전자금융거래법상 이용자의중과실 의판단기준 781 전자금융거래법상 이용자의중과실 의판단기준 - 대법원 2014.1.29. 선고 2013 다 86489 판결의비판적고찰 - 1) Ⅰ. 사안의개요 Ⅱ. 문제제기 Ⅲ. 접근매체의의의및법적효력 Ⅳ. 본판결의검토 目 次 서희석 * Ⅴ. 본판결의의의및평가 Ⅵ. 결론에갈음하여 전자금융거래에서정보보안과금융소비자보호를위하여 < 국문요약 > 본판결은보이스피싱등전자금융사기로인한전자금융거래이용자의손해에대한금융기관의법적책임이문제된최초의대법원판결이라는점에서중요한의의를갖는다. 본판결에서대법원은전자금융거래법상금융기관의면책요건으로규정된 이용자의고의또는중과실 " 이있는지여부는 접근매체의위조등금융사고가일어난구체적인경위, 그위조등수법의내용및그수법에대한일반인의인식정도, 금융거래이용자의직업및금융거래이용경력기타제반사정을고려하여판단 " 하여야한다는판단기준을제시하고, 이기준에따라본사안에서이용자에게는중과실이있고따라서금융기관은면책된다고판단하였다. 그러나본판결에대하여는, 금융거래정보노출을접근매체의노출과동일시하고있으나이것은전자금융거래법의문리적해석범위를넘는것이라는점, 제3자의사기행위에대한평가가거의이루어지지않았고더욱이금융기관의보안수준은아예고려하지도않았다는점에서찬성하기힘 * 부산대학교법학전문대학원부교수.
782 비교사법제 21 권 2 호 ( 통권 65 호 ) 들다. 향후에대법원이제시한이용자의중과실판단기준에는 금융기관의전반적인정보보안의수준 이추가되는것이타당하다고생각한다. 이기준이추가된다면금융기관의정보보안이취약할경우에는이용자의중과실도보다신중하게판단하도록제어하는역할을하게될것이기때문이다. Ⅰ. 사안의개요 1. 사실관계 (1) 원고는 피고은행 ( 농협은행및서창농협 ) 에예금계좌 ( 이하위농협은행계좌 를 이사건제 1 예금계좌, 위서창농협계좌를 이사건제 2 예금계좌 라한다 ) 를개 설하고금융거래를하면서인터넷뱅킹서비스를이용해왔다. (2) 성명불상자는 2012. 3. 30. 원고에게전화를걸어자신을서울지방검찰청검사라고속이고금융사기범죄자를검거하였는데원고가공범인지확인이필요하다면서원고로하여금허위대검찰청인터넷사이트에접속하게한후원고의주민등록번호, 휴대전화번호, 신용카드번호 ( 현대카드및신한카드 ), 예금계좌번호, 각비밀번호, 보안카드번호, 보안카드비밀번호를각입력하게하였다. (3) 위성명불상자는 2012. 3. 30. 원고가입력한금융거래정보를이용하여원고명의의공인인증서를재발급받았고, 재발급받은공인인증서와원고의금융거래정보를이용하여, 현대카드주식회사로부터현금서비스 1,800,000원, 카드대출 10,000,000원을받고이를이사건제1예금계좌로송금받아위돈과이사건제1예금계좌의예금액합계 12,600,000원을제3자명의의예금계좌로송금하였고, 주식회
전자금융거래법상 이용자의중과실 의판단기준 783 사현대스위스2저축은행으로부터 10,000,000원, 주식회사바로크레디트대부로부터 500,000원을각대출받고이를이사건제2예금계좌로송금받아위돈과이사건제 2예금계좌의예금액합계 13,380,000원을제3자명의의예금계좌로송금하였다 ( 이하 이사건금융사고 라한다 ). 2. 소송의경과 (1) 원고의청구취지및청구원인원고는이사건금융사고에의해자신의예금계좌에서인출된손해배상금합계약 2600만원및이에대한소장부본송달다음날부터갚는날까지연 20% 의비율로이자를지급하라는소송을제기하였는바, 아래와같이주위적으로는전자금융거래법 (2013.5.22. 법률제11814호로개정되기전의것. 이하특별한한정이없는한이와같다 ) 제9조제1항 1) 에서 1) 정하는금융기관의책임을, 예비적으로는민법제760조제 3항이규정한과실에의한불법행위방조책임이성립함을주장하였다. 1) 전자금융거래법상금융기관의책임공인인증서는전자금융거래법제9조제1항에규정된 접근매체 에해당한다고할것이고, 성명불상자가원고의정보를부정하게이용하여공인인증서를재발급받는행위도전자금융거래법제9조제1항에서말하는 접근매체의위조 에포함된다고할것이므로, 이사건금융사고는전자금융거래법제9조제1항에서규정한 접근매체의위조로발생한사고 에해당하므로, 금융기관인피고은행은특별한사정이없다면, 1) 전자금융거래법제9조 ( 금융기관또는전자금융업자의책임 ) 1 금융기관또는전자금융업자는접근매체의위조나변조로발생한사고, 계약체결또는거래지시의전자적전송이나처리과정에서발생한사고로인하여이용자에게손해가발생한경우에는그손해를배상할책임을진다.
784 비교사법제 21 권 2 호 ( 통권 65 호 ) 전자금융거래법제 9 조제 1 항에따라원고에게이사건금융사고로발생한손해를배 상할책임이있다. 2) 민법상과실에의한불법행위방조책임설사전자금융거래법제9조제1항의책임이인정되지않는다하더라도성명불상자가원고명의의공인인증서를재발급받아이사건금융사고를저지를때피고은행이원고에게공인인증서재발급사실을통지하여야할주의의무가있으나이를게을리하여결국이사건금융사고를방지하지못하고원고에게손해를입혔으므로민법제760조제3항이규정한과실에의한불법행위방조책임에따라원고가입은손해를배상할책임이있다. (2) 피고은행의항변 피고은행은위와같은원고의주장에대해다음과같이항변하였다. 1) 전자금융거래법상금융기관의책임에대하여이사건금융사고가원고의중대한과실때문에발생한것으로전자금융거래법제 9조제2항제1호 2) 와 2) 동제3항에따른시행령 (2013.11.22. 대통령령제24880호로개 2) 전자금융거래법제9조 ( 금융기관또는전자금융업자의책임 ) 2 제1항의규정에불구하고금융기관또는전자금융업자는다음각호의어느하나에해당하는경우에는그책임의전부또는일부를이용자가부담하게할수있다. 1. 사고발생에있어서이용자의고의나중대한과실이있는경우로서그책임의전부또는일부를이용자의부담으로할수있다는취지의약정을미리이용자와체결한경우 2. 법인 ( 중소기업기본법 제2조제2항에의한소기업을제외한다 ) 인이용자에게손해가발생한경우로금융기관또는전자금융업자가사고를방지하기위하여보안절차를수립하고이를철저히준수하는등합리적으로요구되는충분한주의의무를다한경우 3 제2항제1호의규정에따른이용자의고의나중대한과실은대통령령이정하는범위안에서전자금융거래에관한약관 ( 이하 약관 " 이라한다 ) 에기재된것에한한다.
전자금융거래법상 이용자의중과실 의판단기준 785 정되기전의것. 이하다른한정이없는한이와같다 ) 3) 3) 및관련약관 ( 전자금융거래 기본약관 ) 4) 에 4) 의거하여피고은행의책임이전부면제된다. 2) 민법상불법행위방조책임에대하여공인인증서발급시피고은행이원고에게이를휴대전화문자메시지등을이용하여통지할주의의무가존재한다고보기어렵고, 오히려문자메시지등을이용한통지는피고은행이이용자의요청에따라제공하는서비스로보이는데원고는인터넷뱅킹신청당시보안SMS 신청을하지않은사실이인정되며, 설령피고들에게그러한주의의무가있다고하더라도이를이행하지않음으로써이사건금융사고가발생하였다고단정하기도어렵다. (3) 제 1 심의판단 제 1 심은위피고은행의항변을모두받아들여원고의청구를기각하였다. 구체적 판시내용은다음과같다. 3) 전자금융거래법시행령제8조 ( 고의나중대한과실의범위 ) 법제9조제3항에따른고의나중대한과실의범위는다음각호와같다. 1. 이용자가접근매체를제3자에게대여하거나그사용을위임한경우또는양도나담보의목적으로제공한경우 ( 법제18조에따라선불전자지급수단이나전자화폐를양도하거나담보로제공한경우를제외한다 ) 2. 제3자가권한없이이용자의접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도불구하고접근매체를누설하거나노출또는방치한경우 4) 전자금융거래기본약관제20조 ( 손실부담및면책 ) 1 농협은접근매체의위조나변조로발생한사고, 계약체결또는거래지시의전자적전송이나처리과정에서발생한사고로인하여이용자에게손해가발생한경우에는그금액과 1년만기정기예금이율로계산한경과이자를보상한다. 2 제1항의규정에도불구하고농협은다음각호에해당하는경우에는이용자에게손해가생기더라도책임의전부또는일부를지지아니한다. 3. 제3자가권한없이이용자의접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도불구하고이용자가자신의접근매체를누설또는노출하거나방치한경우
786 비교사법제 21 권 2 호 ( 통권 65 호 ) 1) 전자금융거래법에따른금융기관의손해배상책임여부 이사건금융사고발생에전자금융거래법제9조제2항제1호가규정한이용자의중대한과실이있는지보건대, 앞서인정한사실에의하면, 원고가자신의금융거래정보를허위의대검찰청사이트에입력함으로써이를성명불상자에게노출하였고성명불상자가원고가제공한금융거래정보를이용하여원고의공인인증서를재발급받은후에이사건금융사고를저지른것이고, 또한이른바전화금융사기가빈발함에따라이에대한사회적인경각심이높아진상황을고려할때, 위와같이금융거래정보를제3자에게노출하면제3자가이를가지고권한없이이용자의접근매체를이용한전자금융거래를할수있다는점을일반인이라면누구나쉽게예상할수있다고할것이므로, 결국원고의위와같은금융거래정보노출행위는전자금융거래법제9 조제2항제1호, 제3항, 같은법시행령제8조제2호, 피고들의전자금융거래기본약관제20조제2항제3호가규정한금융사고발생에이용자의 중대한과실 이있는경우에해당한다고할것이다. 따라서피고은행은이사건금융사고때문에발생한손해에대하여그책임을부담하지않는다고할것이므로, 피고은행의위항변은이유있다. ( 하선은필자 ) 2) 과실에의한불법행위방조책임의성립여부 성명불상자가코스콤 [ 공인인증기관 ] 으로부터원고명의로공인인증서를재발급받은사실은당사자사이에다툼이없는바, 이러한사실에비추어볼때, 제시된증거의각기재만으로공인인증서발급시피고은행이원고에게이를휴대전화문자메시지등을이용하여통지할주의의무가존재한다고보기어렵고, 설령피고은행에게그러한주의의무가있다고하더라도이를이행하지않음으로써이사건금융사고가발생하였다고단정하기도어려우며, 달리이사건금융사고와관련하여피고은행의배상책임을인정할증거나사정이보이지않는다 ( 아울러피고은행에게이사건금융사고와관련하여전자금융거래법이규정한선관주의의무를위반하였다고보기도어렵다 ). 따라서원고의위주장은이유없다.
