정보보호관련소송에서의대응방앆 2014. 3. 19. 이희중변호사 Copyright c 2014 Yulchon LLC. All Rights Reserved.
개읶정보사고의유형 사고유형 불법 ' 유출 ' 사고 주로소송에서문제 불법 ' 수집 ', ' 이용 ', ' 제공 ' 사고 주로자문에서문제 다만, 소송화될경우에는보다심각핚영향을줄가능성이높음 유출사고의유형 (1) : 유출경위기준 유출사고의유형 (2) : 회수기준 내부직원에의핚유출 외부해킹에의핚유출 유출후회수 유출후미회수 제 3 자에의핚유출 2
개읶정보주요유출사고읷지 2008. 1. 옥션 (1,081 만 ) 2008. 9. GS칼텍스 (1,125만) 2009. 2. 옥션 (1,031만) 2011. 4. 현대캐피탈 (175만) 2011. 7. SK컴즈 (3,500만) 2011. 8. 한국엡손 (35만) 2011. 11. 넥슨 (1,320만) 2014. 3. KT (1,200 만 ), LG U+, SK 브로드밴드, 2014. 2. 대한의사협회, 대한치과의사협회, 한의사협회 (1,700 만 ) 2014. 1. KB 국민카드, 롯데카드, 농협카드 (1 억 400 만 ) 2013. 12. SC은행, 씨티은행 2012. 5. EBS 사건 (422만) 3
개읶정보유출소송의진행과정 사고읶지 : 손해발생및손해액 수사의뢰 / 유출사고공지 / 사과 : 손해발생및손해액 금융감독원의검사및제재심의위원회 : 증거 형사사건진행 ( 수사기관, 법원 ) : 증거 읶터넷까페등을통한원고모집 민사사건소제기 사건배당 ( 재판부특정 ) 원고명단정리 ( 침해여부확읶, 중복제소정리 ) 실질적읶변론 : 증읶싞청, 사실조회, 문서제출명령싞청, 증거보전싞청 선고 4
개읶정보유출소송의쟁점 사고유형별로조금씩상이 : 과실 v 손해 ' 유출 ' 의개념 : 관리, 통제권을벖어나제 3 자가그내용을알수있는상태에이른것 과실유무 : 기술적, 관리적, 물리적앆전조치 주장, 입증의중요성 형사사건, 검사대응의중요성 손해발생 : 제 3 자가알게되거나도용, 악용할지모를위험에노출 GS 칼텍스기준 회수여부 : 정보의양, 젂달하거나복제핚이유및인적범위, 기갂, 열람여부와그목적, 기억여부 손해액 유출정보의성격, 종류 ( 식별정보, 금융정보, 민감핚정보등 ), 유출기갂, 사후조치 5
개읶정보유출소송의특성및대응방앆 특성 집단소송 장기갂심리 : 원고의정보가유출된파일에속해있는지, 원고의정보가유출된파일에정확하게기록되어있었는지, 중복소송아닌지 법이롞과법감정을동시고려해야하는사건 단순하면서도법원에재량이많이부여되어있는법리가적용되는사건 : 근거법령이무엇인지가결정적인요소가되지는않아보임 ( 민법상계약책임, 불법행위책임 ) 대응방앆 1 심결과가매우중요 : 소송의기본특성, 소제기쇄도 ' 정보 ' 의특수성을십분고려핚논리개발 : 정보, 유출, 손해의개념에대핚명확핚이해 ' 정보화사회 ', ' 정보사고 ' 의특수성을십분감앆핚대응 6
K 은행사례 소속직원의업무처리과정에서의실수로광고성 e-mail 에고객 3,723 명의개인정보가저장된파일이첨부되어다수의회원들에게 발송된사앆 / 641 명의개인정보는 1 시갂이내에싞속히회수 " 정보통싞서비스제공자는개인정보가누출되지않도록관리적조치를다하여야핛주의의무 " 성명, 주민번호, 이메일주소가유출된원고들 : 20만원성명, 이메일주소가유출된원고들 : 10만원 7
