우에도 고의가 인정될 수 있다.

반면 유출 결과 자체에 대한 고의까지 필요한 것은 아니다. 유출 결과를 예견할 수 있었고, 의무 불이행과 유출 사이에 상당인과관계가 있어야 한다. 의무 불이행이 유출의 유일하거나 직접적인 원인일 필요는 없으므로, 제3자의 고의적 범행이 개입했다는 사정만으로 인과관계가 부정되지는 않는다.

개인정보에 대한 업무상 접근권한과 외부 반출권한도 구별된다. 업무를 위해 열람할 수 있는 사람이라도 권한을 넘어 정보를 개인 저장매체에 담아 반출하였다면 처리자의 관리·통제권을 벗어난 유출이 성립할 수 있다.

법인의 양벌책임은 그 전제가 되는 행위자의 위반행위를 특정하여 판단하여야 한다. 회사 임직원의 업무상 안전조치 위반을 근거로 하는 책임과, 외주 직원의 사적인 정보유출 범행을 근거로 하는 책임은 성립요건이 같지 않다. 특히 업무 수행의 기회에 범행이 이루어졌다는 이유만으로 곧바로 ‘법인의 업무에 관하여’ 이루어진 범행으로 볼 수는 없다.

해당 사건에 대한 적용

법원은 피고인 측 담당자들이 공유폴더 이용, 보안프로그램 미설치·작동 중단, USB 사용 가능 상태 등 위험요인을 방치한 사정을 근거로 안전성 확보조치 불이행에 대한 고의를 인정하였다. H가 특별한 해킹 기술 없이 개인 USB와 보안이 미흡한 컴퓨터를 이용하여 정보를 반출한 점에서 유출의 예견가능성과 상당인과관계도 인정하였다.

용역계약이 도급계약이고 외주 업체가 정보보호 업무를 부담한다는 사정은 금융회사 자신의 안전성 확보조치의무를 없애지 못한다. 개인정보 보호법상 회사의 책임은 H의 직접적인 유출범행을 그대로 회사에 귀속한 것이 아니라, 회사 임직원들의 별도 의무 위반을 기초로 인정된 것이다.

USB 반출입 통제를 명시한 고시가 사건 이후 개정되었다는 주장도 배척하였다. 원심은 종전의 접근통제·보안프로그램·물리적 접근 방지 규정과 금융기관에 적용되는 기존 규율 등을 근거로 당시에도 해당 통제의무가 있었다고 판단하였다.

B와 C가 업무용 컴퓨터에 고유식별정보를 암호화하지 않은 채 저장한 부분도 의무 위반으로 인정되었다. 내부망의 개인정보처리시스템에 대한 위험도 분석 결과만으로 업무용 컴퓨터 저장이나 보조저장매체를 통한 전달에 관한 암호화의무까지 면제되는 것은 아니라고 보았다.

다만 모든 관리상 미비점이 유죄로 인정된 것은 아니다. A의 일부 정보에 대해서는 A가 보유·관리하던 정보라는 증명이 부족하다고 판단하였고, A의 암호화의무 위반 부분은 시행령 부칙의 유예기간을 고려하여 배척하였다. 교육·보안서약서 등 나머지 사항도 해당 처벌조항이 예정한 의무인지, 유출과 상당인과관계가 있는지를 구분하여 판단하였다.

한편 H의 직접적인 유출행위는 개인적 이익을 추구한 범행으로서 객관적으로 회사 업무를 위한 행위도 아니고, 주관적으로 회사를 위한 의사도 없었다. 이에 정보통신망법·신용정보법상 양벌규정을 적용한 공소사실은 무죄로 확정되었다.

실무적 유의점

정보유출 사건에서는 ‘누가 어떤 의무를 위반하였는가’를 먼저 특정하여야 한다. 직접 유출자의 범행, 내부 담당자의 안전조치 위반, 법인의 주의·감독상 책임을 구분해야 유죄 부분과 무죄 부분을 일관되게 설명할 수 있다.

주장·입증은 보안규정의 존재보다 실제 운영 상태에 집중할 필요가 있다. 보안프로그램 설치·작동 기록, USB 차단 기록, 공유폴더 권한, 암호화 여부, 예외 승인 내역 및 담당자의 보고·인지 자료가 중요하다. 의무 불이행에 대한 고의와 단순한 부주의도 이러한 자료를 통해 구별하여야 한다.

개발·유지보수 계약에는 접근권한의 범위, 실데이터 사용 조건, 암호화, 저장매체 통제, 점검권 및 사고 통지의무를 구체적으로 정하고 실제 이행 여부를 확인해야 한다. 외주 업체의 계약상 책임과 금융회사 자신의 법정 의무는 각각 관리할 사항이다.

형사방어에서는 사고 발생 당시의 법령·고시와 경과규정을 기준으로 의무를 특정하고, 각 위반사항과 실제 유출 경로 사이의 인과관계를 개별적으로 검토하여야 한다. 이 판결의 구법상 처벌요건과 형량을 현행법에 그대로 적용해서도 안 된다.

금융회사의 고객정보 유출과 안전성 확보조치 위반에 따른 형사책임

해당판례

관련판례

관련법령

사실관계

법리

실무적 유의점