전자금융거래법상 이용자의중과실 의판단기준 787 (4) 원심의판단 원고가항소하였으나, 원심도제 1 심과거의같은이유로항소를기각하였다. 다만 그판단근거는제 1 심에비하여다소구체화되었다. 원심의판시내용은다음과같다. 1) 전자금융거래법에따른손해배상책임의인정여부 이사건금융사고발생에전자금융거래법제9조제2항제1호가규정한이용자의중대한과실이있는지살피건대, 제시된증거의각기재에변론전체의취지를종합하여인정되는다음과같은사정들즉, 1 이사건금융사고당시에는이른바전화금융사기가빈발하여이에대한사회적인경각심이높아진상태였던점, 2 원고는이사건금융사고당시만 33세로서공부방을운영하는등사회경험이있었고 1년이상인터넷뱅킹을사용해왔던점, 3 원고는관련형사사건의조사과정에서성명불상자로부터 001 로시작되는국제전화를받아순간이상하다는생각을하였다고진술하고있는점, 4 그럼에도원고는제3자에게접근매체인공인인증서를발급 [ 하는데 ] 에필수적인계좌번호, 계좌비밀번호, 주민등록번호, 보안카드번호, 보안카드비밀번호를모두알려준점등에비추어보면, 원고는제3자가권한없이접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도이를노출하였다고볼것이므로, 결국원고의위와같은금융거래정보노출행위는전자금융거래법제 9조제2항, 제3항, 같은법시행령제8조제2호, 피고들의전자금융거래기본약관제 20조제2항제3호가규정한금융사고발생에이용자의 중대한과실 이있는경우에해당한다할것이므로, 피고은행의위항변은이유있다. ( 하선은필자 ) 2) 과실에의한불법행위방조책임성립여부 갑제6, 7, 8호증 ( 가지번호포함 ) 의각기재만으로는피고은행에게공인인증서재발급시원고에게이를문자메시지등을이용하여통지할주의의무가존재한다고보기어렵고, 오히려을제7호증의기재에변론전체의취지를종합하면, 문자메시지
788 비교사법제 21 권 2 호 ( 통권 65 호 ) 등을이용한통지는피고들이이용자의요청에따라제공하는서비스로보이는데원고는인터넷뱅킹신청당시보안SMS 신청을하지않은사실이인정되며, 설령피고은행에게그러한주의의무가있다고하더라도이를이행하지않음으로써이사건금융사고가발생하였다고단정하기도어려우므로, 원고의위주장은이유없다. 3. 대법원의판단 원고의상고에대하여대법원은원심의판단에법리오해의위법이없다는점을들 어상고를기각하였다. 대법원의구체적판시내용은다음과같다. (1) 전자금융거래법에따른손해배상책임의인정여부 전자금융거래법및동시행령이나전자금융거래기본약관의각조항에서정하는 고의또는중대한과실 이있는지여부는접근매체의위조등금융사고가일어난구체적인경위, 그위조등수법의내용및그수법에대한일반인의인식정도, 금융거래이용자의직업및금융거래이용경력기타제반사정을고려하여판단할것이다. ( 중략 ) 앞서본법리에비추어살펴보면, [ 피고들의전부면책주장을받아들인 ] 원심의위와같은판단은정당한것으로수긍할수있고, 거기에상고이유의주장과같이위법규정등에서의 중대한과실 또는면책의범위에관한법리를오해하는등으로판결에영향을미친위법이있다고할수없다. (2) 과실에의한불법행위방조책임성립여부 관련법리에비추어기록을살펴보면, 원심의판단은정당하고, 거기에상고이유 의주장과같이불법행위의방조에관한법리를오해한위법이있다고할수없다.
전자금융거래법상 이용자의중과실 의판단기준 789 Ⅱ. 문제제기 1. 본사안의쟁점및대법원의결론 본사안의쟁점은이른바보이스피싱 (voice phishing) 으로대표되는전자금융사기에서전자금융거래법상금융기관의면책요건으로규정된 이용자의중과실 을인정할수있는지여부와, 공인인증서재발급과관련하여금융기관에게공동불법행위의방조책임을인정하기위한주의의무위반이인정되는지여부의두가지로요약된다. 이에대한대법원의판단은요컨대이용자에게는전자금융거래법상중과실이인정되고, 금융기관에게는주의의무위반 ( 과실 ) 이인정되지않는다는것이다. 먼저전자, 즉본사안에서문제가된전자금융거래법상이용자의중과실의판단기준에관하여대법원은, 전자금융거래법및동시행령이나전자금융거래기본약관의각조항에서정하는 고의또는중대한과실 이있는지여부는접근매체의위조등금융사고가일어난구체적인경위, 그위조등수법의내용및그수법에대한일반인의인식정도, 금융거래이용자의직업및금융거래이용경력기타제반사정을고려하여판단할것이다. 라는일반론을전개한후이와같은판단기준에입각하여판단할때본사안에서원고에게중대한과실을인정할수있다는원심의판단은정당하다고판시하였다. 이에따라피고은행은전자금융거래법및관련약관에따라전부면책된다는원심판단이확정되었다. 이어서후자, 즉금융기관의주의의무위반과관련하여서는제출된증거로부터판단할때피고은행에게공인인증서재발급시원고에게이를문자메시지등을이용하여통지할주의의무가존재한다고보기어렵고, 원고는인터넷뱅킹신청당시보안SMS 신청을하지않았고, 설사피고은행에그러한주의의무가있다고하더라도피고은행이위주의의무를이행하지않음으로써이사건금융사고가발생하였다고단정하기도어려우므로, 원고의위주장은이유없다고판시하였다. 이에따라피고은행에불법행위의방조책임이인정될수없다는원심판단이확정되었다
790 비교사법제 21 권 2 호 ( 통권 65 호 ) 2. 접근매체의노출이있었는가? 그러나대법원의이와같은판단에는선뜻납득하기어려운점들이있다. 우선이용자의중과실판단과관련하여서는대법원은전자금융거래법에서이용자의중과실의범위로규정하는이용자에의한 접근매체 5) ( 특히 5) 공인인증서 ) 의노출 ( 전자금융거래법 6) 6) 시행령제8조제2호 ) 이있었다고보아이로부터원고의중과실을인정하고있는데본사안에서원고는공인인증서자체는노출하지않고있다는점이다. 즉원고가노출한것은신용카드정보및그비밀번호, 은행계좌번호및보안카드번호등의금융거래정보일뿐전자금융거래에서필수적으로요구되는공인인증서 ( 법제2조 10호나목 ) 및그비밀번호 ( 동마목 ) 는노출하지않고있는것이다. 그런데이점에관하여제1심은 금융거래정보를제3자에게노출하면제3자가이를가지고권한없이이용자의접근매체를이용한전자금융거래를할수있다 고하여금융거래정보와접근매체의관계에관하여는명시하지않은채양자를혼동하고있는듯한판시를하고있고, 원심및대법원은 제3자에게접근매체인공인인증서의발급에필수적인계좌번호, 계좌비밀번호, 주민등록번호, 보안카드번호, 보안카드비밀번호를모두알려준점등에비추어보면, 원고가제3자가권한없이접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도이를노출하였다고볼것 이라고하여금융거래정보의노출을접근매체의노출과동일시하고이를근거로원고의중과실을이끌어내고있다. 다시말하면원심및대법원은금융거래정 5) 전자금융거래법제2조 10. 접근매체 " 라함은전자금융거래에있어서거래지시를하거나이용자및거래내용의진실성과정확성을확보하기위하여사용되는다음각목의어느하나에해당하는수단또는정보를말한다. 가. 전자식카드및이에준하는전자적정보나. 전자서명법 제2조제4호의전자서명생성정보및같은조제7호의인증서다. 금융회사또는전자금융업자에등록된이용자번호라. 이용자의생체정보마. 가목또는나목의수단이나정보를사용하는데필요한비밀번호 6) 이하 전자금융거래법 을인용할경우에는 법 이라고만한다.
전자금융거래법상 이용자의중과실 의판단기준 791 보를이용하여공인인증서를발급받고이를이용하여 ( 무권한의 ) 전자금융거래를할수있음을원고가쉽게알수있었음에도금융거래정보를노출하였다는점으로부터원고의중과실을이끌어내고있는것이다. 그러나접근매체인공인인증서및그비밀번호의노출이없었음에도불구하고 공인인증서의발급에필수적 이라는이유로 금융거래정보의노출이곧접근매체의노출 이라는해석이가능한것인지의문이없지않다. 전자금융거래법은이용자의고의또는중과실의범위로 ( 제3자가권한없이이용자의접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도불구하고 ) 접근매체를누설하거나노출또는방치한경우 로명시하고있기때문에 ( 시행령제8조제2 호 ) 문리적으로접근매체가아닌금융거래정보를노출한경우를접근매체의노출과동일시할수는없기때문이다. 그렇다면본사안에서는접근매체가노출된것이아니라노출된금융거래정보를이용하여 접근매체를위조 ( 전자금융거래법제9조제1항제1호 ) 하거나접근매체를부정한방법으로재발급받은것이문제된사안은아닌지검토해볼여지가있다고할것이다. 3. 성명불상자의기망행위에대한평가 원심및대법원의판결은본사안에서성명불상자에의한전자금융사기수법내지기망행위에대한법적평가가누락되어있는것은아닌지검토의여지가있다. 원고는검사라고사칭하는자로부터기망을받아자신의금융거래정보를노출한것이다. 일반인의입장에서는검사라사칭하는자로부터의전화에는당황하기마련이다. 더욱이 ( 판결문에는명시되어있지않으나동종유사사건으로부터판단할때 ) 검사사칭자는먼저자신이 지검의검사아무개라는점을고지하고, 피해자에게피해자의계좌가 은행에있지않느냐는점의확인을요구한후, 7) 7) 이어서그계좌가 7) 보통그이전에피해자의개인정보및금융정보를 ( 부정한수단으로 ) 확보하고있을개연성이대단히높다.
792 비교사법제 21 권 2 호 ( 통권 65 호 ) 전자금융사기에연루되어있다거나피해자가전자금융사기범죄의공범은아닌지확인할필요가있다는등의허위의사실을고지한다. 이러한상황에서라면일반인의입장에서라면불안한마음에검사사칭자의지시대로움직일수밖에없는측면이있다. 그렇다면자신의금융거래정보를검사사칭자의지시대로허위의대검찰청사이트에입력하였다는점에서원고의행위에과실이있다는점은인정할수있다하더라도, 그것이 중과실 로까지평가될수있는지는의문이없지않다. 이점에관하여는본사안의전자금융사기수법이원심및대법원이설시하듯전자금융사기에대한사회적경각심이높아진상태였기때문에원고의중과실을인정할정도로쉽게알수있는정도의것이었는지전자금융사기수법의실태내지기망행위로서의특징을살펴볼필요가있다. 아울러외국법제에서이용자의중과실판단은어떻게이루어지고있는지비교법적인검토가필요하다. 한편기망행위가개입된경우의피기망자의중과실판단에관하여는착오취소에서의착오자의중과실 ( 민법제109조제1항단서 ) 판단에관한대법원판례의태도가참조될수있다고생각한다. 4. 공인인증서의발급절차상의문제점 원심및대법원과같이 공인인증서의발급에필수적 이기때문에 금융거래정보의노출이곧접근매체의노출 이라는해석이성립하기위해서는실제적으로원고가노출한금융거래정보를이용하여공인인증서가발급될수있어야할터인데, 본사안에서는공인인증서가어떻게하여 재발급 될수있었는지에관하여는아무런설시가없고, 다만원심및대법원은접근매체 ( 공인인증서 ) 의재발급을所與의전제로하고있을뿐이다. 이점에관하여공인인증서의발급절차를규정하는전자서명법은공인인증서의발급시에대면에의한신원 ( 실명및본인 ) 확인이필요함을명시하고있고, 전자금융거래법도접근매체의발급시에본인확인을요구하고있는바 ( 제6조제2항 ),
전자금융거래법상 이용자의중과실 의판단기준 793 이때의본인확인도법에서명시하는예외사유가아닌한 8) 8) 주민등록증등의대면에의하여야하는것으로해석된다. 따라서이와같은원칙에따른다면예금계좌번호등의금융거래정보가노출되었다고하더라도대면에의한본인확인이이루어지는한에서는 ( 예컨대주민등록증등을위조하지않는한 ) 접근매체의발급은사실상불가능하다고하여야할것이다. 문제는 2006년 6월 30일에개정 ( 동년 7월 1일시행 ) 된 전자서명법시행규칙 에서전자금융거래의경우에는그 편의성을높이기위하여 9) 9) 공인인증서발급을정보통신망을통하여할수있도록하는예외규정을신설하였다는점이다 ( 제13조의2 제4항 )( 동규정에대한상세한설명은후술하는 Ⅲ.2.(2)2) 를참조 ). 이규정에의하면전자금융거래가입자는계좌번호와비밀번호및주민등록번호등의몇가지정보만으로도공인인증서를발급받을수있게된다. 원심과대법원이위와같은시행규칙상의예외규정에입각하여원고가노출한금융거래정보가 공인인증서의발급에필수적 이라고판단하였는지는알수없다. 그러나이와같은명문규정이존재하므로실무에서는공인인증서가몇몇금융거래정보만으로정보통신망을통하여발급되고있고본사안에서도그와같은방식으로재발급되었다는점을추론해볼수는있다. 그렇다면전자금융거래의 편의성 이라는이유로도입된공인인증서발급절차의예외규정을어떻게평가할것인가? 만일원칙대로공인인증서의발급절차로서대면에의한본인확인절차가고수되었다면본사안과같은전자금융사기가발생할수있었을까? 본사안의두번째쟁점과관련한원고의주장, 즉피고은행이원고에게공인인증서재발급사실을통지하여야할주의의무가있다는주장은이와같은점에서쉽게배척하기어려운설득력을내포하고있다고생각한다. 공인인증서를통한전자금융거래라는우리나라특유의법제도는제도시행당시 (2007년 1월 1일 ) 부터이미 8) 전자금융거래법제6조제2항단서는본인확인을요하지않는예외사유로서, 1. 선불전자지급수단이나전자화폐인경우및 2. 접근매체의갱신또는대체발급등을위하여이용자의동의를얻은경우를들고있다. 9) 법제처 전자서명법시행규칙 (2006.6.30. 개정 ) 개정이유참조.
