게임 서버 업데이트 중 테스트용 로그 기록 기능을 삭제하지 않아 이용자들의 아이디와 비밀번호가 로그파일에 그대로 기록되게 방치함

• 피고 회사는 다중 이용자 온라인 롤플레잉게임(MMORPG)을 개발·운영하며 이용 서비스를 제공하는 회사이고, 원고들은 이 게임을 이용하는 이용자들이다.
• 2005. 5. 11. 피고 회사가 게임 서버 및 네트워크 정기점검·업데이트 작업을 하던 중, 담당 직원이 아이디·비밀번호 입력 관련 기능을 테스트하려고 임시로 이용자들의 아이디와 비밀번호가 로그파일에 기록되도록 하였다.
• 그런데 테스트가 끝난 뒤에도 아이디·비밀번호 기록 기능을 삭제하지 않은 채 서버 업데이트 작업을 마치는 바람에, 2005. 5. 11. 오전 10시부터 게임에 접속한 이용자들의 아이디와 비밀번호가 로그파일에 그대로 기록되는 사고가 발생하였다.
• 피고 회사는 2005. 5. 16. 12:00경에야 이 사실을 알게 되었고, 즉시 이용자들의 게임서버 접속을 차단하고 기록 기능을 삭제하였으며, 이미 개별 컴퓨터에 생성된 로그파일이 삭제되도록 하는 시스템 패치 작업을 실시하였다.
• 피고 회사는 2005. 5. 16. 13:20부터 15:45까지 접속을 차단한 상태에서, 사고 기간(2005. 5. 11. 10:00 ~ 2005. 5. 16. 12:00) 동안 접속했던 모든 이용자들에게 주민등록번호로 동일인 확인을 거친 뒤 새 비밀번호로 변경해야만 게임에 접속할 수 있도록 조치하였다.
• 피고 회사는 홈페이지에 사과문을 게재하고 유료 이용자들에게 1일간 무료사용권을 제공하는 외에는 별다른 보상 조치를 하지 않았고, 원고들은 사고 기간 중 게임에 접속한 이용자들로서 정신적 손해배상으로 각 5,000,000원을 청구하였다.

온라인 게임 운영업체가 서버 업데이트 과정에서 이용자들의 아이디와 비밀번호를 암호화하지 않은 채 로그파일에 저장되도록 방치하여, 컴퓨터에 관한 상당한 전문지식이 있는 사람이라면 누구나 접근해 개인정보를 알 수 있는 상황을 만든 사안이다. 법원은 이러한 행위가 이용계약 및 관련 법률상 요구되는 주의의무를 다하지 않은 과실에 해당한다고 보아, 사고 기간 중 게임에 접속해 개인정보 유출 위험에 처한 이용자들에 대한 손해배상책임을 인정하였다. 다만 원고들이 청구한 각 5,000,000원 전액이 아니라 각 500,000원과 지연손해금만 인용하고 나머지 청구는 받아들이지 않았다.

• 피고 회사는 게임 서비스 업자로서 이용자들의 개인정보가 유출되지 않도록 필요한 조치를 다해야 할 계약상·법률상 의무를 부담한다.
• 피고 회사가 업데이트 과정에서 아이디와 비밀번호를 암호화하지 않은 상태로 로그파일에 저장되게 함으로써, 컴퓨터에 관한 상당 수준의 전문지식이 있는 사람이라면 누구라도 접근해 아이디와 비밀번호를 알 수 있는 상황을 만든 것은 개인정보를 유출되게 한 것으로서 주의의무를 다하지 않은 과실에 해당한다.
• 따라서 피고 회사는 사고 기간 동안 게임에 접속해 개인정보 유출의 위험에 처하게 된 원고들이 입은 정신적 손해를 배상할 책임이 있다.
• 피고 회사는 개인용 컴퓨터로 접속한 경우에는 유출 위험이 없고, PC방 등에서 접속했더라도 신속한 패치로 위험을 막았으며, 실제로 피해가 발생한 사실이 없다고 주장했으나, 컴퓨터 기술과 인터넷이 발달해 해킹 등 불법 정보 수집 방법도 고도화된 상황에서는 이러한 주장을 그대로 받아들이기 어렵다.
• 다만 원고들이 청구한 위자료 전액을 인정하기는 어렵고, 사고의 경위와 피고의 사후 조치 등을 종합해 각 500,000원 및 이에 대한 지연손해금만 인정하고 나머지 청구는 받아들이지 않았다.

개인정보를 다루는 회사는 서버 점검·업데이트 같은 내부 작업 과정에서도 이용자의 아이디와 비밀번호가 암호화되지 않은 채 남지 않도록 각별히 관리해야 하며, 이를 소홀히 해 유출 위험을 만든 것만으로도 손해배상책임이 인정될 수 있다는 점을 보여주는 사례이다. 실제 유출 피해가 확인되지 않았더라도 개인정보가 노출될 수 있는 상황 자체가 정신적 손해배상의 근거가 될 수 있다는 점이 핵심이다.