법원 "정보보호 규정 지켰다면 회사 책임없다"

'KT 개인정보 유출' 소송 항소심선 피해자들 패소

"해커 공격 완벽한 대응 어려워
KT 관리·감독 소홀은 아니다"
정보유출 책임 좁게 해석 추세

"피해 입증 어려운데…" 논란도

2012년 발생한 ‘KT 개인정보 유출 사고’에서 회사의 책임을 인정한 1심 판결이 2심에서 뒤집혔다. 항소심 재판부는 어떤 사이트라도 해커의 불법적인 침입에 노출될 수밖에 없고 완벽한 보안을 갖추기는 어렵다고 판단했다. KT가 예상치 못한 해커의 공격을 당한 만큼 회사에 과실을 물을 수 없다는 설명이다. 개인정보가 유출된 점만으로는 책임을 지우기 어렵다는 취지여서 논란은 달아오를 전망이다.

◆보안조치에 충실했다면 기업도 ‘피해자’

서울중앙지방법원 민사4부(부장판사 송인권)는 강모씨 등 KT 가입자 81명이 KT를 상대로 낸 손해배상청구소송에서 원고일부승소 판결한 1심을 깨고 원고패소 판결했다. 2012년 해커 2명에 의해 KT 가입자 870만 명의 개인정보가 유출되는 사고가 발생하자 피해자들은 관리·감독에 소홀했던 KT에 개인정보 유출 책임이 있다며 민사소송을 제기했다.

이에 대해 재판부는 “KT가 개인정보 유출 방지에 관한 기술적·관리적 보호조치를 이행하지 않은 과실로 인해 사고가 발생했다고 보기 어렵다”고 판단했다. 앞서 1심에서는 “고객 정보를 보호하기 위한 노력을 다하지 못했다”며 KT는 강씨 등에게 10만원씩을 지급하라고 판결했다.

하지만 2심 재판부는 KT가 개인정보 보호에 최선을 다했다고 인정했다. 재판부는 “KT는 규정을 준수해 접속기록을 확인해왔다”며 “해커가 정상적 서버를 우회해 접속기록을 남기지 않고 정보를 유출할 가능성까지 예상하기는 어렵다”고 판단했다. 기업들이 수많은 해킹 수법을 일일이 예측하고 완벽하게 대응하기는 사실상 불가능하다는 설명이다.

◆판결 추세는 ‘정보 유출 책임 좁게 해석’

법원은 최근 정보유출 사고에서 회사가 책임져야 할 범위를 좁게 해석하는 추세다. 2015년 대법원은 온라인 경매업체 옥션의 정보 유출 사건에 대해 “미리 충분한 정보보호 조치를 취한 것으로 인정된다면 개인정보 유출에 책임을 지우기 어렵다”고 판결했다.

2016년 KT가 방송통신위원회를 상대로 제기한 과징금 처분 취소 행정소송도 궤를 같이한다. 방통위는 2014년 또다시 발생한 KT 해킹 사건과 관련해 회사에 과징금 7000만원과 과태료 1500만원을 부과했지만, 서울행정법원은 KT의 손을 들어줬다. ‘해킹을 완전히 차단할 수 있는 완벽한 기술은 없다’는 것이 행정법원의 논리였다.

한 개인정보보호법 전문 변호사는 “보이스피싱 등 2차 피해가 실제로 발생하지 않았다면 손해배상을 받아내기가 만만치 않다”고 진단했다.

이에 대해 개인정보 유출로 유·무형 손실을 입은 피해자들이 보상받지 못하는 것이 정당한지 논란이 일고 있다. 피해자들이 이름, 가입기록 등의 정보 유출에 따른 실제 피해를 입증하기 어려운 현실이 더 고려돼야 한다는 지적도 나온다.

신연수 기자 sys@hankyung.com