794 비교사법제 21 권 2 호 ( 통권 65 호 ) 근본적인보안의문제 ( 정확하게는법제도상의문제 ) 를안고있었던것이라고평가할수있기때문이다. 이하에서는이러한문제의식에입각하여, 위에서제기한세가지문제를검토하기로한다 (Ⅳ). 검토에앞서본판결의결론에가장커다란영향을미친 접근매체 의의의및법적효력에관하여이론적으로정리하는작업을선행한다 (Ⅲ). 전자금융거래의기술적구조에대한이해가관련된법적판단에있어서도필수적이라고생각되기때문이다. Ⅲ. 접근매체의의의및법적효력 1. 전자금융거래에서접근매체의의의 (1) 전자금융거래의구조 시스템거래 10) 10) 전자금융거래 는금융상품및서비스가제공되는전자적장치를통하여비대면의자동화된방식에의해이루어지는거래로정의된다 ( 법제2조제1호참조 ). 여기서금융상품등이제공되는 전자적장치 란 전자금융거래정보를전자적방법으로전송하거나처리하는데이용되는장치 로서현금자동지급기 (CD), 자동입출금기 (ATM), 지급용단말기, 컴퓨터, 전화기등이포함된다 ( 법제2조제8호 ). 이전자적장치가곧 전자금융거래시스템 이라할수있다. 그런데이와같은전자적장치는통신회선 ( 망 ) 에의해네트워크화될때비로소전자금융거래정보의전자적전송이가능해지고격지자간의전자금융거래가성립한다. 따라서전자금융거래시스템이란위와같은의미의전자적장치와통신회선 ( 망 ) 을포괄하며, 또한이른바하드웨어뿐만아니라정보처리등을가능하게하는소프트웨어를아우르는개념이다. 그렇다면전자금융 10) 시스템거래및접근매체에관한기본적생각은, 徐熙錫 電子金融取引の民事法理 (3 完 ) 韓国電子金融取引法の考察 一橋法学第 6 巻第 3 号 (2007.11)196 頁以下를참조하였다.
전자금융거래법상 이용자의중과실 의판단기준 795 거래는이와같은의미의 시스템 에의한거래라는의미에서 시스템거래 라할수있다. 개별적인전자금융거래는전자금융거래를위한시스템 ( 전자금융거래시스템 ) 에의접근으로부터시작된다. 전자금융거래의발달단계에서볼때그초기에는금융기관만이시스템에접근할수있었으나, 11) 11) 기술의발달로이용자가직접시스템에접근하여전자금융거래를할수있는시대가도래하였다 (ATM, 인터넷뱅킹등 ). 이용자가시스템에의접근을위하여필요한것이 접근매체 이다. 예를들면, ATM 에의한예금인출거래를위해서는현금카드와비밀번호가필요하며, 인터넷뱅킹에의한자금이체거래를위해서는이용자ID와비밀번호또는공인인증서와비밀번호가필요하다. 여기서현금카드, 비밀번호, 이용자ID, 공인인증서등이이른바접근매체에해당하는것인데, 이들접근매체에의하여이용자는전자금융거래시스템 ( 이하단순히 시스템 이라고도한다 ) 에접근하는것이허용되는것이다. 접근매체의삽입 ( 카드나 USB 등 ) 과입력 ( 정보 ) 등에의해시스템에의접근이허용된이용자는예금인출이나자금이체를위한거래지시를입력하고이를전송함으로써거래가완성된다. 12) 12) 이상은예금인출거래나자금이체거래의기술적구조를설명한것이지만다른전자금융거래에서도기본적인기술적구조는마찬가지이다. 그렇다면우리법상접근매체는어떻게정의되고그종류에는무엇이있는가? (2) 접근매체의定義 전자금융거래법상접근매체는 전자금융거래에있어서거래지시를하거나이용자 및거래내용의진실성과정확성을확보하기위하여사용되는수단또는정보 로정 의된다 ( 법제 2 조제 10 호참조 ). 11) 예컨대은행간의자금이체거래에서초기에는은행직원만이시스템 ( 은행간자금이체시스템 ) 에의접근이허용되었다. 12) 법적으로는인터넷뱅킹에서의거래지시 ( 정보 ) 의도달 ( 수취인은행의입금기록 ) 이나 ATM에서의수취인의현금수령시점에지급으로서의효력이발생한다 ( 법제13조 ).
796 비교사법제 21 권 2 호 ( 통권 65 호 ) 전술한바와같이접근매체는문리적으로는 ( 시스템에 ) 접근하기위한매체 를의미한다. 시스템에접근할수있다는것은시스템에접근함으로써거래지시를할수있다는의미이다. 따라서접근매체는전자금융거래법에서최소한 ( 시스템에접근하여 ) 거래시시를하기위한수단이나정보 로정의된다. 그런데전자금융거래법은여기서더나아가 이용자및거래내용의진실성과정확성을확보하기위한수단또는정보 로서도접근매체를정의한다. 따라서전자금융거래법상의접근매체는 1시스템에접근하여거래지시를하기위한수단또는정보 ( 접근매체로서의기능 ), 2이용자의진실성과정확성을확보하기위한수단또는정보 ( 본인확인수단으로서의기능 ) 및 3거래내용의진실성과정확성을확보하기위한수단또는정보 ( 거래무결성의확인수단으로서의기능 ) 라는세가지기능을가질수있는매체로정의되고있음을알수있다. (3) 접근매체의종류 이와같이전자금융거래법은접근매체에세가지기능이있을수있음을전제로이에해당하는매체를다음의다섯가지로한정열거하고있다 ( 법제2조 10호가 ~ 마 ). 먼저 1전자식카드및이에준하는전자적정보이다. 예컨대선불카드나전자화폐카드, 현금카드, 신용카드등의전자식카드가이에해당하는데이들은시스템에의접근을허용하여거래지시를할수있게한다. 뿐만아니라이에준하는, 즉이와같은기능을가진 전자적정보 로서, 예컨대전자화폐카드나신용카드등에수록된전자적정보가카드외의다른저장매체 ( 스마트폰등 ) 에저장된경우가이에해당한다. 13) 13) 다음으로 2 전자서명법 제2조제4호의전자서명생성정보및같은조제7호의 13) 문리적으로는 전자식카드에준하는전자적정보 도이에포함되므로, 전자식카드에관한정보 ( 카드번호등 ) 그자체도시스템에의접근을가능하게한다면 1에포함된다고해석될여지가있으나, 정보그자체가아니라 전자적정보 로한정하였다는점에주의할필요가있다. 따라서카드번호등의거래정보는여기서의전자적정보에는포함되지않는다고해석할것이다.
전자금융거래법상 이용자의중과실 의판단기준 797 인증서이다. 전자서명생성정보 라함은전자서명을생성하기위하여이용하는전자적정보를말하며, 인증서 라함은전자서명생성정보가가입자에게유일하게속한다는사실등을확인하고이를증명하는전자적정보를말한다. 이것은마치인감과인감증명서와같은역할을전자적환경에서구현하는것으로양자는모두 전자적정보 이기때문에실무에서는전자서명생성정보가인증서에탑재 ( 수록 ) 되는형태로운영되고이용자는전자문서에이인증서를첨부함으로써 전자서명 을한것으로인정받게된다. 전자서명이라함은 서명자를확인하고서명자가당해전자문서에서명을하였음을나타내는데이용하기위하여당해전자문서에첨부되거나논리적으로결합된전자적형태의정보 로정의되기때문이다 ( 동법제2조제2호 ). 이로써전자문서에대하여종이문서에서의서명또는기명날인과같은효력이발생한다 ( 동법제 3조제3항 ). 이와같은인증서를공인인증기관에서발급한것이 공인인증서 이고 ( 동법제2조제8호 ), 공인인증서에기초한전자서명이 공인전자서명 이다 ( 동법제2조제3호 ). 그런데전자금융거래의실무에서는전자금융거래를하기위해서는공인인증서가필요하기때문에 ( 이것은금융감독당국의정책에의한것이다 ) 여기서 전자서명생성정보및인증서 는실질적으로는 공인인증서에의한공인전자서명 을의미하는것으로이해할것이다. 공인인증서에따라전자금융거래가이루어진경우에는 서명자의동일성 과전자거래에사용된 전자문서의완전성내지무결성 (integrity) 이추정된다. 14) 14) 한편공인인증서는전자서명법상본인확인의수단으로서도활용된다 ( 동법제18조의2). 다음은 3금융기관또는전자금융업자에등록된이용자번호이다. 이것은예컨대금융기관또는전자금융업자 ( 이하양자를합쳐단순히 금융기관 이라한다 ) 의시스템에접근 ( 접속 ) 하기위하여금융기관이이용자번호를등록받는경우에그번호가접근매체가된다는것을의미한다. 그러나거래의실무에서이용자번호만으로시스 14) 전자서명법제3조 ( 전자서명의효력등 ) 2공인인증서에따라공인전자서명이이루어진경우에는당해전자서명이서명자의서명, 서명날인또는기명날인이고, 당해전자문서가전자서명된후그내용이변경되지아니하였다고추정된다.
798 비교사법제 21 권 2 호 ( 통권 65 호 ) 템에의접근이허용되거나본인확인이이루어지는경우는최근에는사실상거의없다고보아야할것이다 ( 비밀번호가추가되어야하거나공인인증서에의한본인확인을요구하는경우가많다 ). 4는이용자의생체정보이다. 이것은이용자의지문이나홍채등의생체정보를디지털화하여이를시스템에의접근에활용하는것을염두에둔접근매체이다. 그러나최근의실무에서는다른접근매체와함께보조적으로지문정보등이활용되는예는있으나생체정보자체만으로시스템에의접근이나본인확인을완료하는경우는거의없다. 15) 15)5는 1과 2의수단이나정보를사용하는데필요한비밀번호이다. 전자식카드나공인인증서의경우현행실무상으로는그자체만으로접근매체로기능할수는없고그와함께비밀번호가일치하여야본인확인이이루어지고시스템에접근하여거래지시를할수있다. 따라서 5는그자체만으로는접근매체로서의미가없기때문에 1과 2의보조적수단이라고이해할것이다. 이와같이전자금융거래법상접근매체는 5가지로한정열거되어있으나사실상은 4가지라고볼것이다 (15, 25, 3, 4). 그런데 3과 4의경우접근매체로정의되어있으나단독으로시스템에의접근이허용되거나본인확인이완료되는예는현재의실무상으로는거의없고다른접근매체와함께또는보조적수단으로활용되고있을뿐이다. 그렇다면현행실무에서접근매체로사실상중요한의미를갖는것은 1과 2 및각각의경우의비밀번호 (5) 라고할것이다. 16) 16) 15) 생체정보만으로시스템에의접근을허용하는최근의예로서, ( 전자금융거래에서의사안은아니지만 ) 무인물품보관장치를생각할수있다. 철도역등에설치된일부무인물품보관장치에서는이용자의지문정보만으로물품보관시스템에의접근을허용하고있다. 16) 현행실무에서접근매체로서 1전자식카드와 5비밀번호가사용되는경우로서예컨대현금카드와비밀번호를통한 ATM에서의예금인출거래를생각할수있다. 이경우이용자는현금카드와비밀번호만있으면 ATM에서예금을인출할수있고, 현금을수령하는순간에지급의효력이발생한다 ( 전자금융거래법제13조제2호 ). 한편 2와 5는이른바인터넷뱅킹으로대표되는전자지급거래나비대면대출거래등을위하여실무상필수적으로요구되는접근매체로서이것이없으면시스템에의접근자체가허용되지않는다는점에서대단히중요한접근매체이다. 본사안에서성명불상자가신용카드회사로부터비대면대출거래를통하여거액의금액을원고의예금계좌
전자금융거래법상 이용자의중과실 의판단기준 799 (4) 접근매체의실무상의의 전술한바와같이접근매체는전자금융거래를위한시스템에의접근을위한수단이나정보라는점에그실무상의의가있으나, 더욱중요한것은전자금융거래에서는접근매체를통한거래지시 ( 의사표시의일종이다 ) 의법적효과가그접근매체상의본인에게직접미친다는점이다 ( 본인효과귀속성 ). 이것은네트워크를통하여전송된 전자문서 ( 정보처리시스템에의하여전자적형태로작성, 송신 수신또는저장된정보 ) 에포함된의사표시의법적효과에관하여규율하는 전자문서및전자거래기본법 제7조제2항에따른결과이고, 이규정은전자금융거래를위하여사용되는전자문서에대하여도그대로적용되기때문이다 ( 법제5조제1항 ). 즉, 전자문서의수신자는전자문서가작성자의것이었는지를확인하기위하여수신자가미리작성자와합의한절차를따른경우전자문서에포함된의사표시를작성자의것으로보아행위할수있다 ( 전자문서및전자거래기본법제7조제2항 ). 접근매체의이용 은 ( 본인확인등을위하여 ) 수신자가미리작성자와합의한절차 에해당하므로접근매체에의해시스템에접근한후거래지시로서전자문서가송신 수신된경우수신자 ( 금융기관 ) 는당해의사표시를접근매체상의본인 ( 이용자 ) 의것으로보고행위하는것이가능하게된다. 이것은당해의사표시의법적효과가접근매체상의본인 ( 이용자 ) 에게미치는 ( 또는효력부정을방지하는 ) 근거규정이된다. 따라서어느이용자가자신의접근매체를타인에게사용하게한경우그접근매체에의해이루어진전자금융거래는기본적으로이용자 ( 접근매체상의본인 ) 에게그효과가귀속된다는점에주의할필요가있다 ( 본인효과귀속성 ). 요컨대접근매체는비대면거래로서의전자금융거래를위해서는없어서는안되는관문과같은존재이나, 그관리가잘못될경우에는그효과가본인에게귀속될위험성이존재한다. 따라서접근매체의이상과같은특성 ( 본인효과귀속성 ) 으로부터접근 로이체받고, 이를다른예금계좌로이체함으로써편취할수있었던것은공인인증서를 재발급 받을수있었기때문에가능한것이었다.
