개인정보 유출, 인터넷 서비스 회사는 언제 책임을 질까요?

KT 고객정보 유출 사건 대법원 판결을 바탕으로, 인터넷 서비스 회사가 개인정보 유출에 대해 어떤 책임을 지는지, 어떤 경우 책임을 면할 수 있는지 알아보겠습니다.

사건의 개요

KT와 인터넷 서비스 이용계약을 맺은 이용자들의 개인정보가 해킹으로 유출되는 사고가 발생했습니다. 이에 이용자들은 KT를 상대로 손해배상 소송을 제기했습니다.

법원의 판단

1심과 2심 법원은 KT의 손을 들어주었고, 대법원도 원심 판결을 확정했습니다.

핵심 쟁점: 개인정보 보호조치 의무 위반 여부

이 사건의 핵심은 KT가 개인정보 보호를 위해 충분한 조치를 취했는지 여부였습니다. 법원은 다음과 같은 기준으로 판단했습니다.

• 법률과 계약상 의무: 인터넷 서비스 회사는 법(구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제28조 제1항)과 이용계약에 따라 개인정보 보호에 필요한 조치를 취해야 합니다.

• 합리적인 보호조치 기준: 법원은 당시 정보보안 기술 수준, 회사 규모, 취해진 보안조치 내용, 비용 대비 효용, 해킹 기술 수준 등을 종합적으로 고려하여 사회통념상 합리적으로 기대 가능한 수준의 보호조치를 했는지 판단합니다.

• '개인정보 보호조치 기준' 고시 준수: 방송통신위원회가 고시한 '개인정보의 기술적·관리적 보호조치 기준'(방송통신위원회 고시 제2011-1호)을 준수했다면 특별한 사정이 없는 한 법률상 의무를 위반한 것으로 보기 어렵습니다.

KT는 왜 책임을 면했을까요?

법원은 KT가 위 고시에서 정한 기술적·관리적 보호조치를 충분히 이행했다고 판단했습니다. 원고들은 KT가 접속 권한 제한, 퇴직자 계정 관리, 접속 기록 확인, 정보 암호화 등에서 미흡했다고 주장했지만, 법원은 이를 받아들이지 않았습니다. KT가 취한 조치들이 당시 기술 수준과 상황에 비추어 합리적인 수준이었다는 것입니다.

판결의 의의

이 판결은 인터넷 서비스 회사의 개인정보 보호 의무 위반 여부를 판단하는 기준을 제시했다는 점에서 중요한 의미를 가집니다. 단순히 해킹 사고가 발생했다는 사실만으로 회사에 책임을 묻는 것이 아니라, 회사가 기울인 노력과 당시 상황 등을 종합적으로 고려해야 한다는 점을 분명히 한 것입니다.

참고 법조항 및 판례

• 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2012. 2. 17. 법률 제11322호로 개정되기 전의 것) 제28조 제1항
• 민법 제390조, 제750조
• 대법원 2015. 2. 12. 선고 2013다43994, 44003 판결
• 대법원 2018. 1. 25. 선고 2015다24904, 24911, 24928, 24935 판결