사건 개요

2011년 7월, 중국 거주 추정 해커가 국내 유명 소프트웨어 개발사의 압축 프로그램 업데이트 서버를 해킹했어요. 해커는 이를 이용해 포털 서비스 회사의 직원 컴퓨터에 악성코드를 심었고, 회사 내부망에 침투해 약 3,500만 명에 달하는 회원들의 아이디, 비밀번호, 주민등록번호 등 개인정보를 유출했어요. 이에 개인정보가 유출된 회원들이 포털 회사, 소프트웨어 개발사, 그리고 감독기관인 대한민국을 상대로 손해배상 청구 소송을 제기한 사건이에요.

원고의 입장

원고들은 포털 회사가 기업용이 아닌 개인용 무료 압축 프로그램을 사용하게 방치했고, 법령이 정한 기술적·관리적 보호조치를 제대로 이행하지 않았다고 주장했어요. 또한 소프트웨어 개발사는 자사 업데이트 서버가 해킹의 경로가 되었으므로 관리 소홀의 책임이 있다고 했어요. 마지막으로 정부(방송통신위원회)는 보안이 취약한 포털 회사를 제대로 감독하지 않은 책임이 있다고 주장하며 공동으로 손해를 배상해야 한다고 요구했어요.

피고의 입장

포털 회사는 관련 법령에서 정한 기술적·관리적 보호조치를 모두 준수했으며, 해킹 수법이 고도화되어 막기 어려웠다고 반박했어요. 소프트웨어 개발사는 자신들 역시 법령상 요구되는 보호조치를 다했고, 해킹 수법을 예측할 수 없었다고 주장했어요. 정부는 포털 회사가 제출한 정보보호 안전진단 결과에 문제가 없어 개선명령을 할 의무가 없었고, 정보보호 관리체계 인증은 의무가 아닌 권고사항이라며 감독 의무를 위반하지 않았다고 항변했어요.

법원의 판단 (상·하급심)

1심, 2심, 대법원 모두 원고들의 청구를 기각하며 피고들의 손을 들어주었어요. 법원은 정보통신서비스 제공자가 해킹을 방지하기 위해 사회통념상 합리적으로 기대 가능한 수준의 보호조치를 다했는지를 기준으로 판단해야 한다고 밝혔어요. 피고 회사들이 해킹 사고 당시 법령과 정부 고시에서 정한 기술적·관리적 보호조치를 대부분 이행하고 있었던 점을 인정했어요. 따라서 해킹 기술의 수준, 방지 기술의 한계 등을 종합적으로 고려할 때, 피고들에게 법률상 또는 계약상 의무 위반이 있었다고 보기 어렵다고 판단했어요.

법적 포인트

이 판결은 정보통신서비스 제공자의 개인정보 보호조치 의무 수준에 대한 중요한 기준을 제시했어요. 법원은 완벽한 보안이 아닌, 해킹 당시의 기술 수준과 사회통념상 합리적으로 기대 가능한 정도의 보호조치를 다했는지 여부를 판단 기준으로 삼았어요. 특히 방송통신위원회가 고시한 '개인정보의 기술적·관리적 보호조치 기준'을 준수했다면, 특별한 사정이 없는 한 개인정보보호 의무를 위반했다고 보기 어렵다고 판시했어요. 이는 기업이 법규를 준수했다면, 대규모 해킹 사고가 발생했더라도 손해배상 책임을 면할 수 있다는 것을 의미해요.

나의 사건과 유사할까?

• 대규모 해킹 사고로 개인정보가 유출된 적이 있다.
• 정보가 유출된 기업이 법에서 정한 보안 조치를 모두 지켰다고 주장하는 상황이다.
• 기업의 보안 시스템에 예측하기 어려운 오류가 있어 해킹에 악용되었다.
• 개인정보 유출로 인한 정신적 피해에 대해 기업의 법적 책임을 묻고 싶다.

체크리스트 중 여러 항목에 해당된다면 이 사건과 유사한 상황일 수 있으며, 특히 기업의 기술적·관리적 보호조치 의무 이행 여부가 주요 법적 쟁점이 될 수 있어요.