800 비교사법제 21 권 2 호 ( 통권 65 호 ) 매체의발급자는그발급시에본인확인을철저히하여야하며, 접근매체를발급받은이용자는접근매체에대하여관리상의주의를다하여야한다. 전자금융거래법이다음항에서보는바와같이접근매체에대하여발급및관리상의주의의무에관한규정을두고있는것은이와같은이유때문이다. 2. 접근매체의발급및관리상의주의의무 (1) 서설 전자금융거래에서접근매체의실무상의의를위와같이이해하는한접근매체는대면에의한본인확인절차를철저히거친후에발급되어야하며, 한번발급된접근매체는타인에의해사용되지않도록그관리에주의를다하여야한다는것은자명한귀결이다. 전자금융거래법은이점에관하여금융기관에대하여는접근매체의발급에관한주의의무를, 이용자에대하여는접근매체의사용및관리에관한주의의무를각각규정한다. 이하분설한다. (2) 접근매체의발급상의주의의무 1) 전자금융거래법 금융기관금융기관이접근매체를발급할때에는 이용자의신청이있는경우에한하여본인임을확인한후에 발급하여야한다 ( 법제6조제2항 ). 여기서본인임을확인하는방법및절차가문제되는데, 전자금융거래법에는이에관한명문의규정이없다. 생각건대전자금융거래에서접근매체발급의중요성으로부터여기서의본인확인은 대면에의한확인 을의미하는것으로해석할것이다. 이때보통은주민등록증등신분확인이가능한증표에의하여실명및본인임을확인하여야할것인데, 17) 17) 이때금융 17) 참고적으로 금융실명거래및비밀보장에관한법률 에서는금융거래의실명확인은기본적으로주민등록증에의하여이루어져야함을명시하고있고 ( 제3조제1항, 시행
전자금융거래법상 이용자의중과실 의판단기준 801 기관에요구되는주의의무의정도는주민등록증의진정여부를확인함과동시에그 사진과실물을대조하는등그직무수행상요구되는충분한주의의무라고할것이다 ( 판례 ). 18) 18) 이와같이접근매체는이용자의신청이있는경우에한하여대면에의한 본인확인을철저히한후에발급하는것이원칙이나, 1 선불전자지급수단이나 5 만원 이하의전자화폐의경우나 2 접근매체의갱신이나대체발급등을위하여대통령령이 정하는바에따라이용자의동의를얻은경우 19) 에는19) 이용자의신청이나본인의확인 규칙제3조참조 ), 전자서명법 에서는공인인증서발급시의신원확인절차로서직접대면하여기본적으로주민등록증에의하여실명및본인임을확인하여야한다는점을명시하고있다 ( 제15조, 시행규칙제13조의2 제2항 ). 18) 폰뱅킹 (phone-banking; telebanking) 에의한자금이체사기사건에서 < 대법원 1998.11.10. 선고 98다20059 판결 > 은 자금이체신청의경우에는은행의창구직원이직접손으로처리하는경우와는달리그에따른자금이체가기계에의하여순간적으로이루어지지만, 그것이채권의준점유자에대한변제로서은행에대하여요구되는주의의무를다하였는지여부를판단함에있어서는, 자금이체시의사정만을고려할것이아니라그이전에행하여진폰뱅킹의등록을비롯한제반사정을총체적으로고려하여야하며, 은행이거래상대방의본인여부를확인할필요가있는경우에담당직원으로하여금그상대방이거래명의인의주민등록증을소지하고있는지여부를확인하는것만으로는부족하고그직무수행상필요로하는충분한주의를다하여주민등록증의진정여부등을확인함과아울러그에부착된사진과실물을대조하여야할것인바, 만일실제로거래행위를한상대방이주민등록상의본인과다른사람이었음이사후에밝혀졌다고한다면, 특별한사정이없는한, 은행으로서는위와같은본인확인의무를다하지못한과실이있는것으로사실상추정된다. 고하였다. 이판시는전자금융거래전체에그대로타당하다고생각한다. 다만 < 대법원 2006.12.21. 선고 2004다41194 판결 > 에서는 PC뱅킹의등록에요구되는은행의주의의무에대하여 거래처가통장으로예금을찾을때예금지급을위하여요구되는주의의무 { 예금거래기본약관에의하면, 은행은예금지급청구서등에찍힌인영 ( 또는서명 ) 을신고한인감 ( 또는서명감 ) 과주의깊게비교 대조하여틀림없는지와예금지급청구서등에적힌비밀번호가신고한것과동일한지를확인하여야한다 } 와동일한정도로주의 가필요하고 등록이후에도비밀번호등이누설되어예금의인출이되지않도록주의하여야할의무가있다. 고판시하여등록시요구되는주의의무의정도를다소완화한듯한판시를하고있다. 19) 시행령제6조 ( 접근매체의갱신또는대체발급 ) 1. 갱신또는대체발급예정일전 6 월이내에사용된적이없는접근매체는이용자로부터갱신또는대체발급에대하여
802 비교사법제 21 권 2 호 ( 통권 65 호 ) 이없는때에도접근매체를발급할수있다 ( 법제6조제2항단서 ). 이와같은예외를둔이유는, 1은선불식교통카드등소액결제에주로사용되는선불식전자지급수단으로서이경우에는특히본인확인이필요없다고판단했기때문이고, 2는접근매체의갱신등에서미리이용자의동의를받아둔경우이기때문으로이해된다. 금융기관이 ( 예외사유가아님에도 ) 본인확인의무를이행하지않고접근매체를발급하였다면어떠한법적효과가발생하는가? 전자금융거래법에의하면이경우당해금융기관은금융감독당국으로부터행정제재 ( 관련업무의전부또는일부의정지 ) 를받게된다 ( 법제43조제2항 ). 문제는그경우의사법상효력인데, 전자금융거래법에는이에관한명문의규정은없다. 생각건대금융기관이전술한바와같은접근매체발급상의주의의무를해태하여접근매체를발급하였고이로인하여전자금융거래가발생하였다면그효과는본인에게귀속하지않는다 ( 금융기관이책임을부담한다 ) 고해석하여야할것이다. 전술한바와같이전자금융거래에서접근매체에의한전자금융거래의법적효과는접근매체상의본인에게귀속하는것이기때문에, 본인확인의무를이행하지않은경우에는그와같은효과가발생한다고해석할수없기때문이다. 2) 전자서명법 공인인증기관그런데접근매체중 공인인증서 의발급에관하여는전자서명법에특칙이존재한다. 동법에의하면공인인증서는공인인증기관이발급하며이경우에도공인인증기관은공인인증서를발급받고자하는자의신원을확인하여야한다 ( 동법제15조제1 항 ). 이때신원확인의절차및방법등이문제되는데, 이에관하여는동법시행규칙에관련규정이존재한다 ( 동제6항 ). 즉, 공인인증기관은공인인증서를발급받고자하는자의신원을확인하는때에는직접대면하여주민등록증등에의하여그자의 서면동의 [ 전자서명법 제2조제3호에따른공인전자서명 ( 이하 공인전자서명 " 이라한다 ) 이있는전자문서에의한동의를포함한다 ] 를얻은경우 2. 갱신또는대체발급예정일전 6월이내에사용된적이있는접근매체는그예정일부터 1월이전에이용자에게발급예정사실을알린후 20일이내에이용자로부터이의제기가없는경우
전자금융거래법상 이용자의중과실 의판단기준 803 실명및본인여부를확인하여야한다 ( 동법시행규칙제13조의2 제2항 ). 전자금융거래에서공인인증서의중요성 ( 접근매체로서본인효과귀속성, 본인확인수단, 공인전자서명 ) 을고려할때에는본인확인절차를명확하고구체적으로특정할필요가있다는점에서 대면에의한신원 ( 실명및본인 ) 확인 이라는절차를명시한것은바람직한입법태도라할것이다. 이규정은 2006년 7월 1일부터시행된동법시행규칙의개정에의한것이다 ( 그이전의입법에 직접대면하여 라는표현을추가한것이다 ). 20) 20) 문제는위시행규칙의개정시에대면에의한신원확인이라는원칙에대하여아래와같이중요한예외를동시에두었다는점이다. 전자서명법시행규칙제13조의2( 신원확인의기준및방법 ) 4공인인증기관은 금융실명거래및비밀보장에관한법률 제2조제1호각목에따른금융기관에서실지명의가확인된전자금융거래가입자가공인인증서를발급받으려는경우에는정보통신망을통하여신원을확인할수있다. 이경우다음각호의사항을확인하여야한다. < 신설 2006. 6.30> 1. 전자금융거래가입자의계정 (ID) 과그비밀번호또는계좌번호와그비밀번호 2. 전자금융거래가입자의주민등록번호 3. 금융기관이전자금융거래를위하여가입자에게제공한일회용비밀번호 ( 보안카드의비밀번호를포함한다 ) 또는가입자본인만이알수있는두가지이상의정보 이규정은금융기관에서실명이확인된전자금융거래가입자의경우공인인증서의발급 ( 재발급 ) 시에대면에의한신원확인이필요하지않고 정보통신망을통하여, 즉비대면의방법으로신원 ( 본인 ) 확인을할수있다는예외를규정한것이다. 이규정은전자금융거래법의시행 (2007.1.1.) 을앞두고전자금융거래의 편의성을높이기위하여 21) 21) 둔것이다. 이예외규정에의하면전자금융거래가입자는계좌번 20) 이정현, 2006년시행전자서명법의개정내용과향후과제, 정보보호정책동향 ( 한국정보보호진흥원 )(2006년), 15면은종래공인인증서는대면확인후에발급하는것을원칙으로하고있었으나명문규정이없어논란이되어왔던것을 2006년전자서명법시행규칙의개정에서대면확인의원칙을명문화하여논란을종식시켰다고설명하고있다.
