해킹으로 개인정보가 유출됐다고 해서 곧바로 기업의 보호조치 의무 위반이 되는 것은 아닙니다. 대법원은 '사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치'를 다했는지를 당시 보안기술 수준, 업종·규모, 비용과 효용 등을 종합해 판단해야 한다고 보았습니다(대법원 2018두56404 판결).
💡
고객 정보를 다루는 회사라면 해킹 사고는 언제든 생길 수 있는 위험입니다. 사고가 나면 행정기관의 과징금 처분과 이용자들의 손해배상 청구가 뒤따르는데, 이때 핵심은 회사가 법이 요구하는 보호조치를 다했는지입니다.
이번 글에서는 해킹 사고와 관련해 과징금 처분의 적법성이 다투어진 대법원 판결을 통해, 보호조치 의무 위반을 어떤 기준으로 판단하는지 정리합니다. 송파·문정에서 개인정보를 다루는 사업을 운영하시는 분들께 참고가 되기를 바랍니다.
사건 개요
원고가 운영하던 고객 이용요금 명세 조회용 홈페이지 등이 2013년경 해킹을 당해 개인정보가 유출되었습니다. 피고 행정청은 원고가 개인정보에 대한 접근 통제장치를 적절히 운영하지 않았다는 등의 이유로 과징금을 부과했고, 원고는 그 처분의 취소를 구하는 소송을 냈습니다.
항목 | 내용 |
|---|---|
사건번호 | 대법원 2018두56404 과징금부과처분취소 |
적용 규정 | 구 「개인정보의 기술적·관리적 보호조치 기준」(2015. 5. 19. 개정 전 방송통신위원회 고시) 제4조 제9항 |
처분 사유 | 개인정보 접근 통제장치를 적절히 운영하지 않았다는 점 등 |
결과 | 상고기각 |
쟁점
고시 제4조 제9항이 보호 대상으로 삼는 '개인정보처리시스템'의 범위는 어디까지인지
해킹 사고가 났을 때 고시 제4조 제9항의 보호조치 의무 위반 여부를 어떤 기준으로 판단하는지
원심 판단
원심은 원고가 해당 홈페이지를 통한 개인정보 유출과 관련해 요구되는 보호조치를 다하지 않았다고 단정하기 어렵다는 취지로 판단했습니다. 대법원은 이러한 원심의 결론을 수긍해 상고를 기각했습니다.
대법원 판단
개인정보처리시스템의 범위
고시 제4조 제9항은 내부 부주의로 인한 유출뿐 아니라, 기술적 보호조치가 부족해 해킹처럼 외부의 불법 접근으로 개인정보가 유출되는 사고까지 막기 위해 마련된 규정입니다.
대법원은 여기서 말하는 '개인정보처리시스템'이 개인정보의 생성, 기록, 저장, 검색, 이용 과정 등 데이터베이스시스템 전체를 뜻하고, 데이터베이스와 연동되어 개인정보 처리에 관여하는 웹 서버 등도 포함한다고 보았습니다.
보호조치 의무 위반의 판단 기준
고시가 요구하는 조치는 '해킹 등 침해사고로 개인정보가 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터에 취해야 할, 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치'입니다. 이를 다했는지는 다음 사정을 종합해 판단합니다.
사고 당시 보편적으로 알려진 정보보안 기술 수준
사업자의 업종과 영업 규모
홈페이지 설계·개발 단계에 반영한 보안대책과 운영 중 실시한 적정성 검증 및 개선 조치
정보보안에 드는 경제적 비용과 효용
실제 사용된 해킹기술의 수준과 피해 회피 가능성
수집한 개인정보의 내용과 유출로 이용자가 입는 피해의 정도
이 기준에 따라 대법원은 원고가 고시 제4조 제9항의 보호조치를 다하지 않았다고 단정하기 어렵다고 보았습니다.
실무상 의미
이 판결은 해킹 피해라는 결과만으로 사업자의 책임을 인정하지 않고, 사고 당시 합리적으로 기대할 수 있는 보호조치를 했는지를 따져야 한다는 기준을 분명히 했습니다. 따라서 평소 보안 조치를 어떻게 설계하고 점검해 왔는지 기록으로 남겨 두는 것이 중요합니다.
