개인정보 보호조치에 관하여 -옥션 판결의 기술적·관리적 보호조치와 인과관계 판단을 중심으로 = A Study on Personal Information Protection Measures -Focusing on Technical and Organizational Measures and Causation in the Auction Case

다국어 초록 (Multilingual Abstract)

The Supreme Court of Korea held that if an information and communications service provider took all necessary measures prescribed under the Guidelines on Technical and Organizational Measures for Protection of Personal Information (hereinafter “Notice”), the pertinent service provider was not liable for damages barring special circumstances. However, in examining relevant foreign statutes, such technical and organizational protection measures (hereinafter “TOM”) not stipulated in the Notice, if deemed reasonable, should be considered de jure measures as prescribed by the Act on Promotion of Information and Communications Network Utilization and Information Protection, Etc. (hereinafter “Information Communications Network Act”) and thus constituting “special circumstances”: (i) the basic protective measures already taken by the security industry, before the Notice was promulgated, were cost-efficient than the TOM; or (ii) the risk of adopting such protective measures, which became the norm in line with the technology development following the Notice, was smaller compared to TOM. Concrete examples of the security industry’s basic protective measures include changing default ID and password, restricting remote access or allowing access via only a specific IP, and other measures included in the information and communications service provider’s internal control policy provider.
In the instant case, the lower court deemed that Auction did not abide by the Notice but found no causation with the leakage of personal information. The Supreme Court did not directly determine as to the causation but examined the lower court’s decision on the said portion and held that Auction’s failure to take TOM did not constitute a violation of the Information Communications Network Act on the ground that other protective measures were in place. The aforesaid ruling, however, goes against the purport of having introduced the per se Notice.

국문 초록 (Abstract)

대법원판결은 개인정보의 기술적·관리적 보호조치 기준(이하 논문요약에서 ‘고시’라 함)에서 정하고 있는 보호조치를 다했으면 특별한 사정이 없는 한 정보통신서비스 제공자의 손해배상책임은 부정된다고 판시하였다. 그런데 기술적·관리적 보호조치를 규정한 해외의 입법례를 살펴보면, 고시에서 명시적으로 규정하고 있지 않은 보호조치도 합리적으로 기대되는 보호조치에 해당한다면, 정보통신망 이용촉진 및 정보보호 등에 관한 법률상의 보호조치에 해당한다고 보아야 한다. 따라서 합리적으로 기대되는 보안조치라면 ‘특별한 사정’이 인정될 수 있다. 특별한 사정이 인정될 수 있는 경우로는 1) 당초부터 보안업계에서는 기본적인 보안조치였으며, 고시에서 정하고 있는 보호조치에 비해서도 도입에 경미한 비용이 드는 보안조치와, 2) 고시에서 보호조치를 정한 이후 기술 수준이 달라져서, 이후 보안조치가 보안업계에서 기본적으로 요구되는 수준이 되었고, 도입에 드는 비용이 위험에 비해 경미한 보안조치를 위반한 경우를 상정할 수 있다. 구체적인 예시로는 ① 초기설정 상태인 계정을 변경하는 조치, ② 외부에서 관리자 계정이나 페이지 접근을 못하게 하거나 허용된 특정 아이피에서만 접근할 수 있게 하는 조치와 ③ 정보통신서비스 제공자가 내부관리계획(개인정보관리계획)에 도입한 보호조치를 들 수 있다.
대법원판결은 고시에서 정하고 있는 보호조치를 다하였다면 특별한 사정이 없는 한 기술적·관리적 보호조치 위반이 아니라고 판시하였으나, 실제 이 사건에서 고시에서 정하고 있는 보호조치도 위반했음에도 불구하고 기술적·관리적 보호조치 위반이 아니라고 판단하였다. 하급심판결은 보호조치 위반이 있으나 개인정보 유출과 인과관계가 없다는 판단을 하였는데, 대상판결은 인과관계가 이전에 기술적·관리적 보호조치 위반을 부인하였다. 다른 조치들을 갖추었다는 이유로 고시에서 정하고 있는 보호조치를 위반했더라도 정보통신망법 위반이 아니라고 본 판시사항 자체는 보호조치를 도입한 취지에 반하는 판시이다.
또한 대법원판결은 인과관계를 직접적으로 판단하지 않았으나, 개인정보 유출 사건에서 인과관계 판단의 중요성을 고려하여, 인과관계를 부정한 하급심판결에 대해서도 같이 검토한다.