804 비교사법제 21 권 2 호 ( 통권 65 호 ) 호와비밀번호및주민등록번호, 보안카드상의비밀번호 ( 또는다른두가지본인에관한정보 ) 만으로도공인인증서를발급받을수있게되기때문에전자금융거래의편의성향상이라는입법목적에는부합된다. 그러나이규정은전자금융거래에서접근매체의중요성 ( 본인효과귀속성 ) 을고려하여접근매체는대면에의한본인확인절차를철저히거친후에발급되어야한다는대원칙을생각할때에는대단히위험한발상에의한규정이라고하지않을수없다. 전자금융사기를의도한자는몇가지개인정보나금융거래정보만확보하고있으면대면에의한본인확인을거치지않기때문에 쉽게 공인인증서를취득하여소기의목적을달성할수있게되기때문이다. 특히개인정보와금융거래정보의유출사고가사회문제화되고있는현상황에서이규정이개인정보등의유출을조장하고전자금융사기에악용될수있다는점에서더욱그러하다. 그런데문제의심각성은이와같은시행규칙상의예외규정의존재및그의의를전자상거래나전자금융거래실무에종사하는자나법률전문가들조차거의인식하지못하고있으며, 22) 22) 다만금융기관의홈페이지등을확인해보면공인인증서의 재발급이정보통신망상에서쉽게이루어진다는점만이홍보되고있다는점이다. 23) 23) 있어서는안될위험한규정이所與의전제로서실무에서활용되고있는비정상적인상황을어떻게이해할것인가? 만일이와같은실무관행에의해본인이아닌자가공인인증서를재발급받아전자금융거래를하였다면그법적효과는본인에게귀속한다 ( 본인이책임을져야한다 ) 고하여야할것인가? 본사안은실로이와같은점이문제된사안이라하지않을수없다. 21) 법제처 전자서명법시행규칙 (2006.6.30. 개정 ) 개정이유참조. 22) 이것은필자가주변의실무가나법률전문가수인을대상으로직접확인한것이다. 23) 실무에서는공인인증서의 재발급 에대하여, 분실이나컴퓨터포맷등의경우에공인인증서를재차발급받는것으로서기존인증서의유효기간은유지되지만기존인증서는자동폐기되는것으로설명하고있다 ( 국민은행홈페이지등참조 ). 따라서유효기간이경과되기전에공인인증서를 갱신 하는것과는구별된다. 한편공인인증서의발급주체는공인인증기관이지만실제로는금융기관의창구나홈페이지에서발급이가능하다. 이것은공인인증기관이발급한공인인증서가금융기관을통하여이용자에게제공되기때문으로이해된다.
전자금융거래법상 이용자의중과실 의판단기준 805 (3) 접근매체의사용및관리상의주의의무 이용자 전술한바와같이전자금융거래에서의접근매체의중요성으로부터금융기관 ( 및공인인증기관 ) 은그발급상의주의의무를부담한다. 한편발급된접근매체에대하여이용자는사용및관리상의주의의무를부담한다. 즉, 이용자는접근매체를사용및관리함에있어서 1접근매체를양도하거나양수하는행위, 2대가를주고접근매체를대여받거나대가를받고접근매체를대여하는행위, 3접근매체를질권의목적으로하는행위, 4이상의행위를알선하는행위를하여서는아니되며 ( 법제6조제3 항 ), 이에위반한경우형사벌에처해진다 ( 법제49조제4항 ). 한편전자금융거래법은접근매체의위조나변조로발생한사고로인하여이용자에게손해가발생한경우금융기관이손해를배상할책임이있다는취지를규정하면서 ( 법제9조제1항 ) 중대한예외를동시에두고있다. 즉, 이용자가접근매체의사용및관리에고의또는중대한과실이있는경우금융기관이면책되고이용자가그책임을부담한다는것이다 ( 법제9조제2항 ). 이때이용자의고의나중대한과실의범위는다음과같다. 전자금융거래법시행령제8조 ( 고의나중대한과실의범위 ) 법제9조제3항에따른고의나중대한과실의범위는다음각호와같다. 1. 이용자가접근매체를제3자에게대여하거나그사용을위임한경우또는양도나담보의목적으로제공한경우 ( 법제18조에따라선불전자지급수단이나전자화폐를양도하거나담보로제공한경우를제외한다 ) 2. 제3자가권한없이이용자의접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도불구하고접근매체를누설하거나노출또는방치한경우 여기서제1호는이용자가 ( 경제적목적등을위하여 ) 스스로접근매체의점유내지지배 (control) 를제3자에게이전한경우로서, 형사벌의대상이되는접근매체의사용및관리행위 ( 법제6조제3항 ) 와대체적으로일치한다. 이러한경우에이용자의고의나중과실을인정하는것은문제가없다고할것이다. 한편제2호는접근매체를제3자에게직접이전한것은아니나제3자에의한접근매체의사용가능성을제공하
806 비교사법제 21 권 2 호 ( 통권 65 호 ) 였다는점에서고의나중대한과실로인정될수있는경우이다. 문제는 제3자가권한없이이용자의접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도불구하고 접근매체를누설등하였다는한정이붙는다는점이다. 즉, 그와같은경우에한하여접근매체의누설등의사용이나관리행위에대하여이용자가책임을부담한다는것이다. 따라서이용자가접근매체를누설등하였으나제 3자가무권한거래를할수있음을 쉽게 알수없었던경우에는금융기관은면책되지않는다고해석할것이다. 여기서이용자가 쉽게알수있었는지의여부 ( 이것이곧중과실판단의핵심적관건이될것이다 ) 는이용자측사정 ( 직업이나금융거래경력등 ) 뿐만아니라제3자의기망행위의정도및금융기관의정보보안실태등을종합적으로고려하여판단하여야할것이다. 제3자의기망행위의정도가강하거나금융기관의정보보안이취약한상황에서라면이용자에게책임을부담시킬수는없다고판단되기때문이다. 특히정보보안이취약하다는것은시스템거래로서의전자금융거래자체의안전성이취약하다는것을의미하기때문에이로인한책임을이용자에게전가하는해석론은타당하다고할수없다. 따라서예컨대전술한바와같이공인인증서의발급이정보통신망상에서쉽게이루어질수있는상황, 즉정보보안이허술한상황에서라면이용자의중과실판단은신중하게이루어져야할것이다. Ⅳ. 본판결의검토 전자금융거래법에서접근매체를이와같이이해할경우, 본사안에서원심및대 법원의판결은특히다음과같은점에서문제가있다고할것이다. 1. 금융거래정보등의노출을접근매체의노출과동일시할수있는가? (1) 원심및대법원은본사안의원고가 제 3 자에게접근매체인공인인증서의
전자금융거래법상 이용자의중과실 의판단기준 807 발급에필수적인계좌번호, 계좌비밀번호, 주민등록번호, 보안카드번호, 보안카드비밀번호를모두알려준점등에비추어보면, 원고가제3자가권한없이접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도이를노출하였다고볼것 이고따라서원고에게중과실이인정된다고판시하고있다. 이러한판단은원고가노출한금융거래정보가공인인증서발급에필수적인정보라는점에서, 금융거래정보를접근매체와동일시하는생각에기초해있다. (2) 그러나이러한생각에는찬동하기어렵다. 그이유는다음과같다. 첫째, 접근매체의개념표지 ( 세가지기능 ) 를명시하고그종류를다섯가지로한정열거함과동시에, 이용자의중과실의범위에관해서도이를접근매체의 ( 점유내지지배의 ) 이전이나사용가능성의제공으로엄격하게한정하고있는전자금융거래법의명시적태도에반한다. 대법원과같이 금융거래정보 = 접근매체 와같이해석한다면전자금융거래법이 접근매체 라는개념을통하여시스템거래로서의전자금융거래의기술적구조를설명하고자한근본적인생각및법체계전체가흔들릴수밖에없다. 24) 24) 따라서접근매체를다섯가지로한정열거하고이용자의중과실의범위에관하여도이를 접근매체 의이전이나사용가능성의제공으로한정하고있는입법태도를바꾸지않는한, 원고가접근매체를노출하지않았음에도불구하고이로부터원고의중과실을이끌어내는해석은법률의문리적해석범위를넘는것이라하지않을수없다. 둘째, 그럼에도불구하고원고가 보안카드번호및보안카드비밀번호 를노출하였다는것은중과실로판단될여지가있다. 이들은공인인증서를통하여시스템에접근한이용자가최종적으로거래지시를하는데필요한보안수단으로서공인인증서와함 24) 전술한바와같이현행법상 금융거래정보 로서정의된접근매체는 3이용자번호및 5( 전자식카드나공인인증서를사용하는데필요한 ) 비밀번호에한정된다. 그러나이들은현재의실무상으로는단독으로는시스템에의접근을가능하게하지못하고다만다른수단과함께또는보조적으로사용되는접근매체일뿐이다.
25) 808 비교사법제 21 권 2 호 ( 통권 65 호 ) 께실무상중요하게활용되고있기때문이다. 그러나보안카드관련정보도 ( 당시의 ) 현행법상으로는 접근매체 로정의되어있지않고다만실무상으로만활용되는보안수단이라는점에서이를또한접근매체의노출과동일시할수는없고, 따라서그노출로부터이용자의중과실을이끌어내는해석에는역시찬성하기어렵다. 이와관련하여금융기관의책임범위및이용자의중과실의범위를확장한최근의 전자금융거래법및동법시행령의개정 ( 양자모두 2013.11.23. 시행 ) 이주목된다. 25) 즉, 이개정으로접근매체의위조나변조로발생한사고뿐만아니라 전자적장치나정보통신망에침입하여거짓이나그밖의부정한방법으로획득한접근매체의이용으로발생한사고 로인하여이용자에게발생한손해는원칙적으로금융기관이배상책임을부담하지만 ( 법제9조제1항제3호 ), 26) 26) 금융기관이보안강화를위하여전자금융거래시요구하는추가적인보안조치를이용자가정당한사유없이거부하거나, 추가적인보안조치에사용되는매체 수단또는정보에대하여이용자가이를노출등을하거나양도또는담보제공등을하여위 ( 추가된 ) 사고가발생한경우에는이용자의중과실로판단되어금융기관이면책된다는점이추가되었다 ( 법시행령제8조제3호 제4호 ). 27) 27) 이개정은 ( 시기적으로도내용적으로도 ) 실로본사안의쟁점을 25) 전자금융거래법 ( 법률제11814호, 2013.5.22., 일부개정, 동년 11.23. 시행 ), 동법시행령 ( 대통령령제24880호, 2013.11.22., 일부개정, 동년 11.23. 시행 ). 26) 법제9조 ( 금융회사또는전자금융업자의책임 ) 1 금융회사또는전자금융업자는다음각호의어느하나에해당하는사고로인하여이용자에게손해가발생한경우에는그손해를배상할책임을진다. < 개정 2013.5.22.> 1. 접근매체의위조나변조로발생한사고 2. 계약체결또는거래지시의전자적전송이나처리과정에서발생한사고 3. 전자금융거래를위한전자적장치또는 정보통신망이용촉진및정보보호등에 관한법률 제 2 조제 1 항제 1 호에따른정보통신망에침입하여거짓이나그밖의부정 한방법으로획득한접근매체의이용으로발생한사고 (* 하선이추가된부분임 ) 27) 법시행령제8조 ( 고의나중대한과실의범위 ) 법제9조제3항에따른고의나중대한과실의범위는다음각호와같다 < 개정 2013.11.22.> 1. 이용자가접근매체를제3자에게대여하거나그사용을위임한경우또는양도나담보의목적으로제공한경우 ( 법제18조에따라선불전자지급수단이나전자화폐를양도하거나담보로제공한경우를제외한다 )
전자금융거래법상 이용자의중과실 의판단기준 809 입법화한것으로보이는데, 후술하는바와같이성명불상자는정보통신망에침입하여거짓이나그밖의부정한방법으로접근매체를재발급받아이를이용하여전자금융사고를일으켰고, 본사안의원고는 보안강화를위하여전자금융거래시요구하는추가적인보안조치 인보안카드관련정보를노출하였다고할것이다. 따라서개정법의내용대로라면본사안에서원고의보안카드관련정보노출행위는위중과실의범위에포섭되게될것이다. 그렇다면이개정법이시행되기이전에발생한본사안의경우에도개정법과같이해석하여야할것인가? 생각건대 보안강화를위하여전자금융거래시요구하는추가적인보안조치 ( 본사안에서는보안카드 ) 를접근매체와는구별하여규정하고있는개정법의입법태도로볼때 보안카드관련정보 를 접근매체 와동일시할수없다는것은이개정법으로부터도분명해졌다. 따라서보안카드관련정보를노출한본사안을접근매체의노출과동일시하는원심및대법원의해석은 ( 당시의 ) 전자금융거래법의문리적해석범위를넘는것이라고하지않을수없다. 그런점에서본판결은말하자면 입법의불비 라는리스크를이용자에게고스란히떠넘긴판결이라고도볼수있을것이다. (3) 그렇다면본사안은접근매체가노출된사안이아니라다만금융거래정보 및추가적보안조치에사용되는정보 ( 보안카드관련정보 ) 가노출된사안이라고파악 하여야할것이고, 따라서접근매체 ( 공인인증서 ) 의발급에필수적이라는이유로이 2. 제 3 자가권한없이이용자의접근매체를이용하여전자금융거래를할수있음을알았거나쉽게알수있었음에도불구하고접근매체를누설하거나노출또는방치한경우 3. 금융회사또는전자금융업자가법제 6 조제 1 항에따른확인외에보안강화를위하여전자금융거래시요구하는추가적인보안조치를이용자가정당한사유없이거부하여법제 9 조제 1 항제 3 호에따른사고가발생한경우 4. 이용자가제 3 호에따른추가적인보안조치에사용되는매체 수단또는정보에대하여다음각목의어느하나에해당하는행위를하여법제 9 조제 1 항제 3 호에따른사고가발생한경우가. 누설 노출또는방치한행위나. 제 3 자에게대여하거나그사용을위임한행위또는양도나담보의목적으로제공한행위 (* 하선이추가된부분임 )
