포털사이트 회원이 해킹으로 개인정보가 유출되자 회사를 상대로 위자료를 청구함

• 피고는 인터넷상에서 검색·커뮤니티 등을 제공하는 포털서비스사업을 하는 회사로, 원고는 피고가 제공하는 온라인 서비스에 가입하면서 성명, 주민등록번호, 아이디, 비밀번호, 이메일 주소, 주소, 전화번호 등의 개인정보를 필수적으로 제공했다.
• 중국에 거주하는 것으로 추정되는 해커가 피고의 내부 직원 컴퓨터에 악성프로그램을 심고 원격접속하여 피고의 정보통신망에 침입했다.
• 해커는 회원정보가 저장된 데이터베이스 서버 등에 침입하여 개인정보를 외부 서버로 전송했고, 이로 인해 약 34,954,887명의 회원 개인정보가 유출되었다.
• 유출된 개인정보에는 성명, 주민등록번호, 아이디, 비밀번호, 이메일 주소, 주소, 전화번호 등이 포함되어 있었다.
• 원고는 피고의 서비스 이용자로서 개인정보 유출로 정신적 손해를 입었다며 위자료 300만 원과 지연손해금을 청구하는 소송을 냈다.

피고 회사가 해킹으로 약 3,500만 명의 개인정보를 유출한 사건에서, 원고는 피고의 서비스 이용자로서 개인정보 유출로 정신적 손해를 입었다며 위자료 300만 원을 청구했다. 법원은 피고가 개인정보 보호 의무를 다하지 못했다고 보아 원고의 청구를 일부 받아들였고, 원고와 피고의 항소는 모두 받아들여지지 않았다.

• 정보통신서비스 제공자는 이용자가 제공한 개인정보를 보호할 의무가 있고, 서비스 이용약관을 통해 개인정보를 필수적으로 제공받았다면 그 정보가 유출되지 않도록 적절한 보안시스템을 구축하고 합리적인 수준의 기술적·관리적 대책을 마련할 계약상 의무도 진다.
• 피고는 침입탐지시스템이 미흡했고, FTP 프로토콜을 사용했으며, 공개용 압축 프로그램을 사용하고, 취약한 암호화 방식(MD5)을 사용하는 등 보안조치의무를 위반했다.
• 정보통신망법에 따르면 서비스 제공자가 개인정보 유출로 손해를 입히면 고의나 과실이 없음을 스스로 입증하지 못하는 한 책임을 면할 수 없다.
• 피고는 계약상 채무불이행에 따른 손해배상책임도 지는데, 피고가 자신에게 과실이 없음을 증명하지 못했으므로 책임을 피할 수 없다.
• 따라서 피고는 정보통신망법에 따른 손해배상책임과 계약상 채무불이행에 따른 손해배상책임을 모두 부담한다.

이 사건은 포털사이트가 회원의 개인정보를 안전하게 지키지 못해 대규모 유출 사고가 났을 때, 법률상 책임뿐 아니라 계약상 책임도 진다는 점을 확인한 판결이다. 서비스 제공자는 이용자의 개인정보를 보호할 합리적인 보안 조치를 갖춰야 하며, 사고가 나면 과실이 없음을 스스로 입증하지 못하는 한 손해배상 책임을 피할 수 없다는 점을 보여준다.