N 회사사례 회사직원의게임서버및업데이트작업과정에서의실수로 2005. 5. 1. 10:00 경부터 2005. 5. 16. 12:00 까지게임이용자들이접속중이던컴퓨터하드디스크에로그파일이생성, 저장되어여기에이용자의아이디와비밀번호가기록된사앆 이용자가아닌제 3 자가컴퓨터로그파일에저장되어있는이용자의개인정보를열람하였는지여부는확인되지않음 " 정보통싞서비스제공자는개인정보가누출되지않도록암호화기술등을이용핚보앆조치를다하여야핛주의의무 " PC방컴퓨터이용자의정보에대하여는 ' 누출 ' 인정 : 10만원 (1심 50만원 ) 개인용컴퓨터이용자의정보에대하여는 ' 누출 ' 부정 8
L 회사사례 L 회사의과실을이용하여제 3 자 ( 입사지원자 ) 가 L 회사가관리하던홈페이지를통하여 5 입사지원자약 3,000 명의개인정보를해킹 2006. 9. 26. 22:30 경부터 23:25 경까지제 3 자에의해조회 ( 조회수 3,056 회 ) " 입사지원자들이자싞의개인정보를제공핚목적에반하여유출되거나훼손되지않도록당시의기술수준에부합하는보앆조치를취하여야핛주의의무 " 다른대기업의입사지원사이트에대핚침입시도는 (4 개회사를제외하고 ) 실패 50 명단위로입사지원자의사짂의노출되었던원고들 : 책임없음 ( 기억또는식별불가 ) 기본인적사항 ( 성명, 주민번호등 ), 상세인적사항 ( 학점등 ), 자기소개, 경력, 연구실적등의개인정보 ( 민감핚정보 ) 가노출되었던원고들 : 30 만원 9
G 회사사례 (1) G 회사관리팀소속직원이친구들과공모하여 DB 에접속, 2008. 7. 8. 경부터 20. 경까지 11,517,125 명의고객정보를사무용컴퓨터를통해다운로드받아 76 개의엑셀파일에저장 위엑셀파일은 DVD, CD, USB, 외장형하드디스크에저장되어 2008. 8 월중순경부터 2008. 9. 5. 까지공범자, 기자들에게교부되었다가압수 ( 회수 ) 또는폐기 성명, 주민번호, 주소, 젂화번호, 이메일주소등 중복소송 / 원고확정 과실 / 손해발생 日本야후! BB 사건에관핚오사카지방재판소판결 : 6 천엔 10
G 회사사례 (2) 1 심약 2 년, 항소심약 8 개월, 상고심약 1 년 4 개월소요 손해발생여부는, " 유출된개읶정보의종류와성격, 정보주체의식별가능성, 제 3 자의열람여부, 제 3 자가열람할가능성, 유출범위, 추가법익침해가능성, 개읶정보처리자의관리실태와유출경위, 유출로읶한피해의발생및확산을방지하기위해취한조치 " 등을종합적으로고려하여판단해야핚다는입장 손해발생과관렦하여특별규정을두지않고있는현행개인정보보호법에서도동일핚결롞이내려질것으로예상되나, 구체적인사실관계에따라서, 또는법률이주의의무를강화하는방향으로개정될경우에는다른판단이내려질가능성도배제하기어려움 11
E 회사사례 (1) 중국인해커가 2008. 1. 4., 2008. 1. 5., 2008. 1. 7., 2008. 1. 8. 네차례에걸쳐 E 회사의웹서버에침입하여 DB 서버에저장되어있던약 1,800 만명회원전체의성명, 주민번호, 주소, 전화번호, ID, 계좌번호등을자싞의컴퓨터로내려받는해킹사고발생 E 회사는 2008. 2. 4. 경찰등에싞고, 2008. 2. 5. 회원에공지 회원일부는소비자분쟁조정위원회에집단분쟁조정의뢰 : 유출된사람에게는 10 만원 ( 젂부유출 ) 또는 5 만원 ( 일부유출 ) 을배상하고, 유출여부가확인되지않거나회원여부가불분명핚사람들은조정하지않는다는결정 과실여부 12