810 비교사법제 21 권 2 호 ( 통권 65 호 ) 들정보를접근매체와동일시하여이용자의중과실을이끌어낼수는없다고할것이다. 결국이사건금융사고는노출된금융거래정보및보안카드관련정보를이용하여 ( 이용자의의사에반하여 ) 접근매체를발급받은것이기때문에 접근매체의위조로발생한사고 ( 법제9조제1항제1호 ) 라할것이고, 개정법하에서는 시스템에침입하여거짓이나그밖의부정한방법으로획득 [ 재발급 ] 한접근매체의이용으로발생한사고 ( 개정법제9조제1항제3호 ) 라고이해할것이다. 2. 성명불상자의기망행위의평가 (1) 원심및대법원의판결은성명불상자에의한기망행위에대한법적평가가누락되어있는점에서문제이다. 본사안에서원고가금융거래정보등을노출한것은제3자 ( 성명불상자 ) 가이른바보이스피싱등의사기수법에의해원고를기망했기때문이다. 그렇다면제3자의이와같은행위가이용자의중과실판단에고려되어야할것이다. 이점과관련하여대법원은 고의또는중대한과실 이있는지여부는접근매체의위조등금융사고가일어난구체적인경위, 그위조등수법의내용및그수법에대한일반인의인식정도, 금융거래이용자의직업및금융거래이용경력기타제반사정을고려하여판단할것이다 라고하여 접근매체의위조등금융사고가일어난구체적인경위, 그위조등수법의내용 ( 하선부분 ) 을판단기준으로들고있다. 따라서적어도대법원으로서는제3자의기망행위에관한평가가이용자의중과실판단에고려되어야함을일반론으로서설시한것으로이해할것이다. 그럼에도불구하고대법원이원고에게중과실이있다고판단한이유는, 그수법에대한일반인의인식정도, 금융거래이용자의직업및금융거래이용경력 을더고려했기때문이라고이해된다. 즉, 1 이사건금융사고당시에는이른바전화금융사기가빈발하여이에대한사회적인경각심이높아진상태였던점, 2 원고는이사건금융사고당시만 33세로서공부방을운영하는등사회경험이있었고 1년이상인터넷뱅킹을사용해왔던점, 3 원고는관련형사사건의조사과정에서성명불상자로부터 001 로시작되
전자금융거래법상 이용자의중과실 의판단기준 811 는국제전화를받아순간이상하다는생각을하였다고진술하고있는점으로부터원 고의중과실을이끌고있는원심의판단을정당하다고평가하고있기때문이다. (2) 생각건대원심과대법원이위와같은이유로원고의중과실을인정한것은전자금융사기수법을지나치게경시하였거나이용자의주관적요소를과도하게높게평가한때문이라고생각된다. 전자금융사기수법은 허물을벗는파충류처럼변태를거듭하고있다. 28) 28) 자녀의전화번호로연락해 ( 다른이의 ) 비명소리를들려주고당장돈을부치지않으면죽이겠다고 ( 거짓으로 ) 협박하는고전적인수법에서부터이용자의 PC나스마트폰등에악성코드를심어가짜사이트로유도한후정보를입력하게하는고도의기술적수법등전자금융사기의수법은실로다양하고날로진화하고있다. 29) 29) 그중에서본사안에서는이른바보이스피싱 (voice phishing) 과피싱 (phishing) 이라는사기수법이함께사용된것으로보인다. 전자는전화를통하여피해자로하여금신용카드비밀번호등의진술을유도하거나피해자를 ATM으로유도하여자금을직접이체시키는사기수법이고, 후자는이메일을발송하여이메일에서안내하는가짜사이트에접속하게하여비밀번호등의입력을유도하는사기수법이다. 본사안에서성명불상자는이두가지를교묘하게섞어원고의금융거래정보등을노출케하였다. 즉성명불상자는우선자기를검사라사칭하였고원고가전자금융사기범죄의공범이아닌지확인이필요하다고하여불안감을조성한후가짜대검찰청사이트로유도하여원고의금융거래정보와보안카드관련정보를입력하게하였다. 그러나이와같은사실관계에대하여원심과대법원은 전화금융사기가빈발하여이에대한사회적인경각심이높아진상태였던점 을 그수법에대한일반인의인 28) 조선닷컴, 2013.1.30. 기사, [ 신용사회의敵들 ] [7] 해외거래까지콕찍어정밀해킹.. 거액송금낚아채 29) 현재까지등장한전자금융사기수법에는보이스피싱 (voice phishing), 스미싱 (smishing), 파밍 (pharming), 메모리해킹 (memory hacking), 메신저피싱 (messenger phishing) 등이있고계속새로운유형이발생하고있다.
812 비교사법제 21 권 2 호 ( 통권 65 호 ) 식정도 로파악하여원고의중과실인정의하나의유력한근거로들고있다. 그런데원심과대법원의판단대로라면전화금융사기는사회적경각심내지인식이높아진상태였기때문에그발생건수나피해액수가소소한정도에머물러있어야할터이다. 그러나비교적고전적사기수법이라할만한보이스피싱에의한피해의실태조차도원심과대법원이생각하는만큼그리간단하지않다. 경찰청의통계에의하면 2013 년 1월 ~10월까지의보이스피싱에의한피해건수는 4,022건이고, 피해액은 436억원에이른다. 30) 30) 대법원이설시하듯 금융거래이용자의직업및금융거래이용경력 을고려하여이용자의중과실을판단하는것은필요하다. 그러나전자금융거래의세계에서는이것이절대적이거나유력한기준이될수는없다고생각한다. 이기준은전자금융사기수법이어떠한지에관한판단과함께고려되어야한다. 전술한바와같이본사안에서는두가지전자금융사기수법을교묘히섞었다는점, 검사를사칭하고원고가전자금융사기범죄의공범이라고불안감을조성하였다는점, 가짜대검찰청사이트를만들어금융거래정보등을입력하도록이용자를유도하는등일련의과정이고도의계산된수법에따라일관되게이루어졌고기술적으로이를뒷받침하였다는점등에기망행위로서의특징이있다. 따라서아무리사회경험이있고인터넷뱅킹의경험이있는자라하더라도위와같은사기수법하에서라면검사사칭자의지시대로움직일수밖에없는개연성을갖고있다고생각한다. 31) 31) 그렇다면원고의행위에과실이있다는점은인정할수있다하더라도, 그것이 중과실 로까지평가될수있는지는의문이다. (3) 비교법적으로는전자금융거래에서제 3 자에의한무권한거래가발생한경우, 30) 위조선닷컴기사의 사이버범죄수사대 ( 경찰청사이버테러대응센터 ) 의통계자료를참조. 31) 머니투데이, 2014.04.14. 기사, 신종수법에 경찰학과교수, 보이스피싱으로 5천만원피해 에의하면정보보안전문가인한경찰행정학과교수가본사안과거의유사한사기수법으로 ( 이른바파밍수법이추가되었다 ) 5000만원의피해를입었다고한다.
전자금융거래법상 이용자의중과실 의판단기준 813 피해자의중과실을요건으로하여금융기관을면책시키는입법례로서일본의 예금 자보호법 (2005) 32) 을32) 들수있다. 이법은현금카드나 (ATM 거래가가능한 ) 통장 ( 이하양자를합쳐 카드등 이라한다 ) 에의한 ATM 거래가대단히발달한일본사 회에서 2000 년대이후카드등의위조나도난에의한무권한거래가급증함에따라그 피해자를보호하기위한목적에서제정된것이다. 33) 33) 이법은예금의지급이위조된 현금카드나통장 ( 이하 위조카드등 이라한다 ) 을이용하여이루어진경우에는일본 민법제 478 조 ( 한국민법제 470 조 ) 에의한 채권의준점유자변제 법리의적용을배제 하여당해변제의예금자에대한효과귀속을부정 (= 무효화 ) 하면서 (3 조 ), 다만이 경우금융기관이면책되는경우를다음의두경우로한정한다 (4 조 ). 즉, 1 예금자가 고의로위조카드등에의한거래가일어나도록한경우나, 2 금융기관이선의무과실 이고예금자의중대한과실로위조카드등에의한거래가일어난경우가그것이다. 또 한카드등의도난으로의해무권한거래가일어난경우에는예금자가일정한절차적 요건 ( 신속한사고통지등 ) 을충족하면예금자에게손해전보청구권을인정한다. 다만 이경우금융기관이예금자의경과실을입증하면전보액은 3/4 으로감액되며, 금융 기관이예금자의중과실을입증하면전액면제되도록하고있다 (5 조 ). 요컨대위조 카드에의한무권한거래가예금자의중과실로발생할경우에는금융기관은면책 ( 예 금자에게당해거래의효과가귀속 ) 되고, 도난카드등에의한무권한거래에서예금 자에게중과실이있는경우예금자에게손해전보청구권은발생하지않는다. 결국이법에의하면예금자에게중과실이있는경우에는위조나도난에의한무권 32) 정식명칭은 偽造カード等及び盗難カード等を用いて行われる不正な機械式預貯金払戻し等からの預貯金者の保護等に関する法律 ( 위조카드등및도난카드등을이용하여이루어진부정한기계식예저금의인출등으로부터의예저금자의보호등에관한법률 ) 이다. 33) 이법에관한일본어문헌으로서우선, 高見澤昭治 齋藤雅弘 野間啓編著 預金者保護法ハンドブック ( 日本評論社 2006); 松本恒雄 預金者保護に向けた法整備と残された課題 自由と正義 57 巻 3 号 (2006.3) 54 頁以下를참조. 한편, 서희석, 훔친통장과인장을이용한예금인출의유효성-대법원 2007.10.25. 선고 2006다44791 판결에대한비판적검토-, 소비자문제연구제35호 (2009.4) 60면이하에서도이법을간단히소개하고있다.
34) 814 비교사법제 21 권 2 호 ( 통권 65 호 ) 한거래로부터예금자는보호받지못하기때문에예금자의 중과실 의범위가문제된다. 이에관하여명문의규정은없으나, 법안제출자는 고의와동일시할수있을정도로주의의무에현저한위반이있는경우 를중과실로설명하면서, 구체적인예로서다음의세가지를예시하고있다. 즉, 1타인에게비밀번호를알린경우, 2비밀번호를카드등위에기록한경우, 3예금자가스스로카드등을안이하게제3자에게넘 긴경우가그것으로서, 이와같은경우에는예금자의중과실이인정된다는것이다. 34) 이것은우리의전자금융거래법상의이용자의중과실의범위와대체로같은발상에의한것으로이해된다. 그런데주의할점은 1의경우 제3자의기망행위가개입되어 예금자가타인에게비밀번호를알린경우에도중과실로인정할것인지에대하여일본내에서는다음과같은해석론이전개되고있다는사실이다. 즉, 예컨대제3자가은행이나경찰등을사칭하여예금자에게전화를걸은후 확인을위해비밀번호를알려달라 는등으로예금자를기망하여비밀번호를알아차리게된경우에는예금자에게중과실이있다고는해석되지않는다 는것이다. 속아서비밀번호를알린경우가 고의와동일시할정도로 현저한주의의무위반이인정되는경우라고는도저히평가되지않기때문 이다. 35)36) 35)36) 중과실의범위에관한이와같은해석론은우리법상본사안에서와같이제3자의기망행위에의해금융거래정보가노출된경우에도마찬가지로타당한것이라고생각된다. 제3자가기망행위를통하여이용자로하여금금융거래정보를노출하게하였다면이용자에게고의와동일시할정도의현저한주의의무위반이있다고는 도저히 평가되지않기때문이다. 34) 高見澤昭治외, 앞의문헌, 61면. 35) 高見澤昭治외, 앞의문헌, 61~62면. 36) 일본의예금자보호법은원래는 ATM 등에의한기계식인출거래를대상으로하기때문에인터넷뱅킹에는적용이없다. 그러나, 동법의제정후은행업계가자발적으로인터넷뱅킹의경우에도위법에준하여은행별로개별적으로대응한다는자주대응책을공표하였다 (2008년 2월 10일 ). 따라서인터넷뱅킹의경우에도위와같은해석론이기본적으로는그대로타당하다고생각된다 ( 서희석, 앞의논문, 61면참조 ).