참고로 이 사건에 적용된 정보통신망법상 개인정보 보호 규정과 방송통신위원회 고시는 이후 개인정보 보호법과 개인정보보호위원회 고시 체계로 옮겨졌습니다. 현재 사안은 개정된 법령과 고시를 기준으로 검토해야 합니다.
평소 준비할 것 | 이유 |
|---|---|
보안 설계·개발 기록 | 개발 단계에서 어떤 보안대책을 적용했는지가 판단 요소입니다. |
취약점 점검과 개선 이력 | 운영 중 적정성 검증과 개선 조치를 했는지 증명할 수 있습니다. |
웹 서버 등 연동 시스템 관리 | DB와 연동된 웹 서버도 개인정보처리시스템에 포함됩니다. |
사고 대응 기록 | 유출 경위와 해킹기술 수준을 확인해 두어야 처분과 소송에 대응할 수 있습니다. |
자주 묻는 질문(FAQ)
Q1. 해킹을 당하면 무조건 과징금 대상인가요?
A1. 아닙니다. 유출 사실만으로 책임이 인정되는 것이 아니라, 사고 당시 사회통념상 합리적으로 기대 가능한 보호조치를 다했는지가 판단 기준입니다.
Q2. 데이터베이스만 잘 보호하면 충분한가요?
A2. 대법원은 데이터베이스와 연동되어 개인정보 처리에 관여하는 웹 서버 등도 개인정보처리시스템에 포함된다고 보았습니다. 연동 시스템 전체를 함께 관리해야 합니다.
Q3. 회사 규모에 따라 요구 수준이 달라지나요?
A3. 업종과 영업 규모, 보안에 드는 비용과 효용도 판단 요소입니다. 다만 수집하는 개인정보의 민감도와 피해 규모도 함께 고려되므로 일률적으로 낮아진다고 보기는 어렵습니다.
Q4. 과징금 처분을 받으면 어떻게 다툴 수 있나요?
A4. 행정심판이나 취소소송으로 다툴 수 있습니다. 제소기간이 정해져 있으므로 처분서를 받으면 바로 보안 조치 기록과 사고 경위 자료를 정리해 검토하는 것이 좋습니다.
함께 읽으면 좋은 글
글을 마치며
개인정보 유출 사고에서는 사고 이후 대응만큼이나 사고 이전에 어떤 보호조치를 해 왔는지가 결론을 좌우합니다. 과징금 처분을 받았거나 이용자 손해배상 청구가 예상된다면 보안 조치 기록부터 차분히 정리해 보시기 바랍니다. 송파·문정에서 관련 처분이나 분쟁으로 고민하고 계시다면 처분서와 사고 경위 자료를 가지고 상담을 받아 보시기 바랍니다.
법률사무소 제이 박경미 변호사는 이혼전문·형사전문 변호사(대한변호사협회 등록)로서, 상담부터 소송 종결까지 직접 사건을 챙깁니다. 문정 법률사무소와 잠실 예약상담 공간 중 편한 곳으로 예약하시면 지금 상황에서 가능한 선택지를 차분히 정리해 드립니다.
📍 문정 · 법률사무소 제이 문정역 3번 출구 송파구 법원로8길 13, 헤리움써밋타워 3층 314호 사무실 운영 평일 09:00–19:00 변호사 방문상담 평일 10:00–16:00 · 예약제 📍 잠실 · 예약상담 잠실역 4번 출구 송파구 올림픽로 212, 갤러리아팰리스상가 2층 225호 연중무휴 09:00–23:00 · 예약제 · 박경미 변호사가 직접 상담합니다 ☎ 대표전화 02-6417-1551 전화상담 연중무휴 09:00–23:00 · 예약제 |
※ 본 글은 일반적인 법률정보 제공을 위한 것으로, 개별 사건의 결론은 구체적인 사실관계와 증거에 따라 달라질 수 있습니다.
Share article