참고문헌 (Reference)

1 임치용, "환경소송에서의 인과관계와 입증책임"

2 손해목, "형사판례의 연구: 지송 이재상교수 화갑기념논문집 Ⅰ" 박영사 2003

3 김태영, "형법상 객관적 귀속에 관한 연구" 이화여자대학교 대학원 2003

4 원익선, "현행 세법상 시가에 관한 규정 비교 고찰" 9 : 2012

5 이원상, "해킹의 전단계 범죄화와 일상영역화" 안암법학회 (28) : 282-315, 2009

6 최호진, "해킹에 의한 개인정보유출과 정보통신서비스 제공자에 대한 손해배상책임에 관한 고찰 - SK컴즈 사건을 중심으로 -" 법조협회 63 (63): 123-159, 2014

7 권영준, "해킹(hacking) 사고에 대한 개인정보처리자의 과실판단기준" 한국법학원 (132) : 34-72, 2012

8 방송통신위원회, "정보통신서비스 제공자를 위한 개인정보보호 법령 해설서"

9 홍완식, "유럽연합의 입법에 관한 연구"

10 정보통신부, "웹 서버 보안관리 가이드"

11 이용재, "옥션 개인정보 유출 사건 판결에 대하여"

12 이용재, "싸이월드 개인정보 유출사건에 관한 판결에 나타난 쟁점에 대한 검토- 정보통신망법상의 보호조치에 관하여 - 서울중앙지방법원 2012. 11. 23. 선고, 2011가합90267 판결 ; 서울고등법원 2015. 3. 20. 선고, 2013나20047 판결 등 -" 법조협회 65 (65): 267-305, 2016

13 이용재, "싸이월드 개인정보 유출사건 판결의 인과관계 판단에 대하여"

14 최호진, "새로운 해킹기법과 관련된 형법적용의 흠결과 해결방안" 한국형사정책연구원 18 (18): 213-242, 2007

15 이건호, "과실범에 있어서 객관적 귀속에 대한 비판적 연구 : 상당인과관계설과 객관적 귀속론을 중심으로" 서울대학교 대학원 2001

16 이용식, "객관적 귀속이론의 규범론적 의미와 구체적 내용" 서울대학교 법학연구소 43 (43): 2002

17 송오식, "개인정보침해에 대한 합리적 구제방안 - 사권으로서 개인정보권의 정립을 위한 시론 -" 법학연구소 36 (36): 735-776, 2016

18 한국인터넷진흥원, "개인정보의 기술적·관리적 보호조치 기준 해설서"

19 권건보, "개인정보보호의 입법체계와 감독기구 정비 방안" 한국헌법학회 20 (20): 37-71, 2014

20 박노형, "개인정보보호법과 정보통신망법의 관계 분석— 개인정보보호법 제6조를 중심으로 —" 안암법학회 (41) : 133-157, 2013

21 방민석, "개인정보보호를 위한 안전성 확보조치 기준에 관한 비교 연구 - 기술적·관리적 보호조치규정을 중심으로 -" 경기개발연구원 17 (17): 361-386, 2015

22 신재형, "개인정보 유출로 인한 기업의 책임 –손해배상책임을 중심으로" 서울대학교 2015

23 주민철, "개인정보 보호조치 위반의 형사적 책임" 서울대학교 2015

24 김진환, "개인정보 보호조치 위반 사건 수사의 문제점과 대책" 고려대학교 정보보호대학원 2014

25 박상철, "개인정보 보호의 법과 정책" 박영사 2014

26 권영준, "개인정보 보호의 법과 정책" 박영사 2014

27 구태언, "개인정보 보호의 법과 정책" 박영사 2014

28 이희정, "개인정보 보호의 법과 정책" 박영사 2014

29 행정안전부, "개인정보 보호법령 및 지침·고시 해설"