전자금융거래법상 이용자의중과실 의판단기준 815 (4) 한편우리의대법원판결례중에는착오취소가문제된사안에서상대방이사회적으로높은지위에있는자의자격을 ( 묵시적으로 ) 사칭한사안 37) 이나, 37) 상대방에의해유발된동기의착오의사안 38) 에서38) 착오자의 중과실 을인정하지않은사례가있다. 앞의사안의경우 일반인의입장에서는그에게당연히 [ 그와같은 ] 자격이있는것으로믿을수밖에없었을것 이라는점이, 뒤의사안에서는 매도인의적극적인행위에의하여매수인이착오에빠진점 이각각표의자의중과실을부정하는근거로사용되었다. 본사안은착오취소의사안은아니지만착오자의중과실 ( 민법제109조제1항단서 ) 판단에위와같은점들이고려되고있다는점은참조할수있다고생각한다. 3. 공인인증서재발급의법적함의 (1) 원심및대법원의판단중에서가장이해할수없는점은본사안에서금융거래정보및보안카드관련정보의노출이어떻게공인인증서의재발급으로연결될수있는지에관하여아무런언급이없고다만이를所與의전제로삼고있다는점이다. 전술한바와같이시스템거래로서의전자금융거래에서접근매체의중요성 ( 본인효과귀속성 ) 으로부터그발급은대면에의한본인확인을거쳐철저하게이루어져야함에 37) 예컨대, 대법원 2003.4.11. 선고 2002다70884 판결 ( 설계용역계약체결을전후하여건축사자격이없다는것을묵비한채자신이미국에서공부한건축학교수이고 건축연구소 ' 라는상호로사업자등록까지마치고건축설계업을하며상당한실적까지올린사람이라고소개한경우, 일반인의입장에서는그에게당연히건축사자격이있는것으로믿을수밖에없었을것이므로, 재건축조합측이그를무자격자로의심하여건축사자격증의제시를요구한다거나건축사단체에자격유무를조회하여이를확인하여야할주의의무가있다고볼수는없다고보아재건축조합의착오가중대한과실로인한것이아니라고한사례 ). 38) 예컨대, 대법원 1997.9.30. 선고 97다26210 판결 ( 매도인의적극적인행위에의하여매수인이착오에빠지게된점, 매수인이그건물의일부가철거되지아니할것이라고믿게된경위등제반사정에비추어보면착오가매수인의중대한과실에기인한것이라고할수없다고한사례 ).
816 비교사법제 21 권 2 호 ( 통권 65 호 ) 도불구하고원심및대법원의판결에는이에관한판단이전혀없기때문이다. 그러나전술한바와같이공인인증서의발급절차로서정보통신망을통하여비대면의방법으로본인확인을거치도록허용하는전자서명법시행규칙의개정 (2006년) 에따라몇가지금융거래정보만으로도정보통신망상에서공인인증서를쉽게발급할수있게되었다. 따라서 금융거래정보 의노출을 접근매체 의노출과동일시하는원심및대법원의판단은이와같은입법및실무관행을전제로한것이라고선해할수는있을것이다. 문제는이와같은입법및실무관행을전제로할경우전자금융거래의보안수준에는심각한문제가발생한다는점이다. 즉현행전자금융거래에서 ( 예금인출거래가아닌한 ) 가장중요한접근매체인공인인증서의 ( 재 ) 발급이대면에의한본인확인절차없이도정보통신망상에서쉽게이루어지고따라서이를악용한전자금융사기가발생한다면그책임은누구에게물어야할것인가가문제되는것이다. (2) 이점과관련하여원고는피고은행에설사전자금융거래법제9조제1항의책임이인정되지않는다하더라도피고은행이원고에게공인인증서재발급사실을통지하여야할주의의무가있으나이를게을리하여결국이사건금융사고를방지하지못하고원고에게손해를입혔으므로과실에의한불법행위방조책임이성립한다고주장하였고, 원심과대법원은이에대해피고은행에게그와같은통지의무가존재한다고보기어렵고, 원고가문자메시스서비스를신청하지도않았으며, 설령피고들에게통지의무가있다고하더라도이를이행하지않음으로써이사건금융사고가발생하였다고단정하기도어렵다는점을들어원고의주장을배척하고있다. 생각건대현행전자서명법시행규칙상의공인인증서발급절차대로라면극단적인경우공인인증서는계좌번호와비밀번호, 주민등록번호및보안카드의비밀번호만알면재발급이가능하게된다. 결국이들정보만으로공인인증서의재발급이가능한상황이라면 ( 개인정보및금융거래정보의유출이사회문제화되고있는현상황에서는더더욱 ) 보안카드의비밀번호 가이용자가의존할수있는유일한보안수단이되는셈이다. 39) 39) 전자금융거래의안전성확보 를최고의이념으로삼는전자금융거래법의입법취지 ( 법제1조참조 ) 를고려할때이와같은상황은결코바람직스러운
전자금융거래법상 이용자의중과실 의판단기준 817 것이라할수없다. 그렇다면이와같이전자금융거래의정보보안수준이취약한상황에서금융기관은전자금융거래의안전성확보를위하여어떠한주의의무를부담한다고해석하여야할것인가? 장래적으로가장바람직한것은대면에의한공인인증서의발급절차에중요한예외를인정한전자서명법시행규칙의관련규정을삭제하거나개선하여공인인증서의발급이보다엄격하게이루어지도록하는것이다. 그러나그것은입법자의몫이기때문에그것이실현되지않은현상황에서금융기관에게입법을촉구하거나다른보안수단의개발을강요할수는없다. 그러나공인인증서재발급절차의허술함을알고있거나 ( 백보양보하여 ) 최소한알고있어야할금융기관의입장에서는이용자에게공인인증서의재발급으로인하여피해가발생하는것은막아야할주의의무가발생한다고해석할수는있을것이다. 그근거는전자금융거래의안전성의확보를이념으로하는전자금융거래법의입법목적 ( 제1조 ) 및이를명문화한동법제21조 ( 안전성의확보의무 ) 40) 에서40) 찾을수있을것이고, 궁극적으로는신의칙을근거로할수있을것이다. (3) 이와같은해석을전제로한다면전자금융거래이용자의중과실판단에관한기준으로서 금융기관의전반적인정보보안수준 이누락된것은아쉬운점이다. 만일이와같은판단기준이포함되었다면본사안과같이금융기관의정보보안이취약한상황하에서라면이용자의중과실판단은보다신중하게이루어졌을것이기때문이다. 그러나설사위와같이해석할수없다하더라도최소한피고은행이원고에게공인인증서재발급사실을통지하여야할주의의무가있다는원고의주장 ( 예비적청구 ) 에는설득력이있다고할것이다. 따라서통지서비스를원고가신청하지않았기때문에통지의무가발생하지않는다는원심과대법원의판단은전술한바와같은공 39) 최근에일부금융기관이 OTP(One Time Password) 등새로운보안수단의발급에힘을쏟는것은이와같은상황을인식했기때문으로이해된다. 40) 법제21조 ( 안전성의확보의무 ) 1 금융기관 전자금융업자및전자금융보조업자는전자금융거래가안전하게처리될수있도록선량한관리자로서의주의를다하여야한다.
818 비교사법제 21 권 2 호 ( 통권 65 호 ) 인인증서발급절차상의문제점을인식하지못하고전자금융거래에서금융기관의안전성확보의무를지나치게좁게해석하였다는점에서비판을면할수없을것이다. 또한원심과대법원은피고은행에게통지의무가있다고하더라도이를이행하지않음으로써이사건금융사고가발생하였다고단정하기도어렵다고판시하고있으나이점도수긍하기어렵다. 만일공인인증서재발급이이루어진그시점에피고은행이원고에게그사실을통지하였다면, 원고의조치에따라서는시간적으로도그이후의금융사고를막을개연성은충분히있었다고판단되기때문이다. Ⅴ. 본판결의의의및평가 1. 본판결의의의 본판결은보이스피싱등전자금융사기로인한전자금융거래이용자의손해에대한금융기관의법적책임이문제된최초의대법원판결이라는점에서중요한의의를갖는다. 본판결에따라향후에이용자의중과실을판단할경우에는 접근매체의위조등금융사고가일어난구체적인경위, 그위조등수법의내용및그수법에대한일반인의인식정도, 금융거래이용자의직업및금융거래이용경력기타제반사정을고려하여판단 하게될것이고, 특히사회적으로널리알려진전자금융사기에의해이용자가금융거래정보등을노출하였고이로인해손해를입은경우에는중과실로판단될가능성이크게되었다고할것이다. 따라서이판결로향후에전자금융거래에서의이용자의주의의무가더욱 엄격하게 요구되게되었다고할것이다. 한편실질적인본법의쟁점 ( 보안카드관련정보노출의중과실여부 ) 은 ( 본대법원판결이선고되기도전에 ) 전술한바와같이전자금융거래법의개정으로동법에반영되었기때문에향후에는이개정법에따라처리하게될것이다. 다만이용자가 추가적인보안조치에사용되는매체 수단또는정보 가아니라 ( 그밖에다른 ) 금융거래정보 를노출하였다면본판결이선례로서기능할가능성은있다고할것이다. 그러나사
전자금융거래법상 이용자의중과실 의판단기준 819 견으로서는후술하는바와같이본판결에반대하기때문에본판결의사정범위는될수있는한제한적으로해석하는것이타당하다고생각한다. 2. 본판결의평가 본문에서상세히검토한바와같이본사안에서이용자에게중과실이있다고보아금융기관의면책을인정한대법원의판단에찬성할수없다. 그이유를간단히요약하면다음과같다. 첫째, 본판결은금융거래정보가공인인증서발급에필수적이라는이유로원고의금융거래정보노출을접근매체의노출과동일시하고있으나이것은전자금융거래법의문리적해석범위를넘는것이다. 동법은 접근매체 의개념표지 ( 세가지기능 ) 를설정하고그종류를다섯가지로한정열거하고있을뿐만아니라, ( 당시 ) 이용자의중과실의범위도 접근매체 를이전하거나노출하는행위등으로한정하고있었다. 따라서금융거래정보가설사접근매체의발급에활용되었다하더라도양자를동일시하는해석은동법의해석론의한계를넘는것이라고하지않을수없다. 둘째, 본판결은이용자의중과실판단에서금융사고의경위, 전자금융사기의수법의내용, 그수법에대한일반적인인식정도, 이용자의직업이나금융거래경력등을고려하여판단하여야한다고일반론을설시하면서도, 실제의판단에서는이용자측의사정 ( 직업, 금융거래경력등 ) 은구체적으로고려하고있는반면금융사고의경위내지전자금융사기의수법은구체적으로고려하지않고다만 당시전화금융사기가빈발하여이에대한사회적인경각심이높아진상태였다는점 을들어원고의중과실인정의하나의중요한근거로삼고있을뿐이다. 그러나이것은전자금융사기수법을지나치게경시한때문이라고생각된다. 본사안에서제3자 ( 성명불상자 ) 의기망행위는보이스피싱과피싱이라는두가지전자금융사기수법을교묘히섞었다는점, 검사를사칭하고원고가전자금융사기범죄의공범이아닌지확인이필요하다면서원고를불안하게한점, 가짜대검찰청사이트를만들어금융거래정보등을입력하도록이용자를유도하는등일련의과정이고도의계산된수법에따라일관되
820 비교사법제 21 권 2 호 ( 통권 65 호 ) 게이루어졌고기술적으로이를뒷받침하였다는점등에특징이있다. 따라서아무리직업이있고인터넷뱅킹의경험이있는자라하더라도위와같은사기수법하에서라면검사사칭자의지시대로움직일수도있다는점을고려하였어야한다고생각한다. 결국이와같은점들을고려하였다면원고의행위를 중과실 로평가할수는없었을것이라고생각한다. 셋째, 정보통신망을통한비대면의공인인증서발급을허용하고있는현행법제하에서는전자금융거래의보안수준은대단히취약한상황이라고하지않을수없다. 이와같은상황에서라면금융기관의보안수준이이용자의중과실판단에도고려되는것이타당하다고할것이고, 최소한금융기관에게는이용자에게공인인증서의재발급으로인하여손해가발생하지않도록주의를촉구할의무가발생한다고해석할것이다. 따라서통지서비스를원고가신청하지않았기때문에공인인증서재발급사실의통지의무가발생하지않는다는원심과대법원의판단은공인인증서발급절차를둘러싼현행법상의문제점을인식하지못하고전자금융거래에서금융기관의안전성확보의무를지나치게좁게해석하였다는점에서비판을면할수없을것이다. 요컨대본사안에서는원고에게중과실이있다고인정할수는없고이용자의의사에반하여공인인증서의발급이이루어졌다는점에서피고은행이공인인증서의위조에따른책임 ( 법제9조제1항 ) 을부담한다고해석하였어야할것이다. 41) 41) 그러나설사이용자의중과실을인정하여전자금융거래법제9조에따른피고은행의면책을이끌어낼수있다하더라도본사안에서피고은행은전자금융거래법제21조 ( 안전성의확보의무 ) 및신의칙상공인인증서의재발급으로인하여이용자에게손해가발생하지않도록주의를촉구할주의의무가있었다고보아야하기때문에, 피고은행은공인인증서의재발급사실을원고에게알리지않은데대해과실로인한불법행위방조책임 ( 민법제760조제3항 ) 을부담한다고해석하였어야할것이다. 41) 그후개정된현행전자금융거래법하에서는 정보통신망에침입하여부정한방법으로획득한접근매체의이용으로발생한사고 ( 법제9조제1항제3호 ) 에따른책임을금융기관이부담하는것으로해석하게될것이다.
