개인정보 유출, 통신사 책임은 어디까지? - 접근권한 말소와 접속기록 확인의 중요성

KT 개인정보 유출 사건에 대한 대법원 판결을 소개합니다. 이 판결은 온라인 서비스 제공자가 개인정보 보호를 위해 어떤 노력을 해야 하는지, 그리고 정보 유출 사고 발생 시 책임 범위를 어떻게 판단해야 하는지에 대한 중요한 기준을 제시하고 있습니다.

사건의 개요:

KT 이용자들의 개인정보가 해킹으로 유출되는 사고가 발생했습니다. 이용자들은 KT가 개인정보 보호에 소홀했다며 손해배상 소송을 제기했습니다. 쟁점은 KT가 정보통신망법 상 요구되는 보호조치를 충분히 이행했는지 여부였습니다. 특히 퇴직한 직원의 시스템 접근권한 미삭제와 접속기록 관리의 적절성이 주요 쟁점이었습니다.

대법원의 판단:

대법원은 KT의 손을 들어주었습니다. 핵심 논리는 다음과 같습니다.

1. 접근권한 말소와 인과관계: 비록 KT가 퇴직자의 시스템 접근권한을 즉시 삭제하지 않았더라도, 해커가 시스템 구조상의 취약점을 악용하여 권한 확인 절차를 우회했기 때문에 접근권한 삭제 여부와 정보 유출 사이에 직접적인 인과관계가 없다고 보았습니다. 즉, 권한을 삭제했더라도 해킹을 막을 수 없었다는 것입니다.

2. 접속기록 확인 의무 이행: KT는 접속기록을 정기적으로 확인하고, 특정 기준 이상의 조회가 발생하면 경고 메시지를 보내는 등 **'개인정보의 기술적·관리적 보호조치 기준'(방송통신위원회 고시)**을 준수했다고 판단했습니다. 해커가 예측하기 어려운 방식으로 시스템에 침입한 경우, KT가 추가적인 보안 조치를 하지 않았다고 해서 책임을 지울 수는 없다는 것입니다.

판결의 의미:

이 판결은 온라인 서비스 제공자의 개인정보 보호 의무를 판단할 때, 단순히 법령이나 고시 위반 여부만 볼 것이 아니라, 해킹의 구체적인 경위, 서비스 제공자의 보안 시스템 전반, 그리고 해킹 기술 수준 등을 종합적으로 고려해야 한다는 점을 명확히 했습니다. 즉, 당시 기술 수준에서 최선의 노력을 다했는지가 중요한 판단 기준이라는 것입니다.

관련 법 조항 및 판례:

• 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제28조 제1항: 정보통신서비스 제공자의 개인정보 보호 의무
• 개인정보의 기술적·관리적 보호조치 기준 (방송통신위원회 고시 제2011-1호): 개인정보 보호를 위한 구체적인 기술적·관리적 조치 기준
• 대법원 2018. 1. 25. 선고 2015다24904, 24911, 24928, 24935 판결: 정보통신서비스 제공자의 개인정보 보호의무 위반 여부 판단 기준

이 판결은 온라인 서비스 제공자에게는 합리적인 수준의 보안 조치를 취했을 경우 면책될 가능성을 보여주는 한편, 이용자에게는 개인정보 유출 피해에 대한 구제를 받기 위해서는 서비스 제공자의 과실을 구체적으로 입증해야 할 필요성을 강조하고 있습니다.