30 박정제, "개인정보 보호법과 개인정보 유출에 대한 개인정보처리자의 법적 책임" 서울대학교 기술과법센터 10 (10): 2014

31 이원우, "개인정보 보호를 위한 공법적 규제와 손해배상책임 — 개인정보 누출을 중심으로 —" 행정법이론실무학회(行政法理論實務學會) (30) : 237-275, 2011

32 김현경, "개인정보 법체계 정합성 확보를 위한 소고 -금융, 의료, 정보통신 법역(法域)을 중심으로-" 법학연구소 28 (28): 31-69, 2016

33 "https://www.owasp.org/index.php/Top_10_2013-A5-Security_Misconfiguration"

34 "https://www.owasp.org/index.php/Top_10_2004"

35 "https://www.owasp.org/index.php/A2_2004_Broken_Access_Control"

36 "https://www.owasp.org/index.php/A10_2004_Insecure_Configuration_Management"

37 "https://tomcat.apache.org/tomcat-6.0-doc/manager-howto.html"

38 "https://tomcat.apache.org/tomcat-6.0-doc/jndi-resources-howto.html"

39 "https://tomcat.apache.org/tomcat-5.5-doc/manager-howto.html"

40 "https://tomcat.apache.org/tomcat-5.5-doc/jndi-resources-howto.html"

41 Steven De Schrijver, "Why data security should be a management priority" 83 : 56-, 2008

42 Data Security and Privacy Law, "Thomson Reuters"

43 Daniel Pavin, "The U.K.’s new Data Protection Bill" 20 (20): 143-, 1998

44 Evan M. Wooten, "THE STATE OF DATA-BREACH LITIGATION AND ENFORCEMENT: BEFORE THE 2013 MEGA BREACHES AND BEYOND" 24 : 229-, 2015

45 Bert-Jaap Koops, "Starting Points for ICT Regulation, Deconnsructing Prevalent Policy One-Liners" T.M.C. Asser Press 9 : 2006

46 FTC, "Protecting Personal Information: A Guide for Business"

47 FTC, "Protecting Personal Consumer Information from Cyber Attacks and Data Breaches, Before the S. Comm. on Commerce, Sci. & Transp., 113th Congress 4"

48 ENISA, "Information security and privacy standards for SMEs"

49 방송통신위원회, "EU 및 일본의 개인정보보호 법제 및 감독체계 개편내용 분석" 2014

50 고려대학교 산학협력단, "EU 및 영국의 개인정보보호법제 연구" 법제처 2010

51 Jennifer Agate, "Data protection in media litigation" 21 (21): 46-, 2016

52 FTC, "Data Security, Prepared Statement of the Federal Trade Commission Befor e Subcommittee on Commerce, Manufacturing, and Trade of the Hous e Committee on Energy and Commerce, 112th Cong"

53 Dave Maxfield, "DATABREACHES" 25 : 28-, 2014

54 Anne-Marie Zell, "DATA PROTECTION IN THE FEDERAL REPUBLIC OF GERMANY AND THE EUROPEAN UNION: AN UNEQUAL PLAYING FIELD" 15 : 461-, 2014

55 Timothy H. Maddena, "DATA BREACH CLASS ACTION LITIGATION – A TOUGH ROAD FOR PLAINTIFFS" 55 : 27-, 2011

56 FTC, "Commission Statement Marking the FTC’s 50th Data Security Settlement"

57 OWASP, "Application Security Verification Standard 3.0"

58 APEC Secretariat, "APEC Privacy Framework"

59 ICO, "A practical guide to IT security - Ideal for the small business"

60 OECD, "2013 OECD Privacy Guidelines"

61 행정안전부, "(소상공인이 이용하는 고객관리 프로그램) 개인정보 보호조치 구현 가이드"