행정
원고인 통신사업자 주식회사 ○○○는 마이올레 및 올레클럽 홈페이지에서 발생한 해킹 사고로 인해 총 1,170만여 건의 개인정보가 유출되는 피해를 입었습니다. 이에 피고인 방송통신위원회는 원고가 구 정보통신망법 및 관련 고시에서 정한 개인정보 보호조치를 위반했다고 판단하여 과징금 7,000만 원을 부과하는 처분을 내렸습니다. 원고는 해당 법규를 준수했음을 주장하며 과징금 부과 처분 취소를 구하였고, 피고는 원고의 보호조치 미흡으로 법규를 위반했다고 맞섰습니다.
원고는 전기통신사업자로서 고객이 요금명세서를 조회할 수 있는 마이올레 홈페이지와 올레클럽 포인트 조회 등을 할 수 있는 올레클럽 홈페이지를 운영하고 있었습니다. 2013년 8월 8일부터 2014년 2월 25일까지 해커 김●●은 마이올레 홈페이지에 불법적으로 접근하여 자신의 서비스계약번호를 다른 사람의 임의의 9자리 숫자로 변조하는 방식으로 총 11,708,875건(이용자수 기준 9,818,074명)의 개인정보를 유출했습니다. 또한 다른 해커는 올레클럽 홈페이지의 DB 서버에 약 2,753회 접속하여 83,246건의 개인정보를 유출했습니다. 이는 상담사 PC에 설치된 네트워크 모니터링 도구를 통해 올레클럽 포인트 조회 URL을 획득한 뒤 외부 인터넷망을 통해 접속하여 발생한 것으로 추정됩니다. 이에 방송통신위원회는 원고가 구 정보통신망법 제28조 제1항 제2호 및 그 시행령 제15조, 구 「개인정보의 기술적·관리적 보호조치 기준」(이 사건 고시) 제4조 제2항, 제5항, 제9항을 위반했다고 보고, 구 정보통신망법 제64조의3 제1항 제6호에 따라 과징금 7,000만 원을 부과했습니다. 원고는 이 처분이 부당하다고 주장하며 취소 소송을 제기했습니다.
이 사건의 주요 쟁점은 다음과 같습니다. 첫째, 원고가 퇴직자의 개인정보처리시스템 접근권한을 지체 없이 말소해야 하는 의무(구 개인정보의 기술적·관리적 보호조치 기준 제4조 제2항)를 위반했는지 여부입니다. 둘째, 원고가 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 시스템을 제대로 설치·운영해야 하는 의무(같은 기준 제4조 제5항)를 위반했는지 여부입니다. 셋째, 원고가 인터넷 홈페이지 등을 통해 열람 권한이 없는 자에게 개인정보가 공개되거나 유출되지 않도록 조치를 취해야 하는 의무(같은 기준 제4조 제9항)를 위반했는지 여부입니다. 이 쟁점들은 관련 법령, 특히 구 개인정보의 기술적·관리적 보호조치 기준의 각 조항과 '개인정보처리시스템'의 범위, '시스템 운영'의 의미 등 법규 해석을 둘러싼 다툼이었습니다.
재판부는 원고 주식회사 ○○○에 대한 방송통신위원회의 과징금 7,000만 원 부과 처분을 취소했습니다. 구체적인 판단 내용은 다음과 같습니다.
피고 방송통신위원회가 원고 주식회사 ○○○에 대해 2014년 6월 26일 자로 내린 과징금 7,000만 원 부과 처분을 취소하며, 소송비용은 피고가 부담하도록 했습니다.
이 사건과 관련된 주요 법령과 법리 해설은 다음과 같습니다.
유사한 상황에 처했을 때 다음 사항들을 참고할 수 있습니다.