전자금융거래법상 이용자의중과실 의판단기준 821 Ⅵ. 결론에갈음하여 전자금융거래에서정보보안과금융소비자보호를위하여 법리적으로는본판결을위와같이이해하고평가할수있지만, 이하에서는전자 금융거래에서정보보안및이용자 ( 금융소비자 ) 보호라는보다거시적인관점에서본 판결의문제점및향후의과제를간단히제시하기로한다. 1. 본판결은이른바개인정보및금융거래정보의유출이사회문제화되고있는상황에서보이스피싱등의전자금융사기에의해발생한금융소비자의손해에대해그배상책임을금융기관에게물을것인가가문제된최초의대법원판결이라는점에서대단히중요한의미를갖는다. 단순히보이스피싱으로손해를본본사안의원고에게배상청구권을인정할것인가말것인가로끝나는것이아니라본판결의결론에따라금융기관의전자금융거래의보안수준에면죄부를줄것인가, 아니면보안수준을향상시키는동인을제공할것인가가결정될수있었기때문이다. 그러나결과적으로금융소비자보호가강조되는상황에서대법원은현행전자금융거래의보안수준에심각한문제가있다는점을인식하지못하고, 전자금융거래에서금융기관의보안수준의향상이금융소비자보호에직결된다는정책적배려를하지못한채피고은행측주장을받아들여금융거래정보의노출이곧금융사고로이어질수있기때문에원고에게중과실을인정할수있다는형식적인법논리에입각한판단을하고말았다. 그러나이로써전자금융거래에대한금융소비자들의불신은한층강해질것이라는점에서, 본판결은금융기관측에도결코유리한것이라고는할수없다고생각한다. 본판결에서대법원이금융기관의책임을인정하였다면전자금융거래에서정보보안이심각하게문제되고있는상황에서금융기관이보안수준을자발적으로향상시킬수있는절호의기회였다는점에서본판결의결론에는더욱아쉬움이남는것이다.
822 비교사법제 21 권 2 호 ( 통권 65 호 ) 따라서당분간은금융감독당국에의한타율적이고유동적인 42) 42) 정책에따라전자금 융거래의보안수준이좌우될수밖에없는상황이라고할것이다. 2. 전자금융거래법에서접근매체의위조나변조로발생한사고에대하여원칙적으로금융기관이그책임을부담하기로하면서다만이용자의중과실이있는경우에만예외적으로금융기관이면책되도록한것은이용자 ( 금융소비자 ) 보호를실현하고자한입법자의의사를반영한것이다. 그러나본판결에서는제3자의교묘한기망행위가개입되었음에도불구하고이를면밀히검토하지않은채이용자의직업과금융거래경험이라는주관적인요소및전화금융사기에대한사회적경각심이높아진상태였다는지극히추상적인이유로이용자의중과실을인정해버렸기때문에, 본판결에따라향후에이용자에게는 과실 과유사한 ( 또는그이상의 ) 주의의무가요구된것과마찬가지의결과가되었다고할것이다. 더욱이본사안에서는제3자가공인인증서의발급절차가대단히취약한상황임을이용하여공인인증서를재발급받았음에도불구하고본판결은이에관하여아무런고려를하고있지않다. 그렇다면결과적으로위와같은입법자의의사내지전자금융거래의안전성을최고의이념으로삼는전자금융거래법의입법취지가무색하게되는것은아닌지우려된다. 이와같은점을고려한다면본판결에서대법원이제시한이용자의중과실판단기준에는향후에 금융기관의전반적인정보보안의수준 이추가되는것이타당하다고생각한다. 이기준이추가된다면금융기관의정보보안이취약할경우에는이용자의중과실도보다신중하게판단하도록제어하는역할을하게될것이기때문이다. 3. 본판결을계기로입법론적으로심각하게고민하여야할과제가등장하였다. 공인인증서의발급절차를규정하는전자서명법시행규칙 ( 제 13 조의 2 제 4 항 ) 은전술 42) 중앙일보, 2014.4.17. 기사, 26개금융사, 5년간 IT검사한번도안받았다 ; 디지털타임스, 2014.4.16. 기사, 당장암호화한다더니 뻔뻔한금융권 ; MK뉴스 2014.2.10. [ISSUE INSIDE] 오락가락금융당국 밀어붙이다여론나쁘면후퇴되풀이 등참조.
전자금융거래법상 이용자의중과실 의판단기준 823 한바와같이접근매체로서의공인인증서의발급절차상의편의성을고려한입법이지만현재는전자금융거래의안전성을해하는결정적인근거규정이되고있다는점이다. 따라서동규정은하루속히삭제하거나개선책을마련하여야할것이다. 43) 43) 물론이를통하여전자금융거래의편의성은다소감소할수있고금융기관의업무부담이늘어날가능성도존재한다. 그러나전자금융거래에서접근매체, 특히공인인증서의중요성을감안해볼때그발급은대면을통하여철저하게이루어져야거래전체의안전성이확보될수있다는점은아무리강조해도지나치지않는다. 접근매체의발급절차상의안전성이확보된다면이용자에게그사용상의책임을묻기도훨씬수월해질것이다. 반면에현재와같이정보보안이취약한상황에서금융기관이자신의면책 ( 무과실 ) 을주장하고이용자에게그책임 ( 중과실 ) 을묻는것은너무나무책임한태도라고하지않을수없다. 한편전자금융거래에서공인인증서와같이공인된접근매체를사용하도록정책적으로강제하는경우는비교법적으로흔하지않다. 그럼에도불구하고전자금융사기에의한피해가급증하고있는바이러한정책내지제도를철폐하여인증시장의경쟁을유도하고정보보안의수준을향상시키자는주장이제기되는것도무리는아니다. 44) 44) 그러나필자는공인인증서발급절차상의안전성이확보된다면공인인증서의존폐여부를둘러싼논의에도상당부분영향을미칠것이라생각한다. 공인인증서를통한전자금융거래라는현제도의틀을무작정철폐하기보다는발급절차를보다엄격하게함으로써정보보안상의많은문제점이해소될수있다고생각하기때문이다. 43) 이와같은문제의식에따라행정안전부 (2012.6.25. 당시 ) 로부터전자서명법시행규칙개정안이입법예고되었다 ( 행정안전부 2012.6.26. 보도자료 ). 이개정안에서는본인확인절차로서단말지정, 전화승인, OTP+SMS 등의 추가인증수단 중에서이용자가하나를선택하도록하고있다. 그러나본인확인절차가강화되었다는점에서는개선이라고할수있으나 정보통신망상의본인확인 이라는점에는변함이없기때문에보다확실하게는대면확인에의하도록하는것이正道라고생각한다. 강화된공인인증서재발급절차는 2014년 1월부터본격적용된다는것이위보도자료의설명이나, 아직전자서명법시행규칙에는반영되지않고있다. 44) 예컨대, 최재천의원대표발의 전자서명법전부개정법률안 (2013.5.28. 제안 ) 은현행공인인증제도의철폐를목적으로한것이다.
824 비교사법제 21 권 2 호 ( 통권 65 호 ) < 참고문헌 > 1. 단행본 손진화, 전자금융거래법 [ 제 2 판 ], 법문사 (2008) 정경영, 전자금융거래와법, 박영사 (2007) 高見澤昭治 齋藤雅弘 野間啓編著 預金者保護法ハンドブック ( 日本評論社 2006) 2. 논문 강성복 윤종민, 전기통신금융사기법제에관한분석적고찰, 과학기술과법제 3 권제 2 호 (2012.12) 김병태, 예금통장 ( 대포통장 ) 은전자금융거래법상의접근매체인가?- 대법원 2010.05.27. 선고, 2010 도 2940 판결 -, 선진상사법률연구통권제 54 호 (2011.4) 박지현, 전자금융거래시공인인증서의무사용규제완화관련주요이슈및현황, 지급결제와정보기술 (2010.7) 서희석, 훔친통장과인장을이용한예금인출의유효성 - 대법원 2007.10.25. 선고 2006 다 44791 판결에대한비판적검토 -, 소비자문제연구제 35 호 (2009.4) 이정현, 2006 년시행전자서명법의개정내용과향후과제, 정보보호정책동향 ( 한국정보보호진흥원 )(2006 년 ) 徐熙錫 電子金融取引の民事法理 (1)(2)(3 完 ) 韓国電子金融取引法の考察 一橋法学第 5 巻 3 号 第 6 巻第 1 号 第 6 巻第 3 号 (2006.11 2007.3 11) 松本恒雄 預金者保護に向けた法整備と残された課題 自由と正義 57 巻 3 号 (2006.3) 투 고 일 : 2014년 4월 23일 심 사 일 : 2014년 5월 9일 수 정 일 : 2014년 5월 16일 게재확정일 : 2014년 5월 23일 주제어 : 전자금융거래법, 접근매체, 공인인증서, 시스템거래, 보이스피싱, 금융소비자, 정보보안, 전자금융거래의안전성
전자금융거래법상 이용자의중과실 의판단기준 825 <Abstract> Judgment Criteria for User's Gross Negligence" under Electronic Financial Transaction Act by Heesok Seo The present decision has great significance as the first Supreme Court ruling over an issue regarding the liability of a financial institution for losses suffered by the user of electronic financial transaction due to electronic financial fraud methods like voice phishing. In the ruling, the Supreme Court presented judgment criteria that whether or not there is intention or gross negligence of the user, a condition for liability exemption of financial institutions under the Electronic Financial Transaction Act, shall be judged by consideration on details of the financial accident like forgery of the means of access, the substance of the method like forgery and perception of the general public on the method, occupation and experience of the user of the financial transaction, and the totality of circumstances. Based on this judgment criteria, the court ruled in the present case that the user was grossly negligent, and the financial institution was thus exonerated from liability. It can be said that auser s duty of care toward future electronic financial fraud will be more strictly required after this decision. However, the present decision is difficult to support in that: (1) the decision, which equated exposure of financial transaction information with that of the access means, went beyond the scope of textual interpretation of the Act; (2) it hardly conducted assessment on the fraudulent act by a third part; and furthermore, (3) it gave the security level of the financial institution no consideration. It would be more reasonable if the overall security level of the financial institution was added to the judgment criteria for user s gross negligence presented by the Supreme Court in the future. It is because the addition of this criterion would play a controlling
826 비교사법제 21 권 2 호 ( 통권 65 호 ) role in influencing courts to be more cautious in deciding a user s gross negligence, particularly in cases where the information security systems were vulnerable. Key Words : Electronic Financial Transaction Act, Means of Access, Authorized Certificate, System Transaction, Voice Phishing, Financial Consumer, Information Security, Electronic Financial Transaction Safety