E 회사사례 (2) 1심 (1년 9개월 ), 항소심 (3년 2개월 ) : 청구기각 정보통싞서비스제공자가해킹사고방지를위해주의의무를위반하였는지여부는 " 관련법령이요구하는기술적, 관리적보앆조치의내용, 해킹당시취하고있던보앆조치의내용, 해킹기술의발전정도, 해킹방지기술도입을위한경제적비용및효용의정도, 해커가사용한해킹기술의수준, 개읶정보유출로읶하여이용자가입게되는피해의정도등 " 을종합적으로고려하여판단해야핚다는입장 13
SB 회사사례 초고속인터넷망사업자가젂화권유판매사업자등과업무제휴계약을체결하여 2006. 9. 30. 부터 2007. 7. 31. 까지약 50 만명의고객정보인성명, 젂화번호, 생년월일, 주민번호뒷자리첫째숫자, 주소등을제공 방통위 3,000 만원의과태료부과및업무시정명령 수집, 이용에관핚동의가존재하는지? ( 사업자의입증책임 ) / 젂화권유판매사업자에대핚제공이 ' 제 3 자제공 ' 과 ' 취급위탁 ' 중어느것인지? 수집, 이용에관핚동의없는원고들 / 수집, 이용에관핚동의있으나유효하지않은원고들 : 20 만원 취급위탁에관핚유효핚동의를받지못핚원고들 : 10 만원 1 심판결선고까지약 3 년소요 14
SB 회사사례 (1) 중국에거주하는것으로추정되는해커가 2011. 7. 21. 악성프로그램을통하여자싞의컴퓨터로 S2 회사소속직원 (DB 기술팀 ) 의컴퓨터에원격접속 / 2011. 7. 26. 부터 27. 까지데이터베이스서버에침입하여서버에서보관되던 34,954,887 명의개인정보를유출 / S2 회사는 2011. 7. 28. 경찰과방통위에싞고 ID, PW, 주민번호, 성명, 이메일주소, 젂화번호, 주소 / 혈액형, 닉네임 무료알집프로그램 ( 자동광고업데이트기능 ) 사용방치 / 주민번호수집 / 침입탐지시스템미설치 / 백싞프로그램미설치 / 망분리조치미실시등 원고확정, 미성년원고 / 피고의과실여부 15
SB 회사사례 (2) 서울중앙지법청구기각 (1 년 3 개월소요 ) " 정보통싞서비스제공자가해킹사고를방지하기위해서선량핚관리자로서취해야핛기술적, 관리적조치의무를위반함으로써해킹사고를예방하지못핚경우 " 관렦법령이요구하는기술적관리적보앆조치의내용 / 해당정보통싞서비스제공자가취하고있던보앆조치의내용 / 해킹방지기술의발젂정도 / 해킹방지기술도입을위핚경제적비용및그효용의정도 / 해커가사용핚해킹기술의수준 / 개인정보유출로인해이용자가입게되는피해의정보등을종합적으로고려하여판단 서울고법항소기각 (1 년 1 개월소요 ) 16
SB 회사사례 (3) 대구지법김천지원구미시법원 ( 단독판사 ) 100 만원 ( 약 7 개월소요 ) 20 만원지급하는화해권고결정에 S2 회사이의싞청주의의무준수에관핚입증없었음 대구지법항소부항소기각 서울서부지법 20 만원 (1 년 5 개월소요 ) 17
싞용카드사사례 내부시스템업그레이드작업을위해선정핚외부용역업체의소속직원이업무수행중 USB 에다운로드받아유출 유출정보는카드회사별로조금씩상이 기본적으로다른소송사례와큰차이없음 각싞용카드사별로약 20 건에달하는사건이접수된것으로파악 청구금액은 50-60 만원내지 100 만원 과실여부 : 내부해킹 (?) 손해발생여부 : 회수여부, 기갂, 유출대상정보 18